Откуда 30% в fw ?
Может быть с правилами намудрил?
Денис
Dmitry
Stanislav
А в семёрке фастрак убрали? Или механизм переписали?
Dmitry
А в семёрке фастрак убрали? Или механизм переписали?
Там данный механизм считается legacy, и все восхваляют новое ядро с его возможностями.
ИМХО на данном этапе хвалить нечего
Антон
Там данный механизм считается legacy, и все восхваляют новое ядро с его возможностями.
ИМХО на данном этапе хвалить нечего
Новое ядро не очень пока не будет работать MPTCP. Пока рано хвалить согласен.
Stanislav
Ну такое себе решение , убрать возможность 98 процентов трафика пускать мимо ядра напрямую порт в порт мимо цпу, ну такое себе решение.
Dmitry
Делал вот по этой статье. Плохая идея?
Плохая, напишите под свои задачи. Начните с default конфигурации. При всем моем уважении к автору статьи.
Yakov
Антон
Stanislav
Далее мне интересно /ip dns set allow-remote-requests=yes для чего это вам, у вас свой DNS сервер?
Оно релей по сути, кэширующий
Антон
Оно релей по сути, кэширующий
Из имеющейся у меня практики, я это обычно не включаю. Там где это было включено там возникали проблемы не только со скоростью.
Денис
Плохая, напишите под свои задачи. Начните с default конфигурации. При всем моем уважении к автору статьи.
Денис
Из имеющейся у меня практики, я это обычно не включаю. Там где это было включено там возникали проблемы не только со скоростью.
DNS снаружи закрыт. Используется для как кэш и несколько static адресов.
Stanislav
Сбросьте на дефолт и настройте pppoe
Антон
Сбросьте на дефолт и настройте pppoe
Полностью поддерживаю это решение, только бекап сделайте.
Денис
ОК. Спасибо. Завтра попробую.
Cumberbatch
Есть ospf в нем примерно 32000 маршрутов, если брать /32 - то 3500. По ним строится MPLS. Одно ядро на ccr-1016 периодически в 95%. Строить MPLS по всем /32 не надо, необходима связность только до тех /32, которые используются в bgp VPN v4.
Как быть?
Разбить на area
Оставить в Network сеть для связанности и сеть loopback’ов
Alex
Всем привет. Есть бордер с фулвью ebgp и ibgp. От него протянут к микротику MPLS, bgp и поверх всего этого bgp vpn. На микротике прописал белый айпишник и он доступен извне, а вот сам микротик ничего не может пропинговать за пределами бордера. Как такое можно отдебажить? Какие есть идеи?
Alex
IP прописан в main таблице. Остальные роуты используются в других vrf
Alex
Роман
Можно ли сделать так, чтобы при неправильном вводе пароля Wi-Fi не давал отлуп, а пускал в изолированную сеть, где одни хонипоты?
Cumberbatch
Dmitry
Разбить на area
Оставить в Network сеть для связанности и сеть loopback’ов
Невозможно это сделать к сожалению
Nurzhan
Здравствуйте как работает hotspot на OSv7 ?
Nurzhan
У меня будет 500 пользователь
Nurzhan
Или желательно что бы v6 было
Nurzhan
Зарания спасибо
Bykadorov Serj
Подскажите, есть порт кнок на ssh, и правило дропа всего из wan. Как разрешить протокол ssh?
Anton
Подскажите, есть порт кнок на ssh, и правило дропа всего из wan. Как разрешить протокол ssh?
в правиле "дроп всего из wan" указать " [ ! ] адрес_лист_порт_кнока_на_ssh " (естественно с добавлением соответствующих правил занесения в соответствующий(-е) список(-ки) адресов расположенных выше по порядку) или добавить новое правило разрешающее input для списка адресов порт кнока расположенное выше "дропа всего из wan" (естественно с добавлением соответствующих правил занесения в соответствующий(-е) список(-ки) адресов расположенных выше по списку)
Bykadorov Serj
Anton
А если с серых адресов попытаюсь зайти?
ничего не изменится, если только у Вас при каждом "стуке" не будет новый адрес
Bykadorov Serj
ничего не изменится, если только у Вас при каждом "стуке" не будет новый адрес
Впринципе то самое! Спасибо! Думал просто можно как-то взять и через mangle маркировать траф, но тут локоничнее! Спасибо!
Anton
Впринципе то самое! Спасибо! Думал просто можно как-то взять и через mangle маркировать траф, но тут локоничнее! Спасибо!
Вы главное сделайте сам port knocking посложнее (лучше конечно что нибудь с IPSec вместо кнокинга). Выставлять управление устройством в Интернет - так себе затея
Bykadorov Serj
Bykadorov Serj
Еще вопрос, а если свой dns в виде хоста перестает выполнять функцию dns при включенной allow remote request, но в правилах добавил add action=accept in int=lan src port=53? На машинах с dns хоста пропадает инет, если прописать 8-ки - норм. Как быть?
Геннадий
Еще вопрос, а если свой dns в виде хоста перестает выполнять функцию dns при включенной allow remote request, но в правилах добавил add action=accept in int=lan src port=53? На машинах с dns хоста пропадает инет, если прописать 8-ки - норм. Как быть?
1. на самом микротике нужны днс серваки.
2. правила фаервола идут по порядку.
везде, где видите # - везде по порядку )
Bykadorov Serj
1. на самом микротике нужны днс серваки.
2. правила фаервола идут по порядку.
везде, где видите # - везде по порядку )
ну да с количеством я на уровне - параноидальный. Попробую поперемещать
Геннадий
ну да с количеством я на уровне - параноидальный. Попробую поперемещать
чем больше правил - тем тормознутее вам микрот
Bykadorov Serj
чем больше правил - тем тормознутее вам микрот
это да к сожалению, пакет тормозит пока необработается...
Геннадий
нужен CCR2116)
чем он поможет при торможении на каждом правиле?
выводы должны были звучать примерно так:
дефолтный фаервол - это здорово, я вношу лишь минимальные правки, и те на аксесс
Илья
ща покажу мой идеальный файрвол
Илья
не покажу. он меня не пускает
Илья
на микротике отключенный фаервол, и аса перед ним?
аццепт меня и тупо дропы.
но он для лаб висит азаз
Alex
Привет всем. Где-нибудь для тестовых целей можно получать fullview для bgp? Ничего такого в и-нете нет?
Геннадий
Привет всем. Где-нибудь для тестовых целей можно получать fullview для bgp? Ничего такого в и-нете нет?
попросите за денежку провайдера
Bykadorov Serj
Вот еще вопрос, можно ли из терминала сделать бэкап именно в папку flash, ну или переместить созданный backup на уровень выше или в нужную папку?
Bomberman
Вот еще вопрос, можно ли из терминала сделать бэкап именно в папку flash, ну или переместить созданный backup на уровень выше или в нужную папку?
Bomberman
Бинарный бэкап или экспорт конфигурации?
Dmitry
Разбить на area
Оставить в Network сеть для связанности и сеть loopback’ов
Спасибо за идею, открыл IPAM, нарисовал фильтр по регионам, убрав межрегиональные маршруты.
Все норм
Евгений
Парни
Геннадий
Да! Спасибо!
Можно серию из пинг кнокинга сделать.
Пинговать разным размером.
И потом порт кноккинг.
Скрестить ежа с удавом так сказать.
Bykadorov Serj
А можно как-то сделать ssh key?
Nikolai
Nikolai
Геннадий
⁝⁝ James
Nikolai
Естественно мануалы почитал, вопрос-то простой должен быть...
Nickolay
Геннадий
Естественно мануалы почитал, вопрос-то простой должен быть...
Да, вы взяли туфтовую железку для вайфая. Засунули ее куда то...
Не проверили что творится в эфире.
Nikolai
Вай фай в ац дерьмо.
возможно, но я провайдера с ростелеком на дом.ру поменял и что-то не так пошло... До этого в районе 200мбит держал
Геннадий
возможно, но я провайдера с ростелеком на дом.ру поменял и что-то не так пошло... До этого в районе 200мбит держал
Встроенные антенны, засранный эфир, настройка не под рф