Всем привет! Помогите разобраться с Bridge Vlan Filtering пожалста. Перечитал всю вики, так и не смог понять как решить мою задачу.

собрать все в один bridge - настроить VLAN-ы

а как тогда правила файрвола применять для провайдерского интерфейса?

тогда полностью задачу опишите

провайдер даёт несколько адресов, один у микротика на 1 порту, остальные вланом надо отправить в локальный бридж. Ну и микротик фаервол должен работать на провайдерском интерфейсе

Олды всем привет! Подскажите пожалуйста, какие есть способы ограничить доступ к ресурсам на Микротик кроме web-proxy и Layer7 уж больно они ЦПУ грузят

К ресурсам через микротик, что ли? Лучше вообще его не юзать, а поставить нормальный прокси-сервер. Тот же кальмар подойдёт.

Даа да через микротик смотрю вот сейчас ДНС сервисы, что бы на их стороне траф обрубать, но что - то не внушают они доверия....

Типа днс Яндекса? Такое себе развлечение... Потом можно не удивляться куче рекламы в браузере...

Всем привет. Я что-то пропустил ? С CLI из винбокса пытаюсь пингануть внешний адрес филиала, как только набираю две цифры - подставляется мак адрес. Что за ?

Возможно включили автозавершение.

Возможно, но ребут помог и все работает корректно

Можно было без ребута еще раз нажать Ctrl+V

Доброго времени суток, вопрос такой, а как ICMP пакет может попадать в правило NAT(tcp)?

Что Вас смущает?

Смущает что NAT с фильтром ТОЛЬКО tcp пакетов, зачем-то пробрасывает icmp пакеты

Показывайте правила

Поставил фильтр ICMP на forward c дефолтным лимит рейтом, в логи срет такое: 17:08:17 firewall,info ICMP> forward: in:vrrp-250 out:ether1, src-mac чпоньк, proto ICMP (type 3, code 4), 192.168.2.1->192.168.2.79, NAT (192.168.22.90->192.168.2.50)->(192. 168.2.50->192.168.2.79), len 56

Это нормально. type 3, code 4 - это код ответа icmp о том, что необходима фрагментация. Т.е. В Вашем случае это ответ на заначенный пакет.

Упс, не ту строчку кинул, там летят еще 3:3 и 3:1

Да не важно, это все коды ответов, которые "порождены" запросами по Вашим tcp правилам.

PPS что значит "ответ на заначенный пакет"?

То и значит. Был запрос, скажем по порту tcp3162 на 2.50 - он прошел через правило НАТ, но по какой-то причине причине до адрессата не дошел. (Например адрессат анричебл) И вот узел перед адрессатом формирует диагностический ицмп ответ "анричебл" и отправляет его обратно. Вы его ловите в форварде.

тут тоже не понял, вот например: ICMP> forward: in:vrrp-250 out:ether1, src-mac 70:81:05:a2:01:00, proto ICMP (type 3, code 1), 5.137.20.218->10.250.0.14, NAT (5.137.20.218->192.168.2.50)->(192.168.2.50->10.250.0.14), len 72 Пакет 3:1 c внешки прилетел на мой рутер, затем дважды оттранслировался и улетел куда нипопадя, при этом будучи ICMP

То и значит. Был запрос, скажем по порту tcp3162 на 2.50 - он прошел через правило НАТ, но по какой-то причине причине до адрессата не дошел. (Например адрессат анричебл) И вот узел перед адрессатом формирует диагностический ицмп ответ "анричебл" и отправляет его обратно. Вы его ловите в форварде.

Похоже гуглить придется. Не понял один моммент: был запрос соединения на 2.50/tcp(3162), после трансляции оказалось что удаленный узел недоступен. И 2.50 формирует 3:1 кому-то?

Тому, кто дал запрос. И, скорее всего, не 2,50 формируетответ, а тот узел в броадкасте с которым находится целевой адрес. т.е. 10.250.0.что-то там

Выходит что аричибл почему-то летит в противоположном направлении?

Само собой. Это же ответ

А почему? Т.е. баг? Не похоже на нормальное поведение

Как почему? Это же логично. Нет, не баг.

Летят же не туда.. или я не понял?

Они летят оттуда, где "проблема".

Так, собираю мысли в кучу. Вот путь пакетов(обратные соединения запрещены): 1) Internet clients -> 2) A.A.A.A:3162 [ASA1] DST-NAT(to 2.50) -> 3) 192.168.2.50 [RTR1] SRC+DST-NAT (SRC to 2.50, DST to 0.14) -> 4) B.B.B.B [ASA1] SRC-NAT(2.50 to 104.130) -> 5) IPSEC-TUN -> 6) ROGA_&_KOPYTA_INC [FIREWALL] -> 7) 10.250.0.14:3162 [Service] Клиент, создает соединение с A.A.A.A, через NAT идет на сервис Рогов_и_Копыт, тут варианты: 1) FIREWALL шлет анричибл назад "клиенту" 2) Service шлет анричибл назад "клиенту" Попадая на 2.50, он нафига-то рикошетит назад в Service? PS я запутался?

Запутался.

Всем привет, подскажите диагноз. На капсмане 2 wap. Когда только все собираешь все хорошо. Проходит какое-то время и у клиентов начинаются пинки по1к или вообще пропадают. Петля?

Еще раз доброго всем дню. https://t.me/mikrotikclub/187378 никто не сможет подсказать?

Один раз я что-то подобное выхватил. Но больше не встречал. При чем я ее в посл момент заметил спустя несколько изменений конфига

В момент отвала логи проверьте, или пересоберите капсман и не трогайте он капризный

сделал нат все пингуется но сайты не заходит

сделал нат все пингуется но сайты не заходит

а доменные имена пингуются?

PS как понимать эту запись в логе: 19:13:16 firewall,info ICMP> forward: in:vrrp-250 out:ether1, src-mac пуньк, proto ICMP (type 3, code 3), 5.166.125.101->10.250.0.14, NAT (5.166.125.101->192.168.2.50)->(192.168.2.50->10.250.0.14), len 56 Я с трансляцией наврное минут 5 вникал

Еще раз доброго всем дню. https://t.me/mikrotikclub/187378 никто не сможет подсказать?

Это следует понимать как то, что со стороны вррп инетрфейса в интернет(ether1) летит ICMP ответ с кодом 3:3 на пакет, который перед этим прошел бла-бла-бла правила НАТа.

т.е. нужно воспринимать наеборот, чем то что написано в логе, типа как у торча при просмотре бриджа дге src и dst перепутаны?

Создайте отдельный тулз

Почему наоборот? Все, как написано. Просто для НАТ это "обратный" процесс.

А, т.е. в логе он просто пишет существующее правило трансляции НАТ, но в данном случае это пакет отправленный взад в рамках существующей сессии