то есть если посылать кадры с одинаковым transmitter address и разными source address, будет дискард?

К микроту к микроту.

Так МТ специально и сделал этот режим, чтобы кадры со своими маками летали

Так МТ специально и сделал этот режим, чтобы кадры со своими маками летали

Ок

Source

У меня такой вопрос :) /ip firewall mangle add action=mark-connection chain=prerouting connection-state=new dst-address=8.8.8.8 new-connection-mark=google passthrough=no protocol=icmp add action=mark-packet chain=forward connection-mark=google new-packet-mark=4 passthrough=yes add action=add-src-to-address-list address-list=googlopingers address-list-timeout=0s chain=postrouting packet-mark=4 src-address-list=googlopingers Почему в адрес лист гуглопингеров добавляется адрес и пингера и гугла?

то есть если посылать кадры с одинаковым transmitter address и разными source address, будет дискард?

Насколько знаю, да. Практика показала, что тоже да :)

У меня такой вопрос :) /ip firewall mangle add action=mark-connection chain=prerouting connection-state=new dst-address=8.8.8.8 new-connection-mark=google passthrough=no protocol=icmp add action=mark-packet chain=forward connection-mark=google new-packet-mark=4 passthrough=yes add action=add-src-to-address-list address-list=googlopingers address-list-timeout=0s chain=postrouting packet-mark=4 src-address-list=googlopingers Почему в адрес лист гуглопингеров добавляется адрес и пингера и гугла?

Не задано направление пакетов (ин или аут интерфейс)

У меня такой вопрос :) /ip firewall mangle add action=mark-connection chain=prerouting connection-state=new dst-address=8.8.8.8 new-connection-mark=google passthrough=no protocol=icmp add action=mark-packet chain=forward connection-mark=google new-packet-mark=4 passthrough=yes add action=add-src-to-address-list address-list=googlopingers address-list-timeout=0s chain=postrouting packet-mark=4 src-address-list=googlopingers Почему в адрес лист гуглопингеров добавляется адрес и пингера и гугла?

Вот

Не задано направление пакетов (ин или аут интерфейс)

ответные пакеты чтоли маркируются?

Только хотел написать

Ессно, ибо они маркируются по марке коннекшна, а коннекшн – штука двунаправленная

Ессно, ибо они маркируются по марке коннекшна, а коннекшн – штука двунаправленная

спс, я так и предполагал :)

@insoln https://wiki.mikrotik.com/wiki/Manual:Wireless_Station_Modes#802.11_limitations_for_L2_bridging

ога, в таком раскладе надо станцию объявлять DS

ну, собственно, там так и написано

Хм, познавательно

так, чертов длинк виснет за пару секунж не могу провести проверку полноценную. но есть один факт

вот такой адрес получил у меня НЕХ подключенный через принтсервер к основному роутеру(сам принтсервер подключен к основному роутеру по вайфаю). Как видим МАС то микротиковский

Чувак после курса MTCNA. Сегодня днем получил сертификат. Пришёл домой и уже не первый час красноглазит в winbox. Думаю что мой друг сломался))))

Чувак после курса MTCNA. Сегодня днем получил сертификат. Пришёл домой и уже не первый час красноглазит в winbox. Думаю что мой друг сломался))))

Сегодня днем получил сертификат, полёт похожий)

Товарищи микротоводы подскажите по маршрутизации. Есть два офиса соеденены по инету vpn каналом все хорошо трафик бегает. На первом подняли pptp сервер к нему конектится удаленный клиент и спокойно ходит в сеть первого 192.168.1.0. внимание вопрос как сделать чтоб поэтому же каналу удаленный клиент ходил и в сеть второго офиса 192.168.7.0?

в бутылке приблизительно 14710 рублей :)

Работает. Но... Если на точке с которой я беру трафик, изменится частота (вдруг там auto), то всё отваливается. Я, в свою очередь, тоже не могу поставить auto... Не ясно, что делать.

надёжнее взять отдельную точку доступа, что умеет принимать WAN с Wifi и передавать по ethernet. Её подключить к Микротику к WAN порту, как обычного провайдера.

Товарищи микротоводы подскажите по маршрутизации. Есть два офиса соеденены по инету vpn каналом все хорошо трафик бегает. На первом подняли pptp сервер к нему конектится удаленный клиент и спокойно ходит в сеть первого 192.168.1.0. внимание вопрос как сделать чтоб поэтому же каналу удаленный клиент ходил и в сеть второго офиса 192.168.7.0?

Нет возможности использовать обычный Ip-IP или gre-тоннель?

или прокинуть обратный впн через этот

как понять обратный vpn

&

?

запустить Впн подключение к удалённой сети, используя уже установленное текущее соединие

так делал с зухелями

а где запускать это vpn подключение на клиентах ?

объяснятор из меня фиговый, но попробуй..

у тебя есть два маршрутизатора? Оба микротика?

один mikrotik 192.168.1.0 и второй cisco пароль управления к ей утерян. баюсь что вся проблема в cisco

просто у меня не было не когда такой задачи и я точно не знаю что то ндо разрешающие правило прописывать на втором маршрутизаторе cisco

или нет

на микротике натить трафик от клиента в адрес первой сети или в адрес vpn

Как делал это я, когда делал на зикселях, один из которых имел белый IP, а второй - нет: Роутер неимеющий белого IP подключался к другому и получал внутренний IP, тот другой роутер подключался уже к первому, используя этот внутренний IP

или так как написано выше, т.к. тот конец туннеля по сути не будет отличаться от провайдерского. (т.е. нужно будет прокинуть порты сервисов, что вам нужны)

смотрите если vpn клиенты получают ip адресс из сети 192.168.1.0 , то тогда трафик vpn клиентов может ходит в сеть 192.168.7.0

для vpn клиентов раздаю ip из сети 192.168.99.0

но могу и поменять выдачу ip адресов для vpn клиентоа на 192.168.1.0/24 но это не совсем наверное правильно с точки зрения безопастности

что скажите ?

вам всё же нужно настроить циску и прокинуть нормальный тоннель.

самое правильное решение

тонель то между cisco и mikrotik нормальный. но боюсь что cisco firewall блочить все мои попытки пройти не из сети 192.168.1.0. а пароля к циске нету. ((( только одни путь сброс циски

Как делал это я, когда делал на зикселях, один из которых имел белый IP, а второй - нет: Роутер неимеющий белого IP подключался к другому и получал внутренний IP, тот другой роутер подключался уже к первому, используя этот внутренний IP

Нехилый костыль. А просто прописать маршрут?

тонель то между cisco и mikrotik нормальный. но боюсь что cisco firewall блочить все мои попытки пройти не из сети 192.168.1.0. а пароля к циске нету. ((( только одни путь сброс циски

У циско есть фича сброса пароля. Помучайте Иннокентия в его чатике по этому поводу

Нехилый костыль. А просто прописать маршрут?

что значит "просто прописать маршрут"? Как оно должно в таком случае было работать?

Зачем делать туннель в туннеле? При подключении на сервере создаётся интерфейс. Через этот интерфейс можно прописать маршрут.

Зачем делать туннель в туннеле? При подключении на сервере создаётся интерфейс. Через этот интерфейс можно прописать маршрут.

это да. Но зиксель обрабатывал его как будто это такой же провайдерский wan. т.е. порты прокидывать и всё такое.. А мне нужно было полноценно обращаться к сети. Или я что-то неверное делал?

Я представляю как это сделать, но оно не заработало

У меня товарищи на зухеле поднимали что-то подобное, нормально всё было. Ессно, самый простой способ в данном случае – заменить зухель на МТ

Вы просто сниффером гляньте на ту матрёшку, которая в туннеле в туннеле.

Товарищи а вот опиця конекшен стэйт она ж ведь матчит состояние именно соединения? ведь не совсем корректно говорить что это состояние пакета?

хотя в оф вики речь идёт именно о пакетах...

все 3 метки у пакета. эти метки в предалах роутера.

так учили на мтсна

Товарищи а вот опиця конекшен стэйт она ж ведь матчит состояние именно соединения? ведь не совсем корректно говорить что это состояние пакета?

Она матчит пакеты по статусу соединения

все 3 метки у пакета. эти метки в предалах роутера.

это понятно :)

а вот экшен акцепт в правилах нат, закончит движение подпадающего под данное правило трафика по блоку нат?

@moneron , марк конекшн это покрасить соединение или покрасить пакеты внутри этого коннекта, т.е. пакеты относящиеся к этому соединению? конекшн — это труба (двунаправленный поток) внутри которой бегут пакеты. т.е "непустая" труба.

@moneron вот 👆 это меня заставило задать вопрос про состояние

@moneron , марк конекшн это покрасить соединение или покрасить пакеты внутри этого коннекта, т.е. пакеты относящиеся к этому соединению? конекшн — это труба (двунаправленный поток) внутри которой бегут пакеты. т.е "непустая" труба.

Марк коннекшн – это написать на трубе "газ"

Добрый день. Скрещиваем Unifi и Mikrotik CCR1016 Вланами. Траффик добегает до микротика, девайс получает IP, но наружу не уходит. Я так понимаю, что таг надо снять, что бы траффик пошел наружу.

хотим избавиться от тега - добавляем вилан в бридж. Данное утверждение верно?

Марк коннекшн – это написать на трубе "газ"

"газ" мы пишем на трубе, или все же на пакетах внутри нее? метки ведь у пакетов. или мы на пустой, еще не созданной трубе можем написать "газ" ?

а какое это имеет ПРАКТИЧЕСКОЕ значение? Я понимаю что просто интересно. но с практической стороны какая разница пользователю что происходит глубоко внутри коробки?

ведь для пользователя ничего не изменится в логике работы, он всё так же оперирует конекшинами и пакетами.

а вот и мой друг-любитель запутать ) хочу знать логику работы, после мтсна еще больше вопросов появилось )

ты бы еще спросил какие биты по какой дорожке платы пойдут 😊. Что изменится в логике настройки от того вешает ли на пакет физически тег конекшина? Ведь чисто логически пакет в любом случае принадлежит этому конекшину. РАзве что оптимизация нагрузки на процесор, устранение лишних операций. Но и это уже надо знать что меньше грузит проц.

"газ" мы пишем на трубе, или все же на пакетах внутри нее? метки ведь у пакетов. или мы на пустой, еще не созданной трубе можем написать "газ" ?

"газ" пишем на трубе, внутри может быть что угодно. Марк-коннекшн – вспомогательное действие, которое само по себе никак не влияет на работу девайса. А вот когда мы по коннекш-марке пометим роуты или пакеты – тогда да, что-то будет происходить иначе

Ну марк пакет собсно тоже никак не влияет само по себе 😊

вопрос 2. веб сервер находится в локалке и к нему сделан дст нат. комп из инета обращается к нему. срабатывает дст нат. и для того чтобы сервер ему ответил маскарада или соур ната не нужно,т.к. срабатывает коннекшн трекер, соединение уже естаблишед и обратная подмена соури ип от веб сервера происходит сама. как конекшн трекер делает подмену соурс ип, смотрит в нат таблицу?

вопрос снят. утверждение верно :)

Ну марк пакет собсно тоже никак не влияет само по себе 😊

Пакеты мы можем в очередях ловить, а коннекшны – нет

САМО ПО СЕБЕ.

dehash MikroTik режет скорость Сообщение22 июн 2016, 23:42 Здравствуйте. Помогите пожалуйста решить проблему. Или подскажите где найти решение. Есть RB951G-2HnD. Провайдер предоставляет подключение по статическому IP. Скорость канала 5 мб/с. Канал симметричный. При подключении на прямую к компьютеру все работает нормально. Проблема наблюдается при подключении через маршрутизатор. Исходящая скорость падает до 0,5 мб/с. Входящая при этом 5 мб/с. Проблема наблюдается на всех устройствах и проводных и беспроводных. Подскажите пожалуйста в чем может быть дело.