Есть вопрос: Есть такой набор правил для перехвата DNS-запросов на контроллер домена: /ip firewall nat add action=dst-nat chain=dstnat connection-mark=mcmegi.loc-fwd to-addresses=192.168.112.7 add action=masquerade chain=srcnat connection-mark=mcmegi.loc-fwd /ip firewall mangle add action=mark-connection chain=prerouting dst-address=192.168.112.1 dst-port=53 layer7-protocol=mcmegi.loc new-connection-mark=mcmegi.loc-fwd protocol=udp add action=mark-connection chain=prerouting dst-address=192.168.112.1 dst-port=53 layer7-protocol=mcmegi.loc new-connection-mark=mcmegi.loc-fwd protocol=tcp /ip firewall layer7-protocol add name=mcmegi.loc regexp=mcmegi.loc Как сделать так, чтобы при недоступности одного из контроллеров домена, правило отправляло на резервный контроллер?

На 48 прошивке кроме отвала 1100 и 4011 еще багов по IPSec завезли. Получите еще более нежизнеспособное устройство. Я 1100 везде поменял на CRS-1009 и CHR, стопка кирпичей лежит теперь на полке и ждет более-менее стабильной "семерки".

CCR1009? а что обязательно обновляться на 48? вроде на 46 еще ничего, у меня коллеги обновились до 48, впн сдох и пришлось откатываться на 46

У меня только лонг-терм везде. Вопрос был в том, поможет ли последняя версия уменьшить вероятность глюков 1100AHx4

если у вас есть тунели, то до 48 не стоит обновляться

Добрый день коллеги! подскажите как быть в следующей ситуации, есть crs 112-8p-4s, все медные порты заняты, есть sfp с разъемом не под оптический а под rj45, она 10g. Есть кабель провайдера линк гигабитный, если вставить кабель провайдера в эту sfp и выставить вручную скорость 1g, линк поднимается но авторизация у провайдера не проходит и провайдер мак адресов в своем порту не видит. Можно ли что с этим сделать в текущих условиях с этой sfp, или нужно ее менять на обычную 1g? P.S. если провайдера включить в обычный медный порт то все работает без проблем

а при авто согласовании он сам не ставит 1Г? на S+RJ10 нельзя ставить скорость вручную. Use these modules only in 10G SFP+ ports with auto-negotiation enabled, forced link speeds are not supported. They will negotiate to correct duplex and highest possible rate. For proper S+RJ10 module installation and recommended use case scenarios, please read S+RJ10 General Guidance. Не знаю почему mikrotik об это не пишет на странице продукта. https://wiki.mikrotik.com/wiki/MikroTik_SFP_module_compatibility_table

Добрый день коллеги! подскажите как быть в следующей ситуации, есть crs 112-8p-4s, все медные порты заняты, есть sfp с разъемом не под оптический а под rj45, она 10g. Есть кабель провайдера линк гигабитный, если вставить кабель провайдера в эту sfp и выставить вручную скорость 1g, линк поднимается но авторизация у провайдера не проходит и провайдер мак адресов в своем порту не видит. Можно ли что с этим сделать в текущих условиях с этой sfp, или нужно ее менять на обычную 1g? P.S. если провайдера включить в обычный медный порт то все работает без проблем

а поменять порты местами?

Я даже на домашнем из стейбл ветки не ставлю никогда. Только на тестовом

Мужики !!!Help!!! Голову сломал. 2 оператора, дают инет по DHCP. Хочу их в ECMP Вопрос: так как GW и все остальные настройки могут меняться Можно ли в настройках route за место IP GW указывать ether1 и ether2?

Лучше получите адреса GW из переменной в dhcp-client

Хэммм какой-то скрипт?

Мужики !!!Help!!! Голову сломал. 2 оператора, дают инет по DHCP. Хочу их в ECMP Вопрос: так как GW и все остальные настройки могут меняться Можно ли в настройках route за место IP GW указывать ether1 и ether2?

Можете поделиться, а то из меня скриптописец как Балерун:-(

Смотрите п.3.2 И, если настроите по этой инструкции и дуалван, то "нюанса с ecmp" не будет. https://habr.com/ru/post/463813/

MUM Ростов 2019 мартовский, лектор Кирилл Васильев, посмотрите пожалуйста выступление и презентацию, плюс там есть еще источник где детальнее пошагово разбирается этот вопрос. Как раз кейс про ecmp . Но с ecmp есть нюансы.

Тут проблема в том что один провайдер, а второй ( это инет от заказчика) ебстевственно с серой сеткой:-( что то типа горе вой сети. Сейчас почитаю спасибо.

Да нашёл читаю.

одно дело прочитать, но лучше и видео посмотреть и по моему на ресурсе уже был детальнее разбор, но повторюсь есть нюанс и минус. В частности банк клиент, мы хотим, что то оплатить и страница отработала через второе плечо, а не через первое через которое запросили. И получим не корректно отработавший сервис и невозможность оплаты.

одно дело прочитать, но лучше и видео посмотреть и по моему на ресурсе уже был детальнее разбор, но повторюсь есть нюанс и минус. В частности банк клиент, мы хотим, что то оплатить и страница отработала через второе плечо, а не через первое через которое запросили. И получим не корректно отработавший сервис и невозможность оплаты.

Хо хо хо какое хорошее замечание про банки....

одно дело прочитать, но лучше и видео посмотреть и по моему на ресурсе уже был детальнее разбор, но повторюсь есть нюанс и минус. В частности банк клиент, мы хотим, что то оплатить и страница отработала через второе плечо, а не через первое через которое запросили. И получим не корректно отработавший сервис и невозможность оплаты.

Для того что бы на отдельные ресурсы получать доступ с одного только адреса пожалуйста в мангл по дст листу route-mark вешайте нужного подключения и все гуд.

Тоже верно

Но это не будет работать, если идет "переброс" на другой сайт. )

Да с банками есть такая беда. Как и с некоторыми двухфакторными и прочими авторизациями, требующими постоянства IP. Но это общий недостаток PBR балансировок. Не конкретно ECMP.

Я вообще от балансинга отказался в пользу FT

а если через per-connection-classifier в мангле по кортежу both-addresses классифицировать?

а с чего бы вдруг ему не всегда работать?

я не очень понимаю сценарий, где получится отказ

намек на то, что дочерние коннекты будут уходить на другие сервера банка, и этим другим серверам не понравится то, что к ним клиент может прийдти через другой шнурок?

ну тогда PCC по src address

ну тогда PCC по src address

ну "суммирование" - это миф)

Я вообще от балансинга отказался в пользу FT

Товарищи, всем привет! Сразу оговорюсь, с микротиками дела почти не имел, не взыщите строго. Настраиваю Audience (4шт), мне нужна безшовная сеть, важнее стабильность при движении внутри сети между точками, чем скорость. Почему-то не могу настроить в режиме mesh чтоб работа была сразу в 2 и 5 Ггц, ОТтображается только сеть 2 Ггц, не пойму в чём причина

а нормальная прошивка это какая?

а, понятно, сначала у меня работало, кажется, когда только пробовал настроить, пока не выставил Россию

а нормальная прошивка это какая?

у меня стояла чехия или что-то вроде того

не чехия, Чили, сейчас посмотрел) не знаю почему так

нет, откуда поставщику ни попали я не знаю

Есть. Тогда шить нетинсталлом нет смысла? А если обновлю его через веб интерфейс он в этом случае не "отрежет" страны и соответственно частоты?

Есть. Тогда шить нетинсталлом нет смысла? А если обновлю его через веб интерфейс он в этом случае не "отрежет" страны и соответственно частоты?

Если у вас полный список стран в настройках WiFi - у вас все хорошо, можно нетинсталлом не шить. У меня оказались залоченные только на russia3 и больше никаких стран не было. И в этом случае прошивка через Winbox не поможет, только нетинсталл.

Есть вопрос: Есть такой набор правил для перехвата DNS-запросов на контроллер домена: /ip firewall nat add action=dst-nat chain=dstnat connection-mark=mcmegi.loc-fwd to-addresses=192.168.112.7 add action=masquerade chain=srcnat connection-mark=mcmegi.loc-fwd /ip firewall mangle add action=mark-connection chain=prerouting dst-address=192.168.112.1 dst-port=53 layer7-protocol=mcmegi.loc new-connection-mark=mcmegi.loc-fwd protocol=udp add action=mark-connection chain=prerouting dst-address=192.168.112.1 dst-port=53 layer7-protocol=mcmegi.loc new-connection-mark=mcmegi.loc-fwd protocol=tcp /ip firewall layer7-protocol add name=mcmegi.loc regexp=mcmegi.loc Как сделать так, чтобы при недоступности одного из контроллеров домена, правило отправляло на резервный контроллер?

В нате правило с nth 50/50, если терпит завтра могу показать живой пример

нет, у меня по ключу