Коллеги, разрешите чайниковский вопрос. Если я создаю правило dstnat и в нем указываю Src. Adress. List означает ли это что траффик пойдет через эту ветку только тот, который подет от хостов указанных в адреслисте и фаерволить этот поток не обязательно так как он уже ограничен адрес листом?

Коллеги, подскажите почему может PCQ очередь дропать пакеты, если канал свободен? По факту 300Мбит/с в канале, проставлены ограничения в 300мбит. В канале бегает 100-120Мбит/с - в статистике дропы растут. И видно как пропадают пинги к внешним ресурсам.

Если у вас нормально закрытый файрвол (есть финальные правила в цепочках forward и input - drop all) - то не надо!

Если у вас указан rate, то отдельные потоки могут его превышать. Если нет - там ещё есть максимальная длина очереди в пакетах и байтах, по-моему, они на поток; тоже могут переполняться

Количество потоков по-моему не регулируется? Там только объёмы очереди

А какая связь? Я правильно понимаю глядя на картинку, что траффик за прероутинг вообще дальше не пойдет в эанном случае?

Не совсем вас понял.. очень даже пойдет. В прероутинге применяется дст-нат. затем принимается решение о роутнге (куда направить трафик) затем трафик уходит или в цепочку форвард или в инпут

Коллеги, подскажите почему может PCQ очередь дропать пакеты, если канал свободен? По факту 300Мбит/с в канале, проставлены ограничения в 300мбит. В канале бегает 100-120Мбит/с - в статистике дропы растут. И видно как пропадают пинги к внешним ресурсам.

А если хост не входит в сорс лист но все равно обращается к тому порту что указанан в dstna ограничениый сорслистом что с ним будет происходить?

где родительская очередь для PCQ ? очередь интерфейса ?

Ваше правило не применится т.к. условия применения правила не выполнены - хост не входит в список. А дальше применяется то что у вас в файрволе нарулено кроме этого вашего правила :) я же не знаю что у вас там.

Ага, понял. То есть просто пройдет сквозняком прероутинг и дальше уже по стрелочкам. Спасибо )

Да, очередь интерфейса провайдера.

число пакетов в очереди PCQ и число пакетов и максимальное число пакетов в очереди исходящего интерфейса сравните — ну и настройки бы посмотреть

В Interface queues на vlan провайдера выставлен no-queue. На SFP провайдера стоит only-hardware-queue. queue simple add bucket-size=0.5/0.5 dst=vlan755 limit-at=300M/300M max-limit=300M/300M name=00_parent_ISP1_DiDi queue=\ pcq-upload-default/pcq-download-default target=10.0.0.0/23,172.16.0.0/23,10.0.17.0/26,10.0.18.0/24

поставьте fifo с большим числом пакетов, в идеале равному тому что может SFP-интерфейс по буферам приема передачи

есть модель sfp, SFP-WDM.DDM5.03, быстро найти размер её буфера не смог. Какие настройки стоит влупить?

начните с 1024/2048 пакетов по 1500 байт

ОК. На провайдерский vlan поставить?

а сами pcq - очереди не тюнились, может в них просто не хватает длины очереди ? — там как бы по умолчанию не сильно много насколько я помню

ну да, попробуйте

логично, очередь должна тюнится на родителе - но печаль тоска

Воть...

число пакетов то такое на интерфейсе в сторону оператора ?

А вы upload и download очереди не перепутали местами? Я всегда думал, что они указываются down/up, а сейчас проверить не могу

В Total Queue Type стояла очередь default-small. Поменял на default и поднял в настройках размер до 30к пакетов. Стало сильно лучше.

при этом надо внимательно следить за CPU

а в Ip - route у вас есть дефолтный маршрут в таблице main?

Если один из удалённых точек имеет дин. Ip и nat перед ним, то ospf не поднять на ovpn ?

я про маршрут до 0.0.0.0/0 без маркировки

Нету, Только для провайдера 1 и провайдера 2

т.е. микротик не знает, куда отправить пакет, чтобы добраться до cloud mikrotik. Либо промаркируйте в mangle output трафик. либо добавьте дефолтный маршрут до нулей в таблице main

т.е. микротик не знает, куда отправить пакет, чтобы добраться до cloud mikrotik. Либо промаркируйте в mangle output трафик. либо добавьте дефолтный маршрут до нулей в таблице main

Прошу помощи. 1. на микротике создан гостевой бридж для вайфая. 2. в capsman добавил конфигурацию для гостевой сети, кроме каналов, все настроено свое. в гостевой бридж попадают виртуальные точки 3. для гостевого бриджа выдан адрес 172,31,0,1/24, создан dhcp, выдающий адреса из этого диапазона, там же прописаны днс(172,31,0,1, 5,3,3,3). 4. в фаерволе созданы правила, разрешающие доступ на порт 67, 53, а также правило форвард из гостевого бриджа к интерфейс-листу wan, где находятся оба провайдера. итого: клиенты без проблем получают адреса, о правилам успешно ходят пакеты, но интернета в гостевой сети нет. что я делаю не так?

где трейсроут?

у вас первый хоп не отвечает - разбирайтесь

куда копать?

куда копать?

предположения есть?

буквой зю?

если мы будем гадать - то начну с предположения, - походу у вас кабель не подключен...

давай уже конфиг свой на пэйстбин

о, слив паролей пошёл