точно?
и с чего решил, что с этого адреса летят запросы?
собрал информацию через packet sniffer и посмотрел вирешарком
Egor
Bomberman
собрал информацию через packet sniffer и посмотрел вирешарком
что-то, мне кажется, НАТ присуствует...
Bomberman
Innokentiy
и тут дело не в задаче, а почему указывая адрес 172.25.144.1 запросы летят не с него а с адреса 172.26.1.2
local address указывает не src-адрес в пакете, а giaddr
Innokentiy
src произвольно ставить нельзя, сервер на его основании понимает, из какого пула выдавать адрес
Innokentiy
src обязан быть адресом интерфейса релея, на который прилетел оригинальный бродкастовый запрос
Bomberman
в том то и дело что: "хммм..." :D
local-address (IP; Default: 0.0.0.0) The unique IP address of this DHCP relay needed for DHCP server to distinguish relays. If set to 0.0.0.0 - the IP address will be chosen automatically
Bomberman
src произвольно ставить нельзя, сервер на его основании понимает, из какого пула выдавать адрес
То есть, если у меня есть 2 пула: 192.168.0.0/24 и 192.168.1.0/24. Я указываю в Src. IP адрес 192.168.1.254 в DHCP Relay, то DHCP-сервер выдаст адрес из подсети 192.168.1.0/24?
Egor
src обязан быть адресом интерфейса релея, на который прилетел оригинальный бродкастовый запрос
тогда подскажите, если не сложно, что у меня сделано не правильно?
Bomberman
Bomberman
тогда подскажите, если не сложно, что у меня сделано не правильно?
а если указать подсеть не /32, а /30 например?
Innokentiy
строго говоря, там не про пулы, а про нетворки речь
Innokentiy
а нетворки привязаны к пулам
Bomberman
тогда логично, что он с этого адреса улетает
Bomberman
/ip dhcp-relay add name=Local1-Relay interface=Local1 \
dhcp-server=192.168.0.1 local-address=192.168.1.1 disabled=no
/ip dhcp-relay add name=Local2-Relay interface=Local2 \
dhcp-server=192.168.0.1 local-address=192.168.2.1 disabled=no
[admin@DHCP-Relay] ip dhcp-relay> print
Flags: X - disabled, I - invalid
# NAME INTERFACE DHCP-SERVER LOCAL-ADDRESS
0 Local1-Relay Local1 192.168.0.1 192.168.1.1
1 Local2-Relay Local2 192.168.0.1 192.168.2.1
Innokentiy
тогда подскажите, если не сложно, что у меня сделано не правильно?
у вас все сделано правильно и все работает так, как должно
Vlad
Станислав, задача - чтобы сотрудники с удаленных компов (192.168.72.*) подключились к VPN серверу по 46.100.100.* (eth2) и бродили в сети 10.127.63.* (sfp1)
Egor
у вас все сделано правильно и все работает так, как должно
тогда почему дхцп запрос дальше идет с адреса 172.26.1.2 а не с адреса 172.25.144.1, который указан в local address
Bomberman
тогда подскажите, если не сложно, что у меня сделано не правильно?
а в настройках DHCP-сервера указан релей?
Bomberman
тогда почему дхцп запрос дальше идет с адреса 172.26.1.2 а не с адреса 172.25.144.1, который указан в local address
да потому что это не адрес интерфейса !
Innokentiy
тогда почему дхцп запрос дальше идет с адреса 172.26.1.2 а не с адреса 172.25.144.1, который указан в local address
потому что так написано в стандарте\
Innokentiy
и, напротив, в стандарте не написано ставить адрес на local address
Bomberman
тогда почему дхцп запрос дальше идет с адреса 172.26.1.2 а не с адреса 172.25.144.1, который указан в local address
https://wiki.mikrotik.com/wiki/Manual:IP/DHCP_Relay#Example_setup
Bomberman
local address указывает не src-адрес в пакете, а giaddr
спасибо, что навели на правильную мысль, ещё раз вики перечитал и понял его ошибку
Egor
я конечно извиняюсь за свою тупость, но т.е. нельзя указать с какого адреса на микротике будет идти дхцп-релей-запрос? т.е это всегда адрес из сети по умолчанию?
Egor
а в настройках DHCP-сервера указан релей?
в сервер не прилетает запросов, т.к. они пытаются идти с адреса 172.26.1.2, а с этого адреса сервер не доступен
Innokentiy
> нельзя указать с какого адреса на микротике будет идти дхцп-релей-запрос?
этого нельзя сделать вообще, а не только на микротике
Innokentiy
в сервер не прилетает запросов, т.к. они пытаются идти с адреса 172.26.1.2, а с этого адреса сервер не доступен
они, скорее всего, прилетают на сервер, потому что маршрутизация обычно идет по адресу назначения. вот ответы с сервера до этого адреса приететь уже, вероятно, не могут
Egor
они, скорее всего, прилетают на сервер, потому что маршрутизация обычно идет по адресу назначения. вот ответы с сервера до этого адреса приететь уже, вероятно, не могут
если микротик посылает запросы с адреса 172.26.1.2 то не прилетают. Эта сеть не смаршрутизированна с сервером
Egor
понял, спасибо за разъяснение. буду думать теперь как это сделать=)
Innokentiy
у вас маршрутизация выполняется на основе адреса источника?
Egor
на сервере есть маршрут до сети 172.25.144.1, но нет маршрута до сети 172.26.1.2(т.к. это линковочная сеть между другими маршрутизаторами)
Innokentiy
как наличие или отсутствие сети в таблице маршрутизации на сервере влияет на способность релея отправить пакет в сторону сервера?
Egor
как наличие или отсутствие сети в таблице маршрутизации на сервере влияет на способность релея отправить пакет в сторону сервера?
отправить, никак, но вот только если он при пересылке отправляет его используя адрес 172.26.1.2 я так полагаю что пакет не дойдет
Innokentiy
а что ему помешает?
Egor
а что ему помешает?
точнее, да. я не правильно выразился. пакет то дойдет, а вот обратно уже не сможет
Egor
но это не меняет того факта, что для этого мне нужно на сервере прописывать маршрут до сети 172.26.1.2
Innokentiy
именно так
Станислав
на сервере есть маршрут до сети 172.25.144.1, но нет маршрута до сети 172.26.1.2(т.к. это линковочная сеть между другими маршрутизаторами)
есть вариант на релее указать маршрут к серверу с преф-сурсом
Egor
есть вариант на релее указать маршрут к серверу с преф-сурсом
Спасибо. Завтра буду тестировать 🙂
Станислав
172.25.144.1
а что за интерфейс который vlan25ether1 ? и что за устройство? подозреваю что может быть л2 мисконфиг
Egor
Станислав
Там просто л2
или по другому: /ip firewall raw add action=passthrough dst-address=255.255.255.255 src-address=0.0.0.0 src-port=68 dst-port=67 log=yes chain=prerouting
Станислав
и смотри логи
Vlad
Станислав есть мысли по конфигу?
Nikita
Коллеги, ткните пальцем по настройкам файрволла и ната для астериска, который в локальной сети
Проблема:
1) транки поднялись - ок (активные)
2) Голос в одну сторону (внешний абонент не слышит внутренного обонента)
ALG отключен
Anonymous
Разрешить весь трафик на asterisks server в форварде.
Виталий
люди добрые. не пойму прикола. open vpn. соединение все ок. не вижу сеть за роутером. в роутлист прописал. чтобы смотрел за роутером. пинг есть например 10.8.8.1 а сеть пинга нет 192.168.5.206.
Виталий
Виталий
куда копать? а если присваиваю клиенту сеть 192.168.5.× то все ок. но это же не правильно
Андрей
куда копать? а если присваиваю клиенту сеть 192.168.5.× то все ок. но это же не правильно
Маршрут на клиентах в 10,8.8.x есть?
Anton
куда копать? а если присваиваю клиенту сеть 192.168.5.× то все ок. но это же не правильно
в firewall цепочка forward для ovpn настроена?
Виталий
Виталий
Станислав
забрал
Vlad
отлично
Bomberman
Коллеги, как верно настроить проброс порта до внутренней АТС через микротик?
Anton
Коллеги, как верно настроить проброс порта до внутренней АТС через микротик?
Самое банальное при помощи dst-nat
Bomberman
Самое банальное при помощи dst-nat
спасибо, это я знаю... вопрос не в этом
ладно, сам поковыряю
Anton
и Вас что то ограничивает сделать дополнительный dst-nat со второго порта на АТС?
Bomberman
Anton
port range? Вы как то слишком просто спрашиваете о комплексной проблеме
Anonymous
Коллеги, приветствую. Можно ли как-то заизолировать клиентов внутри одного бриджа? Знаю, что это легко делается на свиче, но сейчас вместо свича - микротиковский бридж. И не желательно терять в производительности (а bridge firewall насколько я помню кровь попортит)