Господа, подскажите в IPsec починили фрагментацию?

Господа, подскажите в IPsec починили фрагментацию?

О чём речь? О IKE fragmentation? Или какая была сломана фрагментация?

О чём речь? О IKE fragmentation? Или какая была сломана фрагментация?

L2tp+IPsec

L2tp+IPsec

А, что было сломано?

В Ikev2 тоже была сломано

Там сам IPsec страдает. Не собирает пакеты после фрагментации

Там сам IPsec страдает. Не собирает пакеты после фрагментации

Есть у вас ссылка на сообщения в форуме или более подробная информация? Packet reassembly должен выполнять IP модуль, не XFRM сам.

/stat@combot

Есть у вас ссылка на сообщения в форуме или более подробная информация? Packet reassembly должен выполнять IP модуль, не XFRM сам.

https://forum.mikrotik.com/viewtopic.php?t=163740

Some progress... Release 6.48beta48 *) ike2 - added support for IKEv2 Message Fragmentation (RFC7383);

Доброго времени суток! Подскажите как закрыть выход в интернет для всего трафика с определённого порта (например 5го), так, чтобы данный трафик был доступен только в локалке?

Доброго времени суток! Подскажите как закрыть выход в интернет для всего трафика с определённого порта (например 5го), так, чтобы данный трафик был доступен только в локалке?

Попробуй файрволл.

Вопрос был Как, а не ЧЕМ, я знаю что стеной...

Дестинешн все кроме локалки, экшн дроп

Вопрос был Как, а не ЧЕМ, я знаю что стеной...

форвард ин интерфейс=езер5 аут интерфейс=исп экшен=дроп.

ООО, спасибо!

ООО, спасибо!

Пятый порт в бридже?

Аха

Аха

Тогда так, как посоветовали, не поможет.

Тогда как?

Тогда так, как посоветовали, не поможет.

Бридж-ин-интерфейс вместо ин интерфейс

Ну и всю сеть он положит. Я бы вынул порт мз бриджа, отдельную адресацию на него и дроп по фаерволлу

https://forum.mikrotik.com/viewtopic.php?t=163740

Так всё таки речь о IKE fragmentation. Да, его нет пока в long-term/stable и он не обязательно будет доступен на стороне клиента.

Бридж-ин-интерфейс вместо ин интерфейс

И это тоже не поможет. )

Тогда как?

Че сделать то хочешь? Подробней можно

Как вариант сделать адреслист железок которые за 5 портом сидят и сделать дропающее правило для адрес листа.

Как вариант сделать адреслист железок которые за 5 портом сидят и сделать дропающее правило для адрес листа.

+

Построить потому что есть такая фича но реально это не нужно

Че сделать то хочешь? Подробней можно

Все предельно понятно - любой трафик с данного порта не должен попасть в интернет, связано с адвокатской этикой, внутренняя запись разговоров с клиентами.

Все предельно понятно - любой трафик с данного порта не должен попасть в интернет, связано с адвокатской этикой, внутренняя запись разговоров с клиентами.

Ну если там неизвестное количество устройств, сделай на этот порт отдельную сетку с дхцп и для этой сети заруби инет

Если известное, то как выше писал. Адрес лист и для него дроп

Там две камеры

Если известное, то как выше писал. Адрес лист и для него дроп

Понял, спс

И это тоже не поможет. )

А можно чуток поподробнее - почему не поможет?

А можно чуток поподробнее - почему не поможет?

Потому, что для этого необходимо трафик бриджа зарулить через фаерволл, чего по умолчанию нет. И неспроста.

Ок понял спс

Там две камеры

тогда их прибей гвоздями в leases и закрой им доступ в инет через access list

заодно на самих камерах в настройках сети убери gateway - если уж сильно боишься утечки. но по правильному - их в отдельный lan/vlan - без доступа к интернету, и в этот влан разрешить доступ только одному/N устройствам.

И это тоже не поможет. )

с чего бы?

Построить потому что есть такая фича но реально это не нужно

когда у вас даже 4 свитча - настраивать каждый отдельно уже не очень удобно в общем то......

с чего бы?

https://t.me/mikrotikclub/230317

Ок понял спс

если там две камеры то у вас есть их маки - можно по ним дропать форвард

https://t.me/mikrotikclub/230317

по умолчанию его нет исключительно потому что по умолчанию большинству людей оно не надо. Работает оно нормально.

по умолчанию его нет исключительно потому что по умолчанию большинству людей оно не надо. Работает оно нормально.

)

по умолчанию его нет исключительно потому что по умолчанию большинству людей оно не надо. Работает оно нормально.

Уточните, плиз, что именно "нормально работает"?

Уточните, плиз, что именно "нормально работает"?

use ip firewall в бриджах если включить.

Уточните, плиз, что именно "нормально работает"?

а какое у вас устройство?

RB450G

use ip firewall в бриджах если включить.

И если у автора CCR. )

И если у автора CCR. )

если там ццр то тем более похрену.

если там ццр то тем более похрену.

Вот именно. А тот, что у автора "превратится в тыкву".

когда у вас даже 4 свитча - настраивать каждый отдельно уже не очень удобно в общем то......

Надуманая проблема. Свичи настраиваются и работают потом месяцами и годами. Но вы делайте, только советую сначала почитать что по этому стандарту в crs реализовано а что нет

RB450G

сеть локальная какая?

сеть локальная какая?

В смысле?

Надуманая проблема. Свичи настраиваются и работают потом месяцами и годами. Но вы делайте, только советую сначала почитать что по этому стандарту в crs реализовано а что нет

если у вас один влан и одна сетка то и десятилетиями может, да.

В смысле?

саму сеть напишите куда должен попадать трафик а куда нет

192,168,0,0/24 там или что

если у вас один влан и одна сетка то и десятилетиями может, да.

У меня тысячи свичей и вланов 😁

192.168.88.0/24 локаль

Тут малый офис

У меня тысячи свичей и вланов 😁

Рад за вас, работа ради работы это замечательно. но если нет стекирования у свитчей то бридж контроллер вполне юзабелен. не всем нравится перенастраивать что-то когда народ по офису перемещается.

1й порт wan

по умолчанию его нет исключительно потому что по умолчанию большинству людей оно не надо. Работает оно нормально.

8)

1й порт wan

Дружище, фильтруйте на уровне IP адресов. Это проще и быстрее.

Рад за вас, работа ради работы это замечательно. но если нет стекирования у свитчей то бридж контроллер вполне юзабелен. не всем нравится перенастраивать что-то когда народ по офису перемещается.

При таких кол-вах есть свои методы автоматизации настройки свичей в зависимости от их возможностей и необходимости.

Я так и сделаю, просто камеры тут нонэйм Китай, хз че там за скрытые фишки есть)

Но почему не Ansible? Мы же все живём в век победившего DevNet. А 802.1BR чисто DC тема, в Enterprise мало пригодная. Что с ней делать, если Controlling Bridge упал или с ним нет связи? Да и Central MAC Learning не добавляет оптимизма.

1й порт wan

В общем, можно по макам, можно на свитче рулами (но там нужно ничего не забыть разрешить) можно по ИПам можно по порту бриджа.

Я так и сделаю, просто камеры тут нонэйм Китай, хз че там за скрытые фишки есть)

Если боитесь скрытых фишек - отсаживайте их в отдельный влан. Это разумно даже если не бояться фишек. )

Вот именно. А тот, что у автора "превратится в тыкву".

с чего вдруг? порты как были в хв моде так и будут.

Ну вариантов накидали - попробую разные! Спасибо!

Добрый день, настроен IKEv2 между двумя микротиками, работал корректно пол года, сейчас не поднимает соединение, в логах не пишет ошибок, провайдер говорит что ничего не блокирует, подскажите с чего начать диагностику дальнейшую? (настройки не менялись на микротиках давно, перезагружены роутеры с обоих сторон, на основном роутере другие IKEv2 клиенты подключаются корректно)

Добрый день, настроен IKEv2 между двумя микротиками, работал корректно пол года, сейчас не поднимает соединение, в логах не пишет ошибок, провайдер говорит что ничего не блокирует, подскажите с чего начать диагностику дальнейшую? (настройки не менялись на микротиках давно, перезагружены роутеры с обоих сторон, на основном роутере другие IKEv2 клиенты подключаются корректно)

проверить доступность микротов в обе стороны, почитать лог ошибок

Всем добрый день! Кто подскажет о чем говорит данное сообщение в логе ipv4 neighbor table overflow, please consider increasing max-neighbor-entries

/interface lte firmware-upgrade lte1 и походу это баги в работе lte. Думаю надо обновиться….

Всем добрый день! Кто подскажет о чем говорит данное сообщение в логе ipv4 neighbor table overflow, please consider increasing max-neighbor-entries

пропишите шлюзом по умолчанию айпишник, а не интерфейс

пропишите шлюзом по умолчанию айпишник, а не интерфейс

Спасибо!

пропишите шлюзом по умолчанию айпишник, а не интерфейс

нейбор таблица это не арп таблица ....

пропишите шлюзом по умолчанию айпишник, а не интерфейс

Посмотрел, ip сам добавился по умолчанию в route шлюзом. Доп. добавление не работает соответственно…

нейбор таблица это не арп таблица ....

В ядре Linux ARP cache и ND cache это одна структура, она называется neighbor table. “struct neigh_table represents a neighboring table (/include/net/neighbour.h) The arp table (arp_tbl) is a neigh_table. (/include/net/arp.h) In IPv6, nd_tbl (Neighbor Discovery table ) is a neigh_table also (include/net/ndisc.h) There is also dn_neigh_table (DECnet ) (linux/net/decnet/dn_neigh.c) and clip_tbl (for ATM) (net/atm/clip.c) gc_timer : neigh_periodic_timer() is the callback for garbage collection. neigh_periodic_timer() deletes FAILED entries from the ARP table.” https://wiki.linuxfoundation.org/networking/neighboring_subsystem