Т. Е нужно скачать прошивку с сайта микрота, и вручную обновиться, я правильно понял?

Господа так что же с DNS в 7.1 если прописать другой сервер нежели от провайдера динамик не появляется

динамик в смысле PC SPEAKER ?

Я-бы удивился если-бы у роутера после изменения настроек DNS вырастал спикер

спикер в думе же, ты чего, не знаешь?

Я в думе только какадемонов видел. Спикеров - не видел

есть у кого под рукой настройки WG для тунеля между микротами? что-то не поднимается туннель, хотя клиент на винде работает.

бутни роутеры, мне помогло

Коллеги, привет. Подскажите пожалуйста не очень умному мне, как правильно сделать L2TP + IPSec via IKEv2 в контексте "что делать с сертификатами". Что имею на руках: - "белый" IP от провайдера - Оплаченное доменное имя - A-запись на DNS-серверах регистратора - SSL-сертификаты - Презентация по теме от Тарикина Никиты (премного благодарен за материал) Казалось бы - импортируй сертификаты на микрот, создай сертификат сервера, создай сертификаты клиентов и иди вперёд по презентации. У меня это работало когда я создавал самоподписанные CA и server сертификаты на микроте, однако тут я что то потерялся из за нехватки опыта работы с сертификатами выпущенными сторонними организациями либо просто туплю =) SSL-сертификаты предоставлены регистратором в следующем виде: 1) ca-certificate.crt Роль: Подтверждает удаленному компьютеру идентификацию вашего компьютера Обеспечивает получение идентификации от удаленного компьютера Все политики выдач 2) CSR-запрос 3) Сертификат который можно скачать в форматах: x509 (.PEM), pkcs7 и der Роль: Подтверждает удаленному компьютеру идентификацию вашего компьютера Обеспечивает получение идентификации от удаленного компьютера Я правильно понимаю что мне надо на микрот импортировать CA-сертификат и на его основе создать сертификат сервера и потом уже создавать клиентские? Или лучше сделать "что-то" с выданными регистратором?

Коллеги, привет. Подскажите пожалуйста не очень умному мне, как правильно сделать L2TP + IPSec via IKEv2 в контексте "что делать с сертификатами". Что имею на руках: - "белый" IP от провайдера - Оплаченное доменное имя - A-запись на DNS-серверах регистратора - SSL-сертификаты - Презентация по теме от Тарикина Никиты (премного благодарен за материал) Казалось бы - импортируй сертификаты на микрот, создай сертификат сервера, создай сертификаты клиентов и иди вперёд по презентации. У меня это работало когда я создавал самоподписанные CA и server сертификаты на микроте, однако тут я что то потерялся из за нехватки опыта работы с сертификатами выпущенными сторонними организациями либо просто туплю =) SSL-сертификаты предоставлены регистратором в следующем виде: 1) ca-certificate.crt Роль: Подтверждает удаленному компьютеру идентификацию вашего компьютера Обеспечивает получение идентификации от удаленного компьютера Все политики выдач 2) CSR-запрос 3) Сертификат который можно скачать в форматах: x509 (.PEM), pkcs7 и der Роль: Подтверждает удаленному компьютеру идентификацию вашего компьютера Обеспечивает получение идентификации от удаленного компьютера Я правильно понимаю что мне надо на микрот импортировать CA-сертификат и на его основе создать сертификат сервера и потом уже создавать клиентские? Или лучше сделать "что-то" с выданными регистратором?

Если хочешь задействовать Let’s Encrypt - переводи на eap radius У меня есть готовая лаба, могу дать доступ потестировать

@ipsexperts В закрепе всё есть

Как обычно "возможно когда-нибудь" =) мне бы понять правильно ли я мыслю что хочу импортировать ca-certificate на железку, которую в теории могут поломать из за невыявленной уязвимости и стырить сертификат, о котором говорят "оно не должно покидать сервера на котором было создано"

Спасибо, ознакомлюсь с презентациями (-ей)

Коллеги, привет. Подскажите пожалуйста не очень умному мне, как правильно сделать L2TP + IPSec via IKEv2 в контексте "что делать с сертификатами". Что имею на руках: - "белый" IP от провайдера - Оплаченное доменное имя - A-запись на DNS-серверах регистратора - SSL-сертификаты - Презентация по теме от Тарикина Никиты (премного благодарен за материал) Казалось бы - импортируй сертификаты на микрот, создай сертификат сервера, создай сертификаты клиентов и иди вперёд по презентации. У меня это работало когда я создавал самоподписанные CA и server сертификаты на микроте, однако тут я что то потерялся из за нехватки опыта работы с сертификатами выпущенными сторонними организациями либо просто туплю =) SSL-сертификаты предоставлены регистратором в следующем виде: 1) ca-certificate.crt Роль: Подтверждает удаленному компьютеру идентификацию вашего компьютера Обеспечивает получение идентификации от удаленного компьютера Все политики выдач 2) CSR-запрос 3) Сертификат который можно скачать в форматах: x509 (.PEM), pkcs7 и der Роль: Подтверждает удаленному компьютеру идентификацию вашего компьютера Обеспечивает получение идентификации от удаленного компьютера Я правильно понимаю что мне надо на микрот импортировать CA-сертификат и на его основе создать сертификат сервера и потом уже создавать клиентские? Или лучше сделать "что-то" с выданными регистратором?

Если тебе нужен очень безопасный вариант на сертах и ты задумываешься о безопасности ключа корневого серта — разворачивай внешний PKI на каком-нибудь raspberry pi и утилитой XCA, генерируй ключ на аппаратном токене типа yubikey. На клиентах генери csr запросы и относи на подпись авторитету, не показывая ему ключ. Приватный Ключ в идеале никогда не должен покидать то место, где он был сгенерирован. Но это уже SSL уровень заместитель Бога 😄

А тем временем как-то незаслуженно незамеченным осталось обновление ветки Long-term. Теперь там 6.48.6. What's new in 6.48.6 (2021-Dec-03 12:15): MAJOR CHANGES IN v6.48.6: ---------------------- !) device-mode - added feature locking mechanism; ---------------------- *) certificate - improved stability when sending bogus SCEP message; *) quickset - use 5GHz interface's country for "Home AP Dual" configuration; *) system - improved system stability if device is upgraded from RouterOS and/or RouterBOOT v6.41.4 or older; *) upgrade - added new "upgrade" channel for upgrades between major versions; *) winbox - do not allow to add/remove W60G interfaces; *) wireless - added U-NII-2 support for US and Canada country profiles for cAP ac XL and QRT 5 ac;

Если тебе нужен очень безопасный вариант на сертах и ты задумываешься о безопасности ключа корневого серта — разворачивай внешний PKI на каком-нибудь raspberry pi и утилитой XCA, генерируй ключ на аппаратном токене типа yubikey. На клиентах генери csr запросы и относи на подпись авторитету, не показывая ему ключ. Приватный Ключ в идеале никогда не должен покидать то место, где он был сгенерирован. Но это уже SSL уровень заместитель Бога 😄

ты забыл про issuing CA

Хорошо, вроде стало яснее, надеюсь закрепить материалом из презентаций. Спасибо за помощь

На chr висит при download upgrade на calculation download size...

Удали пакет dude

В презентации про организацию внешних pki ни слова.

А тем временем как-то незаслуженно незамеченным осталось обновление ветки Long-term. Теперь там 6.48.6. What's new in 6.48.6 (2021-Dec-03 12:15): MAJOR CHANGES IN v6.48.6: ---------------------- !) device-mode - added feature locking mechanism; ---------------------- *) certificate - improved stability when sending bogus SCEP message; *) quickset - use 5GHz interface's country for "Home AP Dual" configuration; *) system - improved system stability if device is upgraded from RouterOS and/or RouterBOOT v6.41.4 or older; *) upgrade - added new "upgrade" channel for upgrades between major versions; *) winbox - do not allow to add/remove W60G interfaces; *) wireless - added U-NII-2 support for US and Canada country profiles for cAP ac XL and QRT 5 ac;

А следующем году увидим стабл 7ю?

Новость выше :D (В прод нельзя)

А следующем году увидим стабл 7ю?

Чисто теоретически, ставить сейчас седьмую на микротик в предприятии это форма самоубийства? Не, что может случиться?

Чисто теоретически, ставить сейчас седьмую на микротик в предприятии это форма самоубийства? Не, что может случиться?

Рос7 лучше настраивать с нуля имхо

Рос7 лучше настраивать с нуля имхо

Дождались снегопада © RouterOS 7.1 теперь в stable. Где-то вздрогнули несколько продакшнов.

Почему? У меня спф заведено на микротике ( оптика Ростелеком). Сам он выступает связующим звеном, дшсп отключен, так как все компы и другое оборудование имеет свой статический адрес. Я завел рртр, л2тп айписек. Разве что с овпн не знаю как быть,не могу конфиг собрать, не работает (

Почему? У меня спф заведено на микротике ( оптика Ростелеком). Сам он выступает связующим звеном, дшсп отключен, так как все компы и другое оборудование имеет свой статический адрес. Я завел рртр, л2тп айписек. Разве что с овпн не знаю как быть,не могу конфиг собрать, не работает (

А тем временем как-то незаслуженно незамеченным осталось обновление ветки Long-term. Теперь там 6.48.6. What's new in 6.48.6 (2021-Dec-03 12:15): MAJOR CHANGES IN v6.48.6: ---------------------- !) device-mode - added feature locking mechanism; ---------------------- *) certificate - improved stability when sending bogus SCEP message; *) quickset - use 5GHz interface's country for "Home AP Dual" configuration; *) system - improved system stability if device is upgraded from RouterOS and/or RouterBOOT v6.41.4 or older; *) upgrade - added new "upgrade" channel for upgrades between major versions; *) winbox - do not allow to add/remove W60G interfaces; *) wireless - added U-NII-2 support for US and Canada country profiles for cAP ac XL and QRT 5 ac;

А тем временем как-то незаслуженно незамеченным осталось обновление ветки Long-term. Теперь там 6.48.6. What's new in 6.48.6 (2021-Dec-03 12:15): MAJOR CHANGES IN v6.48.6: ---------------------- !) device-mode - added feature locking mechanism; ---------------------- *) certificate - improved stability when sending bogus SCEP message; *) quickset - use 5GHz interface's country for "Home AP Dual" configuration; *) system - improved system stability if device is upgraded from RouterOS and/or RouterBOOT v6.41.4 or older; *) upgrade - added new "upgrade" channel for upgrades between major versions; *) winbox - do not allow to add/remove W60G interfaces; *) wireless - added U-NII-2 support for US and Canada country profiles for cAP ac XL and QRT 5 ac;

Мне интересно, Козлов на Ютуб и другие специалисты говорили, что микротик не умеет в udp на ovpn, чем плох TCP?

Мне интересно, Козлов на Ютуб и другие специалисты говорили, что микротик не умеет в udp на ovpn, чем плох TCP?

Ребе, а таки чем кошернее овпн остальных? Не первый день идут вопросы в канале. Чем он так необходим?

Например пушем маршрутов.

Ikev2 тоже умеет маршруты

Ikev2 тоже умеет маршруты

Да, но есть нюансы.

Но ведь по скорости это самый проигрышный впн на микротике

Но ведь по скорости это самый проигрышный впн на микротике

а есть какая-нибудь табличка со сравнениями «скоростей» разных типов впн в тике?

Да, но есть нюансы.

Но ведь по скорости это самый проигрышный впн на микротике

Я говорю о его плюсах, а не о минусах. Минусов, конечно, хватает, особенно в микротиковской реализации. В микротике и маршруты он не пушит.

а что там с маршрутами, не пушит?

Кучно пошло! Вот и 6.49.2 подвезли. Ченджлог удивительно лаконичен. What's new in 6.49.2 (2021-Dec-03 14:53): *) device-mode - improved flagged router configuration detection;

ключевая фраза для поиска: tcp meltdown

Самое щанятное, что они и для CCR(Tile) выпустили. Несмотря на то, что было заявлено, что поддержка архитектуры tile убрана из нового ядра linux