На цхр в парах элвед указать /32 адреса уникальные

7.15.3 (stable) responder неактивно

указаны)

указаны)

Сейчас сстп по нестандартному порту не везде работает увы

Ну как вариант - ицмп-кнокинг, как уже сказали выше. Кто постучится - того заносить на полминутки в список IP-адресов, который использовать в правиле DST-NAT для перенаправления соединения с 443-го на любой другой, настроенный в SSTP-сервере. перед каждым запуском SSTP-соединения запускать кнокинг. Можно написать батник (для винды), который будет кнокать и подключать SSTP-клиента.

ping также не проходит на майкрасофт

я просто не понимаю где копать и как добавить в исключения несколько компов

А ошибка в браузере ссылается на днс Нслукап/диг тоже друзья твои

соответсвенно добавить адресс 92.122.17.157?

/ip firewall filter add chain=forward src-address=10.37.1.168 dst-name="www.microsoft.com" action=accept /ip firewall filter add chain=forward dst-name="www.microsoft.com" action=drop ?

но это тоже не помогло

с почтовым сервером не так сильно нервничал как в микроте ковырялся😅

смотря что с ним делали) миграция exchange в домене, такое удовольствие)))

привет всем не дает покоя вопрос, видел что поднимался на форумах, но решения не отыскал поднят wg на chr когда к нему подключен один пир и прописаны доступы 0.0.0.0/0  далее приправлено все маршрутами -  пир может ходить в инет через  chr если добавляем еще один пир - возможность ходить в инет через  chr пропадает по очереди или у обоих сразу, стабильности нет можно конечно указать строгие адреса сетей в allowed addresses но тогда только сеть между этими тремя устройствами получается натянуть, без инета а теперь вопроc 🦉: как сделать так чтобы все пиры могли ходить в инет через chr одновременно и без багов?

а есть какая-то возможность сделать мониторинг хоста, который просто link поднимает/опускает, а сам за firewall и никакие пинги не пропускает?

SNMP

пардон, неточно поставил задачу, нужно в стиле netwatch, послать уведомление, если линк появился или пропал

пардон, неточно поставил задачу, нужно в стиле netwatch, послать уведомление, если линк появился или пропал

Телеграм-бот?

да, тут непринципиально, просто хотел, чтобы рутер как-то подал сигнал, что хост в сети/не в сети раньше Netwatch работал, но хитрый юзер или случайно, или нарочно стал хост прятать за стенкой

Кабель приходит от юзера прямо в ваш микротик или есть промежуточный коммутатор?

прямо в мой микротик

Назначьте какой-нибудь IP на этот интерфейс и пингуйте его в нетватче. Когда тот юзер погасит комп, линк упадет, IP деактивируется и Нетватч сработает

Назначить можно статический IP на подчиненные интерфейсы

Альтернатива - писать собственый скрипт-нетватч, который будет по arp пинговать, анпример, или проверять состояние интерфейса, или еще каким-то образом оценивать наличие компа в сети

Назначьте какой-нибудь IP на этот интерфейс и пингуйте его в нетватче. Когда тот юзер погасит комп, линк упадет, IP деактивируется и Нетватч сработает

нет, к сожалению, если я правильно сделал, зашел в Addresses и просто назначил адрес интерфейсу, то этот адрес пингуется, хотя линк down

всем привет. подскажите, по какой логике сортируются маршруты по dst.address в ip-routes? ROS 7.11 косяк ранней версии? ощущение что первостепенно он сортируется по gatewey

Забыл указать что подключался winbox 4.11

Про петли с MLAG поддержка вчера поблагодарила за репорт, подтвердили наличие проблемы, сказали что ищут пути решения и сроков пока никаких нет.

Сегодня получил сообщение от техподдержки, что проблему вроде бы как решили и осталось подождать следующего релиза. Our bug tracker reports that your issue has been fixed. This means that we plan to release a RouterOS update with this fix. Make sure to upgrade to the next release when it comes out. To be sure this specific fix is included, read the changelog when the next version comes out. If your issue is not mentioned, it might mean it will be in the next release.

А можно немного подробнее что за проблема?

Вкратце, если с версии 7.17+ между портами одного и второго MLAG-коммутаторов подключить какую-то цепочку коммутаторов, пусть даже и в одном MSTP-region, получаешь петлю. В более ранних версиях RouterOS петля ожидаемо блокировалась включая alternate port где-то на одном из интерфейсов этой цепочки.

Какая прелесть

Смотрю, это уже стало традицией ) Расчехляем обновляторы: What's new in 7.17.2 (2025-Feb-06 11:10): *) device-mode - do not allow changing CPU frequency if "routerboard" is not allowed by device mode (introduced in v7.17); *) device-mode - fixed feature and mode update via power-reset on PPC devices; *) disk - fixed showing free space on tmpfs (introduced in v7.17); *) disk - improved system stability when SMB interface list is used (introduced in v7.17); *) dns - do not show warning messages for DNS static entries when they are not needed; *) hotspot - fixed an issue where extra "flash/" is added to html-directory for devices with flash folders (introduced in v7.17); *) sfp - improved system stability with some GPON modules for CCR2004 and CCR2116 devices; *) smb - fixed connection issues with clients using older SMB versions (introduced in v7.17); *) switch - fixed dynamic switch rules created by dot1x server (introduced in v7.17); *) system - fixed a potential memory leak that occurred when resetting states after an error;

Кстати, я ещё так и не понял одного момента: в документации утверждалось, что если на коммутаторах 300 серии не добавлять сам bridge в список интерфейсов VLAN'а, то вроде как трафик не попадёт в CPU и будет обрабатываться лишь switch-chip'ом. Но когда я попробовал создать VLAN-интерфейс на switch-chip bridge и затем не добавлял bridge в список портов этого VLAN'а, то всё равно смог снифить трафик на этом VLAN-интерфейсе и видел весь проходящий трафик. Go figure!

А разве это не так и должно работать?

Кстати, я ещё так и не понял одного момента: в документации утверждалось, что если на коммутаторах 300 серии не добавлять сам bridge в список интерфейсов VLAN'а, то вроде как трафик не попадёт в CPU и будет обрабатываться лишь switch-chip'ом. Но когда я попробовал создать VLAN-интерфейс на switch-chip bridge и затем не добавлял bridge в список портов этого VLAN'а, то всё равно смог снифить трафик на этом VLAN-интерфейсе и видел весь проходящий трафик. Go figure!

Думаю это все потому, что Bridge VLAN Filtering - программный. Судя по таблице на вики аппаратно он работает на роутерах CRS3xx и еще какой-то модели.. Во всяком случае на всех моих роутерах он - программный. Как только включаешь, сразу флаги "H" на портах бриджа исчезают.

CRS это не маршрутизаторы, а коммутаторы и 300-серия подразумевает наличие хороших switch chips. На этих коммутаторах я использую VLAN filtering вместе с hardware acceleration.

Пока там стоит RouterOS во всей своей полноте функциональности - это многопортовый маршрутизатор

Только обычно там стоит процессор, который слишком слаб для обработки пакетов в software.

Наравне с популярным HEX (750Gr3)

Ну вот я когда-то посмотрел вот этот ролик и подумал, что это нужно именно для того чтобы изолировать трафик от CPU. https://www.youtube.com/watch?v=YMwOrc0LDP8&t=679s

https://help.mikrotik.com/docs/spaces/ROS/pages/328068/Bridging+and+Switching#BridgingandSwitching-BridgeHardwareOffloading посмотрите табличку 3ю серию лучше и удобнее настраивать через влан фильтеринг.

Кстати, я ещё так и не понял одного момента: в документации утверждалось, что если на коммутаторах 300 серии не добавлять сам bridge в список интерфейсов VLAN'а, то вроде как трафик не попадёт в CPU и будет обрабатываться лишь switch-chip'ом. Но когда я попробовал создать VLAN-интерфейс на switch-chip bridge и затем не добавлял bridge в список портов этого VLAN'а, то всё равно смог снифить трафик на этом VLAN-интерфейсе и видел весь проходящий трафик. Go figure!

+ думал что настройка через свич чип. поглядел на 3хх а там это сделать нельзя.

То видео относится только к 1й и 2й серии свичей. сниффером не пользовался, но вот торч работает именно по этой логике - видит только траф из менеджмент влана

Это не так. На видео говорится о всех сериях коммутаторов, но том таймкоде, что я присылал как раз показывают коммутаторы 3хх серии. Это отчётливо видно на таймкоде 3:31 где /system/identity коммутатора — CRS326. Сейчас уже точно не вспомню как я выполнял тестирование, но под рукой есть RB5009UPr+S+ с неплохим чипом Marvell 88E6393X, который я использовал как PoE коммутатор и там я по прежнему могу снифить фреймы на VLAN интерфейсе бриджа, даже если сам бридж не был добавлен в tagged ports тестируемого VLAN ID.