@mikrotikclub - страница 458

Cumberbatch

ну мы вот пробуем понять что будет если клиент не получит ответа на ДНС запрос имени. Что будет при срезе самого запроса по НТТР/НТТРS понятно

Nslookup 2 сек на сервер чtime out

Pavel

пишут что вам нужен линукс https://books.google.ru/books?id=ptSC4LpwGA0C&pg=PA249&lpg=PA249#v=onepage&q&f=false

Cumberbatch

Nslookup 2 сек на сервер чtime out

В винде 5

Cumberbatch

через какое время? Как я уже писал выше - на многих сайтах стоят банеры ВК, фейсбука, ютуба и т.д. И если на каждый будет ждат 5 секунд отлупа то серфинг станет очень тормознутым

Он даже начальный запрос никуда не пошлёт. Что бы получить другие ссылки.

Cumberbatch

Он даже начальный запрос никуда не пошлёт. Что бы получить другие ссылки.

А понятно. Если рабочий сайт имеет то что блочиься то да будет тормоза. Но современные браузеры рендеоят параллельно. Так что если сайт свёрстан нормально то будет пустота там или фон.

Sergiy

ну будем надеятся. А то вроде дроп(а не реджект) запросов к ВК существенно тормозил страницы с банерами. но могу путать

Cumberbatch

ну будем надеятся. А то вроде дроп(а не реджект) запросов к ВК существенно тормозил страницы с банерами. но могу путать

Правильно делать L7 через reject с tcp reset.

Moneron 🇷🇺

Udp днс-ы с tcp-reset вы не заблочите

Cumberbatch

Udp днс-ы с tcp-reset вы не заблочите

Я про сами tcp сессии. А не про днс. С днс там либо на 127.0.01 возвращать либо страницу заглушку

Cumberbatch

Я про сами tcp сессии. А не про днс. С днс там либо на 127.0.01 возвращать либо страницу заглушку

Статик в микротиках есть в днс.

Moneron 🇷🇺

Со статиками чуть сложнее разделять доступ. Днс-ы тех, кому он будет нужен, придётся дстнатить на валидные сервера

Cumberbatch

Со статиками чуть сложнее разделять доступ. Днс-ы тех, кому он будет нужен, придётся дстнатить на валидные сервера

Ну уж тут кто что хочет

😷Драничек

Я буду ржать если взяли таки 1100. Именно 1100, а не 1100 AHx4

На самом деле очень не смешно будет(

Cumberbatch

Уточню. Если очистить историю то первый раз опять полезет на 80. Это про hsts

Sergiy

одноядерный. Есть такая старая модель.

Sergiy

Уже пошутить нельзя 😊. И кстати на щет "только" я бы не был так уверен. Закон подлости и економности закупщиков может удивить в самый неподходящий момент 😊

😷Драничек

Уже пошутить нельзя 😊. И кстати на щет "только" я бы не был так уверен. Закон подлости и економности закупщиков может удивить в самый неподходящий момент 😊

Задача закупщика не сэкономить на закупке, а максимально сбить цену поставщика. Ну это у нас так. А на самом деле будет печалька, если приедет x2 вместо x4, потому что поздно спохватились и человек который этим занимался уже уволился.

Cumberbatch

Да. Это что бы не трогать все остальное.

Cumberbatch

Ок. А в сафари сбрасывает.

Cumberbatch

Пофиг. Главное ясно что копать.

Bulakhovskiy

/ip firewall filter add action=accept chain=input comment="L2tp tunnel" dst-port=1701 \ in-interface=Infolink protocol=udp add action=accept chain=input comment=Ipsec dst-port=500 protocol=udp add action=accept chain=input dst-port=4500 protocol=udp

Bulakhovskiy

комрады, этого достаточно для работы туннеля? л2тп ипсек?

Bulakhovskiy

че та как то информация разная в инете

Pavel

Ребята а кто нить скрешивал провайдера http://umnyeseti.ru с mikrotik по отпике?

Cumberbatch

/ip firewall filter add action=accept chain=input comment="L2tp tunnel" dst-port=1701 \ in-interface=Infolink protocol=udp add action=accept chain=input comment=Ipsec dst-port=500 protocol=udp add action=accept chain=input dst-port=4500 protocol=udp

Да. Достаточно.

Cumberbatch

Только вы не во всех указали интерфейсы. Но может так надо

Bulakhovskiy

Да. Достаточно.

chain=input action=accept protocol=ipsec-esp log=no log-prefix="" пишут что еще это надо добавлять

Cumberbatch

chain=input action=accept protocol=ipsec-esp log=no log-prefix="" пишут что еще это надо добавлять

Нет. Для вашего случая не надо

Bulakhovskiy

почему? в каких случаях надо?

Bulakhovskiy

Оно же за шифрование вроде отвечает

Bulakhovskiy

Правило это

Cumberbatch

Сек

Cumberbatch

Блин. Да. Надо.

Moneron 🇷🇺

/ip firewall filter add action=accept chain=input comment="L2tp tunnel" dst-port=1701 \ in-interface=Infolink protocol=udp add action=accept chain=input comment=Ipsec dst-port=500 protocol=udp add action=accept chain=input dst-port=4500 protocol=udp

Избыточно. Достаточно перечислить порты через запятую в одном правиле: 500,1701,4500

Cumberbatch

А. Короче если нат-т то 4500 если нет то esp

Cumberbatch

Потому как ipsec к l2tp никакого отношения не имеет? Ты это хочешь сказать

Bulakhovskiy

Избыточно. Достаточно перечислить порты через запятую в одном правиле: 500,1701,4500

Так и сделал .. спасибо

Sergiy

да кто его знает что там у тебя в голове происходит. Мы же не психиатры что бы у тебя в голове ковыряться

Sergiy

Какое такое УКАЗАНОЕ? Я вообще не представляю о каком именно из вышепредставленых ты говоришь.

Cumberbatch

Почему тогда нет?

Sergiy

Человек спросил о достаточности разрешающих правил для работы(при условии дропа всего в конце), а не о защите.

Cumberbatch

Вот это почему?

Cumberbatch

Но не имеет отношения абстрактно. Мухи и котлеты. То что можно вместе это понятно. :)

Cumberbatch

И я про это.

Sergiy

Так по хорошему надо тогда разрешать только от конкретной айпишки и только в рабочие дни с 8 до 18

Cumberbatch

Так по хорошему надо тогда разрешать только от конкретной айпишки и только в рабочие дни с 8 до 18

Нет. Антон и говорит что в связке нужно так то.

Sergiy

Ну а нам откуда знать? Чел спросил будет ли ДОСТАТОЧНО, а не есть ли НЕОБХОДИМО Не путай достаточное и необходимое условие.

Cumberbatch

Про время не спрашивали

Sergiy

Кто то о сарказме не слышал 😄

Sergiy

Да почему не выполнено? Что спросил чел? "БУДЕТ ЛИ ДОСТАТОЧНО?". Какой ответ на вопрос? Будет. А уж что там каждый считает о целесобразности абсолютно вопроса не касается. Прямой вопрос- прямой ответ.

Sergiy

Так уж ли НЕОБХОДИМО? 😜