честно? Не помню 😊 Вроде да, проще проверить, чем гадать. Но порядок важен: https://t.me/mikrotikclub/198762

Порядок не важен.

честно? Не помню 😊 Вроде да, проще проверить, чем гадать. Но порядок важен: https://t.me/mikrotikclub/198762

Сорс нат и дст-нат работают отдельно друг от друга и их порядки не пересекаются

Спасибо, значит я не так понял :)

Спасибо, значит я не так понял :)

Порядок важен в цепочке. А в данном случае они разные.

add action=dst-nat chain=dstnat dst-address=11.11.11.11 dst-port=1234 protocol=tcp to-addresses=12.12.12.12 to-ports=1234

не прилетает пакет. вообще нискакого адреса

Ну и что бы при обращении к 12.12.12.12 из твоих сетей не было лишнего src-nat укажи dst-address!=lannet хотя если у тебя локальная Сети все серые то можно и не указывать.

add action=dst-nat chain=dstnat dst-address=11.11.11.11 dst-port=1234 protocol=tcp to-addresses=12.12.12.12 to-ports=1234

пакет дстанится, правило щёлкает... но на получателя не прилетает. Вообще нискакого адреса ничего на этот порт

Коллеги, добрый день! Можете мне напомнить, я могу объединить два RB951, один чтобы был Capsman, второй как точка доступа выступал? Или обязательно к Capsman, нужно покупать точку доступа CAP?

не обязательно, все будет работать как вы и думаете

не обязательно, все будет работать как вы и думаете

Спасибо!

Подскажите, модем AnyData W140 есть шанс запустить на RB2011uias?

а почему нет? не обнаруживается?

в интерфейсах не появляется, в систем- ресурсес - юсб он есть

попробуйте отключить вай-фай на тике. Вдруг модему питалова нехватат для старта. Пару раз сталкивался с такими случаями

Или юсб хаб с активным питанием использовать

в интерфейсах не появляется, в систем- ресурсес - юсб он есть

В списке протестированных его нет, но шанс есть всегда. Возможно, поможет эта статья: https://help.mikrotik.com/docs/display/ROS/LTE

попробуйте отключить вай-фай на тике. Вдруг модему питалова нехватат для старта. Пару раз сталкивался с такими случаями

Или пром модем с внешним питанием

Телеофис какой-нибудь

Добрый день, подскажите пожалуйста немогу найти мануал на netinstall и swos на wiki.возможно ли вообще им прошить железку с swos

Привет. Напомните, plz, как в CLI добавить строчку на нужную позицию? /ip firewall filter add chain=input action=accept ... вот это надо в самое начало добавить.

Привет. Напомните, plz, как в CLI добавить строчку на нужную позицию? /ip firewall filter add chain=input action=accept ... вот это надо в самое начало добавить.

place-before

place-before

спасибо!

place-before

в общем как с бубном не плясал - не вышел каменный цветок с дстнатом и сурсНатом. не летять пакеты)) хост 111.111.111.111 обращается на 112.112.112.112 и этот хост должен перенаправить всё на 113.113.113.113... как итог - хост 113.113.113.113 - даже никаких обращений на себя не видит ни с 111 хоста ни с 112 хоста... обращения ловил пастру правилом

в общем как с бубном не плясал - не вышел каменный цветок с дстнатом и сурсНатом. не летять пакеты)) хост 111.111.111.111 обращается на 112.112.112.112 и этот хост должен перенаправить всё на 113.113.113.113... как итог - хост 113.113.113.113 - даже никаких обращений на себя не видит ни с 111 хоста ни с 112 хоста... обращения ловил пастру правилом

Бывает. )

эта схема вообще осуществима? и именно это имелось виду, когда мне объясняли как сделать? или имелось виду что обращение на 112.112.112.112 будет вестись "изнутри сети"? т.е. комп внутри сети стучится на внешний адрес своего шлюза и в итоге попадает "куда-то"

эта схема вообще осуществима? и именно это имелось виду, когда мне объясняли как сделать? или имелось виду что обращение на 112.112.112.112 будет вестись "изнутри сети"? т.е. комп внутри сети стучится на внешний адрес своего шлюза и в итоге попадает "куда-то"

Осуществима. И рассказали как.

ок))) буду прыгать с бубном дальше)))

ок))) буду прыгать с бубном дальше)))

Не надо прыгать. Надо думать и водить пальчиком по правилам. )

ок))) буду прыгать с бубном дальше)))

покажите ваши правила

add action=dst-nat chain=dstnat dst-address=11.11.11.11 dst-port=1234 protocol=tcp to-addresses=12.12.12.12

а срц нат?

да я пока что правило с дстнатом не победил. Ибо срц нат должен подставить в адрес отправителя другой адрес. Т.е. без срц ната правило должно выпулить на 12.12.12.12 хоть что-то. А этого не происходит

или всё-таки нет?

нет

верней оно то выплюнет, но до 12,12 не дойдет

потому что следом нужен сурсНат, который скажет что же с этим пакетом дальше делать..... чейн сурснат и экшн сурснат нужен?

да я пока что правило с дстнатом не победил. Ибо срц нат должен подставить в адрес отправителя другой адрес. Т.е. без срц ната правило должно выпулить на 12.12.12.12 хоть что-то. А этого не происходит

Обычно где то допущена мелкая ошибка. 1. Для правильности работы маршрутера, он должен входить в одну и другую подсеть. Проверяем ИП адреса маршрутера. 2 сети, что одна что вторая должны быть доступны. Проверяем наличие динамических или статических маршрутов от маршрутера. 3 правило проброса. 2 типа:1 если от источника, не зависимо от получателя. 2 в зависимости от назначения не зависимо от источника. 4 маршрутер должен быть доступен из обоих подсетей Это если объяснять по простому.

доступен в одном хопе?

вот в этом и заковыка...... естественно они не в одном хопе друг от друга

первый "белый" адрес обращается ко второму "белому" и его должно "кинуть" на третий.... Адреса разные, подсети разные.....

это нисколько не продакшен. Просто "задача" которая всплыла в моей безумной голове и упёрлась в то, что это с точки зрения "маршрутизации" невозможно. Но на микротики возможно всё)) поэтому и задал этот вопрос тут

при выходе из роутера, у вас пакет имеет срц адрес не адрес вашего ВАН, провайдер такой пакет дропнет, поставьте галочки log на правилах нат и сделайте лог правило форвард, в логах будет видно куда пошел пакет, нет ничего сложного, всего 2 правила, дст нат и срц нат

Такие задачи очень часто приходится решать, но через впн.... А тут впна нет естественно

в правиле срц ната... чейн = срц нат дст адрес = адрес куда перенаправляем экшн = срц нат ту адрес = адрес который подставляем

или опять ошибся?

в правиле срц ната... чейн = срц нат дст адрес = адрес куда перенаправляем экшн = срц нат ту адрес = адрес который подставляем

dst-address это условие, срабатывание правила на пакет которые направляется на это адрес, to-address это адрес на который надо сменить src-address в заголовке пакета

Все так и делаю.

Но видимо не так. Сорри всем за вынос мозга. Буду курить маны.

еще нужно разрешить forward в filter на этот ip, у меня все работает

или опять ошибся?

Да

есть rb3011, на нем нужно смаршрутизировать 3 vlan, в двух из которых он будет dhcp-server. vlanы рисовать в bridge или в interfaces ?

есть rb3011, на нем нужно смаршрутизировать 3 vlan, в двух из которых он будет dhcp-server. vlanы рисовать в bridge или в interfaces ?

и там и там )

и там и там )

а если только interfaces, чем это мне грозит ?

нарисуйте схему что вы хотите получить

Ребят подскажите как увидеть сеть за ovpn client mikrotik, подключение без сертификата

есть rb3011, на нем нужно смаршрутизировать 3 vlan, в двух из которых он будет dhcp-server. vlanы рисовать в bridge или в interfaces ?

или в свитччипе. )

Ребят подскажите как увидеть сеть за ovpn client mikrotik, подключение без сертификата

ПроксиАрп включен на бридже?

или опять ошибся?

Если у Вас фаерволл по идеологии стандартный, то Вам, кроме dstnat Ничего больше не нужно.

нарисуйте схему что вы хотите получить

как то так vlanы зеленый и черный получают ip по dhcp из своих пулов, красный статика, синий транки

как то так vlanы зеленый и черный получают ip по dhcp из своих пулов, красный статика, синий транки

на вики есть статья именно про ваш случай https://wiki.mikrotik.com/wiki/Manual:Interface/VLAN#InterVLAN_routing

ну и на нужные интерфейсы вешайтие dhcp серверы

на вики есть статья именно про ваш случай https://wiki.mikrotik.com/wiki/Manual:Interface/VLAN#InterVLAN_routing

а в каком случае через bridge?

в случае если нужен бридж в схеме)

в случае если нужен бридж в схеме)

чтоб не гадать в какой порт втыкать?

как то так vlanы зеленый и черный получают ip по dhcp из своих пулов, красный статика, синий транки

Понятно что ничего не понятно!... 1. Нарисуйте для начала сами себе схему топологии, а не разводки по этажам. По факту у вас есть один основной свитч от которого уходят ветки на 2-й и 4-й этажи, и этот же основной свитч подключен к роутеру 2. Вопрос два: написано что будет два DHCP-сервера - один для локальной сети, другой - для мобильных устройств? ... не переключайтесь (с)

как то так vlanы зеленый и черный получают ip по dhcp из своих пулов, красный статика, синий транки

По этой схеме Вам бридж не нужен.

два DHCP-сервера - один для локальной сети, другой - для мобильных устройств

По этой схеме Вам бридж не нужен.

мне хочется понять в какой схеме он нужен, может я не верно себе схему представляю

По факту у вас есть один основной свитч от которого уходят ветки на 2-й и 4-й этажи, и этот же основной свитч подключен к роутеру ТАК и есть

мне хочется понять в какой схеме он нужен, может я не верно себе схему представляю

Бридж нужен, если есть необходимость коммутации. Есть еще варианты применения, но они более специфические. )

3. Все свитчи/оборудование - от Mikrotik? Вопрос не праздный, т.к. скажем взгляд на реализацию VLAN у Mikrotik, D-Link, HP и Cisco слегка различаются... :)

Бридж нужен, если есть необходимость коммутации. Есть еще варианты применения, но они более специфические. )

т.е. если я, зачем то захочу сервер подключить к ротуеру в один из вланов мне понадобится бридж ?

т.е. если я, зачем то захочу сервер подключить к ротуеру в один из вланов мне понадобится бридж ?

Если напрямую к роутеру - да.

3. Все свитчи/оборудование - от Mikrotik? Вопрос не праздный, т.к. скажем взгляд на реализацию VLAN у Mikrotik, D-Link, HP и Cisco слегка различаются... :)

свичи dlink

4. Вопрос по разделению ресурсов (принтера, серверы и т.п.) - у каждого этажа свой пул ресурсов? Или, скажем, как пример - принтер 2 этажа должен быть доступным на третьем?

свичи dlink

Это не важно. )

Это не важно. )

Это важно.... т.к. на D-Linkовских свичах (бюджетных) реализация VLAN несколько отлична, скажем от той же Cisco....

4. Вопрос по разделению ресурсов (принтера, серверы и т.п.) - у каждого этажа свой пул ресурсов? Или, скажем, как пример - принтер 2 этажа должен быть доступным на третьем?

не важно, разделено по принципу динамический||статический ip

Это важно.... т.к. на D-Linkовских свичах (бюджетных) реализация VLAN несколько отлична, скажем от той же Cisco....

ну свичи конечно бюджетные но vlanы на них работают

Это важно.... т.к. на D-Linkовских свичах (бюджетных) реализация VLAN несколько отлична, скажем от той же Cisco....

Если мы говорим об 802.11q, то реализация одинакова. Настройки могут быть разными. Но это не важно.