вот это булочка

?

Маршруты и mangle

?

корпус норм. жалко почти двадцатку стоит и со стеклом. буду на фракталах сидеть(

корпус норм. жалко почти двадцатку стоит и со стеклом. буду на фракталах сидеть(

Есть его версия попроще. И есть без стекла. Но не советую, металл тоньше.

при этом исходящий трафик пытается идти через другой порт

пинги почта с самого микротика, или с ПК за микротиком?

при этом исходящий трафик пытается идти через другой порт

А при чём тут правила фаерволла?

А при чём тут правила фаерволла?

Это я показываю, что трафик не через тот интерфейс идет. Он идет через ether3 (isp1), но уже в таблице маршрутизации 2. И ping выдаёт timeout

Packet flow вам необходимо изучить и станет все яснее ))

Это я показываю, что трафик не через тот интерфейс идет. Он идет через ether3 (isp1), но уже в таблице маршрутизации 2. И ping выдаёт timeout

Значит, неверно настроил.

Packet flow вам необходимо изучить и станет все яснее ))

да это понятно) Если кто-то знает ответ, что не так настроено, напишите. А я пока сам поразбираюсь

Маршруты и mangle

Правило покажите полностью через export

Правило покажите полностью через export

/ip route add comment=isp2 distance=1 gateway=10.10.11.1 routing-mark=2 add comment=isp1 distance=1 gateway=10.10.10.1

/ip firewall mangle add action=mark-routing chain=output dst-address=0.0.0.0/0 new-routing-mark=2 passthrough=yes

если сделаете ping 1.1.1.1 routing-table=2 то проходит?

да

если указываю таблицу, то проходит

Может дело в том что connected маршруты все равно в main таблице?

посмотрите торчем что видно ?

а как вы проверяете что не работает? ping 1.1.1.1 разве не проходит?

с микрота естественно

да, с микротика не проходит

только что проверил. все гуд

что торч показывает на ether4?

показывает что пытаюсь выйти не с того внешнего ip

а полный конфиг пришлите

а адрес на ether4 какой?

всего микротика?

всего микротика?

судя по скринам там же ничего нет на нем.

у ether4 10.10.11.5

/24

?

> export # feb/16/2022 10:34:19 by RouterOS 6.48.6 # software id = # # # /interface ethernet set [ find default-name=ether1 ] comment=adm disable-running-check=no set [ find default-name=ether2 ] comment=lan disable-running-check=no set [ find default-name=ether3 ] comment=wan1 disable-running-check=no set [ find default-name=ether4 ] comment=wan2 disable-running-check=no /interface list add name=wan /interface wireless security-profiles set [ find default=yes ] supplicant-identity=MikroTik /interface list member add interface=ether3 list=wan add interface=ether4 list=wan /ip address add address=192.168.0.1/24 comment=lan interface=ether2 network=192.168.0.0 add address=10.10.10.5/24 comment=wan1 interface=ether3 network=10.10.10.0 add address=10.10.11.5/24 comment=wan2 interface=ether4 network=10.10.11.0 /ip firewall filter add action=accept chain=output out-interface=ether3 add action=accept chain=output out-interface=ether4 /ip firewall mangle add action=mark-routing chain=output dst-address=0.0.0.0/0 new-routing-mark=2 passthrough=yes /ip firewall nat add action=masquerade chain=srcnat comment=wan1 out-interface-list=wan src-address=\ 192.168.0.0/24 /ip route add comment=isp2 distance=1 gateway=10.10.11.1 routing-mark=2 add comment=isp1 distance=1 gateway=10.10.10.1 /system identity set name=s-router

ну вроде норм

ну вроде норм

в конекшинах висел ping, его убил и всё запинговалось) А там он висел не с тем исходящим адресом

Всем доброго времени суток) Помнится ещё с MTCNA что ROS не оч умеет в 31-маски

Кто-нибудь ещё раз проверял? Заранее спасибо

Кто-нибудь ещё раз проверял? Заранее спасибо

Не умеет честный по рфц. Но сделать можешь. Работать будет.

По сути будет работать как /30

Да вот я и поставил 30 (на всякий) ,но чисто из спортивного интереса так сказать решил узнать)

Да вот я и поставил 30 (на всякий) ,но чисто из спортивного интереса так сказать решил узнать)

Если надо сократить расход ип адресов можно. Будет работать как /30

Хорошо, спасибо

Да вот я и поставил 30 (на всякий) ,но чисто из спортивного интереса так сказать решил узнать)

Не умеет. И в ROS7 тоже не умеет.

Жаль, допили бы, а то сапожник без сапог прям получается

Жаль, допили бы, а то сапожник без сапог прям получается

Можно использовать /32. Даже если с "другой стороны" /31 работать будет.

Можно использовать /32. Даже если с "другой стороны" /31 работать будет.

К сожалению в моему случае она не подходит

К сожалению в моему случае она не подходит

Обрисуете Ваш случай?

А тут даже не нужно: Есть 3 маршрутизатора, соединённых посредством l2tp-ipsec туннелями на ядро с белым ip, каждому туннелю назначается ip из области 172.16.X.X/30 Можно было и статично прописать, но тут все упирается в идею с расширением

Маршрутизаторы естественно удалённые

А тут даже не нужно: Есть 3 маршрутизатора, соединённых посредством l2tp-ipsec туннелями на ядро с белым ip, каждому туннелю назначается ip из области 172.16.X.X/30 Можно было и статично прописать, но тут все упирается в идею с расширением

На туннеле у Вас фактически /32. Поэтому никаких проблем возникнуть не должно.

Кто-нибудь ещё раз проверял? Заранее спасибо

Работает нормально, проверено. А в вашем случае с l2tp, как писали выше, адреса вида /32

Работает нормально, проверено. А в вашем случае с l2tp, как писали выше, адреса вида /32

Про 32 это понятно, но тут именно вопрос под расширение (в перспективе) и чтобы потом не мучиться с переделкой адресного пространства

Про 32 это понятно, но тут именно вопрос под расширение (в перспективе) и чтобы потом не мучиться с переделкой адресного пространства

Что в вашем случае означает расширение?

Но я начинаю замечать, что мнения насчёт 31 уже разнятся

Что в вашем случае означает расширение?

Выделение адреса под железку за роутером (релей тот же) /мета виртуалка, да что угодно

Выделение адреса под железку за роутером (релей тот же) /мета виртуалка, да что угодно

В ppp профиле вы можете указать адрес сервера 1.1.1.1, а адрес клиента 2.2.2.2 и все будет работать. Не обязательно выбирать 1.1.1.1 и 1.1.1.2 например

Вообще в профиле можно в поле адреса клиента указать сразу пул адресов

Вообще в профиле можно в поле адреса клиента указать сразу пул адресов

*немного неправильно выразился) Конечно я могу исключить некотопые адреса из пула, но сам факт использования 31 меня заинтересовал

*немного неправильно выразился) Конечно я могу исключить некотопые адреса из пула, но сам факт использования 31 меня заинтересовал

А у вас l2tp сервер и клиенты подключаются через стороннюю сеть, или настроены в вашей серой сети? Не могу пока что представить сценарий работы l2tp через белые адреса с раздачей клиентам опять же белых адресов

Раздача серая, подключение к белому 😊

172.16.Х.0/30

Раздача серая, подключение к белому 😊

Т.е. вы серую сеть экономить хотите?

Если честно не понял вопроса)

У ядра свои сети, vlan У узлов ppp сети свои 172.16 это их "соединители" для статик маршрутов

У ядра свои сети, vlan У узлов ppp сети свои 172.16 это их "соединители" для статик маршрутов

Ну так вот у вас диапазон для конекшн сетей получается ограничен?

Но я начинаю замечать, что мнения насчёт 31 уже разнятся

Мнения могут разниться, но с фактами трудно спорить.

Ну так вот у вас диапазон для конекшн сетей получается ограничен?

Такое тоже бывает на практике. Сам сталкивался, где по всей РФ каждому подразделению назрезаны блоки серых ададресв и запрещено использовать другое.

Если честно не понял вопроса)

Не знаю всех тонкостей организации вашей сети, поэтому не совсем понимаю вас. Надеюсь вы сможете применить /31. Сам на практике не встречал проблем с выделением серых технологических сетей

Такое тоже бывает на практике. Сам сталкивался, где по всей РФ каждому подразделению назрезаны блоки серых ададресв и запрещено использовать другое.

Ну может быть. Админ значит хорошо гайки закрутил)

Ну может быть. Админ значит хорошо гайки закрутил)

Скорее СБ))

Ну так вот у вас диапазон для конекшн сетей получается ограничен?

Таки да. Ещё раз спасибо всем откликнувшимся 🤝

Ну может быть. Админ значит хорошо гайки закрутил)

Представьте себе например яндекс, озон, мегафон, мтс, билайн , газ, ваз и т.д. и т.п. не суть важно. У них у всех холдинги. Сверху спустили делать так, и точка. Местный старший сетевой инженер не может с этим спорить.

Мелкому и среднему бизнесу сложно такое представить, но это так. Шаг влево и зацепил сеть ДЦ, шаг вправо и зацепил сеть соседнего региона.

Представьте себе например яндекс, озон, мегафон, мтс, билайн , газ, ваз и т.д. и т.п. не суть важно. У них у всех холдинги. Сверху спустили делать так, и точка. Местный старший сетевой инженер не может с этим спорить.

Я бы по vrf-ам размазал все адресное пространство через vpn4. Можно было бы десяток одинаковых сетей сделать

Я бы по vrf-ам размазал все адресное пространство через vpn4. Можно было бы десяток одинаковых сетей сделать

Нельзя по разным причинам. Которые так или иначе описаны где то далеко далеко от тебя. Там может быть например сквозной мониторинг, возможность собрать впн, и миллион еще неведомых конкретно вам причин. Часть из которых жуткое легаси и пара десятков кг. Документации по всей РФ

Что бы создать 1 лишний врф в такой конторе - вам надо пару месяцев согласований и утверждений конфигурации.

Что бы создать 1 лишний врф в такой конторе - вам надо пару месяцев согласований и утверждений конфигурации.

Ну это дичь какая-то) Небось госструктура какая-нибудь. Нормальный бизнес все же гибче

Ну это дичь какая-то) Небось госструктура какая-нибудь. Нормальный бизнес все же гибче

Нет. Большой бизнес не любит риски. Он готов меняться, но только тогда, когда все риски оценены, и когда посчитает стоимость изменений. Если дешевле обслуживать так, значит так и будет. Если посчитают, что изменение + содержание нового выгоднее, не тормознет все бизнес процессы... то тогда да.

Но я начинаю замечать, что мнения насчёт 31 уже разнятся

может оно, не стандартно но может, и даже по рфс и логично. 31 маска сеть из 2 ip они же адрес сети и широковещательный друг для друга.

может оно, не стандартно но может, и даже по рфс и логично. 31 маска сеть из 2 ip они же адрес сети и широковещательный друг для друга.

Так и есть в микротике