Ибо 90% сети сейчас на https а чтобы сквид увидел надо делать sslbump

Не обязательно.

squid умеет peek and splice делать.

А где можно прочитать о таких конструкциях?

Ну в кратце шобы все ходили через прокси, а некоторые напрямую

Ну в кратце шобы все ходили через прокси, а некоторые напрямую

squid

ад дружит, ссо поддерживает, эксклюды поддерживает и тд и тп 😊

Сквид с авторизацией в домене

Можно на уровне групп ад рулить

Можно на уровне групп ад рулить

нужно😉

squid

Т.е. сквид ещё и шлюзом должен быть?

Т.е. сквид ещё и шлюзом должен быть?

Нет прокси

А как быть с хостами и приложениями которые не должно знать про прокси?

Напиши в лс

Т.е. сквид ещё и шлюзом должен быть?

байпас шлюз указать для них

WPAD в помощь

:-0

Или могу в лс позвонить рассказать

https://habr.com/ru/company/vk/blog/259521/

но он врроде только по таргету работает

Почитаю . Спс

Всем привет. Не могу подружить радиус с микротом. Есть где только во описано как сделать. Кидайте в личку

Решил проблему. До смешного проста и в тоже время удивительна

Всем привет, кто может поделиться рабочим скриптом для ROS7 который делает бинарный бэкап и текстовый конфиг на почту.

Всем привет, кто может поделиться рабочим скриптом для ROS7 который делает бинарный бэкап и текстовый конфиг на почту.

https://pastebin.com/h076aY9x

https://pastebin.com/h076aY9x

спасибо, проверю)

Ставил этот скрипт на работе, присылает на почту бекап, экспорт и логи.

Всем привет, кто может поделиться рабочим скриптом для ROS7 который делает бинарный бэкап и текстовый конфиг на почту.

Кстати, не увидел сразу, что спрашивал про ROS7. Скрипт на седьмой не проверял, но должно работать.

Я правильно понимаю, что микротик запрашивает только один из dns-серверов (если он, конечно, отвечает)? Это можно обойти? Предположим что с одного девайса активны 3 vpn-канала, на каждом из которых свои статические записи. Как это заставить работать?

Я правильно понимаю, что микротик запрашивает только один из dns-серверов (если он, конечно, отвечает)? Это можно обойти? Предположим что с одного девайса активны 3 vpn-канала, на каждом из которых свои статические записи. Как это заставить работать?

Скриптом проверять доступность и удалять из настроек днс. Это первое что приходит в голову. А по какой причине недоступность может быть?

Скриптом проверять доступность и удалять из настроек днс. Это первое что приходит в голову. А по какой причине недоступность может быть?

Я опять не могу правильно сформулировать, вы меня не поняли. Пример: srv1.local висит на канале vpn1, srv2.local висит на vpn2 и т.д. и т.п. При коннекте на vpn1 микротик получает адрес dns-сервера, на котором разрешается srv1.local, но не разрешается srv2.local. При коннекте на vpn2 - соответственно получет сервер, знающий srv2.local и не знающий srv1.local. Когда активны оба vpn канала - разрешение обоих имён (srv1.local и srv2.local) идёт только через один из серверов, т.е. одно из имён всегда оказывается неизвестно. Можно ли как-то работать с обоими dns-серверами сразу?

Я опять не могу правильно сформулировать, вы меня не поняли. Пример: srv1.local висит на канале vpn1, srv2.local висит на vpn2 и т.д. и т.п. При коннекте на vpn1 микротик получает адрес dns-сервера, на котором разрешается srv1.local, но не разрешается srv2.local. При коннекте на vpn2 - соответственно получет сервер, знающий srv2.local и не знающий srv1.local. Когда активны оба vpn канала - разрешение обоих имён (srv1.local и srv2.local) идёт только через один из серверов, т.е. одно из имён всегда оказывается неизвестно. Можно ли как-то работать с обоими dns-серверами сразу?

В профиле для ppp на сервере можно указать какие днс выдавать клиентам. На сервере настроить fw и маршрутизацию до выдаваемых днс.

Всем привет. нужен HELP есть подсеть 20.20.2.0/24 . нужно им запретить доступ к серверу 20.20.0.20(чтоб не пинговался даже:) но разрешить выход в инет.

Всем привет. нужен HELP есть подсеть 20.20.2.0/24 . нужно им запретить доступ к серверу 20.20.0.20(чтоб не пинговался даже:) но разрешить выход в инет.

ip - firewall +

Чатик, подскажи, для RBwAPR-2nD в доке указана допустимая ambient температура до 60C. Какую примерно температуру будет показывать само устройство, в случае окружающей около 50С? У меня сейчас одно устройство показывает, что его температура больше 80, при этом окружающая около 40. Ему вообще от таких температур (от 80C) не поплохеет? А сейчас лето ещё не в самом разгаре.

Всем привет. нужен HELP есть подсеть 20.20.2.0/24 . нужно им запретить доступ к серверу 20.20.0.20(чтоб не пинговался даже:) но разрешить выход в инет.

никак. Только если на самом сервере. или если бридж на микроте то через фильтр бриджа. по мак адресам и портам. но если хотите правильно сделать то выносите сервер в отдельную подсеть с вланами и рулите ip fw

Чатик, подскажи, для RBwAPR-2nD в доке указана допустимая ambient температура до 60C. Какую примерно температуру будет показывать само устройство, в случае окружающей около 50С? У меня сейчас одно устройство показывает, что его температура больше 80, при этом окружающая около 40. Ему вообще от таких температур (от 80C) не поплохеет? А сейчас лето ещё не в самом разгаре.

ну как вам ответить... со здравым смыслом? или с научной точки зрения? - с научной точки зрения вероятность "поплохеет" = 50/50. или да или нет. - здравый смысл говорит, что пластик плавится выше 200-250, а чипы отваливаются от 300. но при 100 градусах начнет плохеть кондерам.

ну как вам ответить... со здравым смыслом? или с научной точки зрения? - с научной точки зрения вероятность "поплохеет" = 50/50. или да или нет. - здравый смысл говорит, что пластик плавится выше 200-250, а чипы отваливаются от 300. но при 100 градусах начнет плохеть кондерам.

Ну вдруг опыт у кого есть, что при, условно, 100С у проца поплывёт логика...

никак. Только если на самом сервере. или если бридж на микроте то через фильтр бриджа. по мак адресам и портам. но если хотите правильно сделать то выносите сервер в отдельную подсеть с вланами и рулите ip fw

Дык сервер в отд прдсети

ip - firewall +

Подробней можно? Пожалуйста

никак. Только если на самом сервере. или если бридж на микроте то через фильтр бриджа. по мак адресам и портам. но если хотите правильно сделать то выносите сервер в отдельную подсеть с вланами и рулите ip fw

дык он и так в отдельной подсети. там 20,20,2 а запретить 20,20,0 по условию

Дык сервер в отд прдсети

Ах да. Ну тогда ну вот вам подсказывают.

Подробней можно? Пожалуйста

жмете +. пишете правило. срц 20,20,20.0/24 дст 20,20,0,20 action= drop chain=forward

Подробней можно? Пожалуйста

add action=drop chain=forward dst-address=20.20.0.20/32 src-address=20.20.20.0/24 add action=drop chain=forward dst-address=20.20.20.0/24 src-address=20.20.0.20/32

Дык сервер в отд прдсети

Но вы бы сети выбирали внутренние в соотвествии с рекомендациями IANA • 10.0.0.0 — 10.255.255.255 (маска подсети для бесклассовой (CIDR) адресации: 255.0.0.0 или /8) • 100.64.0.0 — 100.127.255.255 (маска подсети 255.192.0.0 или /10) - Данная подсеть рекомендована согласно RFC 6598 для использования в качестве адресов для CGN (Carrier-Grade NAT). • 172.16.0.0 — 172.31.255.255 (маска подсети: 255.240.0.0 или /12) • 192.168.0.0 — 192.168.255.255 (маска подсети: 255.255.0.0 или /16)

add action=drop chain=forward dst-address=20.20.0.20/32 src-address=20.20.20.0/24 add action=drop chain=forward dst-address=20.20.20.0/24 src-address=20.20.0.20/32

Спасибо!

жмете +. пишете правило. срц 20,20,20.0/24 дст 20,20,0,20 action= drop chain=forward

Спасибо!

Но вы бы сети выбирали внутренние в соотвествии с рекомендациями IANA • 10.0.0.0 — 10.255.255.255 (маска подсети для бесклассовой (CIDR) адресации: 255.0.0.0 или /8) • 100.64.0.0 — 100.127.255.255 (маска подсети 255.192.0.0 или /10) - Данная подсеть рекомендована согласно RFC 6598 для использования в качестве адресов для CGN (Carrier-Grade NAT). • 172.16.0.0 — 172.31.255.255 (маска подсети: 255.240.0.0 или /12) • 192.168.0.0 — 192.168.255.255 (маска подсети: 255.255.0.0 или /16)

Спасибо за знания! Сети выбраны в соответствии! Для чата такие цифры написал)

Ноутбуки достали, на коленке поправили :) What's new in 7.3rc2 (2022-Jun-02 15:26): *) capsman - fixed loss of manager configuration when "package-path" is set to external disk; *) l2tp - fixed L2TP session handling from iOS clients (introduced in v7.3beta40); *) ssh - fixed corrupt host key automatic regeneration;

Решил проблему. До смешного проста и в тоже время удивительна

рассказал бы как😊

Это ещё тот прикол. У меня был выключен брандмауэр. Не цеплялся. Включаю работает. 🤔

И вот ещё прикол. Только после 2 или 3 раза подключить можно

А так все гуд

Вот такие дела. Так что имейте ввиду

Может и хрень. Но, с работала

Ноутбуки достали, на коленке поправили :) What's new in 7.3rc2 (2022-Jun-02 15:26): *) capsman - fixed loss of manager configuration when "package-path" is set to external disk; *) l2tp - fixed L2TP session handling from iOS clients (introduced in v7.3beta40); *) ssh - fixed corrupt host key automatic regeneration;

Simple Queue с типом CAKE вообще не пропускает трафик. Только через MAC-winbox получилось подключиться к роутеру. Лыжи не едут.

Simple Queue с типом CAKE вообще не пропускает трафик. Только через MAC-winbox получилось подключиться к роутеру. Лыжи не едут.

Там не так. Там проблемы с Input/Output трафиком в случае если в target НЕ указан интерфейс. Если указать, то все работает как надо: /queue/simple/print Flags: X - disabled, I - invalid; D - dynamic 0 name="queue1" target=ether1 parent=none packet-marks="" priority=8/8 queue=Cake-Int-U/Cake-Int-D limit-at=0/0 max-limit=0/0 burst-limit=0/0 burst-threshold=0/0 burst-time=0s/0s bucket-size=0.1/0.1 Ну и на самом деле можно зайти на роутер через какой-то ssh, если повезет, там мало трафика и это прокатывает

Там не так. Там проблемы с Input/Output трафиком в случае если в target НЕ указан интерфейс. Если указать, то все работает как надо: /queue/simple/print Flags: X - disabled, I - invalid; D - dynamic 0 name="queue1" target=ether1 parent=none packet-marks="" priority=8/8 queue=Cake-Int-U/Cake-Int-D limit-at=0/0 max-limit=0/0 burst-limit=0/0 burst-threshold=0/0 burst-time=0s/0s bucket-size=0.1/0.1 Ну и на самом деле можно зайти на роутер через какой-то ssh, если повезет, там мало трафика и это прокатывает

О как, попробую. Я таргетом подсеть указал.

Simple Queue с типом CAKE вообще не пропускает трафик. Только через MAC-winbox получилось подключиться к роутеру. Лыжи не едут.

А суть последних апдейтов сводится к следующему: скорость надо указывать где-то в одном месте: либо скорость указывается в самих очередях и тогда в типе очереди ее указывать не надо, либо скорость указывается в типе очереди и тогда этот тип лучше вешать на интерфейс. Вот только Mikrotik не дает вешать на тот же lte Cake с autorate-ingress. Надеюсь, еще пофиксят

А суть последних апдейтов сводится к следующему: скорость надо указывать где-то в одном месте: либо скорость указывается в самих очередях и тогда в типе очереди ее указывать не надо, либо скорость указывается в типе очереди и тогда этот тип лучше вешать на интерфейс. Вот только Mikrotik не дает вешать на тот же lte Cake с autorate-ingress. Надеюсь, еще пофиксят

А у вас не найдётся чего-нибудь внятного про CAKE почитать? А то это какая-то тёмная лошадка.

А у вас не найдётся чего-нибудь внятного про CAKE почитать? А то это какая-то тёмная лошадка.

Было хорошее выступление на последнем московском НЕ-MUMе (MoUM который) Есть хорошая темка на форуме, от одного из разработчиков протокола: https://forum.mikrotik.com/viewtopic.php?t=179307 Ну и собственно сайт bufferbloat.net, но там надо долго копаться чтобы что-то найти

Было хорошее выступление на последнем московском НЕ-MUMе (MoUM который) Есть хорошая темка на форуме, от одного из разработчиков протокола: https://forum.mikrotik.com/viewtopic.php?t=179307 Ну и собственно сайт bufferbloat.net, но там надо долго копаться чтобы что-то найти

Благодарю, изучу. Луконина видел, но там как-то по верхушкам.

Всем привет. Подскажите, хочу расширить сеть /24 на /23. Сейчас сеть 25.0/24 , если я в ip - addressess - вместо 25.0/24 поставлю 4.0/23 сеть не ляжет на устойствах, все так же будет работать?

Всем привет. Подскажите, хочу расширить сеть /24 на /23. Сейчас сеть 25.0/24 , если я в ip - addressess - вместо 25.0/24 поставлю 4.0/23 сеть не ляжет на устойствах, все так же будет работать?

Ip pool Adresses Dhcp Просто в адресах пропишешь ляжет конечно)))

Всем привет. Подскажите, хочу расширить сеть /24 на /23. Сейчас сеть 25.0/24 , если я в ip - addressess - вместо 25.0/24 поставлю 4.0/23 сеть не ляжет на устойствах, все так же будет работать?

Раз ты шлюз меняешь, пока клиенты по дхцп не обновят свои данные, должно упасть...

Раз ты шлюз меняешь, пока клиенты по дхцп не обновят свои данные, должно упасть...

ну по идее айпишники будут в одном диапазоне...

ну по идее айпишники будут в одном диапазоне...

ип в одном, но шлюз у клиентов то старый

ип в одном, но шлюз у клиентов то старый

а шлюз останется

старый

а шлюз останется

Тогда должно работать, сделай, расскажешь нам....

Всем привет. Подскажите, хочу расширить сеть /24 на /23. Сейчас сеть 25.0/24 , если я в ip - addressess - вместо 25.0/24 поставлю 4.0/23 сеть не ляжет на устойствах, все так же будет работать?

Можно роутеру дать два IP адреса, из старой и из новой подсети. Тогда клиенты не отвалятся.

Можно роутеру дать два IP адреса, из старой и из новой подсети. Тогда клиенты не отвалятся.

Шлюз роутера не изменится 25.1 он будет как раз в диапазоне 24.0/23

вы писали вместо 25.0/24 поставлю 4.0/23, здесь подразумевается, что подсети не пересекаются

Всем привет. Подскажите что ещё надо открыть? Гре тунель между сетями, в fw открыт порт 3389 и гре. При попытке подключения по рдп к удалённому пк пакеты грохает стандартное правило drop invalid. Какой порт / протокол нужно ещё разрешить? Fw дефолтный

Какая то беда на сети. Поэтому и инвалиды. Костыль - добавить ip rdp в исключение правила дропа инвалидов. А потом разбираться откуда они валятся

Причин много. Может сетевуха глючить, коммутатор, или адресация с маршрутами кривые

Всем привет. Подскажите что ещё надо открыть? Гре тунель между сетями, в fw открыт порт 3389 и гре. При попытке подключения по рдп к удалённому пк пакеты грохает стандартное правило drop invalid. Какой порт / протокол нужно ещё разрешить? Fw дефолтный

В каких-то версиях открывать гре нужно было до дропа инвалидов. Поднимите правило.

В каких-то версиях открывать гре нужно было до дропа инвалидов. Поднимите правило.

Спасибо, попробую До сих пор рабочий вариант)))

Что нового в Winbox in v3.36: *) fix issue with non existing records still in winbox ros7 *) fix Graphing and Quickset graphs *) fix neighbour table filter "all" storage if other was stored previously *) fix filter combobox saving/restoring *) fix wifiwave2 Frequency field *) show error if file upload not enough space *) fix some vpls fields with required "&" prefix *) fix sent default value for disabled wireless EAP Methods field *) do not set some firewall fields by not sending their values when hidden *) fix managed list category grouping when value is ip with port *) do not dump connection info to stdout when disconnected *) fix some field update if it was changed and disabled *) fix menu missing icon if some submenus are hidden in skin *) fix skin for Add button with dropdown

Класс. А когда лого чата сменится ?)

Класс. А когда лого чата сменится ?)

когда сюда придут figma хипстеры )