/ip/firewall/service port sip выключен?

@the_ikken проверь с выключенным

https://forummikrotik.ru/viewtopic.php?t=4291

То есть, ваши клиенты (ТА) только внутри сети? Во внешку только транк от провайдера? Внутренние абоненты между собой - все ок?

Начните с того, что киньте весь трафик из внешки на сервер телефонии (DMZ) если не поможет - проблему надо в астере искать

Коллеги, добрый день. Есть главный офис 192.168.137.0/24 Несколько компов в главном офисе висят через криптак в другой сети 172.40.137.0/24, где наш криптак - 172.40.137.1. Между главным офисом и филиалом поднят l2tp mikrotik-mikrotik, настроена маршрутизация в обе стороны. Задача: сделать видимым из филиала криптак 172,40.137.1, чтобы через него иметь доступ к 172.40.x.x за ним. Сломали голову сегодня. Подскажите, пожалуйста, как реализовать.

Между криптошлюзом и тиком главного офиса есть связь? Какой адрес у тика из сети 172.40?

Между криптаком и тиком главного офиса связи нет, они стоят параллельно, на них разные белые ip. Клиенты в этой сети имеют 2 адреса, в 192 сети с шлюзом микротиком и 172 вбита допом и написан маршрут.

У клиентов есть два интерфейса с мт и криптошлюзом соответственно?

А этот интерфейс куда уходит?

А этот интерфейс куда уходит?

В закат

Вот мне так же почему-то кажется. Связь между железками отсутствует, но на одном интерфейсе два айпи из разных сетей

И? Это не мешает.

Так куда провод-то в итоге уходит?

А этот интерфейс куда уходит?

примерно так

ваш крипто-шлюз это обычный proxy-arp, с странной фильтрацией?

это ЗСПД

это так как я написал, потому что windows не может нормально работать с двумя шлюзами по умолчанию

это так как я написал, потому что windows не может нормально работать с двумя шлюзами по умолчанию

там нет 2 шлюзов по умолчанию. шлюз 192.168.137.1 + route add 172.40.0.0

короче, надо натить все из офиса два с dst 172.40.x.x в ip из защищённого сегмента. либо нормально настраивать крипто-шлюз

как ни крути надо предварительно дать одному из интерфейсов в ГО 172.40.137.x и линк поднять между ним и криптаком

как ни крути надо предварительно дать одному из интерфейсов в ГО 172.40.137.x и линк поднять между ним и криптаком

На микроте тоже есть адрес из 172.40.137.0/24

нет. Сейчас думаю как раз каким образом вместо прямого линка дать второй адрес на бридж

А что за криптошлюзом? Он также в сеть общую смотрит?

смотрит

Он один в этой подсети или ещё есть хосты? Я так полагаю, что для них - он шлюз?

клиентам назначены адреса из 192 сети, допом 172 сеть и маршрут на криптак

Основной шлюз из какой подсети?

192.168.137.1

И в чём тогда проблема достучаться до сети ГО?

проблема из филиала достучаться до 172.40.137.x - криптак

На микрот ещё один адрес и роут до сети 172.40.137.0 через криптошлюз.

клиентам назначены адреса из 192 сети, допом 172 сеть и маршрут на криптак

Вас не смущает то, что Вы белыми адресами пользуетесь? )

@Prislonsky я же верно изложил или что-то неверно?

адрес на физический интерфейс? я думаю как бы на ether1 дать второй адрес

адрес на физический интерфейс? я думаю как бы на ether1 дать второй адрес

Только это попахивает нарушением идеи, для которой используется криптошлюз. Хозяева защищённой сети могут сделать а-та-та за такое.

Да там, наверняка, випнет какой-нибудь. Просто для доступа в "защищённую" сеть.

На этом модем есть и дырдочек для внешних аненн нет.

Где-то была фотка потраха Ac3 лте и там е антенны на питгейлах, так что теоретически можно поставить. Там на задней панели есть вроде как заглушки пластиковые которые можно выломать.

Видел эту расчлененку. Да, можно, но это уже колхоз. )

Ну это всяко лучше, чем паять.

Тут встречный вопрос - может "дешевле" к рогатому кубу лте модем прилепить?

Коллеги, добрый день. Есть главный офис 192.168.137.0/24 Несколько компов в главном офисе висят через криптак в другой сети 172.40.137.0/24, где наш криптак - 172.40.137.1. Между главным офисом и филиалом поднят l2tp mikrotik-mikrotik, настроена маршрутизация в обе стороны. Задача: сделать видимым из филиала криптак 172,40.137.1, чтобы через него иметь доступ к 172.40.x.x за ним. Сломали голову сегодня. Подскажите, пожалуйста, как реализовать.

Может быть да. Просто разница в цене космическая.

Посмотрел схему. На мой взгляд наиболее правильно будет ВАН крипты подключить через микротик 137,1. Тогда можно все пропускать через крипту туда и обратно и, соответственно рулить в филиал и обратно. И с НАТ придется чуть поморочиться.

проблема здесь в том, что криптак достался как недвижимость, его настроили и дали. Он нашей организации де-факто не принадлежит. Поэтому приходится строить все вокруг него

Так модем ~$100 стоит. Поэтому вполне объяснимо.

Я условие так и понял. На крипте ничего делать не надо.

В таком случае, у меня не хватит скилла)) я даже в уме эту схему не представляю пока

Это большой костыль. ) Но если Вам не важно идти через крипто с филиала 192,168,0,0 в 172, то Вам решение верное подсказали - соурс НАТ на микротике с 137.1 и все.

А если ЮСБишный у хавея есть норм модели. Просто у микротика такой универсальный комбайн получился, кто не сильно хочет заморачиваться по поводу совместимости и стабильности работы.