Нужно просто дать возможность давать индивидуальный секрет.

Лучше так не делать если у вас не самый топовый микрот. А вообще для таких целей взять отдельный впн шлюз с аппаратным шифрованием.

Лучше так не делать если у вас не самый топовый микрот. А вообще для таких целей взять отдельный впн шлюз с аппаратным шифрованием.

Будет 2004 стоять, его хватит. Да и на нагрузку это не должно повлиять от слова совсем.

Да ну шифрование на нагрузку не повлияет ага))

Да ну шифрование на нагрузку не повлияет ага))

Количество секретов на это не влияет.

Так я о количестве секретов я о том что MikroTik для VPN плох процесор слабый и нету апаратного шифрования. Лучше виртуалку сделать или Б/у cisco к примеру взять. А то потом намучаешься

Так я о количестве секретов я о том что MikroTik для VPN плох процесор слабый и нету апаратного шифрования. Лучше виртуалку сделать или Б/у cisco к примеру взять. А то потом намучаешься

😭

Посмотри на хекс ... он смеется над тобой

Нет аппаратного шифрования... бугага

А на циске есть? С модулем... который стоит как самолет

Требует лицензии

Так я о количестве секретов я о том что MikroTik для VPN плох процесор слабый и нету апаратного шифрования. Лучше виртуалку сделать или Б/у cisco к примеру взять. А то потом намучаешься

Опять помогают решать посторонние проблемы. Пришел с одной, советуют другую)

Посмотри на хекс ... он смеется над тобой

Ну я видел там только слабую подержку и в 2004 её нету

Я же выше написал, проверяется только самый верхний секрет.

Настройте на статические адреса. А не 0/0. Для этого у всех клиентов свои адреса должны быть. И все будет как вы хотите

Ну я видел там только слабую подержку и в 2004 её нету

Есть, как и в хексе.

Настройте на статические адреса. А не 0/0. Для этого у всех клиентов свои адреса должны быть. И все будет как вы хотите

Статики нет, кой где есть даже серые адреса.

Статики нет, кой где есть даже серые адреса.

Тогда страдать :)

Тогда страдать :)

Т.е. типо много секретов иметь нельзя? Это же не правда. Просто ни один гуру и тренер микротиков так и не сказал как решить задачу.

Т.е. типо много секретов иметь нельзя? Это же не правда. Просто ни один гуру и тренер микротиков так и не сказал как решить задачу.

Можно конечно. Но вам нужно чтобы было соответствие psk и адреса пира. Можете через Port knocking скриптом прописывать адрес для пира. Ну костылей можно ещё придумать. Но уж проще сертификаты тогда. :)

Можно конечно. Но вам нужно чтобы было соответствие psk и адреса пира. Можете через Port knocking скриптом прописывать адрес для пира. Ну костылей можно ещё придумать. Но уж проще сертификаты тогда. :)

Т.е привязка секрета может быть только по IP подключающегося?

Т.е привязка секрета может быть только по IP подключающегося?

Примерно так же и у других https://github.com/libreswan/libreswan/issues/27

Примерно так же и у других https://github.com/libreswan/libreswan/issues/27

Ну писец(

Мобильным клиентам всем IPSec secret один давать и радоваться когда он будет слит?

Тут вас просили насчёт айписек узнать. Как для каждого юзверя в РРР свой IPSec PSK сделать?

Сертификаты юзать

Мобильным клиентам всем IPSec secret один давать и радоваться когда он будет слит?

И? Учётка-то тоже является фактором аутентификации

Так изначально же филии подключать. А мобильных всеже оставте на ovpn ибо с натом на ipsec ох как весело)

И? Учётка-то тоже является фактором аутентификации

Учетка у каждого своя, вот и хотел секрет тоже каждому свой. Серты не получиться.

Так изначально же филии подключать. А мобильных всеже оставте на ovpn ибо с натом на ipsec ох как весело)

Просто у тех же огрызков выбор впн ограничен всего pptp, ipsec и l2tp.

Просто у тех же огрызков выбор впн ограничен всего pptp, ipsec и l2tp.

Понимаю но openvpn нормально ставится везде сейчас) А так получается что хочете и рубку сесть и .... К сожалению микротик не универсален и я считаю что он для vpn решений не очень. Это максимум провайдеры на ppoe

Чесно легче поднять за ним любой тазик не верю что если есть сеть и соединение филиалы нету серверного оборудования. И все на нем поднять. И работать с ним легче и - нагрузка ненужная с микротика

Учетка у каждого своя, вот и хотел секрет тоже каждому свой. Серты не получиться.

По большому счёту, нет необходимости в разных ипсек-секретах. Просто сделайте его помудрёнее и меняйте раз в год

По большому счёту, нет необходимости в разных ипсек-секретах. Просто сделайте его помудрёнее и меняйте раз в год

Ну идея с точки безопасника, согласен круто и правильно. Но если нету механизма розлива новых секретов ох будет весело когда 25+ устройств мобильных

Ваша задача будет написать письмо, а там пусть сами

Ну писец(

Ну можно посмотреть в сторону identity • fqdn - fully qualified domain name; • key-id - use the specified key ID for the identity; • user fqdn - specifies a fully-qualified username string, for example, "user@domain.com".

Ваша задача будет написать письмо, а там пусть сами

Ну ну видимо вы неработали с людьми так не работает)

Чесно легче поднять за ним любой тазик не верю что если есть сеть и соединение филиалы нету серверного оборудования. И все на нем поднять. И работать с ним легче и - нагрузка ненужная с микротика

Вот и филиалы какие то появились еще...

Лутше розделите реализацию филиалов и обычных клиентов

По большому счёту, нет необходимости в разных ипсек-секретах. Просто сделайте его помудрёнее и меняйте раз в год

Есть, когда его еще мобилкам раздавать придется...

Это принципиально разные задачи

Ну можно посмотреть в сторону identity • fqdn - fully qualified domain name; • key-id - use the specified key ID for the identity; • user fqdn - specifies a fully-qualified username string, for example, "user@domain.com".

Можно по русски?)

А так для клиентов если со стороны безопасности смотреть то лутше и легче oauth vpn

Лутше розделите реализацию филиалов и обычных клиентов

На тике может быть один сервер всего лишь)

https://medium.com/@gintskirsteins/free-secure-and-strong-2fa-for-mikrotik-and-vpn-ed2b5ae6d2de Вот серверную часть развернуть на любом хостинге за 3 доллара можно. Это круто с точки зрения безопасности или любое похожее решение. Микротик только сеть и ненужно на него лишнее вешать ещё филиалы пойму но не клиентские подключения

Можно по русски?)

Чтобы индентификация пира шла по не по адресу а по другим параметрам. Не знаю многие от клиенты можно так настроить. Но вам сюда копать.

Чтобы индентификация пира шла по не по адресу а по другим параметрам. Не знаю многие от клиенты можно так настроить. Но вам сюда копать.

А что бы просто перебирались все секреты и со всем списком сравнивалось нельзя?

DoH реализация

извините, не дописпл. Реализация DoH возможна в mikrotik? Много кушает? Сбивает настройки туннелей? Какие трудности могут возникнуть, при использовании DNS over HTTPS?

извините, не дописпл. Реализация DoH возможна в mikrotik? Много кушает? Сбивает настройки туннелей? Какие трудности могут возникнуть, при использовании DNS over HTTPS?

В 6.47 из коробки, но еще ОЧЕНЬ сырое.

как оно вобще работает. если указать только один днс и это будет урл с DoH как роутер отрезолвит этот урл

как оно вобще работает. если указать только один днс и это будет урл с DoH как роутер отрезолвит этот урл

Никак 🙌 Неожиданно, но DNS over HTTPS или TLS, не изобрёл колесо. Чтобы выполнить forward resolve всё ещё нужен классический DNS. 🙃

Господа кто нибудь сталкивался с проблемой, что мобильные устройства подключаются к Wi-Fi, а компьютеры нет? Поднят Capsman в связке с радиус сервером, ноутбук не цепляется к вафле, в логах пк есть запись о том что не удается найти запрошенный метод EapMethod.

Господа кто нибудь сталкивался с проблемой, что мобильные устройства подключаются к Wi-Fi, а компьютеры нет? Поднят Capsman в связке с радиус сервером, ноутбук не цепляется к вафле, в логах пк есть запись о том что не удается найти запрошенный метод EapMethod.

В security оставьте только wpa2-psk, снимите всё остальное

В security оставьте только wpa2-psk, снимите всё остальное

не понял, зачем мне Wpa2-psk если у меня доступом рулит радиус сервер?

как оно вобще работает. если указать только один днс и это будет урл с DoH как роутер отрезолвит этот урл

Статикой прописывается ендпоинт DoH на самом микротике.

статикой нельзя

роутер же должен будет как то проверять сертификат этого сайта Ж)

а сертификат выдан на урл а не на ип адрес

а сертификат выдан на урл а не на ип адрес

Ну не будет использовать CRL, делов то, в local certification store есть Root сертификат которым подписали сертификат DoH сервера.

Все можно. Кладете на роутере сертификаты, статикой прописываете fqdn например cluodflare-dns.com, все прекрасно работает

подпись меняется иногда

и последнее время все чаще и чаще

говорят что браузеры уже нос воротят от сертификатов подписанных на год и более

подпись меняется иногда

Выйдет новый сертификат или отзовут старый - положите новый сертификат, ничего сложного.

говорят что браузеры уже нос воротят от сертификатов подписанных на год и более

Можно настроить скрипт, который будет ходить и забирать серты раз в сутки.

подпись меняется иногда

Не понял, зачем вы решаете не существующую проблему. X.509 trust anchor будет сохраняться, пока не истечёт срок Root сертификата, которым подписаны все сертификаты конкретного DoH сервера. CRL листы можно проверять пост-фактум уже, после установления сессии с DoH. У Mikrotik нужно поместить только Root CA сертификат и Intermediate, если таковые есть, всё. Не нужно сертификаты сервера помещать в Trusted Store.

Добрался до микротика. Визуально порты в дауне, но микротик считает что они в апе. Включаюсь ноутом в порт - на порту появляется индикация, трафик начинает ходить (через mac-telnet на микротик зашел без проблем)... т.е. похоже что порт живой

Добрался до микротика. Визуально порты в дауне, но микротик считает что они в апе. Включаюсь ноутом в порт - на порту появляется индикация, трафик начинает ходить (через mac-telnet на микротик зашел без проблем)... т.е. похоже что порт живой

Я такое видел после удара молнии рядом, не на микроте. Настройки сбрасывали, через netinstall перешивали? Так-то на обычной железке можно попробовать через MDIO со свичем поговорить, вынуть статус линка, а тут как диагностировать - непонятно.

не понял, зачем мне Wpa2-psk если у меня доступом рулит радиус сервер?

А, ну значит, я неправильно понял задачу

Я такое видел после удара молнии рядом, не на микроте. Настройки сбрасывали, через netinstall перешивали? Так-то на обычной железке можно попробовать через MDIO со свичем поговорить, вынуть статус линка, а тут как диагностировать - непонятно.

К сожалению, пока даже нет возможности ребутнуть, тем более уж сбрасывать\прошивать - остается только смотреть на эти чудеса)

Господа, добрый день. Есть точка микротика и виртуальная машина на virtual box. Я могу их в одну сеть положить ?

Пробовал кто ?

Кнш

Пробовал кто ?

а в чем собстна вопрос?

Коллеги, добрый день! Недавно закрыл через микрот все исходящие подключения с сервера. С ним же закрылся и подключение RDP внутри сети. т.е если я хочу с того сервера где микротом закрыты все исходящие подключения выйти через RDP - он говорит "нет". как оставить закрытми все исходящие подключения но при этом сделать возможность подключаться по RDP внутри сети?

Коллеги, добрый день! Недавно закрыл через микрот все исходящие подключения с сервера. С ним же закрылся и подключение RDP внутри сети. т.е если я хочу с того сервера где микротом закрыты все исходящие подключения выйти через RDP - он говорит "нет". как оставить закрытми все исходящие подключения но при этом сделать возможность подключаться по RDP внутри сети?

сделать разрешающее правило для порта 3389 внутри сети выше запрещающего правила всех исходящих

Не понимаю где копать. Виртуальная машина на virtial box

сделать разрешающее правило для порта 3389 внутри сети выше запрещающего правила всех исходящих

Forward - scr.port - 3389?

ты дурачок ? какой экстернал линк ?

внутренняя сеть в виртуалбоксе видна только между виртуальными машинами

Бот не правильный. Линк не экстернал 😂