Дефолтное правильно файрвола на форвард established,related,untracked пакетов замедляет копирование между вланами до 320 мегабит. Как правильно поступить, что бы ускорить копирование без ущерба файрволу?

Роутинг идёт через CPU, ворос к железу видимо.

Дефолтное правильно файрвола на форвард established,related,untracked пакетов замедляет копирование между вланами до 320 мегабит. Как правильно поступить, что бы ускорить копирование без ущерба файрволу?

Вы сделали не верный вывод. ) Проблема, скорее всего не в этом правиле, а в контраке.

Да. Fast track поможет.

Да. Fast track поможет.

Fast track помогает, верно, но он ломает работу Simple Queues

Fast track помогает, верно, но он ломает работу Simple Queues

Да

Fast track помогает, верно, но он ломает работу Simple Queues

)

и как поступить с контраком тогда?

и как поступить с контраком тогда?

Не контрачить/не фасттрачить лишний трафик, как минимум.

Не контрачить/не фасттрачить лишний трафик, как минимум.

ну тоесть просто отключить правило дефолтное established,related,untracked и фасттрака? Разве в этом случае пакеты не начнут проходить всю цепочку правил и замедляться?

ну тоесть просто отключить правило дефолтное established,related,untracked и фасттрака? Разве в этом случае пакеты не начнут проходить всю цепочку правил и замедляться?

Вы разницу между "лишний" и "просто отключить правило" не видите? )

Так есть же дефолтное правило add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related

То что в/из инета можно без фастрака. Остальное можно с ним

понял

Добрый день, у кого нибудь есть опыт подключения микротика в качестве клиента к stronswan по ipsec ikev2?

/rules@MissRose_bot

Здравствуйте! Есть, допустим, два офиса. В одном сеть 172.16.1.0/24 и шлюз gw01, а в другом - 172.16.2.0/24 и gw02. Между офисами туннель l2tp. Как, кроме прописывания руками, указать gw02, что адрес 192.168.0.5 находится в за gw01?

/rules@MissRose_bot

Здравствуйте! Есть, допустим, два офиса. В одном сеть 172.16.1.0/24 и шлюз gw01, а в другом - 172.16.2.0/24 и gw02. Между офисами туннель l2tp. Как, кроме прописывания руками, указать gw02, что адрес 192.168.0.5 находится в за gw01?

протоколы динамической маршрутизации

А через ospf можно один адрес анонсировать?

Приветствую.

Прошу подсказать, кто знает.

Создаю капсман, и на финише вот такая ошибка

не надо менять all . создавайте новые записи

А через ospf можно один адрес анонсировать?

Объявить host route OSPF может. В LSA type 1, такая сеть будет описана, как Link type 3 link to stub network, с Link ID равным IP адресу назначенному на интерфейс и Link Data равным 0xffffffff.

это вы так элегантно описали /32 префикс?)

там есть нюанс: если речь про lsa1, то либо этот префикс должен быть аттачед на каком-то интерфейсе, либо нужно использовать тип среды point-to-multipoint

Господа, объясните в таком сравнении я сравниваю что с чем ? :local TestWan6 [([:ping 8.8.8.8 count=10 interface=ether3 ] > 0)] То есть мне не понятно что в данном случае обозначаем 0 (колво timeout или ExitCode)

пингани адрес который не отвечает и проверь

А через ospf можно один адрес анонсировать?

главное что бы он в таблице маршрутизации был

главное что бы он в таблице маршрутизации был

есть нюансы

пингани адрес который не отвечает и проверь

global TestWan6 [([:ping 8.8.8.7 count=10 interface=ether3 ] > 4)] False global TestWan6 [([:ping 8.8.8.7 count=3 interface=ether3 ] > 4)] False global TestWan6 [([:ping 8.8.8.8 count=10 interface=ether3 ] > 11)] False Вот и не могу понять.... Ну может я конечно жестко туплю сегодня..

это вам не рип, оспф опирается не на таблицу маршрутизации

хаааа

может еще маршрут которого нет в таблтце проанонсишь

вообще не вопрос

хотяя микротик может опять по своему стандартные механизмы реализует

только не "проанонсишь", а "увидишь в рибе на другом роутере в результате работы ospf"

и это абсолютно стандартный механизм

давай пруфы

поставь тип среды p2mp и посмотри сам

маршрута нет в таблице и он анонсится в таблицу соседа

р1-р2-р3, связь между р2 и р3 п2мп

на р1 будут два префикса /32 с адресами р2 и р3

ппуфы биллм

сейчас не у компа, смогу показать только вечером

желающим проверить предлагаю собрать лабу самостоятельно

но вообще это кагбэ основная фича п2мп

не у компа, не в таблицу маршрутизации а в оспф датабейс

)

и не оспф а стп

global TestWan6 [([:ping 8.8.8.7 count=10 interface=ether3 ] > 4)] False global TestWan6 [([:ping 8.8.8.7 count=3 interface=ether3 ] > 4)] False global TestWan6 [([:ping 8.8.8.8 count=10 interface=ether3 ] > 11)] False Вот и не могу понять.... Ну может я конечно жестко туплю сегодня..

кол-во успешных пингов

кол-во успешных пингов

Благодарствую..

там есть нюанс: если речь про lsa1, то либо этот префикс должен быть аттачед на каком-то интерфейсе, либо нужно использовать тип среды point-to-multipoint

Либо это SLIP connected host, ладно, согласен, где такой найти сейчас. В остальном да, loopback, либо /32 префикс на другом интерфейсе, либо point-to-multipoint, за чем кому-то использовать для этого последнее не знаю, но кто я такой чтобы запрещать. 😃

не надо менять all . создавайте новые записи

Спасибо!

главное что бы он в таблице маршрутизации был

С точки зрения объявления состояния каналов (интерфейсов) подключённых к области это не важно, LSA type 1 генерируется на основе neighbor и interface data structure. LSA type 3/5 генерируются на основе local/global RIB.

поставь тип среды p2mp и посмотри сам

Я не согласен с вами Иннокентий, да, point-to-multipoint network type моделируется, как LS type 3 link to stub area с Link ID равным IP адресу интерфейса подключённого к NBMA (не обязательно) сегменту и Link Data равным 0xffffffff, но global RIB будет содержать такой префикс, даже если он не будет отображаться в рамках вывода RIB структуры.

хотяя микротик может опять по своему стандартные механизмы реализует

Какие стандартные механизмы Mikrotik по своему реализовал?

Я не согласен с вами Иннокентий, да, point-to-multipoint network type моделируется, как LS type 3 link to stub area с Link ID равным IP адресу интерфейса подключённого к NBMA (не обязательно) сегменту и Link Data равным 0xffffffff, но global RIB будет содержать такой префикс, даже если он не будет отображаться в рамках вывода RIB структуры.

мы рискуем уйти в дискуссию уровня "видишь суслика")

то, что некоторые операционные системы для собственного удобства добавляют /32 префиксы для собственных адресов в риб, еще не значит, что так нужно делать всем :)

но да, многие популярные системы так делают, а некоторые даже и показывают такие префиксы в общем списке

мы рискуем уйти в дискуссию уровня "видишь суслика")

Согласен, но я хотел сослаться на RFC 1812, раздел 5.2.3 и реализацию Cisco IP CEF, как хорошо описанную структуру, реализующую это в рамках единой структуры.

Доброго вечера для PPPoE от ростелекома какие параметры MTU прописывать?

Доброго вечера для PPPoE от ростелекома какие параметры MTU прописывать?

Оставьте по-умолчанию

то, что некоторые операционные системы для собственного удобства добавляют /32 префиксы для собственных адресов в риб, еще не значит, что так нужно делать всем :)

Мне не известен иной способ реализации, если у вас есть какие-то по этому поводу замечания, я буду рад их услышать или прочесть, если это какие-то документы. Не так часто удаётся обсудить такие интересные моменты, в череде общих вопросов о базовых настройках.

Согласен, но я хотел сослаться на RFC 1812, раздел 5.2.3 и реализацию Cisco IP CEF, как хорошо описанную структуру, реализующую это в рамках единой структуры.

а я сошлюсь на 5.2.1.2

тут явно видно противопоставление табличной маршрутизации локальной доставке

Оставьте по-умолчанию

Спасибо!

то есть сначала определяем, нам или не нам, а только потом включаем риб

но вообще это кагбэ основная фича п2мп

Знать бы у кого ещё такая фича есть.

у нашего любимого вендора есть

у нашего любимого вендора есть

Я про другие протоколы дин. Маршрутизации.

то есть сначала определяем, нам или не нам, а только потом включаем риб

кстати, упомянутые циски делают что-то промежуточное

они сначала проверяют, адресован ли пакет на тот адрес, который коннектед на интерфейсе, через который получен пакет, и только потом отправляют пакет на форвардинг через CEF

в частности, именно поэтому приходится включать ebgp-multihop при настройке eBGP на лупбеках - потому что при прохождении пакета через CEF тот вычитает копеечку из TTL и пакет протухает

У хуавеев точно надо включать.

а я сошлюсь на 5.2.1.2

Но, 5.2.1.1 гласит следующее, пункт 4: «5.2.1.1 General This section covers the general forwarding algorithm. This algorithm applies to all forms of packets to be forwarded: unicast, multicast and broadcast. (1) The router receives the IP packet (plus additional information about it, as described in Section [3.1]) from the Link Layer. (2) The router validates the IP header, as described in Section [5.2.2]. Note that IP reassembly is not done, except on IP fragments to be queued for local delivery in step (4). (3) The router performs most of the processing of any IP options. As described in Section [5.2.4], some IP options require additional processing after the routing decision has been made. (4) The router examines the destination IP address of the IP datagram, as described in Section [5.2.3], to determine how it should continue to process the IP datagram. There are three possibilities: o The IP datagram is destined for the router, and should be queued for local delivery, doing reassembly if needed. o The IP datagram is not destined for the router, and should be queued for forwarding. o The IP datagram should be queued for forwarding, but (a copy) must also be queued for local delivery.»

отлично, но тут нет ничего про табличную маршрутизацию, только общие соображения

и да, все верно, так оно и должно быть

Нет указания на RIB, но согласен, но, в какой структуре тогда выполняется local IP lookup?