🙏

Приветствую всех. Подскажите пожалуйста возможно ли на микротике пробросить ssh соединение? Из мира на сервер за микротиком? На микротике белый ip.

возможно

Приветствую всех. Подскажите пожалуйста возможно ли на микротике пробросить ssh соединение? Из мира на сервер за микротиком? На микротике белый ip.

Конечно можно. Гуглите netmap

Приветствую всех. Подскажите пожалуйста возможно ли на микротике пробросить ssh соединение? Из мира на сервер за микротиком? На микротике белый ip.

http://g.zeos.in/?q=%D0%BF%D1%80%D0%BE%D0%B1%D1%80%D0%BE%D1%81%20%D0%BF%D0%BE%D1%80%D1%82%D0%BE%D0%B2%20%D0%B2%20%D0%BC%D0%B8%D0%BA%D1%80%D0%BE%D1%82%D0%B8%D0%BA&m=1

Конечно можно. Гуглите netmap

Ну вот и вредные советы подвезли, долго ждать не пришлось.

Ну вот и вредные советы подвезли, долго ждать не пришлось.

Dst-nat лучше?

Dst-nat лучше?

Да

Да

А чем конкретно?

Не лучше, а правильное под задачу действие. А нетмап – неправильное. Это микроскопом гвозди забивать.

Нетмап – нат 1:1

Dnat – это nat/pat адреса и/или порта получателя

Dst-nat понятно, а какой протокол выбирать?

Dst-nat понятно, а какой протокол выбирать?

Tcp

Dnat – это nat/pat адреса и/или порта получателя

А под капотом netmap с dst-addr/dst-port не то же самое будет?

Tcp

Пошёл пробовать.

Dst-nat понятно, а какой протокол выбирать?

А вот тут действительно соглашусь с одним из предыдущих участников: протоколы и порты известных приложений гугл знает очень неплохо. Ssh – tcp:22

А под капотом netmap с dst-addr/dst-port не то же самое будет?

Больше нагрузка на cpu

Получилось

Всем огромное спасибо

Больше нагрузка на cpu

Мне кажется, этому нет доказательств

Мне кажется, этому нет доказательств

Это вам кажется

Это вам кажется

Не поделитесь ссылкой на измерения?

Извиняюсь за пересланную простынь, но вот:

Кратко опишу тут. Дарю тему. Короче, NETMAP операция более затратная и вот почему: dst-nat тупо подменяет IP. Netmap позволяет проецировать сеть-в-сеть, причем несимметрично

Например, можно проецировать /24 в /29

Дело втом, что netmap выполняет дополнительные ПОБИТОВЫЕ преобразования с адресом в пакете.

Для преобразований испоьзуется: 1) адрес подсети 2) маска + обратная маска

При казании target из него вычленяется маска и создаётся обратная маска.

Таким образом выделяется адрес подсети и адреса хостов в этой подсети

Далее, при DNS-NAT преобразуется dst-ip. Применяя обратную двоичное AND на обратную маску сохраняются биты хоста

Затем двоичное OR с сетью получателя даёт итоговый адрес

Налицо как минимум две лишних битовых операции и дополнительные переменные в памяти и регистрах

Замечу, что побитовые логические операции жрут больше тиков, чем простая запись значения. Это факт.

Хороший ликбез

Кратко опишу тут. Дарю тему. Короче, NETMAP операция более затратная и вот почему: dst-nat тупо подменяет IP. Netmap позволяет проецировать сеть-в-сеть, причем несимметрично

Это не совсем так, если есть ещё и PAT. Остальное мне не все понятно, но да, преобразование "сеть в сеть" предусматривает битовые операции (однотактовые что на MIPS, что на ARM) операции. Если же сравнивать netmap vs. dst-nat с целью port forwarding для одного адреса-протокола-порта, то последовательность операций ровно одна и та же. Безусловно, разработчик мог пройти "через Альпы", но проверить это можно измерением, а их я не смог найти как ни искал.

Замечу, что побитовые логические операции жрут больше тиков, чем простая запись значения. Это факт.

Это, кстати, попросту не так на ARM

Затем двоичное OR с сетью получателя даёт итоговый адрес

На 32-разрядном ARM для IPv4 это ровно один такт, хотя, конечно, можно и в 100 не уложиться

а еще можно почитать про ssh local и remote forwarding, а также про цепочку ssh, это делать на мой взгляд сильно правильней чем dst-nat

а еще можно почитать про ssh local и remote forwarding, а также про цепочку ssh, это делать на мой взгляд сильно правильней чем dst-nat

Ssh tunnel через роутер?

Ssh tunnel через роутер?

да, микротик это умеет

да, микротик это умеет

Это понятно, что умеет, конечно можно так. Не знаю, я довольно давно пришел у выводу, что маршрутизатор должен заниматься маршрутизацией, а не торрентами, NASом и L7-балансировкой

Это понятно, что умеет, конечно можно так. Не знаю, я довольно давно пришел у выводу, что маршрутизатор должен заниматься маршрутизацией, а не торрентами, NASом и L7-балансировкой

этот способо не затрагивает конфигурацию маршрутизатора, работает только когда нужен и не требует держать дополнительные открытые порты

А можно подробнее?

этот способо не затрагивает конфигурацию маршрутизатора, работает только когда нужен и не требует держать дополнительные открытые порты

Он очень затрагивает нагрузку на ЦПУ роутера, и это решение не очень хорошо (мягко говоря) масштабируется.

А можно подробнее?

Поищите ssh tcp tunnel, но по моему глубокому убеждению так делать не надо, потому что вы дадите доступ на роутер только для того, чтобы пробросить обычное TCP-соединение. То что можно сделать на L4 будет сделано на L7

есть роутер с доступным извне ssh, делаете локал форвард на сервер ssh внутри сети до которой нужно добраться разово или редко, не хотите ковырять конфигурацию роутера, делает на клиентской машине ssh -L 2222:remoteip:22 router_ip и потом ssh -p 2222 localhost

Всех причастных поздравляю с ДСА.

Доброго времени суток коллеги. И с Праздником всех причастных. А теперь собственно вопрос. Есть такое правило трансляции: chain=srcnat action=src-nat to-addresses=192.168.2.50 protocol=tcp dst-address=10.250.0.14 out-interface=ether1 dst-port=3010-3011 Как выбирается DST PORT и может ли он меняться в рамках одной TCP сессии?

Доброго времени суток коллеги. И с Праздником всех причастных. А теперь собственно вопрос. Есть такое правило трансляции: chain=srcnat action=src-nat to-addresses=192.168.2.50 protocol=tcp dst-address=10.250.0.14 out-interface=ether1 dst-port=3010-3011 Как выбирается DST PORT и может ли он меняться в рамках одной TCP сессии?

Это нужно смотреть на конкретное приложение использующие эти два порта, как оно их выбирает. В рамках одной TCP сессии порты не могут измениться, иначе это будет уже другая TCP сессия. NAT их может изменить конечно же, но приложение использует сокет до его закрытия постоянно и порт не меняет.

Добрый день, настроил vpn, удаленные ресурсы открываются только по ip адресу, как сделать что и по dns имени работало?

Добрый день, настроил vpn, удаленные ресурсы открываются только по ip адресу, как сделать что и по dns имени работало?

DNS сервер настроить, создать там зону, наполнить её A записями.

Это нужно смотреть на конкретное приложение использующие эти два порта, как оно их выбирает. В рамках одной TCP сессии порты не могут измениться, иначе это будет уже другая TCP сессия. NAT их может изменить конечно же, но приложение использует сокет до его закрытия постоянно и порт не меняет.

Приложение использует 1 порт, который потом натится в 2 порта которые указаны в приведенном правиле. Вопрос как выбирает кротик и может ли кротиковский нат внезапно поменять порт в течении сессии... в линухе нет, потому думаю в кротике тоже... но...

По сути в схеме просто двойной НАТ (src dst), я показал "выходное правило"

Требуется совет/консультация. Есть несколько точек Zyxel NWA5123-AC и к ним куплен роутер-контроллер NXC2500 для построения полноценной WiFi сетки с приватной/гостевой и каптив порталом. НО! В сети стоит Mikrotik 3011UiAS, а это всего-лишь домашняя сетка хоть и в немаленьком доме, но для одной семьи и безо всяких там VPN'ов и публикации сервисов в и-нет - вопрос в том стоит-ли городить огород на NXC2500 или всё сделать средствами 3011, а Zyxel на полку бросить? Как вообще все эти железяки друг с другом - есть у кого опыт?

Коллеги, всем привет. Скажите - возможно циклом получать все подпункты того, или иного меню в микроте. Например : for $i(где вместо $i будет поставляться filter,nat и т.д) in /ip firewall do= { print $i} ?

Коллеги, всем привет. Скажите - возможно циклом получать все подпункты того, или иного меню в микроте. Например : for $i(где вместо $i будет поставляться filter,nat и т.д) in /ip firewall do= { print $i} ?

SNMP

Коллеги, всем привет. Скажите - возможно циклом получать все подпункты того, или иного меню в микроте. Например : for $i(где вместо $i будет поставляться filter,nat и т.д) in /ip firewall do= { print $i} ?

массивы, пример есть в документации

Всем привет. Во первых с праздником вас! и сразу глупый вопрос) как наклепать ошибок типа « Rx error» ? Физически или с помощью сторонних средств. Уже пытался обрывать зеленую жилу(как и белозеленую) в стандартной обжимке витухи. Может средствами роутера (пока не представляю как даже)? Как тестировщику нужно симитировать такую ситуацию.

Всем привет. Во первых с праздником вас! и сразу глупый вопрос) как наклепать ошибок типа « Rx error» ? Физически или с помощью сторонних средств. Уже пытался обрывать зеленую жилу(как и белозеленую) в стандартной обжимке витухи. Может средствами роутера (пока не представляю как даже)? Как тестировщику нужно симитировать такую ситуацию.

Можно просто вносить определенный процент дропов в одном направлении, например в RAW.

Можно просто вносить определенный процент дропов в одном направлении, например в RAW.

спасибо за наводку

dst-address~":4500"

А как сделать инверсию? То есть все, кроме тех, у кого 4500 порт ! перед ~ не помогает..

То есть мне нужно очистить все udp соединения в conntrack, кроме 500/4500/1701, и как это сделать, без понятия..

То есть мне нужно очистить все udp соединения в conntrack, кроме 500/4500/1701, и как это сделать, без понятия..

Перебирайте циклом и сравнивайте по трем параметрам сразу.

После сброса вот что происходит, на 6.45 такого не наблюдалось

После сброса вот что происходит, на 6.45 такого не наблюдалось

есть один проблемный клиент у меня, сброс коннекшнов на впн-сервере не помогает, зато помогает ребут роутера клиента)

есть один проблемный клиент у меня, сброс коннекшнов на впн-сервере не помогает, зато помогает ребут роутера клиента)

Да тут клиент тоже микротик, и проблема именно после сброса

Добрый день,подскажите пожалуйста ,можно ли как нибудь сбросить пароль от микротика с сохранением конфигурации ?)

Добрый день,подскажите пожалуйста ,можно ли как нибудь сбросить пароль от микротика с сохранением конфигурации ?)

Нет

Добрый день,подскажите пожалуйста ,можно ли как нибудь сбросить пароль от микротика с сохранением конфигурации ?)

Factory Software какая?

Перебирайте циклом и сравнивайте по трем параметрам сразу.

Можете набросать пример? Не дружу я с скриптовым языком микротика..

Можете набросать пример? Не дружу я с скриптовым языком микротика..

Хотите решить задачу - подружитесь. ) Вам уже подсказали все инструменты.

Здравствуйте. В своё время состоял в этой группе. Хочется вернуться к одному вопросу. Cap Ac какую максимальную скорость выдаёт по 5Ghz ? 300 не отвечает заявленным характеристикам производителя. Пинать не надо. Заявленые требования есть. Почему их нет ? Кто может грамотно объяснить данную ситуацию? И если возможно получить заявленную скорость. Обращусь за платной настройкой.

Сегодня 31 июня, последнюю пятницу месяца, празднуется день системного администратор!

Здравствуйте. В своё время состоял в этой группе. Хочется вернуться к одному вопросу. Cap Ac какую максимальную скорость выдаёт по 5Ghz ? 300 не отвечает заявленным характеристикам производителя. Пинать не надо. Заявленые требования есть. Почему их нет ? Кто может грамотно объяснить данную ситуацию? И если возможно получить заявленную скорость. Обращусь за платной настройкой.

300 - hap ac выдает. hap ac^2 выдает 285 Мб, но аплинк в обеих случаях был 300 мбит и тестил speedtest'ом.

300 - hap ac выдает. hap ac^2 выдает 285 Мб, но аплинк в обеих случаях был 300 мбит и тестил speedtest'ом.

То есть это просто цифры ?

Netgear 7000 продавливал 800-900 локально по WiFi

Я просто не могу понять. Может я чего то не понимаю )