Есть версии?

Есть версии?

просто маску забыл добавить в конце айпи

"""/ip address add address=10.2.0.1 interface=br_lan network=10.2.0.1"""

/interface bridge add name=br_lan add name=br_wan /interface wireless set [ find default-name=wlan1 ] ssid=MikroTik /interface wireless security-profiles set [ find default=yes ] supplicant-identity=MikroTik /ip pool add name=dhcp_pool0 ranges=10.2.0.50-10.2.0.254 /ip dhcp-server add address-pool=dhcp_pool0 always-broadcast=yes bootp-support=dynamic \ disabled=no interface=br_lan name=dhcp1 /interface bridge port add bridge=br_wan interface=ether1 add bridge=br_lan interface=ether2 add bridge=br_lan interface=ether3 add bridge=br_lan interface=ether4 add bridge=br_lan comment=PoE_Out interface=ether5 /ip address add address=10.2.0.1 interface=br_lan network=10.2.0.1 /ip dhcp-server network add address=10.2.0.0/24 dns-server=10.2.0.1 domain=WORKGROUP gateway=10.2.0.1 \ netmask=24 ntp-server=10.2.0.1 /ip dns set allow-remote-requests=yes servers=10.2.0.1 /ip firewall address-list add address=10.5.0.0/24 list=RMG add address=10.1.0.0/24 list=RMG add address=10.0.0.0/24 list=RMG add address=10.2.0.0/24 list=RMG /ip firewall filter add action=fasttrack-connection chain=input connection-state=\ established,related add action=fasttrack-connection chain=forward connection-state=\ established,related add action=accept chain=forward dst-address-list=RMG src-address-list=RMG add action=accept chain=output add action=accept chain=input

как вообще генерируется System ID в CHR? Возможно ли просто виртуальный диск перекинуть на другую виртуальную машину для его замены? Как-то должно же привязываться к железу, пусть и виртуальному

Естественно. Иначе бы он не смог достучаться до серверов лицензирования и выдал нечто вроде "cannot resolve" Ошибка же вполне себе понятная. Данный идентификатор уже получал пробную лицензию. И второй раз не дадим. Но я же хочу не пробную активировать, а активация P1 идёт только через пробную %)

Он там не появляется. В том то и дело

и не появится

т.е. только перезалив поможет?

а нельзя запросить P10 триал?

Насколько помню, демоКеи генерятся только для х86. в CHR его даже некуда ввести

На скорости 1мбит сливать около 10гб данных с него %) прелестно 😃

Доброго дня всем! Впервые столкнулся с подобным, подскажите как лучше избавиться, спасибо.

казлось бы причем тут FW - включить ipsec,!debug и смотреть

казлось бы причем тут FW - включить ipsec,!debug и смотреть

Настроить фаервол по умолчанию

Совсем по дефолту нельзя, что именно из него добавить?

Почему нельзя?

Обширный в CHR в продакшене, вдруг что и привет...

Значит вам цхр не нужен, раз вы не умеете в чтение дефолт конфига.

Обширный в CHR в продакшене, вдруг что и привет...

Возьмите листинг дефолтного конфига и своего и вдумчиво перенесите изменения

Уже делаю через сейф мод потихоньку)

Ну или обратиться в оутсорс компании.

Учтите, что сейф мод помнит 100 последних изменений. 101 записывается

Средняя красная запись не смущает?

неа: - там видно что рассыпалась phase1, но поскольку есть идентификаторы SPI (если я правильно помню) с двух сторон - то согласование проходило / проходит норм. - так же видно, что вторая сторона за NAT

дебаг ipsec это что-то на прожжёном)))

А причём тут вообще ipsec, когда у нему залогиниться пытаюсь под винбоксом?

а где автор говорил про winbox - и поскольку я им не пользуюсь, то я даже внимание не обратил - просто кто-то паролем ошибся

/system logging add topics=ipsec,!debug я включаю это - по-умолчанию для всех своих маршрутизаторов: 09:21:14 ipsec,info respond new phase 1 (Identity Protection): 178.x.x.x[500]<=>188.x.x.x[500] 09:21:14 ipsec received Vendor ID: draft-ietf-ipsra-isakmp-xauth-06.txt 09:21:14 ipsec received Vendor ID: DPD 09:21:14 ipsec received Vendor ID: CISCO-UNITY 09:21:14 ipsec received Vendor ID: FRAGMENTATION 09:21:14 ipsec Fragmentation enabled 09:21:14 ipsec received Vendor ID: RFC 3947 09:21:14 ipsec received Vendor ID: draft-ietf-ipsec-nat-t-ike-02\n 09:21:14 ipsec 188.x.x.x Selected NAT-T version: RFC 3947 09:21:14 ipsec Adding xauth VID payload. 09:21:14 ipsec sent phase1 packet 178.x.x.x[500]<=>188.x.x.x[500] 88070336bc1aea3f:3d42b0c798c2124f 09:21:14 ipsec NAT not detected 09:21:14 ipsec Adding remote and local NAT-D payloads. 09:21:14 ipsec sent phase1 packet 178.x.x.x[500]<=>188.x.x.x[500] 88070336bc1aea3f:3d42b0c798c2124f 09:21:14 ipsec,info ISAKMP-SA established 178.x.x.x[500]-188.x.x.x[500] spi:88070336bc1aea3f:3d42b0c798c2124f 09:21:24 ipsec,info purging ISAKMP-SA 178.x.x.x[500]<=>188.x.x.x[500] spi=2c9225973d563377:3daf07a54808f026. 09:21:24 ipsec keeping IPsec-SA spi=210860597 - found valid ISAKMP-SA spi=88070336bc1aea3f:3d42b0c798c2124f. 09:21:24 ipsec keeping IPsec-SA spi=3362612913 - found valid ISAKMP-SA spi=88070336bc1aea3f:3d42b0c798c2124f. 09:21:24 ipsec purged IPsec-SA proto_id=ESP spi=0xcdf902bd 09:21:24 ipsec purged IPsec-SA proto_id=ESP spi=0xe3fd94e 09:21:24 ipsec purged ISAKMP-SA 178.x.x.x[500]<=>188.x.x.x[500] spi=2c9225973d563377:3daf07a54808f026. 09:21:24 ipsec,info ISAKMP-SA deleted 178.x.x.x[500]-188.x.x.x[500] spi:2c9225973d563377:3daf07a54808f026 rekey:1 09:41:14 ipsec IPsec-SA expired: ESP/Transport 188.x.x.x[500]->178.x.x.x[500] spi=0xc917a35 09:41:14 ipsec initiate new phase 2 negotiation: 178.x.x.x[500]<=>188.x.x.x[500] 09:41:14 ipsec sent phase2 packet 178.x.x.x[500]<=>188.x.x.x[500] 88070336bc1aea3f:3d42b0c798c2124f:a8c1815b 09:41:14 ipsec IPsec-SA expired: ESP/Transport 178.x.x.x[500]->188.x.x.x[500] spi=0xc86d66b1 09:41:14 ipsec attribute has been modified. 09:41:14 ipsec IPsec-SA established: ESP/Transport 188.x.x.x[500]->178.x.x.x[500] spi=0x64e1834 09:41:14 ipsec IPsec-SA established: ESP/Transport 178.x.x.x[500]->188.x.x.x[500] spi=0xc5cf1bc7 09:47:14 ipsec IPsec-SA expired: ESP/Transport 188.x.x.x[500]->178.x.x.x[500] spi=0xc917a35 09:47:14 ipsec IPsec-SA expired: ESP/Transport 178.x.x.x[500]->188.x.x.x[500] spi=0xc86d66b1

! debug же))) просто с пакетной историей там ещё больше страха и боли. А так красиво, не спорю.

а где автор говорил про winbox - и поскольку я им не пользуюсь, то я даже внимание не обратил - просто кто-то паролем ошибся

Здравствуйте. Прошу ткнуть носом в нужном направлении. Поднял StrongSwan в ЦОД у заказчика. Настроил IPSec. С нашей стороны RB1100AH c RoterOS 6.49.7 Политика с обоих концов в состоянии established. Из ЦОД наша сеть пингуется, а от нас пакеты в Интернет уходят. Передергивание тоннеля не помогает. (Трассировку со своего рабочего ноута делаю) Из ЦОД могу пингануть микротик, принтеры, виртуалки у нас в офисе. Трафик точно через IPSec идет, т.к. я при активном пинге из ЦОД вижу, как растет счетчик пакетов в Active Peers у нужного пира. Останавливаю пинг с той стороны - счетчик перестаёт расти. На пинг с нашей стороны не реагирует. Статических маршрутов до сетей ЦОД нет, правила маскарадинга проверил - нет ничего, что могло бы сработать. Попробовал разрешающие правила forward для соответствующих сетей в Firewall создать, что бы оно дальше не обрабатывалось - не помогло (счетчики растут).

Здравствуйте. Прошу ткнуть носом в нужном направлении. Поднял StrongSwan в ЦОД у заказчика. Настроил IPSec. С нашей стороны RB1100AH c RoterOS 6.49.7 Политика с обоих концов в состоянии established. Из ЦОД наша сеть пингуется, а от нас пакеты в Интернет уходят. Передергивание тоннеля не помогает. (Трассировку со своего рабочего ноута делаю) Из ЦОД могу пингануть микротик, принтеры, виртуалки у нас в офисе. Трафик точно через IPSec идет, т.к. я при активном пинге из ЦОД вижу, как растет счетчик пакетов в Active Peers у нужного пира. Останавливаю пинг с той стороны - счетчик перестаёт расти. На пинг с нашей стороны не реагирует. Статических маршрутов до сетей ЦОД нет, правила маскарадинга проверил - нет ничего, что могло бы сработать. Попробовал разрешающие правила forward для соответствующих сетей в Firewall создать, что бы оно дальше не обрабатывалось - не помогло (счетчики растут).

исключите ipsec траффик из NAT на вашей стороне

Спасибо. Создал правило srcnat - accept из нашей сети в сеть ЦОД и трафик пошёл

надо было вот так указать в нат правиле )

Всем доброго дня. Подскажите пожалуйста как установить приоритет маршрутов. GW1 И GW2 объеденены сетью backbone. Если теряется связь между GW1 и R1, то маршрут от GW1 к R1 перестраивается через R2, а нужно, что бы через GW2. Изменение cost не помогает. Судя по всему из-за того что соединение от R2 это intra area, а от gw2 это ext

1. зачем на схеме указаны символы dr и bdr? 2. нарисуйте, какие интерфейсы в какие area попадают

в первом вопросе я спросил, с какой целью на схеме отмечены dr и bdr (сущности, которые существуют в ospf, но не могущие повлиять на выбор некстхопа), вы мне ответили двумя аббревиатурами, которые не имеют ничего общего ни с dr/bdr, ни между собой