либо пробрасывать порты с локал-адреса л2тп) вполне рабочая схема, если для удалёнки нужен только рдп или ещё что-то

Add-VpnConnection -Name "Office-L2TP" -ServerAddress "ip-адрес" -TunnelType "L2tp" -L2tpPsk "Общий ключ IPsec" -Force -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -SplitTunneling -RememberCredential -PassThru Add-VpnConnectionRoute -ConnectionName "Office-L2TP" -DestinationPrefix 192.168.2.9/32 –PassThru

есть PowerShell скрипт из двух строчек, максимально упрощающий жизнь в этой ситуации

Поделитесь?)

либо пробрасывать порты с локал-адреса л2тп) вполне рабочая схема, если для удалёнки нужен только рдп или ещё что-то

Тут 2 вида клиентов. 1. С домашних ПК через RDP к своим рабочим ПК 2. С рабочими ноутами в MS AD

Add-VpnConnection -Name "Office-L2TP" -ServerAddress "ip-адрес" -TunnelType "L2tp" -L2tpPsk "Общий ключ IPsec" -Force -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -SplitTunneling -RememberCredential -PassThru Add-VpnConnectionRoute -ConnectionName "Office-L2TP" -DestinationPrefix 192.168.2.9/32 –PassThru

тут соответственно Office-L2TP - название соединения для винды ip-адрес - адрес L2TP-сервера Общий ключ IPsec - и так понятно 192.168.2.9/32 - адрес сети, которая находится за L2TP сервером. 32 маска означает единственный ПК

логин и пароль винда запросит при первой попытке соединения

тут соответственно Office-L2TP - название соединения для винды ip-адрес - адрес L2TP-сервера Общий ключ IPsec - и так понятно 192.168.2.9/32 - адрес сети, которая находится за L2TP сервером. 32 маска означает единственный ПК

Тут понятно, но у меня ряд подсетей)

что удобно, маршрут появляется в винде только при условии, что соединение поднялось, то бишь не мешается, хотя кому и когда постоянные маршруты мешали, конечно

Тут понятно, но у меня ряд подсетей)

вот ряд и указать

возможно можно в одну строку указать, я не проверял

А через OSPF никак нельзя на удаленщиков анонсировать?

А через OSPF никак нельзя на удаленщиков анонсировать?

у удалёнщиков есть целые сети, к которым нужен доступ с сети организации?

Увы да

Просто некоторые задрали со своими торрентами)

Просто некоторые задрали со своими торрентами)

так удаленщикам через фаервол разрешать только доступ к локальной сети, а не в интернеты

тут соответственно Office-L2TP - название соединения для винды ip-адрес - адрес L2TP-сервера Общий ключ IPsec - и так понятно 192.168.2.9/32 - адрес сети, которая находится за L2TP сервером. 32 маска означает единственный ПК

Его разово достаточно запустить или нужно при каждом подключении?

так удаленщикам через фаервол разрешать только доступ к локальной сети, а не в интернеты

При этом на их компах не будет работать тырнет

Его разово достаточно запустить или нужно при каждом подключении?

маршрут за тунель route -p add 192.168.25.5 mask 255.255.255.255 10.10.2.25 if 0x3 значение if 0x3 смотреть в route print при поднятом впн

Его разово достаточно запустить или нужно при каждом подключении?

один раз. Он создаёт подключение, и поднимает маршруты, если подключение установлено

ну как вариант, уже лучше)

Спасибо, ща попробую)

я так на l2tp и настраиваю всех, если не настраиваю OVPN

и если винда 10+

OVPN канеш хорош, но, не хочется сторонний софт на компах клиентов ставить

Некоторые еще на 7)

на 7 на сколько помню нет Add-VpnConnection

Add-VpnConnection -Name "Office-L2TP" -ServerAddress "ip-адрес" -TunnelType "L2tp" -L2tpPsk "Общий ключ IPsec" -Force -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -SplitTunneling -RememberCredential -PassThru Add-VpnConnectionRoute -ConnectionName "Office-L2TP" -DestinationPrefix 192.168.2.9/32 –PassThru

А как в Вашем примере перечислить нужные подсети)

допустим: 192.168.200.0/24 192.168.150.0/24

А как в Вашем примере перечислить нужные подсети)

вот хз, вторая строчка создает маршруты, вот её, думаю, нужно для каждой подсети дублировать

Понял, ща буду пытаться) Всем огромное спасибо

Add-VpnConnectionRoute -ConnectionName "Office-L2TP" -DestinationPrefix 192.168.200.0/324 –PassThru Add-VpnConnectionRoute -ConnectionName "Office-L2TP" -DestinationPrefix 192.168.150.0/24 –PassThru

Всем привет. Есть ли готовое решение? На Микротике l2tp+ipsec для удаленщиков. На винде когда настраивашь клиента, там есть опция "удаленный шлюз" и все работает, но весь трафик идет через туннель. Как заставить пускать в туннель только рабочий трафик, а все остальное нет. Если сервер L2TP на кинетик, то в винде просто убираем галку с "использовать удаленный шлюз" и все работает как надо)

Windows CMAK погугли

А через OSPF никак нельзя на удаленщиков анонсировать?

Нет, но можно через RIP

Add-VpnConnectionTriggerDnsConfiguration -ConnectionName $ConnectionName -DnsSuffix $DNSSuffix -DnsIPAddress $DNSServer -PassThru Set-VpnConnectionTriggerDnsConfiguration -ConnectionName $ConnectionName -DnsSuffix $DNSSuffix -DnsIPAddress $DNSServer -PassThru -DnsSuffixSearchList $DNSSuffix В ту же степь, к VPN-подключению можно привязать суффикс для поиска и натравить его на внутренний DNS-сервер

Коллеги, а у кого есть RB5009UPr+S+ ? Идущий из коробки БП отдаёт 48v, тогда как некоторым устройствам требуется 57v и если такое требовательное устройство подключить к нему будет выдаваться voltage too high. На странице документации указано что на вход (через Jack или Пины) он может принимать вплоть до 57v. Отсюда собственно вопрос, кто-то уже тестировал? Есть ли смысл искать такой БП?

Это пока всё что нарыл по данной теме: https://forum.mikrotik.com/viewtopic.php?t=189073 https://forum.mikrotik.com/viewtopic.php?t=197808 т.е. рекомендации от коллективного разума есть, но вот подтверждённых кейсов что-то не наблюдается

> некоторым устройствам требуется 57в можно конкретнее?

> некоторым устройствам требуется 57в можно конкретнее?

Hex Poe - там Passive PoE которому надо 57v

это очень подозрительно

это очень подозрительно

по вангую от хочет ешё от hex poe раздавать ешё дальше пое на 4 устройства

по вангую от хочет ешё от hex poe раздавать ешё дальше пое на 4 устройства

Если бы там что было)

Но вообще да, такие планы есть

Вообще я пока ничего подозрительного не вижу. Hex PoE не может договориться с 5009 о корректном питании для себя. Через Ubi POE-48-24W-G он нормально живёт, но всё же хочется не городить кучу блоков питания при наличии существующего PoE роутера. Предполагаю что латыши не учли подобные кейсы и в последующем поправили прошивкой. Выше ссылка на форум (#189073) на 7.5 всё работало, а в последующих они ограничили работу. hAP ac очень схож с моим HexPoe такой же PassivePoe на входе. Поэтому исходя из того что протестировал и накопал в паблике, пока выходит что это больше программное ограничение со стороны MikroTik

абажжите, в смысле «договориться»? пассив пое на то и пассив, что там не о чем договариваться

если нужны договоренности, то это 802.3af/at/bt

и там вольтаж не обсуждается, он всегда 48в

Верно. Hex пытается тянуть по максималке, а 5009 это не устраивает. Ни на 48 ни выше

Поэтому и написал "не договариваются". Хотя да, фактически согласования режимов не происходит

Поэтому и думаю что БП с вольтажом выше стандартных 48v (а именно 57v), должен решить проблему (тема на офф форуме #197808) но это не точно

а у вас сейчас к хексу потребители подключены?

Естественно нет. Я его на холостом ходу пытался подключить

Если не работает в таком режиме, то гонять через него потребителей смысла никакого

Коллеги, а у кого есть RB5009UPr+S+ ? Идущий из коробки БП отдаёт 48v, тогда как некоторым устройствам требуется 57v и если такое требовательное устройство подключить к нему будет выдаваться voltage too high. На странице документации указано что на вход (через Jack или Пины) он может принимать вплоть до 57v. Отсюда собственно вопрос, кто-то уже тестировал? Есть ли смысл искать такой БП?

можете показать скрин, как это выглядит, плз?

ща

можете показать скрин, как это выглядит, плз?

(из истории с коллегой вытащил)

а в логах есть что-нибудь интересное?

Неа

(из истории с коллегой вытащил)

вы меня запутали у вас hex и так пише что пое большое а вы хотите ешё больше блок питания к 5009 покупать

вы меня запутали у вас hex и так пише что пое большое а вы хотите ешё больше блок питания к 5009 покупать

Боюсь что вы сами запутались. Если прочтёте выше всё что я написал то поймете ход моих мыслей и чем я руководствовался при выводах. Так же я предоставил темы с официального форума в качестве примера схожего кейса. Объяснил почему я рассматриваю нестандартный БП большего вольтажа (который укладывается в допустимые характеристики в качестве входящего питания для 5009)

(из истории с коллегой вытащил)

Вам там красным по англицки написано: "напряжение на выходе слишком большое"

покажите /interface/ethernet/poe/monitor [find]

Прошу совета, требуется организовать канал между двумя микротами основной на канале провацдера rb952 второй микрот hap lite выход через модем 4g сотового опратора. К hap lite подключена одна машина. На фирме в основном используют ipsec и l2tp. Может есть другие варианты ?

Прошу совета, требуется организовать канал между двумя микротами основной на канале провацдера rb952 второй микрот hap lite выход через модем 4g сотового опратора. К hap lite подключена одна машина. На фирме в основном используют ipsec и l2tp. Может есть другие варианты ?

Да хоть какие собсна кроме ipip или тех где нужно 2 белых ип

Прошу совета, требуется организовать канал между двумя микротами основной на канале провацдера rb952 второй микрот hap lite выход через модем 4g сотового опратора. К hap lite подключена одна машина. На фирме в основном используют ipsec и l2tp. Может есть другие варианты ?

а чего корп стандарт не использовать он не чем не плох

Прошу совета, требуется организовать канал между двумя микротами основной на канале провацдера rb952 второй микрот hap lite выход через модем 4g сотового опратора. К hap lite подключена одна машина. На фирме в основном используют ipsec и l2tp. Может есть другие варианты ?

с такими роутерами только пптп поднимать )

а чего корп стандарт не использовать он не чем не плох

плох тем что на лайтах при 15мбитах по впн и во всем офисе интернет начинает лагать

плох тем что на лайтах при 15мбитах по впн и во всем офисе интернет начинает лагать

даже по pptp ?

ты спросил чем плох л2тп и ипсек

или не спросил а утвердил, не суть

Можно ли сделать что-то подобное? Клиент (естественно из белого списка) посылает пакет на определенный TCP порт, и в ответ на это в микроте создается dst-nat на пару часов, потом это правило исчезает. Идея навеяна тем, что у нас сотни пробросов портов, половина из которых уже не актуальна.

Можно ли сделать что-то подобное? Клиент (естественно из белого списка) посылает пакет на определенный TCP порт, и в ответ на это в микроте создается dst-nat на пару часов, потом это правило исчезает. Идея навеяна тем, что у нас сотни пробросов портов, половина из которых уже не актуальна.

как в адрес листы добавлять знаю а вот чтобы новое правило. я вроде не слышал

Можно ли сделать что-то подобное? Клиент (естественно из белого списка) посылает пакет на определенный TCP порт, и в ответ на это в микроте создается dst-nat на пару часов, потом это правило исчезает. Идея навеяна тем, что у нас сотни пробросов портов, половина из которых уже не актуальна.

а dst-nat у всех один ?

а dst-nat у всех один ?

Разные.

Разные.

а тогда а как микротик должен узнать какой добавить ?

а тогда а как микротик должен узнать какой добавить ?

Предполагаю, что добавлять можно скриптом (не уверен), скрипт как-то возьмет инфу о номере tcp порта, и на основании этого порта создаст правило. Я предполагал как-то так.

Предполагаю, что добавлять можно скриптом (не уверен), скрипт как-то возьмет инфу о номере tcp порта, и на основании этого порта создаст правило. Я предполагал как-то так.

не ну смотри номер порта ешё мб ок. а на какой ip его пробросить ?

Добрый день, кто нибудь сталкивался с мультикастом? может подсказать как его в микротике пробросить через wireguard. Пробовал через IGMP proxy, пару раз получилось а сейчас на отрез не работает

читал про pip-sm, но таким образом тоже не получилось

Вам там красным по англицки написано: "напряжение на выходе слишком большое"

Спасибо. Я знаю. Именно поэтому и хочу поменять родной блок питания в 48v на что-то типа Osnovo 57160 (DC57V, 2.8A) чтобы это скомпенсировать. Так как ранее, поддержку PassivePoe вендор сознательно убрал. Выше в темах форума есть подтверждение, что на 7.5 это все еще работало.

Спасибо. Я знаю. Именно поэтому и хочу поменять родной блок питания в 48v на что-то типа Osnovo 57160 (DC57V, 2.8A) чтобы это скомпенсировать. Так как ранее, поддержку PassivePoe вендор сознательно убрал. Выше в темах форума есть подтверждение, что на 7.5 это все еще работало.

В указанное вами теме речь идет о том, что железка сообщает о ПОНИЖЕННОМ напряжении. У вас же речь идет о ПОВЫШЕННОМ. Где вывод /interface/ethernet/poe/monitor [find]?