всем привет, с проблемы с ip телефонами, ощущение что сессия зависает, как решить подскажет кто?

Конекшены сбрасывать?

Конекшены сбрасывать?

да

Тоже проблема с l2tp с ipsec

Кто знает что произошло ?

Кто знает что произошло ?

Проверьте без IPsec. Посмотрите анализатором трафика приходят ли весь трафик что уходит с другой стороны.

Без аиписек все работает

Без аиписек все работает

Если часть трафика не доходит то скидывайте дампы оператору и спрашивайте. Если ответ не устроит в РКН

Ещё одна загадка ))) Скрипт автоапдейта есть ?

Нет

Нет

Ну загадка. Уже не первое подобное сообщение.

Вопрос тем кто в ростовской области - на мобильных операторах у вас работает L2TP+IPSEC?

Краснодар. Также проблема подключения с л2тп + ипсек в Билайн и МТС. Хотя микрот - микрот подключается. Из Ставрополя (прова не знаю) в Крд подключение прошло. Также проблема на РТК, но там это перманентно. Причем как-то странно. Иногда первая фаза ипсек проходит, иногда нет. Икев2 из крд в амстердам проходит, л2тп + ипсек - нет.

⚡⚡⚡ С фронтов рунета пишут, что есть подозрение, что прям сейчас в некоторых регионах тестируют блокировку популярных протоколов VPN. С двух мест: Западная Сибирь и Краснодар наблюдается, что серверы на l2TP и IPsec недоступны. Также, из Ростова-на-Дону сообщают, что IPsec недоступен

⚡⚡⚡ С фронтов рунета пишут, что есть подозрение, что прям сейчас в некоторых регионах тестируют блокировку популярных протоколов VPN. С двух мест: Западная Сибирь и Краснодар наблюдается, что серверы на l2TP и IPsec недоступны. Также, из Ростова-на-Дону сообщают, что IPsec недоступен

По европейской части IPsec пока живет. (#offtopic) Об этом узнали отсюда ИМХО.

Местами ещё 443 порт блочат. Как выбирают я не в курсе

Местами ещё 443 порт блочат. Как выбирают я не в курсе

Эм.. 443 это же ышшо и банальный HTTPS, не?

Эм.. 443 это же ышшо и банальный HTTPS, не?

Может DoHS хотят расковырять

Может DoHS хотят расковырять

Типа кому не нравится - ставьте хромогоГОСТ?

Давайте без паники и без офтопа. Пока законодательно не примут ругайтесь на операторов в РКН и прокуратуру. Все вернут сразу.

А где почитать об аппаратной поддержке всяких шифрований для тоннелей на x86 ?

Ребята, я месяц назад здесь писал, что у меня перестали цепляться road warrior клиенты по l2tp и l2tp+ipsec. При этом site to site между микротиками работал стабильно. Сервер был на Ростелекоме. И вот 2 недели назад я вернулся к танцам с бубном, и оно опять начало работать на ROS7.

Российские власти приступили к тестированию блокировки популярных протоколов VPN: IPsec и IKEv2, пишет проект GlobalCheck. Сейчас тест проходит в отдельных регионах – Западной Сибири и на юге России (В Ростове-на-Дону и Краснодаре)

а нельзя как-нибудь shadowsocks к микротику прикрутить?

а нельзя как-нибудь shadowsocks к микротику прикрутить?

Когда docker допилят думаю можно будет не только shadowsocks)

Российские власти приступили к тестированию блокировки популярных протоколов VPN: IPsec и IKEv2, пишет проект GlobalCheck. Сейчас тест проходит в отдельных регионах – Западной Сибири и на юге России (В Ростове-на-Дону и Краснодаре)

давно пора, ведь именно ипсеком обходят блокировки ркн

давно пора, ведь именно ипсеком обходят блокировки ркн

ага а еще айписеком корпоративные сети строят, банк-клиенты часто работают...

этак stonnel / ssh отваливаться будут?

/rules

Доброго времени суток. Есть MT с белым ip за ним есть ещё MT на нем нужно поднять wireguard На первом dst-nat в ip и порт ( такой же как listen) На клиентском ( уже 3 микрот) указывают белый ip порт Не заводится, в чем может быть затык? Проблема в nat, но не могу понять что не так.

Доброго времени суток. Есть MT с белым ip за ним есть ещё MT на нем нужно поднять wireguard На первом dst-nat в ip и порт ( такой же как listen) На клиентском ( уже 3 микрот) указывают белый ip порт Не заводится, в чем может быть затык? Проблема в nat, но не могу понять что не так.

На роутере /ip firewall nat add action=dst-nat chain=dstnat dst-address-list=WAN_IP dst-port=WIREGUARD_PORT protocol=udp to-addresses=LOCAL_IP_WIREGUARD На wireguard сервере указываете LOCAL_IP_WIREGUARD в качестве listen адреса

Доброго времени суток. Есть MT с белым ip за ним есть ещё MT на нем нужно поднять wireguard На первом dst-nat в ip и порт ( такой же как listen) На клиентском ( уже 3 микрот) указывают белый ip порт Не заводится, в чем может быть затык? Проблема в nat, но не могу понять что не так.

суть dst-nat в том, чтобы изменить адрес назначения пакета с роутера на локальный айпи внутри сети. Соответственно сервис должен "слушать" локальный айпи на своем интерфейсе. У вас, я так понял, клиентский микрот пытается повесить службу на айпишник, который ему не принадлежит.

Сервер слушает свой ип и порт в пирах Клиенту указываем в пирах внешний сервера(ната, до проброски ) Верно?

Только в пирах мы указываем адреса «с другой стороны»

суть dst-nat в том, чтобы изменить адрес назначения пакета с роутера на локальный айпи внутри сети. Соответственно сервис должен "слушать" локальный айпи на своем интерфейсе. У вас, я так понял, клиентский микрот пытается повесить службу на айпишник, который ему не принадлежит.

Клиент Allow сервер (интерфейс wg) и сеть за ним

Верно?

Верно?

[[src][dst][port]] 1. Пакет [[3.3.3.3][1.1.1.1]] прилетает из интернета на роутер 2. Роутер смотрит в dst-nat, находит походящее правило (совпадает порт и адрес назначения 1.1.1.1) и выполняет. 3. Пакет превращается в [[3.3.3.3][192.168.1.100]], и перенаправляется новому адресату внутри сети в соответствии с таблицей маршрутизации, соединение записывается в conntrack. 4. Сервер wireguard получает пакет [[3.3.3.3][192.168.1.100]], понимает что это ему, так как адрес назначения прнадлежит его интерфейсу. Сервер может "слушать" только свои адреса и ничего не знает про белый айпишник роутера до ната. 5. Wireguard сервер получает пакет на свой айпишник где слушает порт и формирует ответный пакет [[192.168.1.100][3.3.3.3]] который вероятно полетит в деполтный маршрут на роутер. 6. Роутер поймает пакет, сверит с conntrack, подменит src адрес обратно на свой сделав пакет [1.1.1.1][3.3.3.3]] и перешлет инициатору соединения, возвращая нас к пункту 1

Мы видимо не понимаем друг друга

Клиент Allow сервер (интерфейс wg) и сеть за ним

allowed address в wireguard это адреса клиентов, которые могут подключаться к вашему серверу (3.3.3.3). В качестве endpoint вам нужно указать локальный айпи адрес микрота с wireguard (192.168.1.100)

А соединение кто поднимать будет если с обоих сторон по вашей логике endpoint это локальный адрес?

из wiki /interface/wireguard/peers add allowed-address=lan endpoint-address=внешка endpoint-port=13231 interface=wireguard1 \ public-key="ххх"

А соединение кто поднимать будет если с обоих сторон по вашей логике endpoint это локальный адрес?

да, гоню, ендпоинт конечно удаленный хост

т.е. с одной стороны wg без конкретного ip (клиент) телефон к примеру в нем я указывают если бы без ната endpoint=внешний ip другой стороны (сервера) c другой стороны endpoint пустой. т.к. он неизвестен и это работает

как только сервер перемещаем за NAT то все, не работает. не смотря на то что на нате мы прописали что внешка:13231 dst в локальный адрес

так понимаю работать не будет когда один серый другой за натом.

т.е. с одной стороны wg без конкретного ip (клиент) телефон к примеру в нем я указывают если бы без ната endpoint=внешний ip другой стороны (сервера) c другой стороны endpoint пустой. т.к. он неизвестен и это работает

а в цепочке forward у вас разрешено пробрасываемое соединение?

Конечно

Конечно

а пакеты долетают до ваергард сервера?

Что -то долетает, надо дебажить глубже что летает. Но вопрос был сходу может кто делал

давно пора, ведь именно ипсеком обходят блокировки ркн

Пересчет тех кто не понимает сарказм

Доброго времени суток. Есть MT с белым ip за ним есть ещё MT на нем нужно поднять wireguard На первом dst-nat в ip и порт ( такой же как listen) На клиентском ( уже 3 микрот) указывают белый ip порт Не заводится, в чем может быть затык? Проблема в nat, но не могу понять что не так.

схема почти такая же , подключитесь к микроту с WG из локалки если RX трафик идет то все работает

Так у меня тоже все работает, но сервер если за нат то нет. Позже половлю что ходит. Вообще. Типа хендщейк наверно безответный

Так у меня тоже все работает, но сервер если за нат то нет. Позже половлю что ходит. Вообще. Типа хендщейк наверно безответный

У меня сервер за натом работает.

У меня сервер за натом работает.

Можно конфу firewall (ната) и wg сервера?

Можно. Только могу часов через 5-7. У меня глубокая ночь.

Всем спасибо, разобрался

Доброго дня. Подскажите как делается правильно приоретизация трафика. В моем случае есть ip туннель в 100мбит, и нужно в приоритет поставить IP атс. Делал на simple Queue, сперва создал очередь общую, в Dst указал сам интерфейс туннеля, выбрал приоритет 8. Потом создал дочернюю очередь, Target IP сервера, dst пусто, приоритет 1. С указанием скоростей.

Настройка QOS для телефонии на MikroTik. - Asterisk IP-телефония https://voxlink.ru/kb/linux/nastrojka-qos-dlja-telefonii-na-mikrotik/

Настройка QOS для телефонии на MikroTik. - Asterisk IP-телефония https://voxlink.ru/kb/linux/nastrojka-qos-dlja-telefonii-na-mikrotik/

Спасибо!

Единственный момент Настраивать нужно на обоих концах? Где то читал что очереди работают только на отправку.

Единственный момент Настраивать нужно на обоих концах? Где то читал что очереди работают только на отправку.

А как вы себе представляете сбор и распределение входящих пакетов перед получением на интерфейс, если они к вам ещё не попали?

А как вы себе представляете сбор и распределение входящих пакетов перед получением на интерфейс, если они к вам ещё не попали?

на этапе прероутинга?

на этапе прероутинга?

А очередь на каком этапе работает?

Картинка, чтобы проще было

Картинка, чтобы проще было

Ну значит подтвердились ожидания Спасибо

На фоне свежих новостей про блокировку openvpn- на что перейти что бы продолжал работать канал от Linux сервера к mikrotik?

На фоне свежих новостей про блокировку openvpn- на что перейти что бы продолжал работать канал от Linux сервера к mikrotik?

OVPN тоже пострадал?

OVPN тоже пострадал?

Ещё нет, но хочу подготовиться

На фоне свежих новостей про блокировку openvpn- на что перейти что бы продолжал работать канал от Linux сервера к mikrotik?

А как они хотят блокировать, на уровне порта или анализа пакета?

А как они хотят блокировать, на уровне порта или анализа пакета?

Очевидно же что по анализу пакета, иначе смысла нет

Очевидно же что по анализу пакета, иначе смысла нет

Ну в России много что бессмысленно, особенно в ИТ и Блокировки ресурсов.

Ну в России много что бессмысленно, особенно в ИТ и Блокировки ресурсов.

Согласен. Но возможно они всерьёз взялись за интернет, а не как раньше

Согласен. Но возможно они всерьёз взялись за интернет, а не как раньше

Тут я поспорю, как раньше!

Тут я поспорю, как раньше!

Всегда не верится что там одни дебилы работают. Но каждый раз я ошибаюсь - реальные дебилы

Очевидно же что по анализу пакета, иначе смысла нет

А как поймут по пакету что это ovpn ?

Оффтоп...

На фоне свежих новостей про блокировку openvpn- на что перейти что бы продолжал работать канал от Linux сервера к mikrotik?

Шифрованные каналы можно строить не только на openvpn

Давайте без паники и без офтопа. Пока законодательно не примут ругайтесь на операторов в РКН и прокуратуру. Все вернут сразу.

Давайте закроем офтоп .

Доброго дня, у кого-то получалось добиться скорости выше 300мбит на cAP ac? Я пробовал как v6 так и v7 и результаты не радуют. конфиг: https://paste.centos.org/view/ab6f3c7f

Добрый день. Подскажите, пожалуйста, как будут работать коммутаторы Микротик между собой, если я на одном из них задействую протокол MSTP, а на оставшихся будет RSTP? Есть в этом случае какие-то подводные камни, проблемы? Сто может работать не верно?

Пока пришел к мнению что нет MU-MIMO - нет высоких скоростей. А wave2 до сих пор не допилили на 7ке

Столкнулся с нестандартной ситуацией - связка Huawei и Микротик через 2 L2 линка разных провайдеров. На хуавей протокол MSTP, пытаюсь подружить с Микротиком своим ))

у провайдера л2туннелирование просил?