Между микротами висит l2tp, по нему прокинут eoip, соединяющий бриджи. На первом бридже dhcp сервер, на втором клиент. Проблема в том, что при ребуте второго микрота (свет рубят иногда) он получает новый ip c dhcp сервера, т.к. видится то по маку бриджа, то по маку eoip. Почему так и как это обойти? Хэлп!

а CRL у вас настроен?

Избавиться от еоипа. Зачем он вам?

Ну хз, удобная штука. Соеденил бриджи и не забиваю себе голову ничем, всё само работает, как будто Я сервак реально в локалку воткнул. Принтеры, шары...

Если я правильно понимаю, CRL нужен для внешних устройств - чтобы они могли проверять валидность сертификатов. А в данном случае сертификаты отзываются на том же устройстве, на котором строятся туннели

Между микротами висит l2tp, по нему прокинут eoip, соединяющий бриджи. На первом бридже dhcp сервер, на втором клиент. Проблема в том, что при ребуте второго микрота (свет рубят иногда) он получает новый ip c dhcp сервера, т.к. видится то по маку бриджа, то по маку eoip. Почему так и как это обойти? Хэлп!

Я думаю, что он должен сам себя проверить именно через CRL. Если CRL не настроен - то и проверять он не будет.

Видимо не все :)

мб взять за правило коммутаторам IP задавать статикой?

Спасибо, попробуем проверить

думал об этом, но считал статику костыльным решением

только наверное нужно будет перевыпустить все сертификаты уже с CRL в том числе и CA, и web-сервис должен быть включен и доступен, иначе лист не скачаешь. По результату отпишите пожалуйста. У меня такая же проблема, я пока решаю отключением identity конкретного клиента.

Избавиться от еоипа. Зачем он вам?

L2-BDSM 😂

только наверное нужно будет перевыпустить все сертификаты уже с CRL в том числе и CA, и web-сервис должен быть включен и доступен, иначе лист не скачаешь. По результату отпишите пожалуйста. У меня такая же проблема, я пока решаю отключением identity конкретного клиента.

Кстати, пробовали подписывать виндовым NDES, c прописанным CRL у корневого серта, затем отзывать - и ничего не происходит

Возможно даже глобально по SwOS - там вообще реально настроить человеческий менеджмент?

Возможно даже глобально по SwOS - там вообще реально настроить человеческий менеджмент?

в bridge-isp2 есть 3 интерфейса ether1-3, провайдер подключен в ether1, ip bridge-isp2 xx.xx.xx.xx, Провайдер выделил дополнительно 2 "белых ip" , их прописали на оборудование подключенном в ether2-3. Будет ли NATить дополнительные адреса правило: add action=src-nat chain=srcnat out-interface=bridge-isp2 src-address-type=!local to-addresses=xx.xx.xx.xx ?

в bridge-isp2 есть 3 интерфейса ether1-3, провайдер подключен в ether1, ip bridge-isp2 xx.xx.xx.xx, Провайдер выделил дополнительно 2 "белых ip" , их прописали на оборудование подключенном в ether2-3. Будет ли NATить дополнительные адреса правило: add action=src-nat chain=srcnat out-interface=bridge-isp2 src-address-type=!local to-addresses=xx.xx.xx.xx ?

Будет.

Почему? Трафик же не приходит в I put, а просто форвадится на уровне бриджа. А значит src Nat не будет отрабатывать

Потому, что в построутинг пакет попадет уже после того, как обработается бриджем. А инпут тут вообще ни при чем.

Речь про бридж форвард, насколько я понял. И тогда не будет без "use ip firewall"

Потому, что в построутинг пакет попадет уже после того, как обработается бриджем. А инпут тут вообще ни при чем.

да не попадет он туда, он просто профорвадится бриджем на основе dst mac

как отладку делать скрипта.... вот не работает команда с использованием локальных переменных. В командной строке ее не проверишь...

используй глобальные. локальные очень странные

так вопрос в отладке. как отладить с локальной переменной то?

Мое почтение комрады. Пните в правильном направлении любой ссылкой для избранных. Как на микротике организовать каптивпортал для гостевой сети с регистрацией по мобильному,путем подтверждения по смс,без юсбмодема и симкарты,через внешний хттп\с апи,например megafon sms

https://github.com/soriel/mikrotik-hotspot-sms

Спасибо чоткое,а на звонок и сбро с ожиданием ввода последних цыфр е такое?)

Спасибо чоткое,а на звонок и сбро с ожиданием ввода последних цыфр е такое?)

Пошел вертеть.всем пака)

как отладку делать скрипта.... вот не работает команда с использованием локальных переменных. В командной строке ее не проверишь...

Добрый день! Роутер RB4011 к нему подцеплена точка доступа cAp ac. Все работает нормально, кроме одного: клиенты Aple, причем любые не могут получить адрес от DHCP сервера. На другом объекте роутер тоже 4011 но со встроенным WiFi. Настройки аналогичны. Там все клиенты подцепляются и получают адреса нормально. Интернет промониторил, все настройки проверил. Клиент при получении адреса, получает статус offered и отключается от dhcp. Подскажите, где копать?

Если есть сомнение в синтаксисе, то можете попробовать system script print from=your_script

как в середину символьного ряда вставить знак вопроса, чтобы его не вырезал поганый интертрепатор терминала?

Чтобы через пое питать ар, тогда нуден другой более мощный бп?

Чтобы через пое питать ар, тогда нуден другой более мощный бп?

если у вас ap на 24 вольтах - блок питания нужен на 24, аналогично при 48. Обычно на микротах разброс для работы 12-52, а дальше уже точечно под poe out конкретный ставите

лучше - для нее купить отдельный внешний пое. Вообще поддержка 802.3af/A PoE & 24V PoE. У вас какой свич? 4011? У меня есть 2011, могу проверить, заведется или нет

я могу у себя проверить, вы скажите как хотите поставить

@Prislonsky Подскажите пожалуйста по VLAN. Предположим я хочу 5 порт роутера выделить для отдельной сети и воткнуть его в коммутатор - выделенный под виденаблюдение. 1. Включаем VLAN Filtering на Bridge интерфейсе. 2. Bridge -> VLANs: Создаем новый Bridge, ставим номер VLAN'a, допустим 10. Он будет как Trunk. На VLAN IDs, в Tagged: Свой Bridge и 5 порт. 3. Bridge -> VLANs: Создаем новый Bridge, ставим номер VLAN'a, допустим 11. Он будет для новой сети под видеонаблюдение. На VLAN IDs, в Tagged: Свой Bridge и 5 порт. 4. Делаем Management VLAN для DHCP. Interfaces -> VLAN: VLAN ID = 11. Дальше на этом интерфейсе делаю свой DHCP с сеткой для камер. 5. Иду в коммутатор Hikvision и делаю 1 порт как Trunk. Указываем ему VLAN 10. 6. Теперь указав любой порт VLAN 11, я получу по DHCP новую подсеть ?

аа...ну в принципе ничего особенного просто воткните, будет работать хорошо нет то тоже не плохо и на том спасибо)

Коллеги, всем привет! Посоветуйте, пожалуйста, потянет ли hap ac2 в роли шлюза и l2tp сервера для 5 пользователей rdp в школе. Интернет по оптике 300 мб/с. Сегодня ставил hex со стандартными настройками fw. Показал загрузку profiles на speedtest 90-93 процента. А еще будут vlan и несколько очередей. Буду очень признателен, если поделитесь мнением. Покупать 4011 или ccr нет бюджета