Спасибо. В этом случае у меня в адрес листе будет порядка пары десятков тысяч записей, а хотелось бы этого избежать.

🤷‍♂️

Вот как я вижу это, взять этот список и выкинуть в онлайн, а микротика бы заходил и по списку проверял

Вот как я вижу это, взять этот список и выкинуть в онлайн, а микротика бы заходил и по списку проверял

Он есть в сети. Но как его проверять?

Ток непонятно как реализовать что бы микрот шманал файл на том же Яндекс диске

ради + сферических 70 тратить денег в 4 раза дороже, что бы упереться в телефон?

телефон на более новый смените через год-два, и будете говорить, что в ТД упёрлись )

телефон на более новый смените через год-два, и будете говорить, что в ТД упёрлись )

Через год-два уже другие стандарты небось завезут

И вкладываться щас в +70мбит, если через год-два за те же бабки можно будет получить +200

И вообще мне страшно за себя становится, когда люди с телефона упираются в 500мбит

Через год-два уже другие стандарты небось завезут

Стандарты завезут, а железо с этими стандартами - не всем )

Стандарты завезут, а железо с этими стандартами - не всем )

Ну ты ведь не гарантируешь, что на железо, которое ты предлагаешь их завезут

Ну ты ведь не гарантируешь, что на железо, которое ты предлагаешь их завезут

Я к тому, что есть смысл брать сейчас самые продвинутые железки, если тянешь финансово - остальное чуть позже подтянется.

даже если потом смарт подъедет с каким нить Wifi8 - то работать он уже будет на wifi6, а не на wifi4 )

У меня есть финансовая возможность покупать самые продвинутые железки. Тока мне от этого не будет никакого смысла.

ну вы то наверное, можете и спланировать приобретение и разворачивание оборудования )

Ну к примеру я точно знаю что ко мне из сша ходить никто не должен

А можно вопрос вдогонку, на чём вы хотите основываться чтобы понять к какой стране принадлежит адрес? GeoIP? Или по каким-то другим принципам?

А можно вопрос вдогонку, на чём вы хотите основываться чтобы понять к какой стране принадлежит адрес? GeoIP? Или по каким-то другим принципам?

Geoip

Geoip

Предлагаю логику: первое подключение - добавляете адрес в серый список. Раз в секунду ваш скрипт лезет на сервис и узнаёт страну принадлежности адреса из серого списка и закидывает его дальше в белый или чёрный список. Можете параллельно добавлять не только адрес а всю подсеть /24 к примеру. Профит в том, что адрес листы будут расти, но по мере количества обращений, а не сразу будут наполнены списком из тысяч адресов.

Так то у меня сейчас так и настроенно, ток не проверяю страну подключения, просто по определенному правилу бан на 12 часов

Допустим сейчас чаще всего прилетают подключения из штатов и Китая

Так то у меня сейчас так и настроенно, ток не проверяю страну подключения, просто по определенному правилу бан на 12 часов

А какой сервис пытаетесь фильтровать то?

3389

3389

RDP?

И порт сменить нет тех возможности

Ага

Ага

Это крайне глупо светить RDP на внешку, поверьте. Там и уязвимостей много было и атак на него. И первую часть логина он отдаёт не шифрованно. Просто ж.... Почему не сделать какой-нибудь VPN?

Подсети у айпи могут быть разные, /13, /19 и т.п.

Подсети у айпи могут быть разные, /13, /19 и т.п.

Меньше /24 по-моему уже не раздают. Так что убивать по /24 вполне себе неплохо.

Скажем так, когда пришёл на готовое, а у тебя 200 + клиентов которые привыкли идти туда с телефонов, ноутов и т.п. отовсюду

Щас изобретать VPN либо менять порт = ручной настройке VPN или добавления порта к адресу подключения на каждом из таких устройств. А это минимум по 2 устройства у каждого из 200 пользователей

Скажем так, когда пришёл на готовое, а у тебя 200 + клиентов которые привыкли идти туда с телефонов, ноутов и т.п. отовсюду

Иногда приходится ломать старьё и делать нормально. Боль, слёзы, страдания. Но если боссам всё нормально объяснить, что это проблемы в будущем - обычно работает. Подготовить базу, несколько инструкций понятных для всех, тесты со всех платформ. И те же 200+ клиентов через неделю будут пользоваться новой системой

Скажем так, когда пришёл на готовое, а у тебя 200 + клиентов которые привыкли идти туда с телефонов, ноутов и т.п. отовсюду

Нам то пофик, сам потом будешь рассказывать шефу почему серваки зашифрованы

Нам то пофик, сам потом будешь рассказывать шефу почему серваки зашифрованы

+1

И смена порта ничего тебе не даст

Я просто переделал не одну сеть, и такие в том числе, просто одним волевым решением и указом руководства: "С понедельника вот так, работаем"

Я просто переделал не одну сеть, и такие в том числе, просто одним волевым решением и указом руководства: "С понедельника вот так, работаем"

у большинства руководителей нет воли

они оказались там благодаря удачному стечению обстоятельств, и потому что лучше них никого не было под рукой

а яйки отращивать не велит бабло, которое приносят простименеджеры, а бабло как известно побеждает зло

Вообщем не суть, дело ток в том что просто так это в данный момент не сделать, оч много НО, в любом случае буду менять, но на данный момент на ближайшие пол года есть такая необходимость

у большинства руководителей нет воли

Геннадий ты сегодня в ударе, какой то из тебя негатиффф прет, прямо как из того фильма)))) з.ы. я без каких-либо дурных мыслей, просто шутка

Геннадий ты сегодня в ударе, какой то из тебя негатиффф прет, прямо как из того фильма)))) з.ы. я без каких-либо дурных мыслей, просто шутка

К сожалению правда жизни. Можно жить в иллюзии, что все вокруг срут розовыми понями, но реалии другие.

а по теме 200+ клиентов по 2 устройсва, это запарно, но это не более 1000+ же. так что выдумывать велосипед, когда у тебя уже дыра в порту - это плохо.

К сожалению правда жизни. Можно жить в иллюзии, что все вокруг срут розовыми понями, но реалии другие.

единорогами!

единорогами!

так точно, шеф!

Ребята подскажите ссылку или название устройства у микротика, которое подключение по COM порт передает по IP

Ребята подскажите ссылку или название устройства у микротика, которое подключение по COM порт передает по IP

другой микротик с усб и циска усб консольный кабель

Видел прям карманный девайс

https://mikrotik.com/products

листайте

Видел прям карманный девайс

имеешь ввиду woobm?

Да, что-то такое

https://mikrotik.com/product/woobm

он не по ип передает, и не ком порт. :) но что-то как то примерно так можно описать

WOOBM это консольный порт по Wifi

Подскажите как теперь на интерфейс шлюз вешать

WOOBM это консольный порт по Wifi

По Усб по вайфай

Но вы забываете, что он может и в обратное, ибо Усб вполне себе сетевуха

Кто-нибудь может поделиться актуальной статьёй, по настройке mesh сети на базе микротиков?

Пытался гуглить, но то что находил, либо не работало, либо работало, но не стабильно

Добрый вечер, коллеги. Конфигурация: ROS 6.48.5 L2TP/IPSec server с галкой use ipsec Вопрос: Клиенты на винде подключаются без проблем, другой микрот не может подключиться без этого правила. Почему так происходит?

Кто-нибудь может поделиться актуальной статьёй, по настройке mesh сети на базе микротиков?

а почему mesh, а не capsman?

а почему mesh, а не capsman?

Я к сожалению не знаю, что это такое, 😅 если суть та же, только лучше, буду признателен, если поможете ссылкой) суть в том что нужна wifi сеть, с возможностью толкать клиентов между микротами, в зависимости от силы сигнала, многоэтажное здание, всё микроты соединены между собой интернет кабелем, в один из них приходит интеренет

Добрый вечер, коллеги. Конфигурация: ROS 6.48.5 L2TP/IPSec server с галкой use ipsec Вопрос: Клиенты на винде подключаются без проблем, другой микрот не может подключиться без этого правила. Почему так происходит?

Потому, что у Вас IPSec c шифрованием и "другой микрот" имеет белый айпи.

Я к сожалению не знаю, что это такое, 😅 если суть та же, только лучше, буду признателен, если поможете ссылкой) суть в том что нужна wifi сеть, с возможностью толкать клиентов между микротами, в зависимости от силы сигнала, многоэтажное здание, всё микроты соединены между собой интернет кабелем, в один из них приходит интеренет

CAPsMAN - механизм централизованного управления точками доступа. MESH - технология децентрализованной сети. вот, тогда на том микроте, на который приходит интернет и было бы лучше настроить capsman и в этой технологии как раз таки и можно настраивать отключение по качеству сигнала, если того требует ситуация. у меня вот недавно было реализовано без каких-либо настроек, по отключения и всяких заморочек с айфонами (о чем часто писали в "гуглах"), айфоны вторую неделю работает без проблем. https://wiki.mikrotik.com/wiki/Manual:CAPsMAN https://serveradmin.ru/nastroyka-capsman-v-mikrotik/ https://wifigid.ru/mikrotik/besshovnyj-wi-fi-mikrotik

Я к сожалению не знаю, что это такое, 😅 если суть та же, только лучше, буду признателен, если поможете ссылкой) суть в том что нужна wifi сеть, с возможностью толкать клиентов между микротами, в зависимости от силы сигнала, многоэтажное здание, всё микроты соединены между собой интернет кабелем, в один из них приходит интеренет

не сразу нашел ссылку, больше помогла эта статейка, для понимания https://www.technotrade.com.ua/Articles/MikroTik_CAPsMAN_setup_2016-08-05.php

Потому, что у Вас IPSec c шифрованием и "другой микрот" имеет белый айпи.

Дак клиентский роутер натит в "белый" ip клиента и белый ip проходит цепочку input?!

Дак клиентский роутер натит в "белый" ip клиента и белый ip проходит цепочку input?!

На сервере - да.

На сервере - да.

Дак это правило на сервере

Дак это правило на сервере

Совершенно верно. Что Вас смущает?

Совершенно верно. Что Вас смущает?

В обоих случаях клиентский "белый" ip проходит цепочку input. Почему при подключении клиента за nat игнорируется отсутствие правила в цепочке input?

В обоих случаях клиентский "белый" ip проходит цепочку input. Почему при подключении клиента за nat игнорируется отсутствие правила в цепочке input?

Потому, что протокол esp для прохождения через NAT инкапсулируется в udp.

Но вы забываете, что он может и в обратное, ибо Усб вполне себе сетевуха

оно представляется не сетевой картой, а пролификом

эмулирует компорт, что логично

Потому, что протокол esp для прохождения через NAT инкапсулируется в udp.

То есть Клиенты за nat обрабатываются правилом "accept udp/500,1701,4500" а Клиенты без nat правилом "accept ipsec-esp"?

То есть Клиенты за nat обрабатываются правилом "accept udp/500,1701,4500" а Клиенты без nat правилом "accept ipsec-esp"?

Грубо говоря, да.

Грубо говоря, да.

Огромная благодарность за разъяснение. А то тех службу провайдера подняли на уши, мол у нас VPN не поднимается и провайдер виноват.

Товарищи, подскажите. Микрот находится за вышестоящей циской. Проброшены порты 63000-64000. Поднял на микроте OVPN, На внешнем микроте тоже поднял OVPN Настраиваю идентично с разными юзерами и сертификатами. Микрот за циской имеет только один адрес 192.168.88.10 на бридже Route 0.0.0.0/0 - 192.168.88.1(шлюз) С микрота за циской за секунду поднимается OVPN на внешний микрот. С внешнего все время terminating. Filter и nat на микроте за циской пустые - соответственно все разрешено. Но и с правилом input TCP 63000 не устанавливается OVPN соединение

Коллеги, а есть кто с большим опытом по продвинутой настройке мониторинга сети средствами Dude? Готов оплатить экспертную консультацию. В личку

Подскажите как теперь на интерфейс шлюз вешать

В поле gateway пишешь название интерфейса. Примечание, если название интерфейса содержит '/' то переименуй интерфейс таким образом чтобы он был без него.

Вообщем не суть, дело ток в том что просто так это в данный момент не сделать, оч много НО, в любом случае буду менять, но на данный момент на ближайшие пол года есть такая необходимость

Могу поделиться опытом, как сам выкручивался - поднимите любой VPN (у меня OpenVPN) отдельным сервисом и, не закрывая подключение извне прямо по 3389, потихоньку, вкрадчиво перенастраивайте юзеров на работу через него. Когда останется 10-20 самых упёртых случится "авария" - доступ прямо закроется и, как "временное" решение настраиваете оставшимся - им ведь срочно надо, а когда у всех пару недель проработает по-новому, откатываться обратно уже не обязательно. 😀

Могу поделиться опытом, как сам выкручивался - поднимите любой VPN (у меня OpenVPN) отдельным сервисом и, не закрывая подключение извне прямо по 3389, потихоньку, вкрадчиво перенастраивайте юзеров на работу через него. Когда останется 10-20 самых упёртых случится "авария" - доступ прямо закроется и, как "временное" решение настраиваете оставшимся - им ведь срочно надо, а когда у всех пару недель проработает по-новому, откатываться обратно уже не обязательно. 😀

Как вариант, спасибо