На обоих серверах запущены одинаковые сервисы. "Сервер LAN мой" пингует "Сервер LAN партнера" по внутреннему IP (туннель работает). Такжеc рабочих станций в моей LAN сервисы на "Сервере в LAN партнера" доступны. Клиент в интернет через правила dst-nat подключается к сервисам на моём сервере, всё работает норм. Пробую в этих же правилах dst-nat поменять To address на Сервер в LAN пратнера (с 192.168.59.100 на 192.168.50.14) - клиент сервисы не видит. Что-то я делаю не так, но не могу понять, что...
я ничего не понял...
изобрази схему с адресами, белые адреса можно изменить на другие
Bomberman
Yuriy
Bomberman
На обоих серверах запущены одинаковые сервисы. "Сервер LAN мой" пингует "Сервер LAN партнера" по внутреннему IP (туннель работает). Такжеc рабочих станций в моей LAN сервисы на "Сервере в LAN партнера" доступны. Клиент в интернет через правила dst-nat подключается к сервисам на моём сервере, всё работает норм. Пробую в этих же правилах dst-nat поменять To address на Сервер в LAN пратнера (с 192.168.59.100 на 192.168.50.14) - клиент сервисы не видит. Что-то я делаю не так, но не могу понять, что...
а, вот:
/ip firewall nat add action=dst-nat chain=dstnat comment="winbox derevnya" dst-address=1.1.1.1 dst-port=8888 in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.89.2 to-ports=8291
/ip firewall nat add action=src-nat chain=srcnat dst-address=192.168.89.2 dst-port=8291 out-interface=iglino-l2tp protocol=tcp to-addresses=192.168.89.1
Yuriy
а, вот:
/ip firewall nat add action=dst-nat chain=dstnat comment="winbox derevnya" dst-address=1.1.1.1 dst-port=8888 in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.89.2 to-ports=8291
/ip firewall nat add action=src-nat chain=srcnat dst-address=192.168.89.2 dst-port=8291 out-interface=iglino-l2tp protocol=tcp to-addresses=192.168.89.1
Теперь я ничего не понял. ( Предположим, нарисую я правило в srcnat. А в out-interface что указывать? IPSec туннель интерфейс не создает.
Bomberman
Теперь я ничего не понял. ( Предположим, нарисую я правило в srcnat. А в out-interface что указывать? IPSec туннель интерфейс не создает.
https://www.youtube.com/watch?v=liy-sxlmkFU
Алексей
привет, вопрос наверное очень глупый - винбокса с каким нибудь любительским русским интерфейсом в природе нет?
Roman
Он же закрытый у них
Bomberman
Roman
Терминал у них логичнее
Алексей
тру-админы юзают всё на английском
к сожалению, опыта в настройке оборудования и уровень английском не на высоком уровне
Kvihsi
к сожалению, опыта в настройке оборудования и уровень английском не на высоком уровне
Даже если и есть на русском (а его нет), то это очень плохая затея. Потом ничего понимать не будешь и не подскажет никто
Алексей
Даже если и есть на русском (а его нет), то это очень плохая затея. Потом ничего понимать не будешь и не подскажет никто
согласись, что учиться делать задачи тяжелее на английском языке
Roman
Почему? Вся теория изначально на английском
Юрий
согласись, что учиться делать задачи тяжелее на английском языке
переводчики никто не отменял. в одном окне оригинал, во втором перевод, сопоставляя вполне можно понять смысл. Было бы желание, а решение найдеться. Когда припечет, и в испанском пытаешься знакомые слова найти...
Алексей
Kvihsi
согласись, что учиться делать задачи тяжелее на английском языке
Проще и это факт.
Вот пример:
В правиле огненной стены, в цепочке внутрь, найдете ошибку. Согласись, фигня какая-то?
В правиле firewall, в chain input, найдите ошибку.
Уже понятней?)
Алексей
Проще и это факт.
Вот пример:
В правиле огненной стены, в цепочке внутрь, найдете ошибку. Согласись, фигня какая-то?
В правиле firewall, в chain input, найдите ошибку.
Уже понятней?)
ну такое понятие как фаервол и чейн инпунт не переводиться)
Yakov
Проще и это факт.
Вот пример:
В правиле огненной стены, в цепочке внутрь, найдете ошибку. Согласись, фигня какая-то?
В правиле firewall, в chain input, найдите ошибку.
Уже понятней?)
и переводить firewall как огненная стена... хм знание английского это не умение переводить дословно )
Kvihsi
и переводить firewall как огненная стена... хм знание английского это не умение переводить дословно )
Утрировал, т.к. лень придумывать нормальный пример, а суть итак ясна будет.
Английский к меня на уровне "Ниже дна", так что это был не способ блеснуть, жаль, что так преподнёс.
Yakov
суть вообще не ясна из термин огненная стена, а вот если перевести правильно - противопожарная стена, то тогда смысла много больше становится )
Bomberman
Флудите, господа.
Андрей
У кого есть выходы на поставщиков, кто может сср 2004 и срс 354-48п привезти в течении месяца? Мск
Yuriy
Коллеги, помогите плс разобраться. Есть две сети - моя и партнера. Связаны через инет по IP seq.
Коллеги, проблему не решил.
Добавил маршрут на 192.168.50.0/24 через бридж - ping 192.168.50.14 без указания интерфейса заработал. Но публикация портов по прежнему не работает. (
Volodymyr
Коллеги, проблему не решил.
Добавил маршрут на 192.168.50.0/24 через бридж - ping 192.168.50.14 без указания интерфейса заработал. Но публикация портов по прежнему не работает. (
У Вас айписек чистый или поверх чего-то с интерфейсами и адресами?
Yuriy
У Вас айписек чистый или поверх чего-то с интерфейсами и адресами?
Читсый, без интерфейсов и адресов.
Volodymyr
Читсый, без интерфейсов и адресов.
Гм, а в чем тогда суть проброса портов, если у Вас есть связность между сетями?
Yuriy
Гм, а в чем тогда суть проброса портов, если у Вас есть связность между сетями?
Надо клиенту в интернете - он на схеме внизу - давать иногда сервисы "Сервера в LAN партнера". Очень желательно без vpn.
Volodymyr
Надо клиенту в интернете - он на схеме внизу - давать иногда сервисы "Сервера в LAN партнера". Очень желательно без vpn.
Тогда настраивайте дуалван на "микротик мой" с корректным возвратом пакетов прошедших дстНАТ
Yuriy
Yuriy
Вероятно где-то ошибка.
Сервисы с "Сервер LAN мой" доступны. Публикация портов с них работает. Связь между моим сервером и сервером партнера работает. Сервер партнера работает с рабочих станций моей длокальной сети. Не работает публикация портов сервера партнера. (
Volodymyr
Сервисы с "Сервер LAN мой" доступны. Публикация портов с них работает. Связь между моим сервером и сервером партнера работает. Сервер партнера работает с рабочих станций моей длокальной сети. Не работает публикация портов сервера партнера. (
У партнера всего один канал, судя по схеме.
Если так, то проблема или в самом НАТ или в фильтре фаерволла.
Yuriy
У партнера всего один канал, судя по схеме.
Если так, то проблема или в самом НАТ или в фильтре фаерволла.
В файерволе все drop отключены. Какая проблема может быть с NAT, если меняю только IP -адрес в поле Action - To address ?
Roman
Сервисы с "Сервер LAN мой" доступны. Публикация портов с них работает. Связь между моим сервером и сервером партнера работает. Сервер партнера работает с рабочих станций моей длокальной сети. Не работает публикация портов сервера партнера. (
Вы же в dst-nat меняете destination адрес, при этом пакет уходит по IPSec туннелю в сторону чужого сервера, а обратно он возвращается напрямую к клиенту, не через IPSec туннель, source адрес то там клиента остаётся, может быть RPF check выполняется на сервере удалённом?
Volodymyr
В файерволе все drop отключены. Какая проблема может быть с NAT, если меняю только IP -адрес в поле Action - To address ?
А фаерволл на самом сервере партнера?
Yuriy
Вы же в dst-nat меняете destination адрес, при этом пакет уходит по IPSec туннелю в сторону чужого сервера, а обратно он возвращается напрямую к клиенту, не через IPSec туннель, source адрес то там клиента остаётся, может быть RPF check выполняется на сервере удалённом?
Сообразил. Сейчас подменю и сорс адрес в этом пакете.
Volodymyr
Сообразил. Сейчас подменю и сорс адрес в этом пакете.
А у Вас что, на айписек вашего роутера соурс политика 0,0,0,0/0?
Aleksandr
Подскажите, сгорел grooveA, работал в режиме приема сигнала по вайфай и последующая раздача его по местности и на следующую точку доступа, на замену подойдёт Mikrotik wAP RBSXTG-2HnD? Или лучше подождать когда появится в продаже groove
Aleksandr
Или что лучше взять для ретрансляции вайфая?
Yuriy
А у Вас что, на айписек вашего роутера соурс политика 0,0,0,0/0?
Нет конечно. Проблема была в том, что забыл подменить сорс айпи. Спасибо @zanswer , напомнил. Всё заработало.
2KloN
ребят подскажите плиз направление куда копать, нет доступа между микротиками в разных офисах, подсоеденяю ноутбук пинг на него с микротика идет и ноутбука тоже, с другой стороны тоже самое, между нотубкуками все ок, между микротиками нет
Roman
Эм, что вы понимаете под доступом между офисами тогда? Если ICMP пакеты указывают, что связанность между сетями у вас есть.
Управление RouterOS не доступно?
Volodymyr
ребят подскажите плиз направление куда копать, нет доступа между микротиками в разных офисах, подсоеденяю ноутбук пинг на него с микротика идет и ноутбука тоже, с другой стороны тоже самое, между нотубкуками все ок, между микротиками нет
Скорее всего, когда пингуете с микротика соурсадрес не тот, что принадлежит сети с ноутбуком. Попробуйте задать явно соурс или задайте префсоурс на маршруте.
Руслан
Добрый вечер. Не подскажите, MikroTik CRS354-48G-4S+2Q+RM на этом железе SPAN есть? В техспеке не написанно, но на одном сайте написанно mirror traffic.
Yakov
Добрый вечер. Не подскажите, MikroTik CRS354-48G-4S+2Q+RM на этом железе SPAN есть? В техспеке не написанно, но на одном сайте написанно mirror traffic.
https://wiki.mikrotik.com/wiki/Manual:Switch_Chip_Features
Roman
https://wiki.mikrotik.com/wiki/Manual:Switch_Chip_Features
Тогда уж так https://wiki.mikrotik.com/wiki/Manual:CRS3xx_series_switches
.
доброго времени суток, подскажите пожалуйста. отключаю на микротике ip -> services -> ssh, тут же перестает на клиентах работать ssh, почему так происходит? 🙂
Василий
Ilya
Не в качестве ответа. Просто наброшу немного своего.
11 мая заметил такое про один из хостов в маленькой сети (хост - принтер талонов электронной очереди QMatic).
Не стал разбираться. Решил для начала обновить RouterOS до версии 6.45.9 Long-term с предыдущей. Обновление никак не изменило ситуацию с этим хостом в логах.
И опять я поленился разобраться, а просто перезагрузил этот хост (принтер) по питанию.
С тех пор в логах нет такого сообщения.
Lease Time 3 дня, так что половина срока преодолена без проблем. Истечение полного срока новой аренды наступит через пару часов. Попробую не забыть написать сюда о "результате" 🙂
Если Вы уже установили причину, напишите, пожалуйста.
Пока не установил, перезагрузка возможна только ночью. Сеть довольно большая. Сюда отпишусь по результату.
Василий
Спасибо!
Василий
доброго времени суток, подскажите пожалуйста. отключаю на микротике ip -> services -> ssh, тут же перестает на клиентах работать ssh, почему так происходит? 🙂
Просто отключение службы SSH на роутере никак не влияет на работоспособность подобной службы на других хостах. Ваш случай выглядит как совпадение. Думаю, что у клиентов есть своя причина для такого.
Anonymous
А вот подскажите user-manager микротиковский может выступать в качестве Authentication Server для Supplicant , которые подключаются к свичу у которого на портах включен 802.1X ?
Roman
Нет, не умеет, может быть в RouterOS 7 научится, там он новый.
Anonymous
ать, придется гребти в сторону Микрософт NPS
Roman
User Manager is RADIUS server implementation in RouterOS which provides centralized user authentication and authorization to a certain service. Having a central user database allows better track of system users and customers. It supports many different authentication methods including PAP, CHAP, MS-CHAP, MS-CHAPv2, EAP-TLS, EAP-TTLS and EAP-PEAP. In RouterOS, DHCP, Dot1x, Hotspot, IPsec, PPP, Wireless are features that benefit from User Manager the most.
Roman
Вот, что разработчики пишут о новом user-manager.
Anonymous
Ага вижу поддержку Dot1x , но ROS v7 можно ждать до морковного заговеинья , придется осваивать другой продукт.
Anonymous
Подскажите пожалуйста!приобрел нанобридж м2.ловлю интернет от соседа(там стоит роутер Тплинк 840),сигнал стабильный(стоит только на прием),скорость 30 мегабит по кабелю,подключаю кабель к роутер(тоже Тплинк 840)и скорость от роутера у меня по wifi 4-6 мегабит.а когда подключась с этого же роутера через кабель(то скорость все 30 мегабит) ,куда копать?))не могу понять что не так...спасибо большое за ответ
Anonymous
копать траншею к соседу и и класть кабель.
Anonymous
Netcity nc2 madel
Anonymous
кого мы можем спросить
Roman
Ага вижу поддержку Dot1x , но ROS v7 можно ждать до морковного заговеинья , придется осваивать другой продукт.
Если хочется, можно уже сейчас развернуть ROS 7, просто Microsoft NPS будет фичастие, даже когда ROS 7 выйдет официально.
Никита
Привет! С сетями не сильно дружу, но очень хочу дружить. Подскажите, как сделать - я сегодня получил Белый IP по которому я могу обращаться на свой домашний микротик, а как мне к компу обратиться?
Никита
Ну типо, как сделать настройку такую, чтоб я мог обращаться к компу за микротиком?
🥓 Хамон
Проброс портов
Dani
Ну типо, как сделать настройку такую, чтоб я мог обращаться к компу за микротиком?
Vpn, проброс портов, ssh тоннель, прямой доступ по ipv6 адресу. Ну и teamviewer, anydesk итд
Anonymous
Василий
Пока не установил, перезагрузка возможна только ночью. Сеть довольно большая. Сюда отпишусь по результату.
А у меня полный срок аренды закончился и начался новый так же без странных сообщений в логе. Видимо, в моём случае это какой-то глюк клиента, а не роутера и его DHCP-сервера.
Innokentiy
btest?
Anonymous
https://help.mikrotik.com/docs/display/ROS/By+Menu еще одна вики?
Roman
Всем привет, может кто подскажет, как настроить так, чтоб находясь в локальной сети хочу обращаться к локальной машине в этой же сети по внешнему белому IP ?
Раньше был другой роутер, вопрос решался галочкой. Как в Микротике сделать?