Два года голову ломал

Ага - "юзер-френдли" интерфейс 😂🤦🏻‍♂️, я вот тоже, когда искал как у wi-fi мощность выставить - всё облазил, спасибо тут ребята подсказали..

Ага - "юзер-френдли" интерфейс 😂🤦🏻‍♂️, я вот тоже, когда искал как у wi-fi мощность выставить - всё облазил, спасибо тут ребята подсказали..

MikroTik только в угоду современным реалиям и попытке чуть влезть на рынок бытовых устройств стал становится юзер-френдли, со всеми быстрыми настройками и дефолтными домашними конфигами. А так он изначально создавался как продукт сделанный "инженерами для инженеров".

Сразу вспоминается морда для wget

Так всё же понятно) каждый параметр просто выделен в отдельный чекбокс)))

Сразу вспоминается морда для wget

вот бы она готовую командную строку могла выдавать по проставленным галочкам )

У вас в этой цепочке есть домашний мт. Который в любом случае незнает где и как ему взять новый пасс для л2тп. И при смене пасс в ад он теряет связь

Ну вам надо nps смотреть. Есть ли в нем в поиске ad кастом атрибутов

Ну вам надо nps смотреть. Есть ли в нем в поиске ad кастом атрибутов

nps в части возможностей указания того, куда смотреть, крайне ущербен

быстро не нашёл, может и нет вовсе

Должно быть, nps может обращатся по ldap, но в ad придётся схему расширить, стоит миллион раз подумать прежде чем сделать.

их аж три) https://learn.microsoft.com/ru-ru/windows/win32/nps/ias-user-identification-attributes

Но берет пасс он с 1) или же делать на мт скрипт с авторизацией и дергать файл с лог пассом с хоста

А что за скрипт с авторизациец, можно подробнее?

Коллеги, хочу налюбить систему, надеюсь на вашу помощь и участие) Есть сервер L2TP, RADIUS (NPS), AD и горстка клиентов. Всё работает. Часть клиентов подключается к серверу L2TP с преднастроенного роутера, от МТ, который стоит у них дома. Допустим, сотрудник, в офисе сменил себе пароль от учётки AD. Вернулся домой, а у него пароль, сохранённый в l2tp клиенте на домашнем МТ старый, и VPN до офиса не работает. Таким людям мы не даём доступ к МТ домашнему. И в итоге получается так, что он не может попасть в локальную сеть предприятия т.к. нет туннеля, мы не можем попасть на домашний роутер - т.к. нет туннеля. Иногда сотрудник не может зайти в учётку на компе дома, т.к. он доменный и там тоже приколы с кешами и прочим) Можно делать ещё одну учётку, под которой настраивать пользователю стык с офисом. Но это сложнее администрировать и при увольнении такого пользователя можно забыть затереть эту учётку - стык может сохраниться. Думал чтобы в профиле пользователя в AD сделать какое-то поле и в нём в открытом виде хранить пароль. И каким-то образом научить радиус NPS сравнивать этот пароль при логоне пользователя, если он логинется с MT и разрешать доступ. Но быстро не нашёл можно ли так сделать. Может есть ещё варианты удобные в администрировании, готов выслушать.

Коллеги, хочу налюбить систему, надеюсь на вашу помощь и участие) Есть сервер L2TP, RADIUS (NPS), AD и горстка клиентов. Всё работает. Часть клиентов подключается к серверу L2TP с преднастроенного роутера, от МТ, который стоит у них дома. Допустим, сотрудник, в офисе сменил себе пароль от учётки AD. Вернулся домой, а у него пароль, сохранённый в l2tp клиенте на домашнем МТ старый, и VPN до офиса не работает. Таким людям мы не даём доступ к МТ домашнему. И в итоге получается так, что он не может попасть в локальную сеть предприятия т.к. нет туннеля, мы не можем попасть на домашний роутер - т.к. нет туннеля. Иногда сотрудник не может зайти в учётку на компе дома, т.к. он доменный и там тоже приколы с кешами и прочим) Можно делать ещё одну учётку, под которой настраивать пользователю стык с офисом. Но это сложнее администрировать и при увольнении такого пользователя можно забыть затереть эту учётку - стык может сохраниться. Думал чтобы в профиле пользователя в AD сделать какое-то поле и в нём в открытом виде хранить пароль. И каким-то образом научить радиус NPS сравнивать этот пароль при логоне пользователя, если он логинется с MT и разрешать доступ. Но быстро не нашёл можно ли так сделать. Может есть ещё варианты удобные в администрировании, готов выслушать.

AD + cisco anyconnect + always-on VPN (по сертификатам, которые раскатываются доменными политиками). Там идея такая. что пока пользователь сам не подключит VPN, то работает always-on VPN по серту, естественно на отдельном профиле с очень маленьким доступом достаточным для менеджмента, то есть забрать новые политики,, серты, обновления, etc.

Коллеги, хочу налюбить систему, надеюсь на вашу помощь и участие) Есть сервер L2TP, RADIUS (NPS), AD и горстка клиентов. Всё работает. Часть клиентов подключается к серверу L2TP с преднастроенного роутера, от МТ, который стоит у них дома. Допустим, сотрудник, в офисе сменил себе пароль от учётки AD. Вернулся домой, а у него пароль, сохранённый в l2tp клиенте на домашнем МТ старый, и VPN до офиса не работает. Таким людям мы не даём доступ к МТ домашнему. И в итоге получается так, что он не может попасть в локальную сеть предприятия т.к. нет туннеля, мы не можем попасть на домашний роутер - т.к. нет туннеля. Иногда сотрудник не может зайти в учётку на компе дома, т.к. он доменный и там тоже приколы с кешами и прочим) Можно делать ещё одну учётку, под которой настраивать пользователю стык с офисом. Но это сложнее администрировать и при увольнении такого пользователя можно забыть затереть эту учётку - стык может сохраниться. Думал чтобы в профиле пользователя в AD сделать какое-то поле и в нём в открытом виде хранить пароль. И каким-то образом научить радиус NPS сравнивать этот пароль при логоне пользователя, если он логинется с MT и разрешать доступ. Но быстро не нашёл можно ли так сделать. Может есть ещё варианты удобные в администрировании, готов выслушать.

Подскажите пожалуйста как сейчас обстоят дела с ccr2004-1g-12s-2xs, Глюки самопроизвольные ребуты? Планирую терминировать pppoe 2-3gb и шейпер

Думаю слабоват. Берите 1036 (2004 на уровне 1009) 2004 будем норм, если включить фасттрак… но с шейпером его не включить.

Да блин не могу найти 1036 с 2 10г и двумя бп за адекватный прайс

А сколько как bras 2004 прокачает чтобы не перегружаясь

/report

/report

Доброго времени суток. Киньте, пожалуйста, статьей. Как настроить микротик и нативный клиент VPN на новых Android?

https://t.me/mikrotikclub/293658

Вечер добрый , кинте пожалуйста ссылку на какую нибудь толковую статью как боротся с андройд устройствами которые постоянно меняют мак адрес ? есть какой-то механизм позволяющий идентифицировать конкретное устройство в роутер ос даже при смене мака ?

Заблокировать диапазон рандомных маков в аццесс листе.

А они в каком то стандартизировано диапазоне меняются?

Заблокировать диапазон рандомных маков в аццесс листе.

только маской их можно в капсмане прописать, а в акссес листе на одиночной точке на сколько знаю нет

а в чем задача? сделать так, чтобы у людей, которые не знают как выключить рандомизацию маков, не работал вифи пока не разберутся?

Да собственно ничего , надеялся что ещё какие нибудь инструменты существуют , да и не хотелось бы чтобы дискриминация так явно заметна была у одних в одной сети эти ресурсы открываются у других в другой нет, нужна видимость равенства и братства )

802.1x

Коллеги, хочу налюбить систему, надеюсь на вашу помощь и участие) Есть сервер L2TP, RADIUS (NPS), AD и горстка клиентов. Всё работает. Часть клиентов подключается к серверу L2TP с преднастроенного роутера, от МТ, который стоит у них дома. Допустим, сотрудник, в офисе сменил себе пароль от учётки AD. Вернулся домой, а у него пароль, сохранённый в l2tp клиенте на домашнем МТ старый, и VPN до офиса не работает. Таким людям мы не даём доступ к МТ домашнему. И в итоге получается так, что он не может попасть в локальную сеть предприятия т.к. нет туннеля, мы не можем попасть на домашний роутер - т.к. нет туннеля. Иногда сотрудник не может зайти в учётку на компе дома, т.к. он доменный и там тоже приколы с кешами и прочим) Можно делать ещё одну учётку, под которой настраивать пользователю стык с офисом. Но это сложнее администрировать и при увольнении такого пользователя можно забыть затереть эту учётку - стык может сохраниться. Думал чтобы в профиле пользователя в AD сделать какое-то поле и в нём в открытом виде хранить пароль. И каким-то образом научить радиус NPS сравнивать этот пароль при логоне пользователя, если он логинется с MT и разрешать доступ. Но быстро не нашёл можно ли так сделать. Может есть ещё варианты удобные в администрировании, готов выслушать.

А почему с домашними МТ туннели строите? Почему не с ПК работника? Поработал, отключился. Сам же пароль правит при смене.

Они условно-домашние - их выдаём мы же, когда в оном месте нужно ещё и телефон поставить или добавить не одну, а две рабочие станции подключенные к офису. Пароль правит сам, но мы показываем где - поэтому к этой железке нужен доступ.

AD + cisco anyconnect + always-on VPN (по сертификатам, которые раскатываются доменными политиками). Там идея такая. что пока пользователь сам не подключит VPN, то работает always-on VPN по серту, естественно на отдельном профиле с очень маленьким доступом достаточным для менеджмента, то есть забрать новые политики,, серты, обновления, etc.

Не ответа на мой вопрос. Почему не с ПК туннели?

Не ответа на мой вопрос. Почему не с ПК туннели?

Потому что если человеку дома нужен IP телефон - тунель с компа не сработает. Если дома два компа хотят подключиться по L2TP +IPSec - второй не подключится ибо серверу не понравится такой стык

Телефон у нас также на ПК на авая. А в чем не нравится? SA ipsec вроде по ключу должны отличаться. С одинаковыми ключами SA одинаковые будут. Тут да, может и не понравится.

Телефония на Asterisk - телефоны аппаратные - стандарт компании, на софтфоны и гарнитуры уходить не буду. В том что генерится политика IPSec в которой фигурируют пара внешних адресов:клиента и сервера. Соответственно ещё одно такое подключение уже не строится.

В политике должны быть участники, протоколы, ключи. По ключам получится разница по идее. Был один момент в практике. Делил клиентов по протоколу. Ну да ладно. Тогда отдельный служебный туннель только вижу.🤷‍♂

NPS сильно нативно интегрируется в AD и там мало возможностей модификации (а может и нет вовсе). Я пока не думал расширять схему, возможно просто буду использовать одно из незадействованных полей.

NPS сильно нативно интегрируется в AD и там мало возможностей модификации (а может и нет вовсе). Я пока не думал расширять схему, возможно просто буду использовать одно из незадействованных полей.

Лучше ovpn клиент использовать, с той же авторизацией в ad + сертификат

Ему нужно отдельно генерить сертификаты, хранить их, выдавать и отзывать - это сложно в плане администрирования. IPSec + L2TP и сгенерированный RAS файл - просто логон с учёткой из AD

Ничего сложного вроде, в Винде есть центр сертификатов, можно автоматом пользователю выдавать.

Вы сами реализовывали подобное?

Да, и сейчас работает. Но сертификаты я предварительно создаю на пользователя в группе VPN.

Сертификаты передаёте на тик, отдельно генерите конфу для ovpn клиента, передаёте её пользователю?

В общем да, кроме того что у меня не mikrotik шлюз. Но разницы нет, файлы на микрот можно грузить api как и конфиг создавать.

Ок, допустим... *я перестроил всю архитектуру* И как это решит изначальную проблему?)