проблемка известная, если правила icmp нокинга стоят после дефолтного акцепта для релейтед и естеблишед пакетов, то первый пакет идет по правилам простукивания, а дальнейшие акцептятся вышестоящим правилом, я правда только с винды это получал, линукса на тот момент под рукой не было, поэтому подтвердить другое поведение при пингах с линукса не могу.

смешно

7.11.2

Покажите их, сложно или стесняетесь?

Windows ping -l 250 172.30.2.254 -n 1 -4 Linux ping -s 250 172.30.2.254 -c 1

по другому вопрос... как можно определённого клиента CAPsMAN вывести в отдельный VLAN ?

Windows ping -l 250 172.30.2.254 -n 1 -4 Linux ping -s 250 172.30.2.254 -c 1

Что из линукса, что из винды, пакетики по 278 байт. И коннекшен от обоих висит 10 секунд. Разницы никакой.

Возможно версия другая у нас последня 6х LTS

Кого, микротика?

А как, простите, размер ICMP-пакета зависит от оси ПИНГУЕМОГО?

Linux появляется сразу так

Linux появляется сразу так

Мы обнаружили что если запускать один Пинг то так если постоянно пинговать то 10 сек

Это скорее всего задержка отображения в winbox

В настройках conntrack стоит icmp timeout 10sec по умолчанию.

Добрый день! Смогу ли я при такой настройке обратиться с своему же публичному IP ? должно ли сработать правило NAT при включенном фильтре Out Interface list ?

обратиться сможете, но ответ не получите...

ответ не получу потому что .... ?

ответ не получу потому что .... ?

Например radius. Ну или по Mac address

потому что при обращении внешнему адресу вашего роутера 1.1.1.1 из вашей сети 10.0.0.5 пакет "к роутеру долетит" 10.0.0.5 -> 1.1.1.1 Но как только роутер решит ответить на это обращение, как вы думаете с какого адреса он решит направить пакет к 10.0.0.5 в локальную сеть?

Вам нужен harpin nat

Эй... это моя фраза)))

ну тогда при подключении к внешнему ип адресу по 443 порту вы должны попасть на 10,0,0,11

Прости)

может вы знаете, где почитать про это? private-passphrase - PSK passphrase to use for this client if some PSK authentication algorithm is used

Я хотел привести его к этой мысли... а ты всё испортил)))

потому что при обращении внешнему адресу вашего роутера 1.1.1.1 из вашей сети 10.0.0.5 пакет "к роутеру долетит" 10.0.0.5 -> 1.1.1.1 Но как только роутер решит ответить на это обращение, как вы думаете с какого адреса он решит направить пакет к 10.0.0.5 в локальную сеть?

Не пользовался этой штукой, но, видимо, позволяет каким-то клиентам проходить аутентификацию с другим PSK.

еще вопрос по access list CAPsMAN: там есть VLAN ID т.е. для отдельного клиента можно другой VLAN задать отличный от VLAN ID заданный в DATAPATH самого CAPsMAN ?

на первый взгляд и srcnat и dstnat поотдельности отрабатывают корректно. но чувствую что возникают нюансы когда трафик может идти по более короткому пути, не попадая на физический интерфейс, или из-за совпадение srcip и dstip. вот и хочется понять в чем загвостка

Вам надо схему прохождения трафика посмотреть. В правиле dst-nat нужно указать публичный адрес, а в src-nat уже локальный адрес, куда нужно направить. Тогда микротик перенаправит пакет через dst-nat, а src-nat подменит src-address на адрес маршрутизатора, и когда маршрутизатор получит ответ, то вернёт пакет обратно на ПК, с которого был отправлен запрос. Без src-nat ответ не вернётся на ПК

есть 2 ната. srcnat для выхода в интернет dstnat для публикации сервиса публичный IP один (точнее несколько провайдеров, но на каждом по одному, поэтому и интерфейс-листы а не интерфейсы) т.е. в этом разрезе всё корректно. тут скорее особенности реализации алгоритмов вендора важны. А вот про харпин-нат не слышал... это я так понимаю какая-то груда костылей поверх существующей реализации что бы "не стыдно было" ?

есть 2 ната. srcnat для выхода в интернет dstnat для публикации сервиса публичный IP один (точнее несколько провайдеров, но на каждом по одному, поэтому и интерфейс-листы а не интерфейсы) т.е. в этом разрезе всё корректно. тут скорее особенности реализации алгоритмов вендора важны. А вот про харпин-нат не слышал... это я так понимаю какая-то груда костылей поверх существующей реализации что бы "не стыдно было" ?

Другие вендоры эти костыли встроили... у тика его по дефолту нет, нужно сделать ручками... Ну а вообще говоря, если сервис внутри сети - ходите к нему по локальному адресу, если снаружи по внешнему. В чём проблема то?

там проблема что в паблик он под другим портом опубликован, что бы меньше внимания привлекал, и простая подмена IP в DNS не помогает, надо строку подключения другую делать

это не проблема же. Мы же обращаемся к публичному и точно так же проходим через dst-nat, где трафик перенаправляется на нужный порт

есть 2 ната. srcnat для выхода в интернет dstnat для публикации сервиса публичный IP один (точнее несколько провайдеров, но на каждом по одному, поэтому и интерфейс-листы а не интерфейсы) т.е. в этом разрезе всё корректно. тут скорее особенности реализации алгоритмов вендора важны. А вот про харпин-нат не слышал... это я так понимаю какая-то груда костылей поверх существующей реализации что бы "не стыдно было" ?

а вы предлагаете на приватный IP микротика идти ?

нет же

всем привет. Подскажите такой момент: есть один rb2011 и один внешний ip. За ним стоит физический сервер с веб(80 и 443 порты). Понадобилось на пару месяцев приютить второй сервер с веб, с теми же портами.... Вроде что-то там накостылил через webProxy, первый серв работает как и раньше, а вот у второго не хочет работать по ssl(443), перекидывает на первый сервер. Реально ли осуществить одновременную работу двух веб серверов на стандартных портах?

а как клиентам различать к какому серверу они идут (если внешний IP и порт одинаковые)? в принципе задача решаема если например клиенты с разных IP ходят, ну или порты разные надо делать

всем привет. Подскажите такой момент: есть один rb2011 и один внешний ip. За ним стоит физический сервер с веб(80 и 443 порты). Понадобилось на пару месяцев приютить второй сервер с веб, с теми же портами.... Вроде что-то там накостылил через webProxy, первый серв работает как и раньше, а вот у второго не хочет работать по ssl(443), перекидывает на первый сервер. Реально ли осуществить одновременную работу двух веб серверов на стандартных портах?

Один веб-сервер может обслуживать несколько сайтов. Поставьте какой-нибудь nginx и на нем разбирайте куда дальше отправлять запрос, в зависимости от доменного имени.