за что :? мы тут обсуждаем doh и eSNI

это развернет все запросы по 53 порту все равно на мой микротик? /ip firewall nat add chain=dstnat protocol=udp dst-port=53 in-interface-list=LAN action=redirect

а ты настраивал днс DoH?

там настроек 2 галки поставить и все твои завороты 53 udp идут лесом

а ты настраивал днс DoH?

там настроек 2 галки поставить и все твои завороты 53 udp идут лесом

А как себя микрот кпк релей на doh по нагрузке?

Добрый день всем! Подскажите какой режим агрегации на микротике соответствует LACP ? Есть коммутатор HP5500, есть микротик CCR1036, необходимо между ними сделать агрегацию. С HP вроде разобрался, создал интерфейс BridgeAggregation и включил в него нужные порты, а на CCR не пойму какой bonding mode выбрать. Задача сделать линк пропускной способностью больше 1гб

Да атака на днс уже в прошлом)

конфига: /interface gre add allow-fast-path=no !keepalive local-address=2.2.2.2 name=\ gre-tunnel1 remote-address=1.1.1.1 /ip ipsec profile set [ find default=yes ] dh-group=modp2048,modp1536,modp1024 add dh-group=modp2048,modp1536,modp1024 hash-algorithm=sha256 name=ipsec-ph1 /ip ipsec peer add address=1.1.1.1/32 exchange-mode=ike2 local-address=2.2.2.2 \ name=ipsec-peer1 passive=yes profile=ipsec-ph1 /ip ipsec proposal set [ find default=yes ] lifetime=12h pfs-group=modp1536 add auth-algorithms=sha256,sha1 enc-algorithms=\ aes-128-cbc,aes-128-ctr,aes-128-gcm,camellia-128 lifetime=12h name=\ ipsec-ph2 pfs-group=modp1536 /ip ipsec identity add generate-policy=port-strict peer=ipsec-peer1 secret=1234567890 /ip ipsec policy add dst-address=0.0.0.0/0 level=unique peer=ipsec-peer1 proposal=ipsec-ph2 \ sa-dst-address=1.1.1.1 sa-src-address=2.2.2.2 src-address=\ 10.255.10.2/32 tunnel=yes /routing ospf area add area-id=0.0.0.88 name=area1 /routing ospf instance set [ find default=yes ] router-id=192.168.88.1 /ip address add address=192.168.88.1/24 comment=defconf interface=ether2 network=\ 192.168.88.0 add address=10.255.10.2/30 interface=gre-tunnel1 network=10.255.10.0 /routing ospf network add area=backbone network=10.255.0.0/16 add area=area1 network=192.168.88.0/24 /ip firewall filter add action=accept chain=input dst-port=500,4500 protocol=udp add action=accept chain=input protocol=gre add action=accept chain=input protocol=ipsec-esp add action=accept chain=input comment=\ "defconf: accept established,related,untracked" connection-state=\ established,related,untracked add action=drop chain=input comment="defconf: drop invalid" connection-state=\ invalid add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp add action=drop chain=input comment="defconf: drop all not coming from LAN" \ in-interface-list=!LAN add action=accept chain=forward comment="defconf: accept in ipsec policy" \ ipsec-policy=in,ipsec add action=accept chain=forward comment="defconf: accept out ipsec policy" \ ipsec-policy=out,ipsec add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \ connection-state=established,related add action=accept chain=forward comment=\ "defconf: accept established,related, untracked" connection-state=\ established,related,untracked add action=drop chain=forward comment="defconf: drop invalid" \ connection-state=invalid add action=drop chain=forward comment=\ "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \ connection-state=new in-interface-list=WAN /ip firewall nat add action=accept chain=srcnat out-interface=gre-tunnel1 add action=masquerade chain=srcnat comment="defconf: masquerade" \ ipsec-policy=out,none out-interface-list=WAN

конфига: /interface gre add allow-fast-path=no !keepalive local-address=2.2.2.2 name=\ gre-tunnel1 remote-address=1.1.1.1 /ip ipsec profile set [ find default=yes ] dh-group=modp2048,modp1536,modp1024 add dh-group=modp2048,modp1536,modp1024 hash-algorithm=sha256 name=ipsec-ph1 /ip ipsec peer add address=1.1.1.1/32 exchange-mode=ike2 local-address=2.2.2.2 \ name=ipsec-peer1 passive=yes profile=ipsec-ph1 /ip ipsec proposal set [ find default=yes ] lifetime=12h pfs-group=modp1536 add auth-algorithms=sha256,sha1 enc-algorithms=\ aes-128-cbc,aes-128-ctr,aes-128-gcm,camellia-128 lifetime=12h name=\ ipsec-ph2 pfs-group=modp1536 /ip ipsec identity add generate-policy=port-strict peer=ipsec-peer1 secret=1234567890 /ip ipsec policy add dst-address=0.0.0.0/0 level=unique peer=ipsec-peer1 proposal=ipsec-ph2 \ sa-dst-address=1.1.1.1 sa-src-address=2.2.2.2 src-address=\ 10.255.10.2/32 tunnel=yes /routing ospf area add area-id=0.0.0.88 name=area1 /routing ospf instance set [ find default=yes ] router-id=192.168.88.1 /ip address add address=192.168.88.1/24 comment=defconf interface=ether2 network=\ 192.168.88.0 add address=10.255.10.2/30 interface=gre-tunnel1 network=10.255.10.0 /routing ospf network add area=backbone network=10.255.0.0/16 add area=area1 network=192.168.88.0/24 /ip firewall filter add action=accept chain=input dst-port=500,4500 protocol=udp add action=accept chain=input protocol=gre add action=accept chain=input protocol=ipsec-esp add action=accept chain=input comment=\ "defconf: accept established,related,untracked" connection-state=\ established,related,untracked add action=drop chain=input comment="defconf: drop invalid" connection-state=\ invalid add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp add action=drop chain=input comment="defconf: drop all not coming from LAN" \ in-interface-list=!LAN add action=accept chain=forward comment="defconf: accept in ipsec policy" \ ipsec-policy=in,ipsec add action=accept chain=forward comment="defconf: accept out ipsec policy" \ ipsec-policy=out,ipsec add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \ connection-state=established,related add action=accept chain=forward comment=\ "defconf: accept established,related, untracked" connection-state=\ established,related,untracked add action=drop chain=forward comment="defconf: drop invalid" \ connection-state=invalid add action=drop chain=forward comment=\ "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \ connection-state=new in-interface-list=WAN /ip firewall nat add action=accept chain=srcnat out-interface=gre-tunnel1 add action=masquerade chain=srcnat comment="defconf: masquerade" \ ipsec-policy=out,none out-interface-list=WAN

Всем привет, подскажите, пожалуйста, в чем может быть проблема в такой ситуации: Пытаюсь заставить работать схему с IPSEC-GRE туннелем между Mikrotik и Fortigate, с OSPF-маршрутизацией поверх. На данный момент Ph1 и Ph2 поднимаются, пинги ходят в обе стороны, Fortigate OSPF получает hello от Микротика, а вот Микротик hello-пакеты, видимо, не получает. Со стороны Фортика делаю захват трафика на туннельном интерфейсе и вижу, как Hello идут в обе стороны, со стороны Микротика как захватить пакеты - не понимаю, ни packet sniffer, ни torch на gre-интерфейсе ничего не показывают.

зачем натить с out-interface = gre? gre в лист LAN

зачем натить с out-interface = gre? gre в лист LAN

fw input ospf?

прочитал в одной из статей по ipsec в mikrotik, что ipsec применяется уже после src-nat, и что, если настроено общее правило src-nat для всего трафика в интернет, то ipsec, мол, не применится, поэтому нужно создавать правило с действием accept для всего трафика, который может идти через туннель. или я неправильно понял что-то?

не помогло : (

gre в лист LAN

если дефалтовый фаер на микроте, то разрешить входящий трафик с адреса туннельного интерфейса на микроте

если не сложно, расскажите подробнее - я не понял, где это и что

не помогло тоже : (

конфига: /interface gre add allow-fast-path=no !keepalive local-address=2.2.2.2 name=\ gre-tunnel1 remote-address=1.1.1.1 /ip ipsec profile set [ find default=yes ] dh-group=modp2048,modp1536,modp1024 add dh-group=modp2048,modp1536,modp1024 hash-algorithm=sha256 name=ipsec-ph1 /ip ipsec peer add address=1.1.1.1/32 exchange-mode=ike2 local-address=2.2.2.2 \ name=ipsec-peer1 passive=yes profile=ipsec-ph1 /ip ipsec proposal set [ find default=yes ] lifetime=12h pfs-group=modp1536 add auth-algorithms=sha256,sha1 enc-algorithms=\ aes-128-cbc,aes-128-ctr,aes-128-gcm,camellia-128 lifetime=12h name=\ ipsec-ph2 pfs-group=modp1536 /ip ipsec identity add generate-policy=port-strict peer=ipsec-peer1 secret=1234567890 /ip ipsec policy add dst-address=0.0.0.0/0 level=unique peer=ipsec-peer1 proposal=ipsec-ph2 \ sa-dst-address=1.1.1.1 sa-src-address=2.2.2.2 src-address=\ 10.255.10.2/32 tunnel=yes /routing ospf area add area-id=0.0.0.88 name=area1 /routing ospf instance set [ find default=yes ] router-id=192.168.88.1 /ip address add address=192.168.88.1/24 comment=defconf interface=ether2 network=\ 192.168.88.0 add address=10.255.10.2/30 interface=gre-tunnel1 network=10.255.10.0 /routing ospf network add area=backbone network=10.255.0.0/16 add area=area1 network=192.168.88.0/24 /ip firewall filter add action=accept chain=input dst-port=500,4500 protocol=udp add action=accept chain=input protocol=gre add action=accept chain=input protocol=ipsec-esp add action=accept chain=input comment=\ "defconf: accept established,related,untracked" connection-state=\ established,related,untracked add action=drop chain=input comment="defconf: drop invalid" connection-state=\ invalid add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp add action=drop chain=input comment="defconf: drop all not coming from LAN" \ in-interface-list=!LAN add action=accept chain=forward comment="defconf: accept in ipsec policy" \ ipsec-policy=in,ipsec add action=accept chain=forward comment="defconf: accept out ipsec policy" \ ipsec-policy=out,ipsec add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \ connection-state=established,related add action=accept chain=forward comment=\ "defconf: accept established,related, untracked" connection-state=\ established,related,untracked add action=drop chain=forward comment="defconf: drop invalid" \ connection-state=invalid add action=drop chain=forward comment=\ "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \ connection-state=new in-interface-list=WAN /ip firewall nat add action=accept chain=srcnat out-interface=gre-tunnel1 add action=masquerade chain=srcnat comment="defconf: masquerade" \ ipsec-policy=out,none out-interface-list=WAN

правило покажите

10.255.10.1 - адрес туннеля со стороны Фортика

если не сложно, расскажите подробнее - я не понял, где это и что

а зачем всю подсеть то, разрешите только адрес с фортигейт

/interface list member add interface=gre-tunnel1 list=LAN

Лишнее убрал [polukhinri@ccr1016-grt01-sib] /ip firewall filter> print Flags: X - disabled, I - invalid, D - dynamic 0 D ;;; special dummy rule to show fasttrack counters chain=forward action=passthrough 1 ;;; accept established, related, untracked chain=input action=accept connection-state=established,related,untracked log=no log-prefix="" 2 ;;; drop invalid chain=input action=drop connection-state=invalid log=no log-prefix="" 3 ;;; accept OSPF chain=input action=accept protocol=ospf in-interface-list=VPN log=no log-prefix="" 5 ;;; accept IKE, IPsec ESP over UDP chain=input action=accept protocol=udp in-interface-list=WAN dst-port=500,4500 log=no log-prefix="" 6 ;;; accept IPsec ESP chain=input action=accept protocol=ipsec-esp in-interface-list=WAN log=no log-prefix="" 7 ;;; accept GRE chain=input action=accept protocol=gre in-interface-list=WAN log=no log-prefix="" ipsec-policy=in,ipsec 15 ;;; drop all not coming from LAN chain=input action=drop in-interface-list=!LAN log=no log-prefix="" [polukhinri@ccr1016-grt01-sib] /ip firewall nat> print Flags: X - disabled, I - invalid, D - dynamic 0 ;;; src-nat from LAN to WAN chain=srcnat action=src-nat to-addresses=X.X.X.X out-interface-list=WAN log=no log-prefix="" [polukhinri@ccr1016-grt01-sib] /interface list member> print Flags: X - disabled, D - dynamic # LIST INTERFACE 3 VPN gre-tunnel1 4 VPN gre-tunnel2 5 VPN gre-tunnel3

как у вас, создал interface-list с именем VPN, добавил туда gre-туннель, создал правило, разрешающее OPSF на input с этого листа, отключил правило NAT для туннеля GRE не помогло

Включите debug OSPF и давайте посмотрим, что там происходит

включен, OSPF раз в 10 секунд отправляет Hello на 224.0.0.5 по туннелю, но Hello с той стороны не приходят

включен, OSPF раз в 10 секунд отправляет Hello на 224.0.0.5 по туннелю, но Hello с той стороны не приходят

а интерфейс GRE вообще живой?

а интерфейс GRE вообще живой?

а интерфейс GRE вообще живой?

а где local address?

GRE - stateless пинги ходят с фортика на микрот и обратно?

и зачем там 1.1.1.1? это Вы так изящно адреса туннеля замаскировали?

Вы порядок правил привели к виду, как у меня в примере или оставили свой? У вас очевидно, что на OUTPUT пакеты уходят, а на INPUT до OSPF процесса они уже не добираются, значит их блокирует фаервол

да, в обе стороны

сейчас еще раз проверю порядок правил

на фортике инпут с микрота разрешен?

Там он видит Hello от MT, он их на MT от Fortinet не видит

Вы порядок правил привели к виду, как у меня в примере или оставили свой? У вас очевидно, что на OUTPUT пакеты уходят, а на INPUT до OSPF процесса они уже не добираются, значит их блокирует фаервол

В RAW никаких правил нет?

Значит фаерволл, 100%. Была у меня тоже такая штука.

на фортике инпут с микрота разрешен?

меня еще смущает, что счётчик gre по 0

меня еще смущает, что счётчик gre по 0

ну gre же явно выше invalid должно быть, сколько можно-то :)

ну gre же явно выше invalid должно быть, сколько можно-то :)

так и было, это я сейчас перетасовал правила для проверки. сейчас верну обратно

создал правило input без дополнительных условий, выше всех прочих - всё равно не помогает

создал правило input без дополнительных условий, выше всех прочих - всё равно не помогает

/interface gre export

/interface gre add allow-fast-path=no !keepalive local-address=2.2.2.2 name=gre-tunnel1 \ remote-address=1.1.1.1

Я вижу вы используете ESP в tunnel mode, почему не transport?

Может. Зависит от размера оплаты и точности постановки задачи.

/ip ipsec export verbose

здесь 1.1.1.1 - Фортик, 2,2,2,2 - Микротик /ip ipsec export verbose # jun/30/2020 16:07:42 by RouterOS 6.46.4 # software id = Q9RL-ZLT3 # # model = RB952Ui-5ac2nD # serial number = 71AF0A2FCF47 /ip ipsec mode-config set [ find default=yes ] name=request-only responder=no /ip ipsec policy group set [ find default=yes ] name=default /ip ipsec profile set [ find default=yes ] dh-group=modp2048,modp1536,modp1024 dpd-interval=2m \ dpd-maximum-failures=5 enc-algorithm=aes-128,3des hash-algorithm=sha1 \ lifetime=1d name=default nat-traversal=yes proposal-check=obey add dh-group=modp2048,modp1536,modp1024 dpd-interval=2m dpd-maximum-failures=5 \ enc-algorithm=aes-128,3des hash-algorithm=sha256 lifetime=1d name=ipsec-ph1 \ nat-traversal=yes proposal-check=obey /ip ipsec peer add address=1.1.1.1/32 disabled=no exchange-mode=ike2 local-address=\ 2.2.2.2 name=ipsec-peer1 passive=yes profile=ipsec-ph1 \ send-initial-contact=yes /ip ipsec proposal set [ find default=yes ] auth-algorithms=sha1 disabled=no enc-algorithms=\ aes-256-cbc,aes-192-cbc,aes-128-cbc lifetime=12h name=default pfs-group=\ modp1536 add auth-algorithms=sha256,sha1 disabled=no enc-algorithms=\ aes-128-cbc,aes-128-ctr,aes-128-gcm,camellia-128 lifetime=12h name=\ ipsec-ph2 pfs-group=modp1536 /ip ipsec identity add auth-method=pre-shared-key disabled=no generate-policy=port-override peer=\ ipsec-peer1 secret=123456Qq /ip ipsec policy set 0 disabled=no dst-address=::/0 group=default proposal=default protocol=all \ src-address=::/0 template=yes add action=encrypt disabled=no dst-address=0.0.0.0/0 dst-port=any \ ipsec-protocols=esp level=unique peer=ipsec-peer1 proposal=ipsec-ph2 \ protocol=all sa-dst-address=1.1.1.1 sa-src-address=2.2.2.2 \ src-address=10.255.10.2/32 src-port=any tunnel=yes /ip ipsec settings set accounting=yes interim-update=0s xauth-use-radius=no

с другой стороны policy - фаза два симметрична ?