всем привет! уже не знаю что делать имею роутер ax2 настроил вг как клиента трафик идёт, вг сеть через интерфейс пингуется фастроутинг вырублен но не могу завернуть весь траф в впн интерфейс 0/0/0/0 to %wg0 не работает будто куда копать?

всем привет! уже не знаю что делать имею роутер ax2 настроил вг как клиента трафик идёт, вг сеть через интерфейс пингуется фастроутинг вырублен но не могу завернуть весь траф в впн интерфейс 0/0/0/0 to %wg0 не работает будто куда копать?

1. Маршрутизация. Проверить есть ли маршруты на том конце в обратную сторону 2. Фаерволл. Проверить разрешения хождения траффика

всем привет! уже не знаю что делать имею роутер ax2 настроил вг как клиента трафик идёт, вг сеть через интерфейс пингуется фастроутинг вырублен но не могу завернуть весь траф в впн интерфейс 0/0/0/0 to %wg0 не работает будто куда копать?

А с пк то пингуется ВГ-шная сеть?

маскарад?

и table main пробовал и новую создавал

покажете?

Как tracert с пк выглядит при полном заворачивании трафика на ВГ?

как вы сами думаете что именно такое фото может прояснить?

02:52:25 thug@ROG-Strix tg ±|master ✗|→ traceroute 10.8.0.3 traceroute to 10.8.0.3 (10.8.0.3), 64 hops max 1 192.168.88.1 2,683ms 1,280ms 1,263ms 2 10.8.0.1 41,236ms 144,565ms 39,108ms 3 10.8.0.3 226,450ms 150,248ms 86,474ms

Нене. Лучше восьмерки трасейрнуть, понять заворачивается ли вообще трафик.

всем привет! уже не знаю что делать имею роутер ax2 настроил вг как клиента трафик идёт, вг сеть через интерфейс пингуется фастроутинг вырублен но не могу завернуть весь траф в впн интерфейс 0/0/0/0 to %wg0 не работает будто куда копать?

После этого микрот перезапускали?

ip ro pr de покажите

https://pastebin.com/PncYD78N

ip ro pr de надо в терминал микрота загнать)

https://pastebin.com/WUBqLYUg я извиняюсь только начал осваивать терминал его

И если включить WG и выключить остальные маршруты до 0 ничего не сработает? Ну и вообще, лучше бы дистансы разные поставить

на main 1 на wg траф 2?

Дистансы? Ага. Я бы ради эксперимента оставил бы вообще один маршрут до 0, через WG и проверил что так все работает. ( Как минимум что трассировка пошла через ВГ). После этого, во вторую таблицу маршрутизации трафик надо загонять, с помощью мангла к примеру.

да я думал насчет маркировки трафика ибо основная задача стояла задать статикой телек , маркировать ему трафик и загонять в впн но потом почитал про bgp как-то больше понравился вариант сейчас попробую дистансы настроить он еще не все дает редактировать в веб морде

да я думал насчет маркировки трафика ибо основная задача стояла задать статикой телек , маркировать ему трафик и загонять в впн но потом почитал про bgp как-то больше понравился вариант сейчас попробую дистансы настроить он еще не все дает редактировать в веб морде

да я думал насчет маркировки трафика ибо основная задача стояла задать статикой телек , маркировать ему трафик и загонять в впн но потом почитал про bgp как-то больше понравился вариант сейчас попробую дистансы настроить он еще не все дает редактировать в веб морде

так мало ли кому интересно, чем закончилась моя эпопея попросил помочь коллегу - сетевого инженера он пофиксил это добавив роут внешний вг адрес сервера -> гейтвей провайдера а потом с дистанс 10 завернул нули на внутр гейтвей вг

но я бы промаркировал

просто потом появится необходимость кого то пускать в инет через местного провайдера когото через vpn. ну или захотят закрутить чисто сети ютуба допустим в vpn

просто потом появится необходимость кого то пускать в инет через местного провайдера когото через vpn. ну или захотят закрутить чисто сети ютуба допустим в vpn

в запрошенной формулировке задачу решает dynamic arp inspection, на тиках его нет

Здравствуйте. Подскажите пожалуйста. ЛВС, разделена на сегменты вланами. Подняты dhcp серверы (static-only), все хосты в сети в статике и внесены в адрес-листы. Файрволлом дропается форвард из локальных сетей в wan все не принадлежащее этим адрес-листам. Но остается доступ к локалке этих неучтенных, если вручную проставить адрес из подсетей локалки. Как это можно заблокировать? Благодарю.

тс как раз и печалится, что в пределах влана трафик продолжает ходить

Всем привет! имеем удаленный сервер и прокси сервер для анализа и изменения траффика (скриншот 1, 123.123.123.123 - прокси-сервер, 222.222.222 - конечный (оригинальный) сервер) /ip firewall nat add chain=dstnat dst-address=222.222.222.222 action=dst-nat to-addresses=123.123.123.123 в этом варианте все в порядке, все работает. появилась потребность избавиться от УДАЛЕННОГО прокси-сервера, нужно запустить его на втором устройстве в локальной сети (192.168.88.177) - скриншот 2 /ip firewall nat add chain=dstnat dst-address=222.222.222.222 action=dst-nat to-addresses=192.168.88.177 Тут уже начались проблемы.. Подумал: вдруг, блекхолл, добавил src-address=192.168.88.166 /ip firewall nat add chain=dstnat dst-address=222.222.222.222 src-address=192.168.88.166 action=dst-nat to-addresses=192.168.88.177 Ничего не изменилось, клиент как не реагировал - так и не реагирует. На клиенте (.166) ничего не происходят, предположение такое: Wireshark'ом смотрю - траффик уходит на верный (основной) адрес (на стороне роутера заменяется на 192.168.88.177), а обратно приходит уже не от основного сервера, а с .177, по этому клиент никак не реагирует. Может можно как-то так же подменить адрес входящих пакетов на .166 с .177 на 222.222.222.222? на скринах - черные стрелки это оригинальный траффик, красные - измененный прокси сервером траффик Роутер RB4011, ROS 7.16

Всем привет! имеем удаленный сервер и прокси сервер для анализа и изменения траффика (скриншот 1, 123.123.123.123 - прокси-сервер, 222.222.222 - конечный (оригинальный) сервер) /ip firewall nat add chain=dstnat dst-address=222.222.222.222 action=dst-nat to-addresses=123.123.123.123 в этом варианте все в порядке, все работает. появилась потребность избавиться от УДАЛЕННОГО прокси-сервера, нужно запустить его на втором устройстве в локальной сети (192.168.88.177) - скриншот 2 /ip firewall nat add chain=dstnat dst-address=222.222.222.222 action=dst-nat to-addresses=192.168.88.177 Тут уже начались проблемы.. Подумал: вдруг, блекхолл, добавил src-address=192.168.88.166 /ip firewall nat add chain=dstnat dst-address=222.222.222.222 src-address=192.168.88.166 action=dst-nat to-addresses=192.168.88.177 Ничего не изменилось, клиент как не реагировал - так и не реагирует. На клиенте (.166) ничего не происходят, предположение такое: Wireshark'ом смотрю - траффик уходит на верный (основной) адрес (на стороне роутера заменяется на 192.168.88.177), а обратно приходит уже не от основного сервера, а с .177, по этому клиент никак не реагирует. Может можно как-то так же подменить адрес входящих пакетов на .166 с .177 на 222.222.222.222? на скринах - черные стрелки это оригинальный траффик, красные - измененный прокси сервером траффик Роутер RB4011, ROS 7.16

harpin nat видимо нужен вам src-nat src=192.168.88.166 dst=192.168.88.177 и экшн либо маскарад либо адрес шлюза

Здравствуйте. Подскажите пожалуйста. ЛВС, разделена на сегменты вланами. Подняты dhcp серверы (static-only), все хосты в сети в статике и внесены в адрес-листы. Файрволлом дропается форвард из локальных сетей в wan все не принадлежащее этим адрес-листам. Но остается доступ к локалке этих неучтенных, если вручную проставить адрес из подсетей локалки. Как это можно заблокировать? Благодарю.

Ну что, друзья, дождались? RouterOS 7.17 (Stable) Внимательно читайте ченджлог перед установкой и не сломайте зубы об device-mode

Доступ клиентов проводами? Какое оборудование на доступе?

В большинстве провод. Есть тд TP-Link. После микрота - управляемые коммутаторы, но урезанные (нельзя назначить менеджмент влан, только дефолт vlan с id 1). На микроте между вланами "коммунизма" нет.

Port Security, VLAN на этих свитчах есть?

ТП-Линки?

Ни Port Security, ни привязки мак-адресов к портам..

В большинстве провод. Есть тд TP-Link. После микрота - управляемые коммутаторы, но урезанные (нельзя назначить менеджмент влан, только дефолт vlan с id 1). На микроте между вланами "коммунизма" нет.

Напишите модель. Хотя да, в случае TP-Link может быть всякое

Здравствуйте. Подскажите пожалуйста. ЛВС, разделена на сегменты вланами. Подняты dhcp серверы (static-only), все хосты в сети в статике и внесены в адрес-листы. Файрволлом дропается форвард из локальных сетей в wan все не принадлежащее этим адрес-листам. Но остается доступ к локалке этих неучтенных, если вручную проставить адрес из подсетей локалки. Как это можно заблокировать? Благодарю.

Если бы свитчи были хотя бы базовые управляшки D-Link 1100-й серии, можно было бы включить AsymmetricVLAN для изоляции абонентов между собой и весь их трафик прилетал бы на аплинк, где микротик разбирался бы с ним.