в fw mt разрешить прохождение tcp/udp трафика на контроллер 53 порт. на самом контроллере в fw разрешить 10 подсеть. в wireguard у клиента AllowedIPs 192.168.1.0/24, 10.5.0.0/24

наверное всё же так тогда нужно. откуда 99 сеть взялась? add chain=forward action=accept protocol=udp src-address=10.0.7.0/24 dst-port=53

еще плохо шо нету альясов для портов

А это что, это где такое?

А это что, это где такое?

щас вот такое приходится

Какая версия ROS сейчас самая стабильная для AX3?

в том году 7.10.1 настроил и забыл достаточно стабильно? учитывайте свои потребности, сейчас считаю самая последняя всегда лучше предыдущей, за исключением когда латыши что то сами сломают

это я пытался терминологию pfSENSE привести - сори

ребзя! почему так происходит?..: client --l2tp--> GW2 --> HTTPS (OK) client --l2tp--> GW1 <--ipip--> GW2 --> HTTPS (SEC_ERROR_UNKNOWN_ISSUER), но не все сайты! я не понимаю =)

мту/мсс скорее всего

Похоже на mitm

Как правильно настроить vlan на шлюзе? каждый vlan нуждается в шлюзе, а у меня в вланах шлюз не пингуется

А тик в вланах имеет адрес?

так вот. Я создал вланы в бридже. Потом создал вланы, как самостоятельные интерфейсы, выдал каждому адрес из их подсетей

Не надо их все в бридж гнать

окей. Я их убирал, ничего не менялось

Надо на каждый влан в ip address добавить адрес для тика

Как указали? Через маску? /24

Ну что сказать. Вы сделали то что в принципе невозможно

есть бридж, в него включены 4 интерфейса, на всех vlan'ы

а читал как раз про то, что их на бридже делают

Тут есть некоторая проблема с восприятием: микротик объединяет в себе функции роутера и свича и соответственно с vlan может работать как роутер и как свич То, что у вас на скриншоте - это вариант "роутера": вы по сути добавили к физическим интерфейсам устройства несколько виртуальных шнурков и теперь с ними что-то можно сделать (повесить туда dhcp, смаршрутизировать трафик и тп) Сама метка vlan при этом не меняется Если нужно оперировать именно заголовка vlan (тегировать, растегировать, определять что в какие порты пойдёт) то работать нужно в меню bridge vlan и bridge port

Тут есть некоторая проблема с восприятием: микротик объединяет в себе функции роутера и свича и соответственно с vlan может работать как роутер и как свич То, что у вас на скриншоте - это вариант "роутера": вы по сути добавили к физическим интерфейсам устройства несколько виртуальных шнурков и теперь с ними что-то можно сделать (повесить туда dhcp, смаршрутизировать трафик и тп) Сама метка vlan при этом не меняется Если нужно оперировать именно заголовка vlan (тегировать, растегировать, определять что в какие порты пойдёт) то работать нужно в меню bridge vlan и bridge port

так этот микротик и есть роутер

Тогда вам не нужны настройки в bridge Вы просто ловите то, что вам свич прислал и все

а как? Вот этоот вопрос меня и волнует. Настроить на коммутаторах вланы легко, а тут понадобилось шлюз, и всё, я потратил на это дело несколько часов без какого-либо успеха :D

На шлюзе ещё проще - убираете все, что у вас в бридже с vlan связано Вешаете interface vlan на бридж, как у вас на скриншоте (ну или на конкретный порт если бриджа) нет и все То есть у вас, насколько я вижу, просто лишний конфиг, вам не нужно ничего с тегами делать

и tegged и untegged мы указываем, чтобы он не снимал теги?

то есть теги снимаются в любом случае, когда приходят на микротик, если это не в бридже?

Если на роутер пришёл тегированный трафик и у роутера есть тегированный в interface vlan "порт" - трафик пойдёт туда, свич чип (ака bridge vlan filtering) тут в принципе не нужен, он по умолчанию весь трафик через себя пропустит) Если он у вас включён, то нужно в tagged для каждого vlan прописать bridge, чтобы трафик дошёл до процессора

Если на роутер пришёл тегированный трафик и у роутера есть тегированный в interface vlan "порт" - трафик пойдёт туда, свич чип (ака bridge vlan filtering) тут в принципе не нужен, он по умолчанию весь трафик через себя пропустит) Если он у вас включён, то нужно в tagged для каждого vlan прописать bridge, чтобы трафик дошёл до процессора

вот я такую штуку и сделал, но она мне не помогла. Спасибо, стало яснее 🤝

Попробуйте собрать простую лабу - взять два тика, повесить каждому по interface vlan, повесить туда айпишники из одной сети и попинговать Потом - не трогая ничего в бридже - поставить посередине свич с транками и ещё раз посмотреть. Мне кажется, должно стать понятнее

Попробуйте собрать простую лабу - взять два тика, повесить каждому по interface vlan, повесить туда айпишники из одной сети и попинговать Потом - не трогая ничего в бридже - поставить посередине свич с транками и ещё раз посмотреть. Мне кажется, должно стать понятнее

ну всё равно странная фигня

все у вас было верно изначально, вилан интерфейсы на бридже, бридж с включенной вилан фильтрацией, нужные порты в бридже, во вкладке вилан в бридже нужные виланы, там порты тегированные и нетегированные, но есть нюанс про который написали уже, в каждом вилане нужен бридж, если вы хотите этот вилан терминировать на устройстве

вырубил vlan filtering, выключил все vlan на бридже. Оставил интерфейсы VLAN с указанием физ-интерфейса ether2, так как в текущей конфигурации он единственный задействован, на каждый vlan повесил адрес в 24 маске. оно не рабоатет. Я что-то упускаю

вот с этой конфигурацией я изначально сюда и пришел

все у вас было верно изначально, вилан интерфейсы на бридже, бридж с включенной вилан фильтрацией, нужные порты в бридже, во вкладке вилан в бридже нужные виланы, там порты тегированные и нетегированные, но есть нюанс про который написали уже, в каждом вилане нужен бридж, если вы хотите этот вилан терминировать на устройстве