В 4-х правилах запутался демон?:)

Хотя это можно использовать, скажем не указывать явно открытые порты - а добавлять в исключения в последним правиле

В 4-х правилах запутался демон?:)

Сканер портов не показал отрытых портов ))

Фаер нужно читать не принтом или скриншотами, а экспортом

Коллеги, а есть у микротика multipoint gre?

Или подскажите куда искать...

Hi, This will not work as Mikrotik does not implement NHRP protocol, as that is required for mGRE tunnels to work. You will have to use point-to-point GRE tunnels between Cisco and Mikrotik gear. Also, Mikrotik does not implement EIGRP protocol, so even if you would get mGRE running, you would still have no possibility to exchange routes with your peer. Just get a refurbished Cisco 1841 for around 100$ to do that for you.

:(

Я так понял, что можно, но не без участия циски.

вскочил

Фаер нужно читать не принтом или скриншотами, а экспортом

То есть, только так показывает эффективные приоритеты правил?

Он так показывает все настройки каждого правила

да и через CLI оно как-то логичнее всё выстраивается, нежели чем через gui

мне даже порой кажется, что новичков лучше до винбокса вообще не допускать... Пусть сначала через cli прокачаются, а потом показывать винбокс))))) единственно чего не хватает, это полноценного редактора конфигов.

Начинается...

Давайте и мышку отберем

Ну а попробуйте винбоксом добавить 24 порта в бридж. Сколько это времени займёт?

через винбокс очень удобно смотреть как счётчики правил "щёлкают". графики смотреть. Добавлять в ацессЛисты. А конфижить лучше через кли. Хотя бы первые несколько раз через кли всё настроить, чтобы "пазл" сложился в картинку

Подходы разные бывают. Я CLI после винбокса осваивал

Да все осваивали кли после винбокса. Но в конечном итоге это так же, как смотреть STAR WARS по порядку выхода серий))) только потом понимаешь - эхх.... вот надо было смотреть не по порядку... небыло бы такого урагана в голове от увиденного

С кли быстрее конфу заливать. Типовые Настройки делать

коллеги, стакивался кто, на 5значном порту микрот не принимает входящие соединения, тестил даже не чистом роутере без правил в фаере есть необходимость пробросить rdp, например на снаружи открываю 3390 или 3399 - все хорошо, а делаю 13390 - "удаленный сервер не отвечает"

провайдер точно не шалит?

провайдер полюбому режет

Hi, This will not work as Mikrotik does not implement NHRP protocol, as that is required for mGRE tunnels to work. You will have to use point-to-point GRE tunnels between Cisco and Mikrotik gear. Also, Mikrotik does not implement EIGRP protocol, so even if you would get mGRE running, you would still have no possibility to exchange routes with your peer. Just get a refurbished Cisco 1841 for around 100$ to do that for you.

на самом деле все чуть сложнее

mGRE и NHRP не связаны напрямую друг с другом

сделать из микротика DMVPN-хаб не получится

но вот phase1-spoke - можно

это будет обычный gre-туннель

с другой стороны на циске нужно прописать статический маппинг

никому не могу рекомендовать использовать это в продакшене, но как proof-of-concept - микротик может быть участником dmvpn-облака

криво, косо и с костылями, но может

Спасибо

я чот задачку решить не могу, нужно запилить порт-кнокинг на 3 определенных порта, если делать простой получается, тогда когда если эти три порта в нужной последовательности простучать то всё работает, а вот если усложнить задачу и сделать так чтобы правило срабатывало при любой последовательности простукивания тех же самых портов чот не могу решить, говорят в 6-7 правил можно уложиться...

какой-то хреновый портКнокинг получится на выходе тогда

или ты хочешь при любой последовательности в бан засаживать?

а при правильной в вайт лист?

три порта

сомтри

1 2 3

если делать порткнокинг типа сначала стучишь в 1 потом во 2 потом в 3-й то всё гуд

а как сделать так чтобы можно было стучать 2 3 1

или 3 2 1

или 2 1 3

т.е. ты хочешь поВсякому? или хочешь изменить порядок стука?

и только после прсотукиваничя всех трех ссш допустим открывался

по всякому хочу

в любом прядке

главное что ты должен постучать во все три порта

а порядок не важен

смысл портКнока какрасТаки в том, чтобы в определённом порядке можно было стучать... а так - смысл теряется(( но сейчас решим

а я чот не могу

я начинаю писать портянку там ппц куча правил и то не все варианты пашут

а говорят 6-7 правил

просто ах :)

смысл портКнока какрасТаки в том, чтобы в определённом порядке можно было стучать... а так - смысл теряется(( но сейчас решим

не теряется порты то только ты знаешь

только решение сразу не кидайте я хочу понять, насколько я туп :)

провайдер полюбому режет

до микротика был kerio, утверждают работало

три листа КНОК_1, КНОК_2, СВОЙ_ЧЕЛ 1) Простук на порт 1 = проверка на наличие в любом из листов... если нет не в одном из листов, добавляем в лист КНОК_1... если он уже есть в КНОК_1, добавляем его в КНОК_2... если он есть в КНОК_2 - добавляем его в СВОЙ_ЧЕЛ и вот такая логика для каждого из портов... на выходе 9 правил

три листа КНОК_1, КНОК_2, СВОЙ_ЧЕЛ 1) Простук на порт 1 = проверка на наличие в любом из листов... если нет не в одном из листов, добавляем в лист КНОК_1... если он уже есть в КНОК_1, добавляем его в КНОК_2... если он есть в КНОК_2 - добавляем его в СВОЙ_ЧЕЛ и вот такая логика для каждого из портов... на выходе 9 правил

Пробовал?

Точно работает?

ещё будет нужен скрипт, который создат лист, который будет создаваться из КНОК_1 и КНОК_2

Без скриптов

6-7 правил

Ну или хоть как то работающий вариант

ок.. уговорил.. сейчас попробую

Я чот на бумаге рисовал рисовал

Инверсия уж понятно ну и видимо перечисление нескольких портов в дст-порт

Вот вам делать нефиг 🙂 Задачка или из разряда «олимпиадных» или «вот хочу так - и ВСЁ»

/ip firewall filter add action=add-src-to-address-list address-list=STAGE_1 address-list-timeout=5s chain=forward comment=1 dst-address=192.168.45.5 \ dst-port=81 protocol=tcp add action=add-src-to-address-list address-list=STAGE_2 address-list-timeout=5s chain=forward comment=1-2 dst-address=192.168.45.5 \ dst-port=81 protocol=tcp src-address-list=STAGE_1 add action=add-src-to-address-list address-list=BRATAN address-list-timeout=12h5s chain=forward comment=1-3 dst-address=192.168.45.5 \ dst-port=81 protocol=tcp src-address-list=STAGE_2 add action=add-src-to-address-list address-list=STAGE_2 address-list-timeout=5s chain=forward comment=2 dst-address=192.168.45.5 \ dst-port=82 protocol=tcp src-address-list=STAGE_1 add action=add-src-to-address-list address-list=STAGE_1 address-list-timeout=5s chain=forward comment=2-1 dst-address=192.168.45.5 \ dst-port=82 protocol=tcp add action=add-src-to-address-list address-list=BRATAN address-list-timeout=12h5s chain=forward comment=2-1 dst-address=192.168.45.5 \ dst-port=82 protocol=tcp src-address-list=STAGE_2 add action=add-src-to-address-list address-list=BRATAN address-list-timeout=12h chain=forward comment=3 dst-address=192.168.45.5 \ dst-port=83 protocol=tcp src-address-list=STAGE_2 add action=add-src-to-address-list address-list=STAGE_1 address-list-timeout=5s chain=forward comment=3-1 dst-address=192.168.45.5 \ dst-port=83 protocol=tcp add action=add-src-to-address-list address-list=STAGE_2 address-list-timeout=5s chain=forward comment=3-1 dst-address=192.168.45.5 \ dst-port=83 protocol=tcp src-address-list=STAGE_1

8 правил

В братан лист должен попадать всякий кто постучит на три заданых порта в любой последовательности

братан лист :))))

В братан лист должен попадать всякий кто постучит на три заданых порта в любой последовательности

так и есть

Ща приду проверю

надо бы фигачить листы из листов.... тогда можно будет короче сделать, но это скриптом только

А почему нельзя добавлять в каждый список при стуке.... ну и проверять, если есть в трёх списках добавлять в белый?

можно и так... но это опять таки скрипт или портянка из правил

можно и так... но это опять таки скрипт или портянка из правил

просто в чём портянка? если адрес есть в трёх листах - добавить в белый. ну и по отдельному правилу на каждый стук