Политики глянь. Начни с того, что разреши доступ к папке всем и отовсюду. И ещё такой вопрос. Это чистая самба или, таки, нетбиос?

Ок, домашняя видна, про или хоум эдишн?

Ок. У винды есть косяк, называется маршрутизация, оно, по умолчанию, маршруты пишет не на основе того что прилетает, а 3 подседки глобально, то-есть 192.168.0.0/16, 172.16.0.0/12 и 10.0.0.0/8, соответственно, вариант что маршрут идёт не туда - имеет место быть

не совсем понял, откуда куда нельзя подключится? с ПК в локалке к ПК который подключен по ВПН, или наоборот?

В микротике любой vpn - это отдельный ифейс, и, соответственно, ты с ним работаешь, чем интерфейс в микроте отличается от интерфейса в винде?

route -p add 192.168.100.0 mask 255.255.255.0 192.168.4.1 - на пк, с которого подключаюсь к сетевой папке?

Ну или сменить компу внутри VPN адрес на любой свободный адрес из домашней локалки, а на LAN-бридже сменить режим на arp=proxy-arp Тогда маршрутизация не понадобится, комп будет как бы "прозрачно" в локалке сидеть

Ну или сменить компу внутри VPN адрес на любой свободный адрес из домашней локалки, а на LAN-бридже сменить режим на arp=proxy-arp Тогда маршрутизация не понадобится, комп будет как бы "прозрачно" в локалке сидеть

ИМХО proxy-arp тоже решение, но такое себе

Спасайте, гугл не помог😁 У меня настроен l2tp+ipsec. На mikrotik lan 192.168.4.* Для l2tp+ipsec 192.168.100.* Не могу подключиться к расшаренной папке. (Уже все firewall выключил) Если делаю с локалки до машины, которая подключена по vpn mikrotik Test-NetConnection 192.168.100.* -Port 445 - получаю ПРЕДУПРЕЖДЕНИЕ: TCP connect to 192.168.100.*:445 failed Если делаю Test-NetConnection 192.168.4.* -Port 445 - то всё отлично, true. (с клиента, это обычный l2tp+ipsec, не два офиса, двух микротов нет) Нагуглил, что либо что-то с mtu, надо уменьшить. Либо написать ip routes. (Но я так понял, что оно само появляется при подключении клиента. Появляется gateway имя клиента - шлюз l2tp 192.168.100.1) Помогите сделать пожалуйста как надо.

Если правильно понял, то все клиенты впн 192.168.100.0/24 И вы пытаетесь с одного клиента в другой попасть, верно? 192.168.4. видимо сетка за микротиком впн, локальная или серверная. Пинги проходят и рдп тоже? Фаервол локальный на машине отключали? (дефендер, каспер или кто у вас)

Да. Rdp, пинги и всё работает как надо. vpn pool 192.168.100* локалка 192.168.4.* firewall, антивирус на клиенте отключал... (там всё стандартное) vpn pool 192.168.100* - подключается к расшаренным папкам по локалке, а обратно - нет. Я вот чтобы исключить windows попробовал бы на linux расшарить и по l2tp подключиться через неё и посмотреть, будет доступно или нет... Но выше пишут про маршрутизацию, кажется так и есть, и linux тут не спасёт)

Да. Rdp, пинги и всё работает как надо. vpn pool 192.168.100* локалка 192.168.4.* firewall, антивирус на клиенте отключал... (там всё стандартное) vpn pool 192.168.100* - подключается к расшаренным папкам по локалке, а обратно - нет. Я вот чтобы исключить windows попробовал бы на linux расшарить и по l2tp подключиться через неё и посмотреть, будет доступно или нет... Но выше пишут про маршрутизацию, кажется так и есть, и linux тут не спасёт)

Да. Rdp, пинги и всё работает как надо. vpn pool 192.168.100* локалка 192.168.4.* firewall, антивирус на клиенте отключал... (там всё стандартное) vpn pool 192.168.100* - подключается к расшаренным папкам по локалке, а обратно - нет. Я вот чтобы исключить windows попробовал бы на linux расшарить и по l2tp подключиться через неё и посмотреть, будет доступно или нет... Но выше пишут про маршрутизацию, кажется так и есть, и linux тут не спасёт)

Рдп и трассировка работает в том же направлении что и по самбе подключаетесь? 191.168.4.20 --->192.168.100.20 рдп и трассировка есть, но по 445 подключения нет. Верно же?

А обратно идут пинги?

+ лог правила на форвард на МТ по tcp 445 смотреть куда что идет

В общем. Сделал на Linux расшаренную папку. С телефона подключиться могу, на всякий случай проверил. После подключаюсь к vpn, перезагружаю сервисы samba и всё, папка на ПК в локальной сети недоступна. (К которому по vpn подключился) Снова предупреждение tcp connect :445 failed

на телефоне впн как настроен? полностью трафик в впн летит?

В общем. Сделал на Linux расшаренную папку. С телефона подключиться могу, на всякий случай проверил. После подключаюсь к vpn, перезагружаю сервисы samba и всё, папка на ПК в локальной сети недоступна. (К которому по vpn подключился) Снова предупреждение tcp connect :445 failed

Нет. Там просто проверил, что она вообще доступyа. Без vpn.

И не будет. Нужно донастроить https://interface31.ru/tech_it/2021/11/ispol-zuem-rezhim-arp-reply-only-dlya-povysheniya-bezopasnosti-seti-na-oborudovanii-mikrotik.html

три раза делал всё шаг в шаг по этой инструкции....

Логично) Можно немного потупить тогда. Я же могу поменять для одного пользователя vpn - ip, правильно? Там внутри PPP secret есть Local Address и remote address, там нужно менять тогда?

мануал неверный. "не смогут получить IP-адрес, но это полбеды, а если кто-то введет его вручную? Да пусть вводит, так как запись об этом узле отсутствует в ARP-таблице, то роутер не будет ему отвечать, даже пропинговать его не удастся." на деле, если ввести вручную IP, то получаешь доступ к устройствам в сети и пинги бегут аж бегом, хоть в ARP таблице и не отображается этот введенный вручную айпи

Это статья для секьюрности связки роутер-устройства. Общению устройств между собой тут ничто не мешает - они не обращаются к роутеру. К сожалению, функция Port Security Микротиком не поддерживается, может запилят когда-нибудь. Есть режим Local-proxy-arp, и если обеспечить изоляцию портов бриджа друг от друга - весь трафик будет обрабатываться роутером и тут как раз секьюрность в локалке реализовать можно. Но этот режим не очень удобный.

На микроте прописать /30 до каждого устройства. - где это сделать?

Это статья для секьюрности связки роутер-устройства. Общению устройств между собой тут ничто не мешает - они не обращаются к роутеру. К сожалению, функция Port Security Микротиком не поддерживается, может запилят когда-нибудь. Есть режим Local-proxy-arp, и если обеспечить изоляцию портов бриджа друг от друга - весь трафик будет обрабатываться роутером и тут как раз секьюрность в локалке реализовать можно. Но этот режим не очень удобный.

Т.е. моя задача нерешаема была априори???

Ну вот пример метода "тупой" фильтрации в бридже. Я оставил Accept в правилах дропа, чтобы вы не потеряли доступ при проверке правил. /interface list add name=br-fi-lan /interface list member add interface=wifi5 list=br-fi-lan add interface=wifi2 list=br-fi-lan /interface bridge add name=bridge-local /interface bridge filter add action=accept chain=input comment="Allowed MAC" in-interface-list=br-fi-lan src-mac-address=00:10:20:30:40:50/FF:FF:FF:FF:FF:FF add action=accept chain=input comment="ALL DROP" in-interface-list=br-fi-lan add action=accept chain=output comment="Allowed MAC" dst-mac-address=00:10:20:30:40:50/FF:FF:FF:FF:FF:FF out-interface-list=br-fi-lan add action=accept chain=output comment="ALL DROP" out-interface-list=br-fi-lan add action=accept chain=forward comment="Allowed MAC" in-interface-list=br-fi-lan src-mac-address=00:10:20:30:40:50/FF:FF:FF:FF:FF:FF add action=accept chain=forward comment="ALL DROP" in-interface-list=br-fi-lan /interface bridge port add bridge=bridge-local comment=defconf interface=wifi5g add bridge=bridge-local comment=defconf interface=wifi24g

Это?

Сейчас все общение идёт мимо микротика и его фильтров, хотя физически они включены в микротик Устройства все равно доступны.....

Ну вот мои правила и используйте. Добавьте нужные маки по аналогии с разрешенными

use-ip-firewall=yes не нужно при этом?

Чтобы я ни делал, "общение" между устройствами остаётся. Да, можно отключить интернет. Да, можно отключить доступ на сам микрот. Но между устройствами связь остаётся - пинги, доступ на вэб-морду и т.п. Микрот стает самым обычным свичем

сеть уже настроена. надо просто закрыть её для других устройств.

Ничего там не понимаю( Как ручками это сделать?

Я их раз 10 прочитал и ничего не могу понять