Ай... Решается легко. Тросик от стены до стены и всего делов

доброй ночи, как правильно заблокировать выход в интернет определённому адресу ? я добавил в самый верх правило, указал форвард, срц и дроп, в маскараде сказал "нот адрес", но коннекты походу не уменьшаются - хост походу взломан, генерирует дофига коннектов ещё и мак в арп добавил неверный статиком

Ну, т.е. из шишек и еловых веток сложно будет построить. Ясно.

Всем, доброго дня. Подскажите, кто в теме и возможно уже столкнулся. Наблюдаю со вчерашнего дня проблемы в работе протоколов openpvn и wireguard при работе с заграничными ресурсами. Не проходит трафик по tcp/udp в канал, не идет в принципе даже icmp, периодически рвется сессия, не подключается в принципе.

А что именно вам подсказать? Группа то по MikroTik)

Есть ли понимание с чем связано, то что ломает работу протоколов, касаемо микротик в частности? Тунельные интерфейсы на оборудовании физическом и виртуальном подняты.

это не микротик виноват, а скорее всего надзорные органы

Никто микротик и не обвиняет. Я задал вопрос, есть ли у кого-то понимание, что происходит и на каком уровне. Предположения я тоже умею строить, спасибо.

Никто микротик и не обвиняет. Я задал вопрос, есть ли у кого-то понимание, что происходит и на каком уровне. Предположения я тоже умею строить, спасибо.

как реверс прошивки поможет вам понять, почему дропается трафик внутри сети оператора?

Приветствую всех гуру помогите пожалуйста всю голову сломал. Есть два офиса обьединены в ipsec на микротах, все круто все работает но есть проблема, весь трафик во внутреннюю сеть из офиса А в офис Б выглядет исходящим из микротика Б, а нужно чтобы виделся уникальными адресами сети А. Что то нужно в нате поправить но ничего не выходит...

Всем доброго дня, кто-то встречал такой баг, скрипт на бэкап настроек на микроте на прошивке 7.5 хорошо проставлял дату, обновился до 7.10. 2 и вот такую фигню пишет

Всем доброго дня, кто-то встречал такой баг, скрипт на бэкап настроек на микроте на прошивке 7.5 хорошо проставлял дату, обновился до 7.10. 2 и вот такую фигню пишет

маршрут для ипсека настроен, нужен дополнительный из одной подсети в другую типа?

put [/system clock get date] 2023-08-02 Теперь оно безо всяких парсеров выдаёт нормальную дату.

с обоих сторон должен быть маршрут в другую сеть

Стесняюсь спросить. Но таки спрошу... Какой к ляду маршрут при ipsec туннеле?

для микротика не актуально, но те кто могут в VTI вполне.

Приветствую всех гуру помогите пожалуйста всю голову сломал. Есть два офиса обьединены в ipsec на микротах, все круто все работает но есть проблема, весь трафик во внутреннюю сеть из офиса А в офис Б выглядет исходящим из микротика Б, а нужно чтобы виделся уникальными адресами сети А. Что то нужно в нате поправить но ничего не выходит...

Access list по уровню мощности? Не, не слышал..

Курс mtcna

Вот в душе не знаю как называется этот курс. Единственный сертификат который для меня имеет какой то смысл и вес мой CCSE+ Что сказать то хотели?

Что это прям азы, на самом первом курсе дают 😳

Что это прям азы, на самом первом курсе дают 😳

И? Мне это для чего, на каком курсе? Я это всё знаю со времён появления capsman

крутая крутость крута, да.

В смысле?

в прямом ...

Отвечу как думаю сам. Важно знать и уметь. Всё остальное от лукавого. По поводу CCSE+ Это третий курс CheckPoint В таком порядке CCSA (security administrator) CCSE (security engineering) CCSE+ (troubleshooting) Есть ещё VSX и CCMA Но это совсем другая история. Если человек дошёл до CCSE+ и сдал экзамен VUE то он хоть чего то знает... пиписькой прикольно мериться по молодости... Когда взрослеешь - понимаешь, что важен в данном случае не размер самомнения, а размер оплаты за услуги.

Всем привет, а как вы мониторите срок действия сертификатов ссл на роутере? Сейчас заббикс у меня бегает по веб серверам (iis, nginx) и там проверяет срок действия по https и стучит.а как быть с рос7?

/ip ipsec policy group add name=ike2-policies /ip ipsec profile add dh-group=ecp256,ecp384,ecp521,ec2n185,ec2n155,modp8192,modp6144,modp4096,modp3072,modp2048,modp1536,modp1024,modp768 enc-algorithm=aes-256,aes-192,aes-128,3des,des name=ike2 /ip ipsec peer add exchange-mode=ike2 name=ike2 passive=yes profile=ike2 /ip ipsec proposal add name=ike2 pfs-group=none /ip pool add name=ike2-pool ranges=192.168.77.2-192.168.77.254 /ip ipsec mode-config add address-pool=ike2-pool address-prefix-length=32 name=ike2-default split-include=0.0.0.0/0 /ip ipsec identity add auth-method=eap-radius certificate="letsencrypt-autogen_2023-01-26T18:52:40Z,LetsEncrypt Root" generate-policy=port-strict mode-config=ike2-default peer=ike2 policy-template-group=ike2-policies /ip ipsec policy add dst-address=192.168.77.0/24 group=ike2-policies proposal=ike2 src-address=0.0.0.0/0 template=yes /radius add address=192.168.99.101 service=ppp,login,ipsec timeout=1s /system scheduler add interval=8w4d name=letsencrypt-scheduled-renew on-event=letsencrypt-renew policy=read,write start-date=jul/11/2022 start-time=20:42:08 /system script add dont-require-permissions=no name=letsencrypt-renew owner=admin policy=read,write source=":local dnsName \"ikev2vpn.example.com\";\r\ \n/ip service enable [find name=\"www\"];\r\ \n/certificate remove [find common-name=\$dnsName];\r\ \n/certificate enable-ssl-certificate dns-name=\$dnsName;\r\ \n:delay 20s;\r\ \n/ip ipsec identity set [find peer=\"ike2\"] certificate=([/certificate find common-name=\$dnsName],[/certificate find name=\"LetsEncrypt Root\"]);\r\ \n/ip service disable [find name=\"www\"];"

серверные, которые для ikev2 сервера юзаются, их выпускает LetsEncrypt

Стесняюсь спросить. Но таки спрошу... Какой к ляду маршрут при ipsec туннеле?

Чей микрот? Автор: Grad 916 Адрес: г. Екатеринбург, Вторчермет (56.762695° 60.577451°)

Добрый день, подскажите , из России зарегистрироваться на сайте микротика и купить лицензию chr нет возможности ?

Добрый день, подскажите , из России зарегистрироваться на сайте микротика и купить лицензию chr нет возможности ?

Скрываешься)

Релиз 7.11 маячит на горизонте. Появился уже второй релиз-кандидат. What's new in 7.11rc2 (2023-Aug-03 10:50): Changes in this release: *) certificate - fixed CRL link to the certificate if generated on an older version (introduced in v7.7); *) console - improved stability when canceling console actions; *) ike2 - fixed ECP521 DH group usage (introduced in v7.11 beta1); *) lte - fixed R11e-LTE6 "EARFCN" reporting format (introduced in v7.11rc1); *) ssh - fixed SSH key agreement when using ed25519 under server settings; *) wireguard - fixed peer IPv6 "allowed-address" usage;

качели с introduced - fixed будут длиться годами ... )

Нужна помощь знатоков l2tp ipsec на микроте... есть несколько удаленных отделений... все они с микротами стучались в главный микрот...и все было нормально до среды. вчером в среду, внезапно, никто не смог подключится..полезли ошибки -хх.ххх.ххх.78 parsing packet failed, possible cause: wrong password -хх.ххх.165.193 failed to pre-process ph2 packet.

Как предполагали ранее - это могут быть глюки из-за тестирования "закрытого интернета". Типа блокируют все, что может являться не безопасным. Но это не 100%-ная причина

кто тестирует?

думаю перейти на ike2 . яправильно понимаю?: на основном микроте делаю центр, затем создаю ключи для основного и клиентов микротов, подписываю созданным центром... и потом эти ключи импортирую на др микроты? верно?

думаю перейти на ike2 . яправильно понимаю?: на основном микроте делаю центр, затем создаю ключи для основного и клиентов микротов, подписываю созданным центром... и потом эти ключи импортирую на др микроты? верно?

Если совсем правильно, то генерировать ключи на клиентах, делать сайнреквест, подписывать на основном и импортировать подписанный открытый ключ обратно, чтобы закрытый ключ не покидал микротик. Но можно все делать на одном микротике и импортировать оба ключа.