Ребят, все бьюсь со своим usb модемом. Подскажите, где можно почитать подробные логи на микротике? Ну там чтоб видно было когда интерфейс отвалится например

у Вас же не отваливалось физическое соединение, смотреть логи: /log print

Не помогло :/

и не должно, какая адресация с двух сторон, разная ?

поставили на микротие Use IPSEC в required и теперь у некоторых клиентов 651 ошибка или 31 ошибка -_-

а что стояло раньше ?

а что стояло раньше ?

а раньше yes. т.е у некоторых клиентов какие глюки с виндой и ipsec никак не поднимается в принудительном

а раньше yes. т.е у некоторых клиентов какие глюки с виндой и ipsec никак не поднимается в принудительном

это в настройках сервера имеется в виду ?

Не помогло :/

я вот так делал и на удаленном клиенте становилась доступна локальная

и не должно, какая адресация с двух сторон, разная ?

Офис 1: 192.168.1/24 lan и 172.16.0.0/30 vpn, офис 2: 192.168.2/24 и 172.16.0.8 впн. Маршруты в ланы через шлюзы 172.16.0.1 и 172.16.0.9, arp-proxy на бридже включены

я вот так делал и на удаленном клиенте становилась доступна локальная

это если адресация одинакова

Пинги только до микротиков идут. IP к портам прописаны, только lan ip к бриджу.

@agzloi офис2: 0.0.0.0/0 в инет 172.16.0.0/30 через 172.16.0.9 192.168.1/24 через 172.16.0.9 разрешить все в fw офис1: 0.0.0.0/0 в инет 172.16.0.8/30 через 172.16.0.1 192.168.2/24 через 172.16.0.1 разрешить в fw По поводу fw - если он стандартный, то добавить интерфейс через который провайдером организован VPN, добавить в iface-list LAN Proxy-arp выключить

а раньше yes. т.е у некоторых клиентов какие глюки с виндой и ipsec никак не поднимается в принудительном

попробуйте для начала отключить l2tp-server / затем сбросить все активные ipsec-соединения, потом поднять l2tp-server

попробуйте для начала отключить l2tp-server / затем сбросить все активные ipsec-соединения, потом поднять l2tp-server

1. c Win7 - проблем с L2TP/IPSec нет, они кажется есть на Win10 2. Win7 имеет в свою очередь проблемы с IKE2 , а Win10 нет

вариант вынести АТС "наружу" не рассматривается?

от Б - Безопасность?

1. c Win7 - проблем с L2TP/IPSec нет, они кажется есть на Win10 2. Win7 имеет в свою очередь проблемы с IKE2 , а Win10 нет

как нет, если у меня клиенты не работают )) сбросить сейчас не могу, рабочий день

как нет, если у меня клиенты не работают )) сбросить сейчас не могу, рабочий день

ну тогда выясните, за каким внешним IP сейчас проблемный клиент и уроните только конкретную IPSec сессию

1. c Win7 - проблем с L2TP/IPSec нет, они кажется есть на Win10 2. Win7 имеет в свою очередь проблемы с IKE2 , а Win10 нет

у меня тоже проблем на 7-ке нет

ну тогда выясните, за каким внешним IP сейчас проблемный клиент и уроните только конкретную IPSec сессию

попробую .

как нет, если у меня клиенты не работают )) сбросить сейчас не могу, рабочий день

Может быть у вас проблема не 7-кой в таком случае?

у меня тоже проблем на 7-ке нет

у меня и на 10 нет проблем

у меня и на 10 нет проблем

да у меня тоже, собственно

на 10ке у меня тоже нет) но вот всплыло два компа и обе с 7ой. ошибки одинаковые . танцы с реестром не помогают. через pptp пока подключил

на 10ке у меня тоже нет) но вот всплыло два компа и обе с 7ой. ошибки одинаковые . танцы с реестром не помогают. через pptp пока подключил

а в логе микрота что? там, поди, сборки какие-то

в логах No IPSEc encryption while it requered

По поводу btest. Пробовал его запускать между микротиками. У меня в любых ситуациях при его запуске загрузка процессора получается 100%. И соответственнно ни о каких реальных замерах не может быть и речи. Реальную скорость проверяю копированием файлов между серверами. Кто-нибудь может мне объяснить почему так происходит?

По поводу btest. Пробовал его запускать между микротиками. У меня в любых ситуациях при его запуске загрузка процессора получается 100%. И соответственнно ни о каких реальных замерах не может быть и речи. Реальную скорость проверяю копированием файлов между серверами. Кто-нибудь может мне объяснить почему так происходит?

потому что btest однопоточное приложение, которое генерирует трафик и выплевывает его в интерфейс. на любых других вендорах - будет аналогично

По поводу btest. Пробовал его запускать между микротиками. У меня в любых ситуациях при его запуске загрузка процессора получается 100%. И соответственнно ни о каких реальных замерах не может быть и речи. Реальную скорость проверяю копированием файлов между серверами. Кто-нибудь может мне объяснить почему так происходит?

Пробуйте speed test. Он вроде как размазывается по ядрам.

в логах No IPSEc encryption while it requered

ну так смотрите клиента, если там есть настройки IPSec - то, сбрасывайте IPSec сессию

Запустил только что тест, и вот что получилось tool speed-test address=192.168.254.101 ;;; results can be limited by cpu, note that traffic generation/termination performance might not be representative of forwarding performance status: tcp upload time-remaining: 30s ping-min-avg-max: 242us / 362us / 8.68ms jitter-min-avg-max: 0s / 131us / 8.4ms loss: 0% (0/200) tcp-download: 149Mbps local-cpu-load:100% tcp-upload: 100Mbps

ну так смотрите клиента, если там есть настройки IPSec - то, сбрасывайте IPSec сессию

в ipsec - active peers ?

соединены свичи по оптике 10G

соединены свичи по оптике 10G

ну пишут же: ;; results can be limited by cpu, note that traffic generation/termination performance might not be representative of forwarding performance

в ipsec - active peers ?

+ installed-sa

типа не хватает мощности процессора?

+ installed-sa

так там его не будет если сессия не уставливается

типа не хватает мощности процессора?

никто так в реальной жизни не меряет

так там его не будет если сессия не уставливается

оно может там быть, старое, например, какое-нибудь

А как меряют в реальной жизни?

А как меряют в реальной жизни?

насквозь отдельной железкой

реальные железки имеют гигабитные порты

соединены свичи по оптике 10G

Свитчи? Да Вы оптимист. ) Айперфом насквозь меряйте.

Свитчи? Да Вы оптимист. ) Айперфом насквозь меряйте.

можно подробнее?

можно подробнее?

На свитчах ЦПУ очень хиленький.

можно подробнее?

это, простите, хочу 10G - зачем не знаю. слабый процессор

и в чем я оптимист? есть CRS, в нем 24 SFP+, к нему подключены другие по SFP+

для каких тогда целей выпускаются такие железки?

и в чем я оптимист? есть CRS, в нем 24 SFP+, к нему подключены другие по SFP+

В том, что свитч - это коммутация. Свитч-чип позволяет коммутировать на скорости портов без проблем. Но Вы пытаетаеть хиленьким ЦПУ, который предназначен в основном для обслуги управления сгенерировать трафик. )

В том, что свитч - это коммутация. Свитч-чип позволяет коммутировать на скорости портов без проблем. Но Вы пытаетаеть хиленьким ЦПУ, который предназначен в основном для обслуги управления сгенерировать трафик. )

понятно

Спасибо за разъяснение.

Спасибо за разъяснение.

Обратите внимание на разницу показателей в свитчевании и роутинге: https://mikrotik.com/product/crs326_24s_2q_rm#fndtn-testresults

Обратите внимание на разницу показателей в свитчевании и роутинге: https://mikrotik.com/product/crs326_24s_2q_rm#fndtn-testresults

Спасибо. Это я уже понял.

если порты будут в разных вланах, скорость хоть будет нормальная? вланы будут созданы на CCR, которого пока нет

то есть маршрутизацией будет заниматься CCR, а на CRS бридж с vlan filtering

Если роутинг будет на CCR, на CRS всё будет работать на скорости порта

Железка в целом очень хорошая

Железка в целом очень хорошая

Время покажет.

У меня показало

У меня показало

на одном порту увидел только полтора гигабита

если порты будут в разных вланах, скорость хоть будет нормальная? вланы будут созданы на CCR, которого пока нет

Да, будет нормальная. Вланы разгружаются на свитч-чипе

оно может там быть, старое, например, какое-нибудь

нет их

нет их

значит - дело в клиенте

всем добрый день! есть такая схема: белый IP (микрот сервер L2TP) <—> L2TP <—> микрот клиент как попасть на микрот клиент через белый IP сервера через порт 8888?

всем добрый день! есть такая схема: белый IP (микрот сервер L2TP) <—> L2TP <—> микрот клиент как попасть на микрот клиент через белый IP сервера через порт 8888?

dst-nat - - src-nat

dst-nat - - src-nat

всё на роутере-сервере?

всё на роутере-сервере?

угу src-nat на выходе в l2tp интерфейс

угу src-nat на выходе в l2tp интерфейс

/ip firewall nat add action=dst-nat chain=dstnat comment="winbox derevnya" dst-address=1.1.1.1 dst-port=8888 in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.89.2 \ to-ports=8291 add action=src-nat chain=srcnat dst-port=8888 out-interface=iglino-l2tp protocol=tcp to-addresses=192.168.89.2 to-ports=8291 чот не так, да?

/ip firewall nat add action=dst-nat chain=dstnat comment="winbox derevnya" dst-address=1.1.1.1 dst-port=8888 in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.89.2 \ to-ports=8291 add action=src-nat chain=srcnat dst-port=8888 out-interface=iglino-l2tp protocol=tcp to-addresses=192.168.89.2 to-ports=8291 чот не так, да?

Во втором правиле вместо dst-port=8888 написать 8291 и в нем же to-ports=8291 - не нужно И to-addresses=192.168.89.2 - тут айпи серверного конца туннеля А в первом правиле to-addresses=192.168.89.2 - айпи дальнего микротика

Во втором правиле вместо dst-port=8888 написать 8291 и в нем же to-ports=8291 - не нужно И to-addresses=192.168.89.2 - тут айпи серверного конца туннеля А в первом правиле to-addresses=192.168.89.2 - айпи дальнего микротика

говорит "не могу подключиться"

говорит "не могу подключиться"

Адрессацию на туннеле фактическую скажите.

Адрессацию на туннеле фактическую скажите.

эти адреса и есть туннельные

эти адреса и есть туннельные

Где какой? У Вас они одинаковые указаны. Потому и не работает.

1 - сервер, 2 - клиент

1 - сервер, 2 - клиент

/ip firewall nat add action=dst-nat chain=dstnat comment="winbox derevnya" dst-address=1.1.1.1 dst-port=8888 in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.89.2 to-ports=8291 /ip firewall nat add action=src-nat chain=srcnat dst-address=192.168.89.2 dst-port=8291 out-interface=iglino-l2tp protocol=tcp to-addresses=192.168.89.1

/ip firewall nat add action=dst-nat chain=dstnat comment="winbox derevnya" dst-address=1.1.1.1 dst-port=8888 in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.89.2 to-ports=8291 /ip firewall nat add action=src-nat chain=srcnat dst-address=192.168.89.2 dst-port=8291 out-interface=iglino-l2tp protocol=tcp to-addresses=192.168.89.1

да, спасибо, заработало ошибку свою понял кусок конфига, пожалуй, сохраню в избранное

да, спасибо, заработало ошибку свою понял кусок конфига, пожалуй, сохраню в избранное

На здоровье. )

/ip firewall nat add action=dst-nat chain=dstnat comment="winbox derevnya" dst-address=1.1.1.1 dst-port=8888 in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.89.2 to-ports=8291 /ip firewall nat add action=src-nat chain=srcnat dst-address=192.168.89.2 dst-port=8291 out-interface=iglino-l2tp protocol=tcp to-addresses=192.168.89.1

а маскарад бы сработал тоже?

а маскарад бы сработал тоже?

Кстати, можно вместо натов ромон использовать.

Кстати, можно вместо натов ромон использовать.

я вместо натов лучше ВПН заюзаю)) и у меня OSPF)) товарищ просто спросил

@sa_drug подскажи еще по ситуации. За роутером 2 компа. 1й подключается . Отключаю его и сессия убивается. 2й не подключается. никаких логов нет.

@sa_drug подскажи еще по ситуации. За роутером 2 компа. 1й подключается . Отключаю его и сессия убивается. 2й не подключается. никаких логов нет.

не будет работать через l2tp из-за того что нельзя однозначно политики для клиентов за одним нат