S
Для вашего тика это форвард трафик будет
S
шлюз
ZlyddeN
так пакеты долетают до удаленного же
ZlyddeN
даже счетчик правила 8291 на удаленном меняется когда я пытаюсь
S
может ваш микрот их дропает
S
Дефолт конфиг, если будет считает впн клиента, ваном, то будет дропать доступ к LAN сегменту
ZlyddeN
про сервер
спасибо за наводку. на шлюзе-Микрот-ВПН-сервере у меня правило блочить все что заранее не описано, как раз оно и блочит общение раб. компа с удаленным Винбоксом через тоннель
ZlyddeN
вот оно
/ip firewall filter add action=drop chain=forward comment="from VPN to LAN" in-interface-list=OVPNS
S
вот оно
/ip firewall filter add action=drop chain=forward comment="from VPN to LAN" in-interface-list=OVPNS
ну я оказался прав, только я думал что это дефолт правило у вас все ломает =)
S
Дефолт конфиг любит приносить сюрпризы
ZlyddeN
это правило я сам делал
Alexander
ZlyddeN
ну я оказался прав, только я думал что это дефолт правило у вас все ломает =)
а микрот ответные пакеты тоже по 8291 гоняет? 😮
ZlyddeN
winbox
S
Я готовлюсь )
ну тут пока работает правило как **нет так и будет понятно, а пока можете юзать то что и так работает =) на крайняк тот же SSTP
S
Я готовлюсь )
Пока частные l2tp/sstp/openvpn/wg (особенно на дефолт портах аля 80/443) и так будут работать, пока сильно бьют по публичным сервисам
ZlyddeN
S
который клиент сам открыл
S
и он рандомный как и любой src порт
ZlyddeN
:(
S
ответит то он с него же
S
ZlyddeN
мне как-то надо отличить трафик микрота от остального внутри тоннеля
Vlad
мне как-то надо отличить трафик микрота от остального внутри тоннеля
микроту же ип адрес выделяется, вот с ним и работайте
S
мне как-то надо отличить трафик микрота от остального внутри тоннеля
ну марк коннект, по дст порту/айпи
S
потом работайте с коннектом
ZlyddeN
микроту же ип адрес выделяется, вот с ним и работайте
наверное да.. для микротов отдельный список сделаю
Stanislav
Добрый день. Не по теме но может кто знает, есть ли вариант отвязать Grandstream DECT DP750 базу от mango office ? Спасибо
Stanislav
ZlyddeN
микроту же ип адрес выделяется, вот с ним и работайте
как-то так сделал. и поставил ЭТО до ДРОПа
/ip firewall filter add action=accept chain=forward comment="allow OVPN Mikrotiks" dst-address-list=LAN-white-list in-interface-list=OVPNS src-address-list=OVPN-MT
Vlad
ага
m
добрый день
подскажите, что может быть такое что в логах появляются записи упоминающие IP машины которая выключена?
сейчас есть вот такие правила:
/ip firewall filter
add action=reject chain=input comment="drop by black list" in-interface-list=inet_out_interface log-prefix=drop reject-with=icmp-network-unreachable src-address-list=ipBlackList
add action=reject chain=forward in-interface-list=inet_out_interface log-prefix=drop reject-with=icmp-network-unreachable src-address-list=ipBlackList
add action=drop chain=output dst-address-list=ipBlackList log=yes log-prefix=drop_out out-interface-list=inet_out_interface
в логах
drop_out output: in:(unknown 0) out:.vOut, proto ICMP (type 3, code 0), X.X.X.1->212.192.246.135, NAT (10.1.5.121->X.X.X.1)->212.192.246.135, len 80
хотя вм с IP 10.1.5.121 при таких событиях была выключена для проверки
S
если лиза висит то может быть ее чек статус
S
просто странно что он на оутпуте поймал
m
если лиза висит то может быть ее чек статус
не, это я проверял, в логах была запись про делиз (или как там)
S
и что вы х.х.х замазали ?
S
или нету ?
S
чёт вообще дичь, надо выпить кофе
m
А ну так это dst нат видимо
есть, только так от куда же они (срабатывания)? ведь выше правила режект по списку ipBlackList
в коннекте нет записей с IP 212.192.246.135, а тут еще и на выходе
Moneron 🇷🇺
имхо, лютейшее зло - это л2 через всю страну, и виртуал линк на его фоне смотрится вполне неплохо.
Пока не начинаешь lsa5 через него гонять
Moneron 🇷🇺
имхо, лютейшее зло - это л2 через всю страну, и виртуал линк на его фоне смотрится вполне неплохо.
Ибо роутер ABR без физического линка в бэкбоне не генерит lsa4
Marat
Добрый день
Есть роутер с IPv6 ( 1 адрес) и сеть с link-local адресами. Основная цель - чтоб клиенты имели доступ в сеть интернет по ipv6.
На машинах маршрута по умолчанию нет. И как понял в ROS DHCPv6 не раздаёт в сеть адреса просто так. Можете кинуть в меня ссылку как это настроить.
Marat
7.1.5
Marat
S
fc80::/64
S
без 1
Marat
Готово
Marat
Спасибо, всё заработало
S
fc80::/64
Ну можете потом блок поменять на какой удобно из локальных главное чтобы нулевой айпи был и /64
Marat
Да и так идеально
Денис
Как вариант проверить trace route и посмотреть через какие узлы доступен ресурс
Aleksandr
здравствуйте. подскажите как заставить роутер на 7 версии резолвить днс имена через адрес сервера доступный в отдельной врф? пинги ходят, но через :resolve болт..
Mad
Как вариант проверить trace route и посмотреть через какие узлы доступен ресурс
Какой ресурс? До сетки локал пинг не ходит.
А в инет он идет по тому маршруту что построен)
Dmitry
Это называется vlan?
Cumberbatch
здравствуйте. подскажите как заставить роутер на 7 версии резолвить днс имена через адрес сервера доступный в отдельной врф? пинги ходят, но через :resolve болт..
В main таблице маршрут до днс через врф. Или route rule
Aleksandr
В main таблице маршрут до днс через врф. Или route rule
я сделал рулю. но он что-то не хочет именное резолвить. пинг, то ходит нормально
Dmitry
я сделал рулю. но он что-то не хочет именное резолвить. пинг, то ходит нормально
В vrf - есть обратный маршрут?