HELP требуется помощь после настройки ip провайдера перезапустился и не могу на него попасть подскажите как ребутнуть 30 30 30 пробовал не помогло винбокс не видит его

Привет еще раз. В чем может быть проблема: /ip firewall nat add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=\ out,none out-interface-list=WAN add action=dst-nat chain=dstnat dst-port=80,8080,443 in-interface-list=WAN \ protocol=tcp to-addresses=172.115.255.253 add action=masquerade chain=srcnat dst-address=172.115.255.253 dst-port=\ 80,8080,443 protocol=tcp src-address=172.115.0.0/16 Если указан wan-list, то извне открывается веб-сервер только по одному провайдеру. И внутри локалки по доменам вообще не открывается. Если wan-лист не указывать, то внутри локалки сразу оба домена открывают веб-сервер. А извне вообще ничего не открывается. это все в продолжении этого - https://t.me/mikrotikclub/205001

А dst-nat извне на серверы не забыл сделать?

так вот оно - add action=dst-nat chain=dstnat dst-port=80,8080,443 in-interface-list=WAN \ protocol=tcp to-addresses=172.115.255.253

А по айпишникам открывается извне?

add action=dst-nat chain=dstnat dst-port=80,8080,443 in-interface-list=WAN \ protocol=tcp to-addresses=172.115.255.253 если так сделано, то открвывает по одному провайдеру (и по домену и по ip), а вот по второму не хочет. и внутри локалки не открывает по домену.

А если не листом а на каждого прова по правилу dst-nat?

Приветствую всех! Есть вопрос по теории... Т.к. всё чаще сталкиваюсь с микротиками, то подумал, а не купить ли курс обучения (вот этот, например, https://mikrotik.ru/katalog/katalog/complete_solution/obychenie или этот (в нём есть возможность посмотреть несколько бесплатных видеоуроков, но он подороже) https://xn-----xlcfvffioc4g.xn--p1ai/lp-mikrotik-mtcna ). С сетями не вчера начал работать, но именно с микротиками недавно. Осваивал, ввиду срочной необходимости, на "боевом" железе вперемешку с чтением мануалов и из инета, т.к. навыки работы с командной строкой были, то освоился до более-менее комфортного уровня довольно быстро. Подскажите, подобный курс реально основан на микротиковской программе обучения, и насколько он поверхностный? Так-то не великие деньги, конечно, но хотелось бы что-то полезное для себя почерпнуть. Или он прям для совсем "нулевых"?

Всем привет, не поможете с простой задачкой, правда оборудование Qtech, два коммутатора?

Добрый всем. Плиз подскажите в офис точку доступа, тянущую 25 клиентов? Сенк

Любая мк 2007 тянет. Пож

Плиз, не понял что за МК 2007.

Любой микротик тянет 2007 клиентов

Понял. Точнее формулирую. Школа, компьютерный класс. 11 сетевых клиентов, тп линк 841 - вывозит. На днях нужно было 21 клиент запустить - тп линк умер. Ищу замену из мк.

Вай фай тоже будет или только кабель? Если вифи тоже нужен, то скорее всего RB4011 либо две точки доступа, чтобы распределить клиентов по разным точкам доступа.

Клиенты - ноуты. Вифи, 2.4.

А в режиме 5ГГц умеют ноуты?

А в режиме 5ГГц умеют ноуты?

Понял. Точнее формулирую. Школа, компьютерный класс. 11 сетевых клиентов, тп линк 841 - вывозит. На днях нужно было 21 клиент запустить - тп линк умер. Ищу замену из мк.

Здравствуйте! Не работает LTE Мегафон. Регистрация есть, трафика нет

Yota

и 2.4 модуль на 4011 тоже не поддерживается

Alex в модеме мега, в телефоне yota

Rb11e-lte6

IMEI? Провайдер блочит микроты?

Работает, счёт в +

Безлим новая сим-карта

Здравствуйте! Не работает LTE Мегафон. Регистрация есть, трафика нет

Коллеги, у меня вопросы про мультиван с врф-манглами. Роутер, может устанавливать через врф туннели, в том числе и l2tp+ipsec. При этом для самого первого пакета должен быть флоу: - routing decision - output chain - postrouting chain - ipsec policy При этом на принятие маршрутного решения мы повлиять не можем, оно обязательно выполняется по таблице main, и там почти всегда стоит маршрут-заглушка на loopback. Как следствие, в цепочке output мы уже можем опираться на то, что пакеты самого роутера, над которыми нужно как-то надругаться, имеют характерный признак out_interface=loopback0. Также на этом этапе роутер выбирает src-address, который у всех пакетов, отправляющихся в loopback0, будет одинаковый, причем выбранный по таблице main. Следующая после routing decision - цепочка output, в которой мы будем решать проблему невозможности штатно выбрать vrf для туннеля. Нам нужно манглами (в таблице mangle) сделать следующее: 1. промаркировать соединение, если оно не было промаркировано action=mark-connection connection-mark=no-mark new-connection-mark=conn_WAN1 out-interface=loopback0 passthrough=yes 2. промаркировать правильный routing mark пакетам в нужном соединении action=mark-routing connection-mark=conn_WAN1 new-routing-mark=vrf_WAN1 passthrough=no После output идет цепочка postrouting. В ней мы решаем проблему невозможности указания src-address для туннеля (в последних версиях его к L2TP можно прибить гвоздями, но если адрес динамический, то указывать там нечего, да и в случае двух провайдеров с фейловером мы не можем быть на 100% уверены, какой точно адрес нужно прибивать). action=masquerade chain=srcnat out-interface=int_WAN1 (я знаю, как @Prislonsky не любит маскарад, но тут у меня адрес динамический, так что тут не попляшешь) Вопрос №1: если у меня много vrf, то не катит накрыть их одним правилом с action=masquerade out-interface-list=WAN - почему-то в этому случае у меня сессии через вообще все врф начинают натиться в адрес одного и того же интерфейса. По моим представлениям, маскарад должен вычислять адрес независимо для каждой сессии, но такое ощущение, что он этого не делает. Приходится накрывать маскарадом каждый интерфейс отдельно. ЧЯДНТ? Вопрос №2: уже несколько раз заметил, что (особенно после ребута или игр с конфигом) трафик, отправляемый через wan-интерфейс при наличии правила action=masquerade не маскарадится и отправляется с оригинальными адресами (видно в вайршарке при отслеживании всего трафика wan-интерфейса). Помогает выключить и включить все правила маскарада. Более того, если добавить бессмысленное правило action=masquerade chain=srcnat out-interface=loopback0 , видно что в нем растут счетчики. ЧЯДНТ? Возвращаемся к нашим кабанам. Мы исправили ошибки роутера, совершенные на этапе routing decision: указали правильный выходной интерфейс и правильный src-address. Дальше в игру вступает ipsec. Мы не лезем в его настройки, нагло пользуясь галочкой "Use IPsec" в настройках L2TP-клиента. Поскольку обработка ipsec выполняется после postrouting, логично было бы предположить, что isakmp будет брать для sa адреса, которые дошли до него, уже после NAT. Однако я наблюдаю, что он и в полиси, и в пира запихивает адрес источника из main, что естественным путем порождает неработоспособность SA. Вопрос №3: ЧЯДНТ, почему L2TP+IPsec после надругательства манглами и натом строит SA с кривого адреса, и как ему объяснить, что он не прав?

по п.3 проблема именно в айписеке, который для sa почему-то берет не тот адрес, с которого фактически уходят (и на который приходят) пакеты

он берет заведомо неправильный адрес по preferred source из таблицы main

можно сделать маршрут на сервер через конкретный гейт и нетвочем переключать гейт и дергать l2tp/ipsec connection