Отлично! Много ресурсов выгадали?
по ощущениям отклик ускорился
olegon.ru
Glue
вирусню надо с компов убирать, а не таймауты крутить
olegon.ru
ну вот, уже какая-то информация :) я был убежден, что правильно поступил
Maxim
RB3011, 20 устройств
olegon.ru
у меня еще веб-сервер внутри, достаточно нагруженный
olegon.ru
но идею понял, спасибо
olegon.ru
правильно я понимаю, что если, например, телефон установил TCP-соединение с сервисом, а потом выключил WiFi, то это соединение будет висеть сутки, пока не закроется? Я про настройки выше
tcp-established-timeout: 1d
ꕶ𝘵𝐚𝓷¡𝗌𝓁𝐚𝑣
Здравствуйте коллеги, у кого ни-будь был опыт использования MLAG на РоутерОС7 ? На сколько он работоспособен в проде?
Maxim
правильно я понимаю, что если, например, телефон установил TCP-соединение с сервисом, а потом выключил WiFi, то это соединение будет висеть сутки, пока не закроется? Я про настройки выше
tcp-established-timeout: 1d
Да, если при выключении wifi телефон не даёт команду приложению закрыть все соединения т.к. сервис выключается.
olegon.ru
Да, если при выключении wifi телефон не даёт команду приложению закрыть все соединения т.к. сервис выключается.
то есть, если рутер смотрит в инет, то достаточно легко DDoS устроить, не обрывая соединение?
Maxim
то есть, если рутер смотрит в инет, то достаточно легко DDoS устроить, не обрывая соединение?
да, вопрос лишь в том, сколько ресурсов занимает такое соединение
olegon.ru
да, вопрос лишь в том, сколько ресурсов занимает такое соединение
ну, достаточно ботом в кучу потоков через прокси пройти SYN-ASK эти для установки соединения на открытом порту до миллиона и все, так ведь?
olegon.ru
да
простая математика показывает, что при скорости 100 соединений в секунду это можно сделать за 3 часа, при установке же tcp-established-timeout в 1 час и блокировке SYN-атаки старые начнут сбрасываться
Dmitry
ну, достаточно ботом в кучу потоков через прокси пройти SYN-ASK эти для установки соединения на открытом порту до миллиона и все, так ведь?
вы просто не сталкивались еще с тем, что например - кто-то будет например формировать большой отчет и ему будет нужен большой timeout.
olegon.ru
вы просто не сталкивались еще с тем, что например - кто-то будет например формировать большой отчет и ему будет нужен большой timeout.
вот тут keep-alive со стороны сервера и все...
Dmitry
если вас так беспокоит проблема большого числа соединений в единицу времени, это нормально ограничивается тем же firewall filter
olegon.ru
если вас так беспокоит проблема большого числа соединений в единицу времени, это нормально ограничивается тем же firewall filter
при нескольких сотнях тысяч прокси это не помогает, реальный мой случай :(
Dmitry
при нескольких сотнях тысяч прокси это не помогает, реальный мой случай :(
раз вы столкнулись с такой проблемой - вам нужен NGFW, а не mikrotik
olegon.ru
раз вы столкнулись с такой проблемой - вам нужен NGFW, а не mikrotik
на 20 юзеров? :) ну такое себе...
а проксевую такую атаку достаточно недорого сделать, чтобы каждому дома гранатомет держать
Dmitry
на 20 юзеров? :) ну такое себе...
а проксевую такую атаку достаточно недорого сделать, чтобы каждому дома гранатомет держать
при 20 пользователях - прекратить страдать ерундой
olegon.ru
при 20 пользователях - прекратить страдать ерундой
так им и скажу :) мне уже и канал забивали, и сотнями проксей атаковали, так и скажу - ерунда, что паритесь
ладно, это уже оффтоп пошел, но я все же порекомендовал бы сам себе tcp-established-timeout снизить до пары часов
Геннадий
Геннадий
раз вы столкнулись с такой проблемой - вам нужен NGFW, а не mikrotik
до разумных пределов арма тика хватает купировать проблему, но в целом да, 5505/5506 надо хотябы
Innokentiy
Геннадий
устанавливать соединения и рвать без уведомления
для этого есть тарпит.
колхозить что то еще ради этого глупо
Кальмарыч
до разумных пределов арма тика хватает купировать проблему, но в целом да, 5505/5506 надо хотябы
Ага.. у 5505 нет NGFW (FirePOWER), у 5506 больше не выдаются лицензии на FirePOWER, кроме самых базовых и то не факт
olegon.ru
для этого есть тарпит.
колхозить что то еще ради этого глупо
а как узнать, злой это хакер или добрый юзер? проблема-то в том, что они не отличаются
Геннадий
а как узнать, злой это хакер или добрый юзер? проблема-то в том, что они не отличаются
добрый юзер должен иметь свой микрот и например пинговать заданным размером в заданный промежуток времени, и таким образом жить в белом списке
Innokentiy
или просто поднять туннель айписец
olegon.ru
Innokentiy
устанавливать соединения и рвать без уведомления
дудос в таком сценарии будет на сервер, а не на роутер
olegon.ru
дудос в таком сценарии будет на сервер, а не на роутер
а переполнение таблицы маршрутизации ничем не грозит?
Innokentiy
это как
Innokentiy
может, таблицы коннтрека?
Innokentiy
у вас хост помрет раньше
olegon.ru
может, таблицы коннтрека?
да, пардон :) в общем, тут большинство за то, что пустые соединения должны висеть сутки, понял :)
Nikita
Коллеги, есть кто-то опытом VRF?
Задача дать клиентам выход в инет без правила NAT на их железках.
При этом их нужно изолировать между собой на уровне маршрутов.
Как я понимаю нужно каждому клиенту создать свою VRF и закинуть по два маршрута в каждую таблицу: 0.0.0.0/0 и выданную им подсеть.
Пожалуйста скорректируйте/направьте :)
Null
What's new in 7.3 (2022-Jun-06 11:38):
*) bgp - added "name" parameter for connections;
*) bgp - added initial support for prefix limit;
*) bgp - fixed "keepalive-timeout" value when upgrading from RouterOS v6;
*) bgp - fixed "l2vpn" distribution;
*) bgp - improved stability when editing BGP template;
*) bgp - moved "interface bgp-vpls" menu to "routing bgp vpls";
*) bgp - remove unused commands and parameters;
*) bluetooth - improved long-term service stability;
*) bonding - added "lacp-user-key" setting;
*) bonding - fixed LACP flapping for RB5009 and CCR2004-16G-2S+ devices;
*) bridge - added more details for loop detection warning;
*) bridge - do not set VLAN on inactive port with a "set" command;
*) bridge - fixed TCP, UDP port parsing for loop detect warning;
*) bridge - fixed packet marking for IP/IPv6 firewall;
*) bridge - ignore VLAN tagged BPDU;
*) capsman - fixed bridge disabling when using L2 connection;
*) capsman - fixed loss of manager configuration when "package-path" is set to external disk;
*) capsman - improved traffic processing over CAP communication tunnels:
*) ccr - added "passthrough" flag for interfaces on CCR2004-1G-2XS-PCIe;
*) ccr - added visible "passthrough" flag for interfaces on CCR2004-1G-2XS-PCIe;
*) ccr - improved interface link stability on CCR2004-16G-2S+PC;
*) ccr - usability and stability improvements for passthrough interfaces on CCR2004-1G-2XS-PCIe;
*) cd-install - allow selecting on which drive to install RouterOS;
*) chr - fixed Cloud DDNS update after license renewal;
*) conntrack - limited full Connection Tracking warning to 1 message per minute;
*) console - fixed "terminal inkey" command;
*) crs1xx/2xx - improved system stability during switch reset;
*) defconf - do not add passthrough ports to local bridge on CCR2004-1G-2XS-PCIe;
*) dhcpv4-server - added "age" parameter for dynamic leases;
*) dhcpv4-server - fixed conflicting or declined lease detection when IP pool differs from server's configuration;
*) dhcpv4-server - fixed minor logging typo;
*) dot1x - fixed RADIUS State attribute when client is reauthenticated;
*) dot1x - fixed port based VLAN ID assignment on devices without a switch chip;
*) dot1x - improved server stability when using re-authentication;
*) export - fixed value ID exporting that does not refer to any name;
*) fetch - fixed SFTP upload;
*) fetch - improved full disk detection;
*) filesystem - fixed possible boot failure on RB850Gx2 and RB1100AHx2;
*) filesystem - improved UBIFS stability and data integrity after downgrade to RouterOS v6 and upgrade to RouterOS v7;
*) filesystem - improved long-term filesystem stability and data integrity;
*) gps - added GPS package support for Chateau devices;
*) gps - fixed minor value unit typo;
*) ipsec - fixed IPsec IRQ initialization on startup on TILE;
*) ipsec - fixed printing of active peer statistics;
*) ipv6 - added "ra-preference" parameter support for RA;
*) ipv6 - fixed dynamic non link-local addresses displaying;
*) ipv6 - removed bogus commands from IPv6 neighbors menu;
*) l2tp - added VRF support for L2TP client;
*) l3hw - greatly improved route offloading speed;
*) l3hw - improved offloading for directly connected hosts on CRS305, CRS326-24G-2S+, CRS328, CRS318, CRS310;
*) l3hw - improved offloading in cases of HW table overflow for CRS305, CRS326-24G-2S+, CRS328, CRS318, CRS310;
*) l3hw - improved route table offloading for CRS317, CRS309, CRS312, CRS326-24S+2Q+, CRS354, CRS5xx, CCR2x16 devices;
*) l3hw - log HW routes count and the shortest offloaded subnet prefix if the HW memory gets full;
*) l3hw - offload only main routing table;
*) l3hw - optimized offloading when dealing with large volume of directly connected hosts;
*) l3hw - partial routing table offload for Marvell Prestera DX4000/DX8000 switch chip series;
*) leds - fixed ethernet LED behavior on wAP R ac;
*) leds - fixed wireless related LED behavior with WW2 package;
*) lhgg - improved system stability (introduced in v7.2);
*) lora - do not allow setting non-existing forwarding server;
*) lora - fixed bogus TOO_EARLY errors;
Null
*) lora - removed TX lookup table;
*) lte - added SMS sending support for MBIM protocol;
*) lte - added support for generic PXA1802 based modems;
*) lte - allow only MCC/NMC format in "operator" parameter;
*) lte - clear SIM values when modem in "stopped" state;
*) lte - disabled extended signal info query for Telit LN940 module;
*) lte - disabled wait for LTE auto attach;
*) lte - expose diagnostics channel for all modems;
*) lte - fixed LTE firwmare upgrade on RBLtAP-2HnD with R11e-LTE6;
*) lte - fixed Sierra MC7455 modem initialization;
*) lte - hide slave interfaces from export;
*) lte - improved LTE interface initialization process on LtAP-2HnD;
*) lte - improved stability when configuring multiple APN's at the same time in MBIM mode;
*) lte - improved stability when upgrading LTE firmware on Chateau 5G;
*) mlag - fixed MAC address moving between bridge ports;
*) mpls - do MPLS forwarding for nexthops without mappings;
*) mpls - fixed MPLS MTU and path MTU selection;
*) mpls - fixed MPLS forwarding after any interface configuration parameter is changed;
*) mpls - improved LDP AF selection process and behavior;
*) mpls - made LDP bindings work on PPP interfaces;
*) ntp - do not allow setting port number in "server" parameter;
*) ntp - fixed "use-local-clock" behavior when enabling server;
*) ospf - fixed GRE interface compatibility with OSPF;
*) ospf - ignore instance route when originate-default=if-installed is enabled;
*) ospf - improved stability when enabling or removing interface-template entries;
*) ovpn - adjusted SHA2 authentication algorithm naming to allow legacy OpenVPN implementations to connect;
*) ovpn - fixed hardware offloading support on CHR;
*) ovpn - fixed memory leak on TILE architecture;
*) ovpn - fixed packet processing on MT7621A;
*) ovpn - fixed server instance not responding to incoming connections after reboot on CHR;
*) ovpn - improved Windows client disconnect procedure in UDP mode;
*) ovpn - improved server stability under continous overload;
*) ovpn - improved service stability when outbound packets are blocked by firewall in UDP mode;
*) ovpn - improved service stability when processing frequent disconnects in UDP mode;
*) ovpn - improved stability when forwarding traffic on TILE;
*) ovpn - moved authentication failure messages to "info" logging level;
*) ovpn - reply with the same IP address that the connection was established to;
*) ping - fixed socket allocation after VRF change;
*) port - do not loose "parity" setting;
*) ppp - added support for VRF;
*) ppp - added warning when using prefix length other than /64 for router advertisement;
*) ppp - fixed "remote-ipv6-prefix" parameter unsetting;
*) ppp - fixed active sessions sometimes getting stuck;
*) ppp - fixed issue with multiple active sessions when "only-one" is enabled;
*) profile - added "wireguard" process classificator;
*) profile - added "zerotier" process classificator;
*) qsfp - reset module only when all ports are disabled;
*) queue - allow to set higher limits than 4G;
*) queue - display warning for CAKE type in simple and tree setups when "bandwidth" parameter is configured;
*) queue - improved stability in large list of queue scenarios;
*) rb5009 - fixed 10G linking issues with Intel X520, XXV710 NICs;
*) resource - fixed CPU type display under system resources for ARM and ARM64;
*) romon - fixed VLAN tagged packet processing;
*) route - fixed "nexthop" table printing;
*) route - fixed "table" menu emptying after RouterOS upgrade;
*) route - fixed IPv6 /127 route nexthop resolution;
*) route - fixed static routes in VRF becoming invalid after reboot;
*) route-filter - fixed community matchers;
*) routerboard - fixed USB bus numbering on LtAP and M33G;
*) routerboot - added extra shortcut information on how to boot into etherboot;
*) routerboot - prevent enabling "protected-routerboot" on unsupported factory firmware versions;
*) routerboot - properly reset system configuration when protected bootloader is enabled and reset button used;
*) rsvp-te - improved stability when "Resv" received for non-existing session;
Null
*) sfp - added 2.5Gbps rate for SFP+ and QSFP+ interfaces on 98DXxxxx and 98PX1012 switches (requires disabled auto-negotiation);
*) sfp - hide empty monitor values in console;
*) sfp - improved Q/SFP interface initialization and stability for 98DXxxxx and 98PX1012 switches;
*) sfp - improved QSFP/SFP interface initialization for 98DXxxxx switches;
*) smb - fixed SMB2 file list reporting;
*) snmp - added VRF support (CLI only);
*) snmp - added VRF support;
*) snmp - fixed reported disk size when multiple external disks are attached;
*) snmp - hide Vendor ID in DHCP MIB when branding is present;
*) snmp - report "ifSpeed" as 0 if value out of bounds (use "ifHighSpeed" for high speed interfaces instead);
*) ssh - added AES-GCM cipher support;
*) ssh - fail non-interactive client after first invalid password;
*) ssh - fixed corrupt host key automatic regeneration;
*) ssh - fixed private key usage after downgrade;
*) ssh - removed DSA public key authentication support;
*) supout - added IGMP-Proxy section;
*) supout - added NTP servers section;
*) supout - added PIMSM section;
*) supout - added RIP section;
*) supout - added WireGuard section;
*) supout - added simplified IPv4 and IPv6 routing table prints;
*) switch - added option to match source and destination IP addresses in ARP packets for RB5009 (requires mac-protocol=arp setting);
*) switch - fixed missing stats from traffic-monitor for 98DXxxxx and 98PX1012 switches;
*) system - fixed IP service initialization in VRF after system startup;
*) system - fixed Kernel timer consistency;
*) system - fixed rare partial loss of RouterOS configuration after package upgrade/downgrade/install/uninstall;
*) torch - properly capture all related IPv6 traffic;
*) tr069-client - fixed RPC download of "1 Vendor Configuration File" with branding package;
*) tunnels - improved packet handling over EoIP, IPIP and GRE tunnels;
*) upnp - improved stability when processing incomplete HTTP header;
*) user-manager - added "Acct-Interim-Interval" to predefined attribute list;
*) user-manager - improved stability when received EAP attribute with non-existing state attribute;
*) vpls - fixed "pw-l2mtu" parameter usage;
*) vpls - fixed TE transport path usage after startup;
*) vrrp - fixed learning of bridged local MAC addreses;
*) w60g - improved stability on Cube 60Pro ac and CubeSA 60Pro ac;
*) webfig - properly show all routing table content;
*) wifiwave2 - fixed VLAN tag handling;
*) wifiwave2 - general stability and throughput improvements;
*) winbox - added "Comment" parameter for BGP templates and connections;
*) winbox - added "Default Cost" parameter under "Routing/OSPF/Area" menu;
*) winbox - added "ra-preference" parameter under "IPv6/ND" menu;
*) winbox - added SKID and AKID parameters under "Certificate" menu;
*) winbox - added missing "IBGP", "EBGP", "Limit Exceeded" and "Stopped" parameters under "Routing/BGP/Sessions" menu;
*) winbox - added missing "Keep Sent Attributes" parameter under "Routing/BGP/Connection" menu;
*) winbox - added missing "Scan List" parameter for W60G interfaces;
*) winbox - added missing BGP session commands;
*) winbox - added support for 2.5Gbps and 100Gbps Ethernet speed options;
*) winbox - added warning message for LTE upgrade process;
*) winbox - do not auto start Wireless Sniffer when opened;
*) winbox - do not show "Session Uptime" parameter under "LTE" menu if not supported by modem;
*) winbox - do not show "unknown" area under "Routing/OSPF/LSA" menu;
*) winbox - do not show type value for NXDOMAIN entries under "IP/DNS/Cache" menu;
*) winbox - fixed "Disconnect Timeout" parameter type under "CAPsMAN" menu;
*) winbox - fixed "IP/Cloud" window refreshing after changes are detected;
*) winbox - fixed "Type" values under "IP/Route" menu;
*) winbox - fixed graph drawing in QuickSet;
*) winbox - fixed hex type values under "User Manager" menu;
*) winbox - fixed minor typo in reboot confirmation prompt;
*) winbox - fixed typo in ZeroTier instance title;
*) winbox - made "Interface Templates" table sortable under "Routing/OSPF" menu;
Null
*) winbox - made "MPLS Interface" table sortable under "MPLS" menu;
*) winbox - made 56 the default ping size;
*) winbox - made wireless access list entries sortable when using the wifiwave2 package;
*) winbox - minimal required version is v3.33;
*) winbox - moved "src-address-list" and "dst-address-list" parameters to "General" tab under "IP/Firewall" menu;
*) winbox - moved "src-address-list" and "dst-address-list" parameters to "General" tab under "IPv6/Firewall" menu;
*) winbox - properly clean up SFP module information after it is unplugged;
*) winbox - properly clean up disk after a failed file upload;
*) winbox - properly load band values under "LTE" menu;
*) winbox - removed obsolete "Routing Table" parameter under "IP/Firewall" menu;
*) winbox - show "System/RouterBOARD/Mode Button" on devices that have such feature;
*) winbox - show PVID column by default under "Bridge" menu;
*) winbox - show correct file system type under "System/Disks" menu;
*) winbox - take into account timezone for timed values under "User Manager" menu;
*) wireless - fixed "wmm-support=required" checking;
*) wireless - fixed EAP-TLS authentication;
*) wireless - fixed GUD version in 3gpp information;
*) x86 - added support for Solarflare SFC1920 NIC;
*) x86 - fixed soft-id reading on virtualized x86 installations (introduced in v7.2);
*) x86 - improved support for Intel E810 NIC;
*) zerotier - added support for Controller configuration;
Vlad
вот это простыня ))
olegon.ru
вах... еще бы вот найти, поправили они работу на 3011 или нет...
Stanislav
нет Микротик Ранее чем через год ты меня не соблазнишь поставить сие поделие
Grigorius
Еще недавно только 7.2.3 была
Grigorius
А что, кстати, в экстра пекедже ? Думаю обновиться
Алексей
просто катастрофически быстродействие упало
на семёрке? Просто у меня 6.48.6 работает давно и идеально
olegon.ru
на семёрке? Просто у меня 6.48.6 работает давно и идеально
да, а на 7ке оно враз кладется на тех же условиях
Алексей
да, а на 7ке оно враз кладется на тех же условиях
а смысл переходить на 7? WG юзать или ещё что то?
Андрей
Добрый день всем. Может кто подскажет где по адекватным ценам можно ещё купить коммутаторы с PoE ?
Alexey
На 4011 с производительностью с 7.2.3 косяки, пришлось на ранюю откатывать
Илья
Grigorius
да, именно на WG и повелся...
У меня пока так и не заработал. Что-то с маршрутизацией, надо разбираться
Алексей
а WG это какая то прямо острая необходимость?) Простите я просто ищу для себя причины которые заставляют переводить туннели на ВГ)
Grigorius
Алексей
Добрый день всем. Может кто подскажет где по адекватным ценам можно ещё купить коммутаторы с PoE ?
а каким пое? Активный или пассивным?
olegon.ru
У меня пока так и не заработал. Что-то с маршрутизацией, надо разбираться
нет, у меня все нормально работает, но пока я не выпилил практически все правила и не вкрячил fasttrack, оно умирало на 300Мбитах, хотя раньше и на 500Мбитах больше чем на 50% не грузилось со всеми этими же правилами
Vladislav
а WG это какая то прямо острая необходимость?) Простите я просто ищу для себя причины которые заставляют переводить туннели на ВГ)
Я обновился для WG, чисто чтобы на сервисы facebook работали через VPN. Надоело, что VPN телефон высаживает дома.
А работать как то надо;)
olegon.ru
а WG это какая то прямо острая необходимость?) Простите я просто ищу для себя причины которые заставляют переводить туннели на ВГ)
не везде его еще забанили, вот в чем необходимость :(
Grigorius
нет, у меня все нормально работает, но пока я не выпилил практически все правила и не вкрячил fasttrack, оно умирало на 300Мбитах, хотя раньше и на 500Мбитах больше чем на 50% не грузилось со всеми этими же правилами
А во внутреннюю сеть снаружи пускает, все пингуется ?
olegon.ru
А во внутреннюю сеть снаружи пускает, все пингуется ?
ага... именно, что попал, в Турции перекрыт SSH, я только через WG и пролез
Grigorius
Хм... я на скорость не тестил. Там инет 10 мбит и локалка на 100
Grigorius
ага... именно, что попал, в Турции перекрыт SSH, я только через WG и пролез
Очень хотелось бы глянуть настройки... попробую у себя воспроизвести
Илья
olegon.ru
Я обновился для WG, чисто чтобы на сервисы facebook работали через VPN. Надоело, что VPN телефон высаживает дома.
А работать как то надо;)
есть сервисы antifilter, очень хорошо все работает через BGP, у меня жена этими мордобуками и инстой страдает