Здравствуйте! Пару недель назад настроил мультиван по статье г-на Прислонского (последний вариант на хабре). ISP1 - pppoe (основной), ISP2 - белый статичный IP (запасной). Наблюдается такая картина: через ISP1 из браузеров недоступны некоторые сайты (например: недоступен eset home, habr.com, ok.ru и пр.) - отбивает по таймауту. При этом, из cmd пинг и трассировка идут. Сам микрот, также пингует проблемные сайты.

Кто-нибудь сталкивался с таким?

Здравствуйте! Пару недель назад настроил мультиван по статье г-на Прислонского (последний вариант на хабре). ISP1 - pppoe (основной), ISP2 - белый статичный IP (запасной). Наблюдается такая картина: через ISP1 из браузеров недоступны некоторые сайты (например: недоступен eset home, habr.com, ok.ru и пр.) - отбивает по таймауту. При этом, из cmd пинг и трассировка идут. Сам микрот, также пингует проблемные сайты.

Сбросьте и заново настройте. Не должно быть проблем.

Сбросьте и заново настройте. Не должно быть проблем.

Делал. Так же. Но, если на ISP1 убрать рекурсивный маршрут, то всё работает. 🤔

Делал. Так же. Но, если на ISP1 убрать рекурсивный маршрут, то всё работает. 🤔

Ну рекурсивный на pppoe настраивается через Remote адрес указанные в профиле этого подключения. Этот адрес забейте любой. Например 10.99.254.1

А что вам возвращает команда /ip firewall address :put [find list="mylist" address=1.1.1.1] ? И попробуйте адрес в кавычки взять

мда, оказывается, :put нужно в начало строки ставить. в вашем случае должно быть так: :put [/ip fire addr find list=mylist address=123.123.123.123]

мда, оказывается, :put нужно в начало строки ставить. в вашем случае должно быть так: :put [/ip fire addr find list=mylist address=123.123.123.123]

спс, только еще вопрос вывод *887 что означает ?

спс, только еще вопрос вывод *887 что означает ?

это внутренний id записи, которую находит find. нам он тут нужен просто чтобы убедиться, что что-то возвращается

оказалось, что нужно без кавычек указывать оба аргумента

это внутренний id записи, которую находит find. нам он тут нужен просто чтобы убедиться, что что-то возвращается

понял спс

Подскажите как удалить запись из адрес листа такое выражение не срабатывает /ip firewall address-list remove [find where list="mydynlist" && address=1.1.1.1]

/ip firewall address-list remove [ find where list="mydynlist" and address~"1.1.1.1" ]

добрый день. отваливается локалка. какая-либо активность на портах при этом отсутствует. час-два и всё возвращается. на устройствах, которые в сети регистрируется отсутствие интернета. снаружи микротик при этом доступен, перезагрузка не помогает. в чём может быть проблема? хочу понять, к дороге дальней ли это и что с собой брать в таком случае

добрый день. отваливается локалка. какая-либо активность на портах при этом отсутствует. час-два и всё возвращается. на устройствах, которые в сети регистрируется отсутствие интернета. снаружи микротик при этом доступен, перезагрузка не помогает. в чём может быть проблема? хочу понять, к дороге дальней ли это и что с собой брать в таком случае

Где не регистрируются?

Где не регистрируются?

регистрируется отсутствие интернета - это запись в журнале железки, которая к микротику подключена. вполне логично. более странно было бы обратное

регистрируется отсутствие интернета - это запись в журнале железки, которая к микротику подключена. вполне логично. более странно было бы обратное

Сначала нужно понять в чем дело. Потом решать что делать

Сначала нужно понять в чем дело. Потом решать что делать

пока что похоже, что проблема в микротике. мне странно что всё оживает через некоторое время. с настройками это не связано. они не менялись долгое время. кроме паролей что в журналах стоит включить ? при визите есть идея блок питания сразу поменять PS. я тут с простыми вопросами не появляюсь. они или гуглятся или здесь же уже ранее решены)

Ок. Т.е. я просто укажу в настройках CAP, что мол, контроллер находится по адресу *мой-же-ip-адрес* и всё взлетит? Или есть подводные?

Ага . Недавно тут подсказали 127.0.0.1

Ага . Недавно тут подсказали 127.0.0.1

на самом деле заработало и с явным адресом вида 192.168.0.1

на самом деле заработало и с явным адресом вида 192.168.0.1

Когда будете менять адресацию про это придётся вспомнить😜

Когда будете менять адресацию про это придётся вспомнить😜

я согласен, что 127 - это более правильный вариант. Железку пока не уехала на установку. Пожалуй поменяю.

У меня так. Когда сам на себя. А остальные, через vlan ищут

так взлетело :)

пока что похоже, что проблема в микротике. мне странно что всё оживает через некоторое время. с настройками это не связано. они не менялись долгое время. кроме паролей что в журналах стоит включить ? при визите есть идея блок питания сразу поменять PS. я тут с простыми вопросами не появляюсь. они или гуглятся или здесь же уже ранее решены)

Подключайтесь когда отвалятся железки и смотрите что на портах происходит. Потом подумаем что в логах включить.

https://youtu.be/rE6fnmbOMD0

Коллеги, нужна помощь потестить сеть на микротиках, найти дефект и устранить, в Москве на Ленинградке. Кто может подъехать сегодня вечером, завтра утром напишите пожалуйста в личку. Работа оплачивается.

Ребят, кто ставил 7.2.1? Нормально работает? На форуме писали о проблемах с l2tp/ipsec

Cake не используйте. В остальном вроде нормально. На 7.2 была небольшая утечка памяти, на 7.2.1 ещё не оценил

Cake не используйте. В остальном вроде нормально. На 7.2 была небольшая утечка памяти, на 7.2.1 ещё не оценил

Благодарю

Доброго дня. Подскажите пожалуйста может кто сталкивался. Циклическая перезагрузка rb951G-2hnd в сервисный режим (кнопкой ресет) для прошивки не входит, сразу перезагружается. При попытке использовать аппаратный сброс расположенный контактами на плате, добился только того что теперь чирикает как при первой инициализации после сброса и опять уходит в перезагрузку. Блок питания менял. Кондеры не вспухшие. Может у кого есть что подсказать. Спасибо

Доброго дня. Подскажите пожалуйста может кто сталкивался. Циклическая перезагрузка rb951G-2hnd в сервисный режим (кнопкой ресет) для прошивки не входит, сразу перезагружается. При попытке использовать аппаратный сброс расположенный контактами на плате, добился только того что теперь чирикает как при первой инициализации после сброса и опять уходит в перезагрузку. Блок питания менял. Кондеры не вспухшие. Может у кого есть что подсказать. Спасибо

В нетистал входит?

Нет. Сразу ребут

Cake не используйте. В остальном вроде нормально. На 7.2 была небольшая утечка памяти, на 7.2.1 ещё не оценил

Почему же не использовать?

Я не использовал, но руки чешутся.

а решилось как нибудь?

Почему же не использовать?

В 7.1.5 нормально работал. В 7.2 ломает подключение к микротику. Если подключаться по ip, то винбокс почти гарантированно крашит роутер, ssh - как повезёт. Если на роутер по маку заходить - всё ок. Ну или если с роутера сгенерить какой-то трафик fetch- ем например - тоже зависнет При этом на forward всё, включая cake отлично работает

В 7.1.5 нормально работал. В 7.2 ломает подключение к микротику. Если подключаться по ip, то винбокс почти гарантированно крашит роутер, ssh - как повезёт. Если на роутер по маку заходить - всё ок. Ну или если с роутера сгенерить какой-то трафик fetch- ем например - тоже зависнет При этом на forward всё, включая cake отлично работает

Интересно. Спасибо за обратную связь.

есть мысли блок питания поменять и настроить заново

а тоннель между двумя микротиками как лучше всего сделать? один с белым IP, другой - за NAT. приоритет за экономностью соединения и за его надежностью... L2TP?

Народ, доброго времени суток. Подскажите как настроить доступ к Surfshark через l2tp? Есть у кого нибудь успешный опыт?

а тоннель между двумя микротиками как лучше всего сделать? один с белым IP, другой - за NAT. приоритет за экономностью соединения и за его надежностью... L2TP?

wireguard на ROS7, L2TP на ROS6

wireguard на ROS7, L2TP на ROS6

На практике мне не очень понравилась нагрузка на цпу на 951 при хождении трафика, пока что л2тп все ещё выглядит лучше на этих железках

если чистый l2tp до да, прокачивал 80\85 (как канал), 50\50 с NAT, с wireguard 30\30

то есть wireguard больше нагружает процессор, но меньше сеть?

то есть wireguard больше нагружает процессор, но меньше сеть?

по сравнению с нешифрованным l2tp - конечно нагружает cpu

по сравнению с нешифрованным l2tp - конечно нагружает cpu

так интрига в том, что меньше ли накладных расходов в таком случае или нет... просто на каждом углу теперь wireguard рекомендуют, а чем он тогда лучше?

так интрига в том, что меньше ли накладных расходов в таком случае или нет... просто на каждом углу теперь wireguard рекомендуют, а чем он тогда лучше?

Он лучше, чем ipsec_тоннели на устройствах, где нет поддержки ipsec hardware offloading. Например, на Rb951 - хорошая, в принципе, коробка, но на ipsec уже 20 Мб - ЦПУ в потолок. Еще он значительно проще, чем IKEv2 настраивается и имеет интерфейс (для всяких там OSPF). ПРи этом - stateless, что иногда удобно, а иногда не очень. + значительно менее гибкий, чем тот же Ikev2

Всем привет! Только начал осваивать Микротик, хочу попросить помощи. (извиняюсь, если где-то буду путаться в терминах, я слаботочник). Пытаюсь разобраться со следующей схемой. Vlan'ы на микроте я вроде настроил. С микротика пингую обе камеры, но я не понимаю что надо прописать в Firewall, чтобы мой комп "видел" обе камеры. Или в IP->Routes надо что-то прописать.

Всем привет! Только начал осваивать Микротик, хочу попросить помощи. (извиняюсь, если где-то буду путаться в терминах, я слаботочник). Пытаюсь разобраться со следующей схемой. Vlan'ы на микроте я вроде настроил. С микротика пингую обе камеры, но я не понимаю что надо прописать в Firewall, чтобы мой комп "видел" обе камеры. Или в IP->Routes надо что-то прописать.

Шлюз до сети камер на вашем компе прописать через микротик

Чего то какое масло масленное

У 99.50 какой шлюз

Всем привет! Только начал осваивать Микротик, хочу попросить помощи. (извиняюсь, если где-то буду путаться в терминах, я слаботочник). Пытаюсь разобраться со следующей схемой. Vlan'ы на микроте я вроде настроил. С микротика пингую обе камеры, но я не понимаю что надо прописать в Firewall, чтобы мой комп "видел" обе камеры. Или в IP->Routes надо что-то прописать.

зачем делать Vlan?

зачем делать Vlan?

Это условная схема, вместо камер допустим компы.

У 99.50 какой шлюз

99.60

99.60

Проверяйте каждый сегмент отдельно.

Это условная схема, вместо камер допустим компы.

зачем вланы для камер или для компов?

если только у Вас не тысячи камер и ПК

если только у Вас не тысячи камер и ПК

Около 2000 устройств.)

Видео, СКУД, ip-домофония, ПК

у меня 3500 и речь о вланах ни разу не подымалась

у меня 3500 и речь о вланах ни разу не подымалась

зря, ИМХО. Боюсь представить какой там бродкаст летает

настройки на скрине не соответствуют схеме

настройки на скрине не соответствуют схеме

Подскажите где, туплю.

Подскажите где, туплю.

для начала добавьте ether1 в бридж

Привет. вопрос. КАК на микроте ЗАПРЕТИТЬ весь доступ из вне к определённому IP адресу (опр устройству). чтоб никто и никак не могли залезть на него...

chain=forward dst-adress=xxxx action=drop in-interface=WAN ?

Привет. вопрос. КАК на микроте ЗАПРЕТИТЬ весь доступ из вне к определённому IP адресу (опр устройству). чтоб никто и никак не могли залезть на него...

пока не прийдет вахтер и не сменит айпишник

а так полно вариантов

пока не прийдет вахтер и не сменит айпишник

ip устройству назначен! не должен изменить

ip устройству назначен! не должен изменить

ну ну... ок ок... а ярлычок с РДП есть в пуске?

chain=forward dst-adress=xxxx action=drop in-interface=WAN ?

попробуем, спасибо!

ну ну... ок ок... а ярлычок с РДП есть в пуске?

нет)

попробуем, спасибо!

там можно и интерфейс лист повесить. Всё зависит от схемы сети

Уважаемы гуру Микротика! Подскажите пожалуйста! Развернул у себя suricata на базе selks 7. Передаю с маршрутизатора CCR1039-8G-2S+ копию трафика обернутого в TZSP. На сервере данный трафик ловлю, преобразовываю в стандартное зеркало, и кидаю на виртуальный интерфейс eth10 использовал 2 способа: tzsp2pcap -f | tcpreplay-edit --mtu=3000 --mtu-trunc -i eth10 - trafr -s | tcpreplay-edit --mtu=3000 --mtu-trunc -i eth10 - В обоих случаях наблюдаю значительную потерю пакетов, с помощью iftop на входящем интерфейсе наблюдаю скорость в 250 мегабит/сек на eth10 всего 205кб/сек. Вопрос в следующем, чем еще можно преобразовать TZSP трафик от микрота? или же в разрез полюбому ставить коммутатор с port mirroring...

В 7.1.5 нормально работал. В 7.2 ломает подключение к микротику. Если подключаться по ip, то винбокс почти гарантированно крашит роутер, ssh - как повезёт. Если на роутер по маку заходить - всё ок. Ну или если с роутера сгенерить какой-то трафик fetch- ем например - тоже зависнет При этом на forward всё, включая cake отлично работает

Ставил 7.2, новый winbox не крашит роутер. По крайней мере у меня₽

Ставил 7.2, новый winbox не крашит роутер. По крайней мере у меня₽

Крашит не Winbox как таковой. Крашит включенная очередь типа Cake, когда роутер генерит чуть больше, чем чуть-чуть Output трафика. Winbox просто самый распространенный и самый неприятный с точки зрения рядового пользователя сценарий Тема на форуме: https://forum.mikrotik.com/viewtopic.php?t=184944 Со своей стороны подтверждаю на нескольких личных устройствах (ac2, hex, lhg LTE)

для начала добавьте ether1 в бридж

Добавил, но пинг все равно не идет.

Добавил, но пинг все равно не идет.

а теперь последовать совету выше и всем клиентам прописать в качестве шлюза адреса вашего роутера в соответствующих виланах

Добавил, но пинг все равно не идет.

Так же у вас на схеме адресация на длинке а по скринам в а микротике

а какой winbox лучше работает под wine? 32 или 64 бита?

а какой winbox лучше работает под wine? 32 или 64 бита?

Оба.