бгыг. как 2 на 3 похожа в 192.168.2.0/20

Судя по схеме вам нужно на каждом микроте настроить бридж и vlan filtering. Порты без тега при добавлении в бридж добавлять с pvid. Для тегированных прописать vlan в bridge vlans. Примеры тут https://wiki.mikrotik.com/wiki/Manual:Interface/Bridge#Bridge_VLAN_Filtering

ipsec policy

ну да. Просто сейчас задача еще стоит в том что бы удаленные филиалы могли маршрутизироваться, а как сделать хз

Создайте на базе адресов которые попадаю в полиси любой удобный интерфейс. И внутри гоняйте трафик по маршрутам

к примеру если ipip tunnel, в поле local и remote адреса шлюзов что ли прописывать?

У вас на железках где IPSec настроен есть адрес из сети которая попадает в полиси?

src и dst адреса прописаны в ipsec policy если вы об этом?

forward а не input

добрый день, подскажите пожалуйста, как правильно добавить правило чтобы с впн адреса ( 172.16.35.1-172.16.35.100) была доступна внутренняя сеть 10.0.0.0/8

Да.

ну это адреса локальной сети мт и облака. Получается адреса шлюзов вписывать что ли в ipip туннель?

Да

дополнительно или вместо? ни так ни так не работает

А то что интерфейс не поднимается нужно keepalive убрать?

Нет. Вы с обеих сторон прописали? М Local address = ip адрес микротик из сети которая попадает в полиси С Local address = ip адрес облака из сети которая попадает в полиси

Не совсем понимаю. "адрес из сети которая попадает в полиси" Это адрес за который за мт? Или речь про белый ip?

Не совсем понимаю. "адрес из сети которая попадает в полиси" Это адрес за который за мт? Или речь про белый ip?

С другой стороны нет возможности туннель поднять.

Я же не знаю какие сети у вас прописаны в полиси

А задача то какая?

у вас на микроте есть адрес из сети 192.168.1.0/24 ?

да. это тестовый.

Получить доступ с удаленных филиалов к облачной машинке.

Ну вот его и в local address ipip прописать.

ну запись будет вида 192.168.1.1

Может проще доп полиси прописать. Или сети расширить в существующей

С обратной стороны по аналогии. Для сети 192.168.10.0/24

еще одну полиси создать и указать src адрес удаленного филиала?

там нет такой возможности(

На сервере прописать в секрете пользователя у которого внутренняя сеть в поле route внутреннюю сеть

Тогда https://t.me/mikrotikclub/208899

По итогу добавил новые полиси с сетями удаленных филиалов+ магистральная сеть, НА удаленном филиале прописал маршрут. Связи пока нету. Куда можно еще заглянуть?

Для начала пустить traceroute с микрота где впн до удаленной сети Traceroute из облака до удаленной сети С хоста удаленной сети до облака

Тут один момент, на мт где настроен полиси, сеть облака не видно. Видно только устройствам находящиеся за МТ

Тут один момент, на мт где настроен полиси, сеть облака не видно. Видно только устройствам находящиеся за МТ

Коллеги, мне нужно перезапустить dhcp-client на интерфейсе (off-on), чтобы активировать скрипт, который я добавил. Как мне это сделать одним действием с учётом того, что я как раз подключен через ip на этом интерфейсе?

енейбл

Так он уже енейбл. Сработает как off-on?

В Acceess листе контроллера капсман, можно в поле комент добавить имя устройства.. если первым идет это правило, то в таблице регистрации эти коментарии пропадают.

Спасибо

забыл вопрос) Как коментарии вернуть?)

Убрать это правило

почему то это правило, оно первое в списке, игнорирует iPhone 7+ он есть в акес листе, но висел более трех секунд с сигналом -90 и все равно потом пытался подключится к этой точке, хотя рядом была другая с более сильным сигналом.

а вообще можно ренью же сделать

это я понимаю, поэтому и хотел еще попробовать правило которое было выше, с ним комменатрии не вернуть?

Ренью почему-то не запускает скрипт, хотя метрику изменяет.

А вы комментарии добавляете как? Для каждого мак адреса правило пишите ?

Ну первым правилом добавьте reject -120..-74 например.

Коллеги, мне нужно перезапустить dhcp-client на интерфейсе (off-on), чтобы активировать скрипт, который я добавил. Как мне это сделать одним действием с учётом того, что я как раз подключен через ip на этом интерфейсе?

Релиз сделайте.

Да, релиз помогает. Я одним ходом хочу изменить метрику default-gateway на 255 и запустить скрипт смены маршрута для рекурсивной маршрутизации с dhcp от провайдера. Временной лаг около минуты, поэтому казалось, что не срабатывает.

Вы можете вообще выключить получение дефолта от DHCP сервера. И рекурсивный маршрут менять не нужно. Достаточно только "первый хоп" менять

Могу, но тогда скрипт не сможет назначить реальный маршрут, который берётся как раз из дефолта от провайдера. Именно для этого используется метрика 255. https://habr.com/ru/post/428097/

Сможете. Посмотрите п.3.2 в https://habr.com/ru/post/463813/

Проверил, да работает без дефолта, но с метрикой 255 тот же эффект

имхо это лишнее "движение" и лишняя запись в таблице маршрутизации.