Только firewall, dhcp, wireguard один тоннель

/report

Доброго дня всем Подскажите пожалуйста как правильно отмаркировать внутренний трафик определенного влана и направить его на внутренний прокси сервер. Можно сделать через rule, но там маршрутизируется весь трафик, а мне нужно маршрутизировать только трафик уходящий в интернет. Либо статью какую нибудь скинуть. Игрался с такими правилами https://hastebin.com/share/mojogoqofe.ini

chain=prerouting action=mark-connection new-connection-mark=cin-VLAN208-INET passthrough=yes in-interface=vlan208 dst-address-list=!own_net packet-mark=no-mark chain=prerouting action=mark-routing new-routing-mark=rt-VLAN208-INET passthrough=no connection-mark=cin-VLAN208-INET fast-track должен либо быть отключен глобально, либо исключать указанный трафик - выше правилом accept --- существующие соединения от источника должны быть сброшены

fast track отключен, коннекшены сбрасывал. А правило output делать не нужно? Не нужно ставить dst.address type=local? К сведению влан вифи сети, на нем же поднят капсман. local forwarding отключен

Коллеги, околосетевой вопрос связанный с NPS под Windows. Настроена политика в NPS, сотрудники подключаются под доменными учётными записями к VPN серверу под МТ. Так сложилось, что сотруднику нужно изменить пароль в AD. Меняю. Ставлю галку на требование изменить пароль при следующем логоне в систему. С таким "временным" паролем к VPN не подключиться. Как-то можно отловить этот параметр? и, к примеру, таких пользователей только на определённый сервер пускать для замены пароля? или просто разрешить подключение с такими "временными" паролями?

это должен уметь VPN-клиент, стандартный клиент Windows так не умеет

что именно?

Коллеги, околосетевой вопрос связанный с NPS под Windows. Настроена политика в NPS, сотрудники подключаются под доменными учётными записями к VPN серверу под МТ. Так сложилось, что сотруднику нужно изменить пароль в AD. Меняю. Ставлю галку на требование изменить пароль при следующем логоне в систему. С таким "временным" паролем к VPN не подключиться. Как-то можно отловить этот параметр? и, к примеру, таких пользователей только на определённый сервер пускать для замены пароля? или просто разрешить подключение с такими "временными" паролями?

Смену пароля

настройте и опубликуйте наружу Windows ADFS - забудьте

Спасибо, посмотрю

Добрый день. Настроил L2TP IPSec сервер на микротике, в firewall открыл порты UDP 1701, 500, 4500 Создал профиль (secret). Пытаюсь с клиента (Win11) подключиться - бесконечное подключение, никаких ошибок. Проверил с клиента открыты ли порты - пишет все порты (1701, 500, 4500) закрыты. Благодарю за подсказки

Можно подружить dhcp сервер микрота и dns гнусной вянды?

Да, но лучше больше вводных)

Ну как бы есть DHCP расположенный на Microtik и есть контроллер домена, соответственно DNS там. Хочу чтобы когда клиент получал сетевые параметры, его hostname, указывался в DNS контроллера. Ну как то так пока что ) Нашёл полка что это, пока не знаю как применить.

виндовые клиенты будут регистрироваться сами через secure updates. по поводу странички, там черным по желтому написано: DNS update tool works only with BIND server, it will not work with DynDNS, EveryDNS or any other similar service. For these services other methods should be used

Сделайте политику. Она будет требовать регистрации имени ПК в ДНС сервере

Это не подходит (

подскажите, как быть, когда между двумя микротами, провайдеры ограничивают скорость одного коннекта, а между микротами например поднят GRE+IPsec ?

Обратится к провайдеру *Но выглядит как бред.

почему бред? некоторые страдают таким..

Провайдеру это ну нежно(что-то там ограничивать по колву), поэтому и бред.

Обратится к провайдеру *Но выглядит как бред.

количество коннектов они не ограничивают, а скорость на один коннект - да

подскажите, как быть, когда между двумя микротами, провайдеры ограничивают скорость одного коннекта, а между микротами например поднят GRE+IPsec ?

задержка большая?

я видел провайдера, который в 2009м году влепил в фаерволе ограничение на 50 TCP SYN сессий с одного айпи и дожил с этим правилом до 2021 года))) (только в 2009м у него были тарифы в 2 мегабита, а в 2021м стали в 200мбит)

и в мир могут выпускать нормально, а на соседнего провайдера - ограничивать

ну в задаче стоит типа, как я понимаю поднять некий туннель между, который бы использовал бы не один коннект, а множество

я плохо знаком с BGP, и практики его использования не было. поэтому не понимаю стоитли копать в эту сторону

Здравствуйте, у вас получилось настроить требуемое?

Сделайте L2TP без IPSec. Посмотрите ошибки на стороне клиента. Почитайте логи на стороне сервера.

Добрый день. Настроил L2TP IPSec сервер на микротике, в firewall открыл порты UDP 1701, 500, 4500 Создал профиль (secret). Пытаюсь с клиента (Win11) подключиться - бесконечное подключение, никаких ошибок. Проверил с клиента открыты ли порты - пишет все порты (1701, 500, 4500) закрыты. Благодарю за подсказки

Может что-то в принципе не правильно настроено? Proposal, и прочие свойства профилей

тут все по дефолту

Андроида нет 😂

Все заработало само мистическим образом после ребута. Всем спасибо

Версия планируется 6.48.7

Подскажите пожалуйста как сейчас обстоят дела с ccr2004-1g-12s-2xs, Глюки самопроизвольные ребуты? Планирую терминировать pppoe 2-3gb и шейпер

Не сможете

Производительность ?

Я про ros

для output - делать не надо

Не подскажите как можно проверить работу прохождения трафика? с конечного потребителя трассировка показывает первый адрес шлюза потом все. Если через rules делать то все работает. Схема такая ccr далее crs317 с аппаратной маршрутизацией потом прокся.

на счетчиках правил mangle - например, включить логирование этих правил

дальше в таблице соединений смотрим есть ли активные соеднинения с connection-mark

состояние и флаги

а нет вру просто C

обратного трафика нет, но я честно не понимаю как завернуть ICMP на прозрачный прокси

Кто пользуется приложением Микротик для андроид, ребята, подскажите пожалуйста где спрятана функции проверки наличия обновления ROS? Иногда на некоторых устройствах появляется уведомление на главной, что доступна новая версия. А иногда вообще никаких сообщений. Только через винбокс.