Ну раз работает, значит не ошибся. Главное не забыть Safe Mode снять 😉

src-address-type=local я вот это не понял

адрес на внешке же вроде будет локал для микротика

или локал это не директ-конектед сеть, а "не серый" адрес?

Локал возможно подходит под любой локальный адрес.

локальный в каком понимании?

я думал что локалы это адреса из директ-конектед сетей

Который есть на микроте

Но точно не уверен. Нужно почитать

local - if address is assigned to one of router's interfaces

Вот

ясно, значит именно конкретный адрес, а не вся сеть

но я всеравно не врубаюсь в метод. что то я по диагонали прочитал и не врубаюсь Сначала идет роутинг потом уже срцнат. Так почему после изменения СРЦнатом адреса пакет пойдет не на шлюз дефолтный а в айписек тунель?

или вы там не только натили?

Локал — это любой адрес микрота на активном интерфейсе

Айписек после построутинга заберёт политикой

айписек после построутинга?

Так как там срц будет подходящий

айписек после построутинга?

Странный вопрос

ну не в курсе я просто 😊. ткните пальцем где оно там

Здесь нету, смотрите оригинал

Локал — это любой адрес микрота на активном интерфейсе

увы, эта бяка не дружит с vrf корректно(ну, как бы того хотелось)

ясно, сенкс

src-address-type=local я вот это не понял

Мы в нате таким образом можем выделить аутпут-трафик. Я сказал, что если роутер сгенерил пакет в направлении пингуемого адреса, то меняем сорс на другой адрес, который тоже наш. После этого пакет попадает под политику

ээээ

стоп

стоп

Ну так? Я всё жду, жду )))

имхо лучше указывать адрес конкретный. хотя не смог придумать пример, когда лучше :( адрес транслируется сам в себя. адрес попадает/не... в policy при небольшой неточности.. не, не придумывается

В левом углу ринга :)

Расходимся :))))

техническое поражение мне :(

Дело в том, что src-address-type=local — это вполне себе конкретный айпишник. Один из адресов роутера. Чтобы не выяснять, с каким сурсом он изначально генерит пакет, можно читернуть таким незамысловатым образом. Адреса из локалки сюда не попадают, и вообще другие адреса не попадают. Все счастливы и довольны

Особенно @Mr_Kot , правда? 😺

@Mr_Kot ты писал local или конкретный адрес?

имхо лучше указывать адрес конкретный. хотя не смог придумать пример, когда лучше :( адрес транслируется сам в себя. адрес попадает/не... в policy при небольшой неточности.. не, не придумывается

Удобно указывать конкретный если от этого завить что с ним делать. :)

как итоговое правило выглядит?

@Mr_Kot наслаждается работающим The Dude )))

:)

в качестве action указываем src-nat и адрес внешний?

Не внешний, а внутренний. Тот, который попадает под политику IPsec

ага

интересно

итак, вопросы: 1) что происходит когда src адрес натится сам в себя? :)

1) Абсолютно ничего

Меняется в заголовке адрес и все. Переход дальше

в тунельном режиме микроты не могут находиться за натом? только белые ойпи?

Могут

А, туннельный. Хз

В транспортном белый+нат работает

в данном кейсе тунельный режим, верно?

да

Да

надо нарисовать картинку аналогичную "L2 BAD" )

1) Абсолютно ничего

Но операция замены происходит или там Проверка что совпадение есть?

То что сам на себя понятно

Замена ессно происходит, но хуже от этого не становится

Это да

в тунельном режиме микроты не могут находиться за натом? только белые ойпи?

Неа, так как политики ждут пакет именно от этой айпишки. Кстати маскардинг на связующем интерфейсе вроде тоже ламает всю картину. надо исключать трафик между локалками из маскарадинга

естественно, надо.

@Mr_Kot наслаждается работающим The Dude )))

🙂)) на самом деле просто выглядит ip firewall nat chain=srcnat action=src-nat to-addresses=192.168.161.250 dst-address=10.5.17.0/24 src-address-type=local

где 192.168.161.250 - внутренний локальный адрес микрота, 10.5.17.0/24 - дестинейшн адрес удаленной клаудной локалки

кто нибудь пользовался скинами для микротика? на всякий случай - это те, который в настройках групп пользователей. они работают только для вебморды? можно ли их использовать для винбокса?

вебморда онли

об этом, если не ошибаюсь, на MTCNA рассказывают. А вот MTCRE я не посетил покуда… От того и проблемы… 😉

ну, это явно не подробно рассказывают) по крайней мере у меня этого вообще не отложилось.

а они действительно могут ограничивать доступ или это только дизайн и при доступе к write правильный GET/POST/etc может творить чудеса?

об этом, если не ошибаюсь, на MTCNA рассказывают. А вот MTCRE я не посетил покуда… От того и проблемы… 😉

Всегда можно исправить, смотрите расписание :)

а они действительно могут ограничивать доступ или это только дизайн и при доступе к write правильный GET/POST/etc может творить чудеса?

А вот об этом не рассказывали :) Но вообще вряд ли. Привелегий не хватит.

во, ещё вопрос. Как снести Dude с микротика КОРРЕКТНО?

Всегда можно исправить, смотрите расписание :)

Спасибо :)

во, ещё вопрос. Как снести Dude с микротика КОРРЕКТНО?

Выключить, удалить пакет, удалить файлы, не?

без ребута возможно?

файлы без выключения пакета не удаляются. пакет без ребута не выключается.

Нет, пакет без ребута не удалится

Сегодня у всех так, или у меня провайдер шалит?

пров или настройки… со стороны Mikrotik все ОК