Сеем свой/чужой на L7 для всего нового, далее на таблице RAW дропаем все чужое через address-list который как раз останется на L2

К слову, address-list- это L3 (т.к. уже появляются ip-адреса), L2 оперирует mac-адресами...

Тут уж от задачи зависит, исходя из того как ты определяешь свой/чужой. Если бан листы ssh нужны, это L7 т.к нужно в пакет заглянуть. Если что попроще, можно и ниже.

ip-адреса вроде как аппаратно обрабатываются Я думаю вы прекрасно поняли логику, что речь идет о том чтобы принять на первом круге кем вявляется источник и пускать прозрачно или дропать последующие пакеты не гоняя через весь фаерволл

Ужос... Рекомендую на досуге почитать Танебаума по сетям! ssh-протокол - это обычно порт 22/tcp! Есть конечно "гении", которые изменяют это значение... Но существует две концепции настройки файрвола: "нормально открытый" и "нормально закрытый". Вот для того чтобы не лезть до уровня L7 - бест практис использовать именно второй вариант....

а вот не работает)) кривые руки конечно никто не отменял, но потлогике старался

Вы пример из воздуха пытаетесь обсудить. SSH это был не более чем пример кейса где залезают в содержание пакета В конкретной задаче выше, убить мусор не закрываясь с минимальными потерями производительности (т.е я изначально предположил что фаерволл настроен верно) - свой/чужой + RAW. Есть другой способ, я вас с удовольствием послушаю, авось что новое узнаю. По поводу бест практис. Очень часто слышу про них и п*****ц как искренне завидую тем кто смог их применять в жизни, не отклоняясь от них. В моей жизни все иначе, работаешь с тем что есть.

Raw - какие-то пространные рассуждения на тему FW, хоть один автор измерял прирост производительности при использовании RAW, относительно default settings хотя бы?

RAW находится ДО Connection Tracker. Соответственно, при большой нагрузке выгода должна быть примерно такой же, как и от Fasttrak. Если роутер является межсетевым, а не пограничным, имеет смысл в RAW маркировать межсетевой трафик как no-tracking.

Доброго времени суток. У кого-нибудь есть опыт с подключением нескольких WISP на микротике? 2 WISP можно делать на виртуальных интерфейсах, или только по одному на один модуль? Нужно настроить подключение к двум wifi точкам, которые без пароля, чтобы подключался к одной из них, когда увидит.

Честно, вот ничего непонятно что вы хотите сделать....

Доброго времени суток. У кого-нибудь есть опыт с подключением нескольких WISP на микротике? 2 WISP можно делать на виртуальных интерфейсах, или только по одному на один модуль? Нужно настроить подключение к двум wifi точкам, которые без пароля, чтобы подключался к одной из них, когда увидит.

А те кто хоть раз использовал RAW, такой фигнёй не страдают. И fast-tracking не отключают, кстати

Также эти люди, наверное, добавляют правило дропа UDP 53 с WAN-интерфейсов, потрошат весь трафик по L7 и обязательно добавляют правила Anti-BruteForce? 🤣

Вы пример из воздуха пытаетесь обсудить. SSH это был не более чем пример кейса где залезают в содержание пакета В конкретной задаче выше, убить мусор не закрываясь с минимальными потерями производительности (т.е я изначально предположил что фаерволл настроен верно) - свой/чужой + RAW. Есть другой способ, я вас с удовольствием послушаю, авось что новое узнаю. По поводу бест практис. Очень часто слышу про них и п*****ц как искренне завидую тем кто смог их применять в жизни, не отклоняясь от них. В моей жизни все иначе, работаешь с тем что есть.

Странно. Я не раз делал так и все работает. Возможно еще что-то делал добавочно, но не помню (значит это должно быть очевидным). Самое простое - IP и маршрут по-умолчанию (и роутер уже выходит в интернет), фильтр файрволла для защиты, затем маскарадинг (и в интернет уже выходит внутренняя сеть). LAN -настройки вообще менять не нужно (по большому счету, но лично я везде ставлю не-88-ю LAN подсеть).

Нормально закрытый файрвол + занесение в бан, все кто лезет на известные порты и сканеры + отсечение в RAW трафика из черного списка. И все это происходит НЕ ВЫШЕ L3! Дополнительно: корректировка черного списка и добавление подсетей, после проведения анализа блокировок. Тем, кто без обоснования причин, лезет на L7 - прямая дорога на тренинги Mikrotik. Точка! Дальнейшая дискуссия перерастает в бессмысленный трёп - нравится это вам или нет, это моя точка зрения. И как пожелание/дружеский совет - почитайте на досуге Танебаума по сетям! Чтобы было четкое понимание модели OSI и сетевых терминов, в принципе... Всего хорошего!

Вы прежде чем советы раздавать что почитать, перечитали бы ветку чтоли. А то получилось что вы в очередной раз не поняли что я написал и в итоге предложили реализацию которую я и предложил изначально

С удовольствием бы посмотрел на такое, когда IP - из серой подсети, отсутствует настройка DNS и маскарадинг.... В следующий раз как будете настраивать что-то по выше обозначенному - позовите посмотреть на это "чудо чудное, диво дивное" 😏

И по L7 я как раз смотрю в DNS трафик, потому что осилить форвард на несколько DNS определенных запросов в ROS так и не смогли.

У меня форвардинг работает. Вроде нормально. Версии ROS - из последних (7.15-7.17). Может, есть какие-то подводные камни?

Мне ветку не нужно перечитывать, чтобы указать профану на его вопиющие пробелы в знаниях: как пример, L2 и файрвол! 😂 За L7 уже промолчим...😏

прям на несколько серверов в определенной пропорции ?

У Микротика - простой кэширующий DNS, пытаться его задействовать как "полноценный" - ну такая себе затея.. )) балансировки там нет, round-robin - примитивный (как в резольверах), так что костыли неизбежны.

а у меня вот работает

Проверяете пользовательские запросы по L7, и по определенным доменам форвардите клиентов напрямую на заданные DNS в пропорции 50/50 ? Или запросы от самого микротика проверяете и раскидываете по серверам?

1) да 2) запрещаю маршрутизатору отсылать такие запросы в строну оператора связи

1) тогда Микротиковский DNS тут вообще мимо кассы, вы его не используете.

1) использую для внешних запросов 2) я так и написал, чтобы я бы с удовольствием использовал его и для внутренних запросов, если бы он так умел (и убрал бы вот это вот все с L7)

Кстати, по поводу Firewall RAW https://hlmod.net/articles/mikrotik-shamanizm-v-routeros-ili-kak-ja-zaschitil-lan-i-razgruzil-cpu-ram-marshrutizatora-cherez-mexanizmy-nat-pt-i-firewall-raw.12/

тихий ужас ...

во второй статье выводы более верные, там про танк ... --- когда к вам приходит DDOS - первым, знаете, что случится? умрет ваш аплинк, который будет забит горой мусорного трафика, а маршрутизатор будет стоять и курить ну примерно с ~50% загрузкой.

"Не моё", нашёл, читаю. 😁

Ваши условия как-то помешают выходу роутера в интернет? ))

а это вот мое

Даже нет желания отвечать пространно на такой вопрос! Высунь роутер с "серым" IP в Internet и посмотрим как у тебя все заработает (без применения того что я написал! DNS. ладно, можно опустить... трансляция имен больше нужна для WEBа и сервисов). За сим дозвольте раскланяться! 😉

Даже нет желания отвечать пространно на такой вопрос! Высунь роутер с "серым" IP в Internet и посмотрим как у тебя все заработает (без применения того что я написал! DNS. ладно, можно опустить... трансляция имен больше нужна для WEBа и сервисов). За сим дозвольте раскланяться! 😉

Ну если его подключить к ростелековскому роутеру к примеру, то так то будет весь кусок этой сети работать. Но это чисто теория. Я так не делал))

В первоначальном посту я сказал в общих чертах, без конкретики. В каком направлении действовать. Само собой, если уточнять условия, то будет уточняться и решение.

Скажите пожалуйста connected маршруты из stub area могут редистрибьютится? У меня в 6 версии рос они распространялись, а в 7 нет, пришлось поменять тип area

ИМХО, при постановке технической задачи принято СРАЗУ описывать все параметры и условия, т.к. кофейная гуща НЕ ПРИЛАГАЕТСЯ! И "вариации на тему" на живом проекте - это моветон! 😏 За такое на проде бьют по затылку и очень чувствительно 😁 Так что правило всегда одно - "Что-то забыл/недосказал/перепутал - плати дополнительных денег за свою дурость" (с) Реплика : без конкретики или указания на каких-бы то ни было лиц - просто for situation explain 😏 Удачи!

Добрый день! Имеется 5 mantbox15s AX. Проблема заключается в следующем - максимальная мощность 5G(Tx power = 8 ). 2G =15. При этом, что бы не выбирал, лучше не становится, страна влияет, но не в большую, а в меньшую сторону - например, Tx power китая на 2 G=8, 5G=7. Видно, что ограничение есть, оно аппаратное- зашито, или есть страна без ограничений ? Antenna gain, distance - не влияет также

Добрый вечер, подскажите SXTR подключается по лте, 5 секунд и падает интерфейс. В логах при этом: 2024-11-07 17:50:26 lte,debug lte1 mbim: <<< S #99 - connect: connect 2024-11-07 17:50:26 lte,error lte1 mbim: >>> E #99 - connect: connect, error: FAIL URE 2024-11-07 17:50:27 lte,debug lte1 mbim: do connect activate #0 2024-11-07 17:50:27 lte,debug lte1 mbim: apn: static7.tele2.ru.MNC020.MCC250.GPRS. MNC020.MCC250.GPRS.MNC020.M06MNC0. iptype: 0 2024-11-07 17:50:27 lte,debug lte1 mbim: <<< S #100 - connect: connect 2024-11-07 17:50:27 lte,error lte1 mbim: >>> E #100 - connect: connect, error: FAI LURE

А есть какой то просто способ импорта файлов из закрепа без прописывания для каждой строки /ip firewall address-list add list=VPN address=192.0.34.166/32 и.т.д?

APN точно нужно прописывать? Может, оставить пустой или предлагаемый оператором "по умолчанию". Посмотрите, с какими параметрами подключится к этой вышке мобильный телефон или модем.

чиво?

я про ospf

в стаб ареах не может редистрибутиться ничего, они потому и стаб

Коллеги, тоже вопрос по DHCP, только v6. Есть овер 1000 машин со статичными ipv6 и хочу уйти на dhcpv6. Основная проблема которую не понимаю как решить - как словить адрес который машина получила без участия самой vm. Ну хорошо если получится это на Ros7 решить. Мне нужно словить адрес чтобы домен повесить Пс: если есть какие-то решения кроме рос7, буду рад услышать

Рассмотрите вот этот вариант. Прошу прощения за оффтоп (не микротик, но DHCP) https://www.isc.org/kea/

Простите, смотрю и не понимаю что это. Там есть gui какой-то - я понял. А то что он умеет совсем не понял

ISC Bind (Bind9) слышали? Вот DHCP из той же оперы. От "законодателей" интернета. Умеет все, что вам нужно и гораздо больше. Читайте мануалы, там все расписано. И статьи по применению. GUI там "постольку поскольку" (в основном для запуска), всё делается через текстовые конфиги, ибо изначально софт написан под Linux/Unix/BSD

Схема максимально проста 1 микротик имеет белый ip внешний (внутренний 192.168.4.1) так же на этой подсети остальные компы на нем поднят PPTP сервер Профиль Шлюза с локальным адресом 192.168.30.1 для внешнего клиента 192.168.30.2 - логин пасс юзера для подключения - внешний клиент к примеру мобильный телефон\ноут через другую сеть оператора подключается по внешнему ip адресу используя логин пасс, коннект происходит со стороны клиента пингуется шлюз 192.168.30.2 и пингуется сам роутер 192.168.4.1 в другой подсети, но не видны другие устройства этой подсети 192.168.4.0/24 остальных не видно

1) PPTP нынче использовать неосмотрительно. Он почти не защищен и его блокируют многие провайдеры. Используйте SSTP. SSTP-сервер потребует сертификат, можете создать посредством встроенной возможности Routeros (7-ки) на сервисе LetsEncrypt Ссылку на хороший мануал я постил недавно. 2) Дефолтный PPP-профиль не трогайте. Создайте новый, в нём укажите локальный и удаленный IP-адреса из диапазона LAN 192.168.4.xx , только зарезервируйте их, чтобы DHCP-сервер не мог никому назначить эти адреса. На самом деле в этой схеме локальный IP вообще все равно какой, может быть любым из любой подсети. 3) В настройках LAN-интерфейса смените режим на ARP = Proxy ARP 4) Возможно, придется в файрволле разрешить трафик из этого VPN-интерфейса.

У меня недавно на 2х серверах из 4 отлетел sstp. Так что видимо блокируют.

Что за провайдер(ы), если не секрет? 🤔 У меня пока везде работает SSTP