Конфиг не востанавливал. Получил по dhcp настройки на eth 1, запустил ping до ya.ru. Далее делаю порт wan eth 10, проблемы нет.

Т.е. у вас дефолтная конфигурация?

Основная ее часть

Т.е. у вас дефолтная конфигурация?

Да.

Вот это и интересно, что конфигурация чистая.

Ещё можно проверить патчкорд. На 100м используется 2 пары, а на 1g все четыре. Может где-то плохой контакт и не работают именно гиговые порты

Патчкорды разные пробовал. Левая сторона, где порты гигабитные очень сильно греется.

Кстати, а если в 2011 два чипа соединить пачкордом, трафик же не через процессор пойдёт?

Не пойдет, это известный hack

Они соединяютя через ЦП. Будет петля.

не будет петли если поделить на два бриджа)

не будет петли если поделить на два бриджа)

а если собрать их через еоип? :)

а если собрать их через еоип? :)

Лучше bgp ))

Они соединяютя через ЦП. Будет петля.

Нет

Всем добрый вечер, по Московскому времени! Такая проблема, у клиента есть железка RB2011iLS-IN, eth1-Wan, остальные lan в бридже. К RB подключен IP телефон и ноутбук, несколько дней назад начал отваливатся телефон, то работает, то нет. Начал искать причину с элементарных операций. Запускаю icmp запрос до ya.ru, ответ 5 пакетов приходят, 3 теряются, и повторяется цикл. Думал провайдер, пробовал напрямую с ноутбука проблем нет. Начал выяснять причину пропадания нескольких пакетов. Скачал схему коммутации и выяснил, что в железке стоит 2 чипа коммутации, 1 на Geth, другой Eth. Порта гигабитного чипа работают с разной скоростью, порты с 3 по 5 работают по 100 мб/с, 1,2 по 1гб/с. Если порт WAN создать через чип 100мбит/с, проблемы нет. Левая сторона RB сильно греется (чип гигабитный). Думаю чип умирает. Подскажите, в чем может быть проблема? Заранее спасибо.

Купите новую железку

Доброй ночи, дилетантский вопрос по маршрутизации: есть 2 железки, подключенные по sstp к chr. Допустим туннельные адреса 172.16.20.2 и 172.16.20.3. С CHR сетки за роутерами видны, все хорошо. также я к этому chr подключаюсь с винды по pptp, туннельный адрес 172.15.20.2. Как мне доставить маршруты до сеток за теми двумя роутерами на мою винду?

Доброй ночи, дилетантский вопрос по маршрутизации: есть 2 железки, подключенные по sstp к chr. Допустим туннельные адреса 172.16.20.2 и 172.16.20.3. С CHR сетки за роутерами видны, все хорошо. также я к этому chr подключаюсь с винды по pptp, туннельный адрес 172.15.20.2. Как мне доставить маршруты до сеток за теми двумя роутерами на мою винду?

Укажите их руками например

Я в клиентах в поле Route указал, они прилетели на chr. Делаю с винды traceroute, пакеты доходят до chr, потом тишина. Тоесть между pptp и sstp не ходят пакеты. В LAN лист загнал все vpn-ы

Я в клиентах в поле Route указал, они прилетели на chr. Делаю с винды traceroute, пакеты доходят до chr, потом тишина. Тоесть между pptp и sstp не ходят пакеты. В LAN лист загнал все vpn-ы

Попробуйте с другой стороны дать трасерлвку до вашей сети.

Кстати имейте в виду что винда может не пускать к себе другие сети

Я в клиентах в поле Route указал, они прилетели на chr. Делаю с винды traceroute, пакеты доходят до chr, потом тишина. Тоесть между pptp и sstp не ходят пакеты. В LAN лист загнал все vpn-ы

Другие клиенты то знают о вашей сети? Что на chr нужно слать трафик для вас

Другие клиенты то знают о вашей сети? Что на chr нужно слать трафик для вас

Наверное нет, вот видимо и моя ошибка. Получается, прописать надо на каждом роутере маршрут до: сетки за вторым роутерм и до...меня, тоесть до remote ip pptp клиента моего(винда), верно?

Наверное нет, вот видимо и моя ошибка. Получается, прописать надо на каждом роутере маршрут до: сетки за вторым роутерм и до...меня, тоесть до remote ip pptp клиента моего(винда), верно?

Нарисуйте как идёт трафик и сделайте так что бы любой узел через который он проходит знал где что есть

Да там схема звезда, в центре chr, с одного луча надо доступ до сеток за другими лучами. С лучей в свою очередь как раз доступ не нужен на соседние.

Вобщем, понял, спасибо!

Да там схема звезда, в центре chr, с одного луча надо доступ до сеток за другими лучами. С лучей в свою очередь как раз доступ не нужен на соседние.

Вы не мне объясняйте. А себе.

Ок

вечер добрый) можно ли переопределить приоритет proposals в ipsec? хочу сделать aes-gcm приоритетнее aes-cbc (по тестам больше выжимает из сервера на CHR). выключить cbc не могу — из клиентов только несколько 4011, остальные hEX (умеют только в cbc) текущее поведение: если у клиента и сервера есть aes-128-cbc и aes-128-gcm, то SA устанавливается на cbc

вопрос решен — битность имеет приоритет. aes-192-gcm приоритетнее aes-128-cbc

Доброй ночи, дилетантский вопрос по маршрутизации: есть 2 железки, подключенные по sstp к chr. Допустим туннельные адреса 172.16.20.2 и 172.16.20.3. С CHR сетки за роутерами видны, все хорошо. также я к этому chr подключаюсь с винды по pptp, туннельный адрес 172.15.20.2. Как мне доставить маршруты до сеток за теми двумя роутерами на мою винду?

Рип, винда умеет в rip версии 1. Вы можете между вашими системами настроить оспф или статику, и в рип отправить маршруты на винду .

Рип, винда умеет в rip версии 1. Вы можете между вашими системами настроить оспф или статику, и в рип отправить маршруты на винду .

Спасибо, буду разбираться

Спасибо, буду разбираться

Скрипт сразу пишите на микротике при добавление/ удаление интерфейса и адреса в neighbours в RIP при подключении VPN.

Добрый день. Имеется микрот ССR1036-12G-4S. В последние 2 дня стал чудить. Клиенты, которые через него выходят в инэт периодически не могут открыть некоторые сайты (ютуб, драйв2 и т.д.). Выдается ошибка "Не удается получить доступ к сайту". Причем пинги этих ресурсов идут без проблем. Остальные сайты тоже открываются без проблем. Сначала грешил на DNS, но при попытке подоткнуть гугловские, ничего не изменилось. Причем сайт может не открываться минут 10, потом прогрузиться, дать возможность поработать пользователю и снова перестать отвечать. И так повторяется волнами. В обход микрота прокинул zyxel и на него подцепил несколько абонентов, выходят в инэт адекватно (то есть проблему со стороны провайдера я отбрасываю). На петлю в сети не похоже, так как тупняка в локальных ресурсах нет (2 раза доблестные подрядчики петлю устраивали и ее поведение я видел). Вчера попробовал поменять MTU, но ситуация не изменилась. Грешу либо на порт микрота для WAN, либо на сам микрот. Что-то еще может быть? Может кто сталкивался с подобным?

Фаервол выключите весь и посмотрите на каком моменте все становится как раньше

Версия РОС? Прошивка и загрузчик. Мту зачем сразу менять? Нужно продиагностировать утилиткой пинг без разделения пакета и понять пролазиет по мту или нет. "ван" интерфейсом можно любой свободный назначить и на него перекинуть кабель провайдера. Используется только 1 провайдер? И посмотрите что микротик использует как днс и какие параметры отдает по дхцп

Версия РОС? Прошивка и загрузчик. Мту зачем сразу менять? Нужно продиагностировать утилиткой пинг без разделения пакета и понять пролазиет по мту или нет. "ван" интерфейсом можно любой свободный назначить и на него перекинуть кабель провайдера. Используется только 1 провайдер? И посмотрите что микротик использует как днс и какие параметры отдает по дхцп

Версия 6.48.1. Сейчас MTU стандартное 1500. Провайдер 1. Как днс - днс провайдера. По dhcp раздает их же.

По дхцп себя уж должен раздавать. Вернее не должен, а так правильнее

Соответственно до кучи проблемы с ip телефонией (периодическая потеря соединения), и проблема с телегой. Сообщения доходят (вложения не грузит)

Я рекомендую использовать long-term версию. Чтото стэйбл не совсем стэйбл)) Ну и обязательно загрузчик обновить до той же версии

Фаервол выключите весь и посмотрите на каком моменте все становится как раньше

в firewall правила на блокировку 53 порта

А так, без взгляда на конфигурацию совсем не ясно где копать

в firewall правила на блокировку 53 порта

Правльно понимаю, что кроме этого в фаерволе ничего нет?

А в DHCP сервере allow remote request включен/выключен?

Я рекомендую использовать long-term версию. Чтото стэйбл не совсем стэйбл)) Ну и обязательно загрузчик обновить до той же версии

Я хочу еще порт сменить. Глобально перенастроить смогу максимум в субботу, сейчас не могу отключить пользователей от сети. Да и заглушки, к сожалению, нет, чтобы воткнуть

А в DHCP сервере allow remote request включен/выключен?

В DNS? выключено

Правльно понимаю, что кроме этого в фаерволе ничего нет?

остальные сейчас отключены

В DNS? выключено

DNS, конечно🤦‍♂️ чет я...

Ну тогда включите и уберите тот правило на 53 порт, лучше сделайте правило на форвард, чтобы на 53 порт принимались соединения с локальных адресов, кроме как с порта провайдера

Ну тогда включите и уберите тот правило на 53 порт, лучше сделайте правило на форвард, чтобы на 53 порт принимались соединения с локальных адресов, кроме как с порта провайдера

правило на 53 порт добавил вчера, проблема началась до этого

правило на 53 порт добавил вчера, проблема началась до этого

Попробуйте пинги до проблемных сайтов размером допустим 5000

Попробуйте пинги до проблемных сайтов размером допустим 5000

Закон подлости в том, что в данный момент все работает... Жду тогда, как отвал соединения пойдет, и попробую пингануть

Так, сайты доступны, пинги до проблемных сайтов размерностью 5000 не пошлт (превышен интервал ожидания). До яндекса стучится.

как долго на зукселе сидел, что не видел проблемы

?

час

а проблемы как часто появляются?

Каждые 10-15 минут

могло быть так, что пинг до сайта идет, а хттп не открывается?

Так, сайты доступны, пинги до проблемных сайтов размерностью 5000 не пошлт (превышен интервал ожидания). До яндекса стучится.

Думаю где-то по дороге у вас проблемы с мту. Попробуйте до Яндекса и до проблемных сайтов дать пинг с флагом don’t Fragment начиная с 1450 и выше. И определить когда на проблемные сайты перестанут ходить пинги

Думаю где-то по дороге у вас проблемы с мту. Попробуйте до Яндекса и до проблемных сайтов дать пинг с флагом don’t Fragment начиная с 1450 и выше. И определить когда на проблемные сайты перестанут ходить пинги

при 1500 на проблемные сайты пинги не идут, при 1450 идут, но сайт может также не открываться.

могло быть так, что пинг до сайта идет, а хттп не открывается?

сейчас пинг идет, но веб не открывает

я бы на дпи провайдера или тспу поставил

при 1500 на проблемные сайты пинги не идут, при 1450 идут, но сайт может также не открываться.

Увеличивайте 1452,1454…1500

с 1470 не идет

смотри в вайр шарк, что проблемный сайт возвращает

причем тут мту

С какой операционки пинги даёте?

причем тут мту

При том

)

С какой операционки пинги даёте?

с винды

с винды

1472 у видны при 1500 мту (mss 1460) 1468 как у вас при мту 1496 (mss 1456) Значит вам нужно правило в мангле написать /ip firewall mangle add out-interface=ИНТЕФЕЙСВИНЕТ protocol=tcp tcp-flags=syn action=change-mss new-mss=1456 chain=forward tcp-mss=1457-65535 /ip firewall mangle add in-interface=ИНТЕФЕЙСВИНЕТ protocol=tcp tcp-flags=syn action=change-mss new-mss=1456 chain=forward tcp-mss=1457-65535

начни с того что он ничего не делал и у него работать перестало, а теперь надо мсс менять)

начни с того что он ничего не делал и у него работать перестало, а теперь надо мсс менять)

Провайдер мог пустить его через свич с л2мту 1500 например. А для него влан установлен например

воот, так и начни с обращения к провайдеру

и в интернете нет мту больше 1500, зачем в сторону провайдера больше ставить

воот, так и начни с обращения к провайдеру

Это все понятно.

и в интернете нет мту больше 1500, зачем в сторону провайдера больше ставить

У него меньше. А не больше

Попробуйте пинги до проблемных сайтов размером допустим 5000

это зачем тогда?

это зачем тогда?

Проверить фрагментацию

У него с фрагментацией есть проблемы

Поэтому нужно уменьшать mss что бы не было фрагментации

с винды

расскажи потом как решишь ставлю на физику или тспу