делал, не помогло ему

а у меня работает

а у меня работает

тут именно dst указывать? Я просто делал src с указанием адреса, с которого пытаюсь выйти

ну туннель же строится НА конкретный адрес

и С конкретного. Но логику понял. проверю, спасибо

и С конкретного. Но логику понял. проверю, спасибо

а для этого у тебя мангл )

а для этого у тебя мангл )

не, мангл же нужен для маркировки входящих соединений, на выход маркируются уже существующие соединения и роутятся согласно тому, куда пришли

тут именно dst указывать? Я просто делал src с указанием адреса, с которого пытаюсь выйти

а внезапно помогло добавить route rule с указанием src .-. тоннели поднялись

Да, этого оказалось достаточно, спасибо. Можно и на боковую теперь :D

всем привет. подскажите как решить проблему: настроил на своем микротике DoH, добавил правила NAT для редиректа запрос на сам микротик. и все работает норм, кроме клиентов ВГ которые подключаются к данному микротику и у которорых в настройках пира стоит DNS отличный от адреса мкротика. (допустим 1.1.1.1) ?

всем привет. подскажите как решить проблему: настроил на своем микротике DoH, добавил правила NAT для редиректа запрос на сам микротик. и все работает норм, кроме клиентов ВГ которые подключаются к данному микротику и у которорых в настройках пира стоит DNS отличный от адреса мкротика. (допустим 1.1.1.1) ?

правило NAT как выглядит?

правило NAT как выглядит?

chain=dstnat action=redirect to-addresses=10.66.11.1 protocol=udp in-interface=!ether-1 dst-port=53 port=""

всем привет. подскажите как решить проблему: настроил на своем микротике DoH, добавил правила NAT для редиректа запрос на сам микротик. и все работает норм, кроме клиентов ВГ которые подключаются к данному микротику и у которорых в настройках пира стоит DNS отличный от адреса мкротика. (допустим 1.1.1.1) ?

у клиентов в настройках wg стоит allowed-ips=0.0.0.0/0 или какие-то другие подсети?

у клиентов в настройках wg стоит allowed-ips=0.0.0.0/0 или какие-то другие подсети?

нули

нули

тогда стоит проверить файрвол на микротике. и я, честно говоря, не помню, работает ли в редиректе to-addresses

тогда стоит проверить файрвол на микротике. и я, честно говоря, не помню, работает ли в редиректе to-addresses

Да я и отключал фв.

тогда стоит проверить файрвол на микротике. и я, честно говоря, не помню, работает ли в редиректе to-addresses

Но если на клиенте ставить адрес самого микроиика "сервера" то все ок

тогда стоит проверить файрвол на микротике. и я, честно говоря, не помню, работает ли в редиректе to-addresses

нет, не работает: to-addresses (IP address[-IP address]; Default: 0.0.0.0): Replace the original address with the specified one. Applicable if action is dst-nat, netmap, same, src-nat

Но если на клиенте ставить адрес самого микроиика "сервера" то все ок

а вы проверяли [торчем, например], в случае указания внешнего днс-сервера на клиенте, до микротика доходят днс-запросы? или они их посылают через свой интернет вообще...

chain=dstnat action=redirect to-addresses=10.66.11.1 protocol=udp in-interface=!ether-1 dst-port=53 port=""

у меня вот так работает add action=redirect chain=dstnat dst-port=53 in-interface-list=LAN protocol=udp

т.е. без указания адреса. заворот на самого себя. и в ip/dns уже doh 1.1.1.1

у меня вот так работает add action=redirect chain=dstnat dst-port=53 in-interface-list=LAN protocol=udp

Окей. А в лист ЛАН есть впн клиенты?

Окей. А в лист ЛАН есть впн клиенты?

нет. но то зависит от того, что хочется по итогу получить

можно вообще ин-интерфейс не указывать, тогда вообще со всех будет заворачивать

нет. но то зависит от того, что хочется по итогу получить

В том то и дело, что не работает. Именно с клиентами вг

В том то и дело, что не работает. Именно с клиентами вг

так может клиентов еще на их стороне перехватывают?

выдели себе соседний порт, пропиши туда подсеть вг-клиентов, подкинь комп в этот порт и проверь

выдели себе соседний порт, пропиши туда подсеть вг-клиентов, подкинь комп в этот порт и проверь

Если я на клиенте в настройках Пина ставлю свой роутер то ок. Если другой любой днс то затык

так я о том же. на тестовом компе указать подсеть из вг-диапазона, а днс ручками любой другой

Пин это что?

Пин это что?

Сорри, пир же

Ребятки, а есть у кого сайтик с ip адресами залоченых сервисов запада? Ну типа инсты, фб, нетфликса? Хочу ваергвард настроить с касперский впн

Ребятки, а есть у кого сайтик с ip адресами залоченых сервисов запада? Ну типа инсты, фб, нетфликса? Хочу ваергвард настроить с касперский впн

Антифилтер.данлоад гугли

Я же правильно понимаю что вот так будет работать? т.е мне нужно что бы через vpn работал не весь инет а конкретные ресурсы

Я же правильно понимаю что вот так будет работать? т.е мне нужно что бы через vpn работал не весь инет а конкретные ресурсы

То есть пользователи будут подключаться к Микротику через интернет, PPPoE и через Инстаграм/Фейсбук/Ютюб?

То есть пользователи будут подключаться к Микротику через интернет, PPPoE и через Инстаграм/Фейсбук/Ютюб?

Нет, микрот получает соединение от провайдера через ppoe, а пользователи получают wifi от точек unifi

А почему тогда Инстаграм и интернет оказался между пользователями и микротиком?

А почему тогда Инстаграм и интернет оказался между пользователями и микротиком?

На сколько я понял, на микроте настраивается wireguard и там уже делаются адрес листы, что на эти ресурсы мы ходим через впн, на другие без впн

На сколько я понял, на микроте настраивается wireguard и там уже делаются адрес листы, что на эти ресурсы мы ходим через впн, на другие без впн

Это не отвечает на мой вопрос совсем никак..

Ну, тупанул )) но в целом выше описал что я хочу сделать

Ну, тупанул )) но в целом выше описал что я хочу сделать

Ну хотя бы как-то так. Криво-косо, но намного понятнее

Ну хотя бы как-то так. Криво-косо, но намного понятнее

Да! Да! Вот то что нужно

Так же можно сделать?

А причина проста, купил коробочку на озоне, DPN, а это фигня не работает так как надо, по этому причину мне делают голову

Да, можно. Главное - проверь, чтобы эти ресурсы действительно были доступны через WG, ибо я 2 вечера любился с этой схемой, пока не понял, что у меня запретка тупо не доступна через конкретного провайдера. В итоге сижу через сервер TimeWeb в Нидерландах

Есть еще возможность поставить на Микротик контейнер с GoodbyeDPI

Но с контейнером сложнее и нужно перед этим сначала на компе протестировать через Goodcheck различные конфиги и потом лучший из них залить в контейнер на Микротике

Да, можно. Главное - проверь, чтобы эти ресурсы действительно были доступны через WG, ибо я 2 вечера любился с этой схемой, пока не понял, что у меня запретка тупо не доступна через конкретного провайдера. В итоге сижу через сервер TimeWeb в Нидерландах

Ну т.е купили просто VPS и развернули там роутерос7 ?

Ну т.е купили просто VPS и развернули там роутерос7 ?

Ну почти. Там на VPS дают 200Мбит/с, а на Российском VPS дают 1000Мбит/с. Так как я еще за денежку туда разных клиентов подключил, мне не хотелось прям весь трафик пускать через Нидерланды или офисный роутер. Поэтому я купил VPS с WG GUI в Нидерландах у TimeWeb и купил VPS в Питере, и уже туда поставил RouterOS. В итоге я со всех устройств и мои клиенты сидят через Гигабитный VPN, а уже облачный RouterOS перенаправляет трафик запрещенки в Нидерланды

Грубо говоря, клиенты своими денежками с лихвой покрывают расходы на всю эту схему, все довольны)

Примерно так. Клиенты - физики, юрики (целым офисом подключены), мои устройства. Естественно все изолированы друг от друга

Тэкс, @SergeyZ_spb спасибо тебе большое за знания! Завтра проштудирую впс, это был как второй вариант если не прокатит с каспером и вг

/снежинск . 4 точка 1.9 /челябинск 1 точка 2 дышите через раз

/снежинск . 4 точка 1.9 /челябинск 1 точка 2 дышите через раз

Рядышком

Коллеги, подскажите MSS на Ethernet портах Дефолтный – 1460 ?

Коллеги, подскажите MSS на Ethernet портах Дефолтный – 1460 ?

1450 вроде

/снежинск . 4 точка 1.9 /челябинск 1 точка 2 дышите через раз

Жужалка?

Может кто знает как управлять лампочками (синий и зеленый ) в кнопке cAP ax?

извините

хех. микротик расширяется, RouterOS уже в элтексах

на самом деле микроту бы что-то от pf/opnSense в коробочку (ids/proxy/вложенные address lists ... netflow анализ) а они все со своими вариациями как примонтировать место на диске по сети

на самом деле микроту бы что-то от pf/opnSense в коробочку (ids/proxy/вложенные address lists ... netflow анализ) а они все со своими вариациями как примонтировать место на диске по сети

Я боюсь, что там не хватит мощей на подобные вещи.

на самом деле микроту бы что-то от pf/opnSense в коробочку (ids/proxy/вложенные address lists ... netflow анализ) а они все со своими вариациями как примонтировать место на диске по сети

Зачем? СОХО сегменту это не сильно нужно

Зачем? СОХО сегменту это не сильно нужно

А BGP зачем СОХО?

А BGP зачем СОХО?

Не знаю. Просветите?

Не знаю. Просветите?

И я не знаю. А он есть)

RouterOS - это маршрутизатор, а не сетевой экран.

RouterOS - это маршрутизатор, а не сетевой экран.

Нееет, рутерос это кластерный ионогенератор!

Всем доброго. Подскажите знающие про ftp на микрике. Сервер прекрасно работает внутри сети, с внешки дальше запроса логин-пароля не пускает. Что жэ ему не хватает?

Банально, но спрошу. 21 порт открыт?

Банально, но спрошу. 21 порт открыт?

Да

На вкладке groups галка стоит ftp?

System/users /groups

На вкладке groups галка стоит ftp?

Вопрос про юзеров? Да стоит, лна

не сказал что . На стандартном 21 порту все работает, меняю в правиле и в сервисе на например 8921 перестает подключаться

8921? 🤔

8921? 🤔

да

Вопрос про юзеров? Да стоит, лна

ftp-хелпер не выключен в firewall/services? И еще, ftp может работать в активном и пассивном режимах. Микротиковский, вроде бы "активный" (сто лет им не пользовался...)

Тут долго писать, но есть 2 режима, активный и пассивный. Проще погуглить, чтобы понимать как происходит коннект фтп