@mikrotikclub - страница 3034

oddplace

Тоже интересно. ))) может клиенты в одном сегменте находились ( подключены к одному шлюзу провайдера)

Иными словами, других гипотез пока нет?

Cumberbatch

Иными словами, других гипотез пока нет?

Есть. Что решение было неправильно понято и интерпретировано

oddplace

Есть. Что решение было неправильно понято и интерпретировано

В какую сторону копать?

Cumberbatch

В какую сторону копать?

Уточнить как была поставлена задача и как ее решили на предыдущем оборудовании

oddplace

Уточнить как была поставлена задача и как ее решили на предыдущем оборудовании

В случае с Keenetic использовалась команда "known host", которая добавляет доверенное устройство по mac, которое пускали в LAN. Я пока не вижу аналога для Mikrotik.

Evgeniy

В случае с Keenetic использовалась команда "known host", которая добавляет доверенное устройство по mac, которое пускали в LAN. Я пока не вижу аналога для Mikrotik.

идентификация по мак адресам работает в одной локальной сети, в одном броудкаст сегменте.

oddplace

идентификация по мак адресам работает в одной локальной сети, в одном броудкаст сегменте.

Хорошо, так каков мой следующий шаг, что следует искать в документации?

Evgeniy

Уточнить как была поставлена задача и как ее решили на предыдущем оборудовании

вот же написано

oddplace

вот же написано

Обеспечить доступ из WAN в LAN определенным девайсам на определенные локальные IP/port. Их mac адреса известны. В случае старого оборудования используется команда known host, которая делает устройство доверенным и пускает в LAN. Соответственно, я ищу способ повторения этого решения на Mikrotik.

Daniil Yurevich

Вангую, что dnat был сделан для всего интернета, но человек думает, что работало для каких-то конкретных mac-адресов.

oddplace

Вангую, что dnat был сделан для всего интернета, но человек думает, что работало для каких-то конкретных mac-адресов.

Сужу по экспорту конфига кинетика.

Daniil Yurevich

А вам говорят, что это так не работает.

Evgeniy

Сужу по экспорту конфига кинетика.

ну так сопоставьте мак адрес клиента и мак адрес того что сохранено в known hosts

oddplace

ну так сопоставьте мак адрес клиента и мак адрес того что сохранено в known hosts

На каком этапе? Port forwarding? src mac ведь будет от гейтвея.

Daniil Yurevich

На каком этапе? Port forwarding? src mac ведь будет от гейтвея.

Ну верно же говоришь.

Evgeniy

ну если он от гейтвея то какой смысл в этом? под него же попадут все запросы

oddplace

ну если он от гейтвея то какой смысл в этом? под него же попадут все запросы

Смысл в повторении механизма, который работал на Keenetik, я не понимаю как это сделать на Mikrotik.

Evgeniy

ip firewall nat =advanced видишь пункт src mac address ? укажи мак своего гейт вея, если ты считаешь что тебя это обезопасит.

oddplace

Мне неизвестно как реализован этот список доверенных устройств на старом оборудовании и я не знаю как решить задачу на новом. Поэтому спрашиваю совета.

Daniil Yurevich

Смысл в повторении механизма, который работал на Keenetik, я не понимаю как это сделать на Mikrotik.

Что бы этот механизм работал должно совпасть несколько факторов, что на сегодня очень маловероятно.

oddplace

Что бы этот механизм работал должно совпасть несколько факторов, что на сегодня очень маловероятно.

Что имеется ввиду?

Daniil Yurevich

Что имеется ввиду?

Твои клиенты и твой роутер должны быть в одном широковещательном домене/одном vlan/Общий l2(назови как-то еще по-своему). У твоих клиентов не должен использоваться маршрутизатор, либо на их маршрутизаторах клонирован мак адрес компьютера, с которого они выходят интернет и твой Keenetik видит именно мак твоих клиентов, а не шлюза провайдера.

Daniil Yurevich

На сегодня это настолько маловероятно, что скорее всего твой кинетик пускал всех без разбору.

Daniil Yurevich

Просто игнорируя указанные тобою mac адреса.

Evgeniy

Мне неизвестно как реализован этот список доверенных устройств на старом оборудовании и я не знаю как решить задачу на новом. Поэтому спрашиваю совета.

есть два способа решить твою задачу 1) организовать впн 2) если впн не подходит, то организовать проброс порта и защиту от ddos и тщательно защитить сам сервис с помощью acl fail2ban итп

oddplace

На сегодня это настолько маловероятно, что скорее всего твой кинетик пускал всех без разбору.

Предположение хорошее, но неверное. Притом документация Keenetik не даёт деталей реализации.

Daniil Yurevich

Предположение хорошее, но неверное. Притом документация Keenetik не даёт деталей реализации.

Ага, у кинетика свой ethernet. Со своими блек джеком и куртизанками. :)

oddplace

Ага, у кинетика свой ethernet. Со своими блек джеком и куртизанками. :)

Тут мне остаётся только развести руками.

Daniil Yurevich

Тут мне остаётся только развести руками.

Зачем, если чуть выше ты говоришь все правильно про то какой мак ты будешь видеть на wan-интерфейсе?

Roman

IP динамические, поэтому вижу возможное решение в идентификации трафика по src mac

Если микротик в качестве dhcp сервера, то сделать статику для этих mac

Roman

И dstnat, как написали

oddplace

Зачем, если чуть выше ты говоришь все правильно про то какой мак ты будешь видеть на wan-интерфейсе?

Даниил Юрьевич, я не знаю деталей реализации механизма этого списка доверенных устройств на старом оборудовании. Подробная документация отсутствует, я предполагаю как это может работать и пришел за советом.

Daniil Yurevich

Даниил Юрьевич, я не знаю деталей реализации механизма этого списка доверенных устройств на старом оборудовании. Подробная документация отсутствует, я предполагаю как это может работать и пришел за советом.

https://t.me/mikrotikclub/277071 Вот так это работает.

oddplace

И dstnat, как написали

dst-nat понятен для чего нужен и проброс сделан

oddplace

Если микротик в качестве dhcp сервера, то сделать статику для этих mac

Можно подробнее? Не понимаю как на моменте выдачи адреса DHCP сервером мы можем заблокировать нежелательное соединение.

Sergey

Мангл и фасттрек вместе.

Фастрек нельзя включать

Yakov

Мне неизвестно как реализован этот список доверенных устройств на старом оборудовании и я не знаю как решить задачу на новом. Поэтому спрашиваю совета.

я вижу это как ssh tunnel, опять же "known_hosts" на это намекают, я правда не уверен умеет ли кинетик его делать, микрот умеет точно, клиенту даете ключик, он поднимает туннель до роутера и коннектится приложением к своему локальному порту который по ssh уходит в сервер

oddplace

я вижу это как ssh tunnel, опять же "known_hosts" на это намекают, я правда не уверен умеет ли кинетик его делать, микрот умеет точно, клиенту даете ключик, он поднимает туннель до роутера и коннектится приложением к своему локальному порту который по ssh уходит в сервер

Интересно, спасибо!

Андрей

Обеспечить доступ из WAN в LAN определенным девайсам на определенные локальные IP/port. Их mac адреса известны. В случае старого оборудования используется команда known host, которая делает устройство доверенным и пускает в LAN. Соответственно, я ищу способ повторения этого решения на Mikrotik.

Если это пк/смартфоны как вариант использовать порткнокинг и адреслист со сроком действия адресов в нём. Ну и соответственно одно правило на доступ по этому листу.

oddplace

Если это пк/смартфоны как вариант использовать порткнокинг и адреслист со сроком действия адресов в нём. Ну и соответственно одно правило на доступ по этому листу.

Подключился телнетом к старому роутеру, судя по всему господин который все это настраивал ввел в заблуждение и никакой фильтрации тут и близко нет. Пока выглядит что мой изначальный вопрос невалидный.

oddplace

Так что флуд получился ни о чем.

Daniil Yurevich

Подключился телнетом к старому роутеру, судя по всему господин который все это настраивал ввел в заблуждение и никакой фильтрации тут и близко нет. Пока выглядит что мой изначальный вопрос невалидный.

Во!

oddplace

Во!

Ну доверился, ну бывает.

Daniil Yurevich

Ну доверился, ну бывает.

Не, я не про это.