Есть вопрос по SSTP. Есть у меня сотрудник, который подключается по L2TP или по PPTP. И все было бы хорошо, но она переехала в то место где нет нормального интернета и есть только Yota. А через ёту не работают эти туннели. Подумываю переключить ее на SSTP. Вроде как он прикидывается HTTPs и должен работать. Один момент смущает. На сервере я не могу отдать 443 порт так как он уже dnat-ится на веб сервер. Какие предложения будут по выходу из сложившейся ситуации?
PPTP не работает на Ёте?
😷Драничек
Otto
например
Otto
вариантов тьма
Otto
только чуть подумать
Maxim
У меня не поднималось подключение
Otto
а чо, сстп не меняет порт?
Otto
я донего както не добрался еще
Denis
Нет
А на какой йоте не работает пптп? У меня и телефон спокойно поднимает и модем с симкой 4г тоже. Л2тп без ипсека тоже вроде работает.
Maxim
а чо, сстп не меняет порт?
меняет, просто я не знаю что оставляет ёта людям, создалось впечатление что там тольно 80 и 443 порт
Maxim
А на какой йоте не работает пптп? У меня и телефон спокойно поднимает и модем с симкой 4г тоже. Л2тп без ипсека тоже вроде работает.
В Ростовской области. Сейчас попробую организовать себе подключение к этой железке и ещё раз попробовать. Но реально ни L2TP ни PPTP не взлетел
Denis
А что пишет? Просто не доходит соединение?
Denis
А если перевести на нестандартные порты?
Maxim
А что пишет? Просто не доходит соединение?
со стороны сервера были какие-то попытки но соединение не поднималось
Andrey
В Ростовской области. Сейчас попробую организовать себе подключение к этой железке и ещё раз попробовать. Но реально ни L2TP ни PPTP не взлетел
Поснифайте, может хз, фаерволл/антивирус на клиенте
Maxim
тут ещё прикол с тем, что ёта пишет маршрут в сеть 10.0.0.0/8.... а она с корпоративной пересекается.
Denis
тут ещё прикол с тем, что ёта пишет маршрут в сеть 10.0.0.0/8.... а она с корпоративной пересекается.
В принципе адрес можно задать явно и в сетке /30
Андрей
Ребята кто закрывал использование сторонних DNS пользователям из локалки?
Denis
Ребята кто закрывал использование сторонних DNS пользователям из локалки?
Смотря какая задача. Я закрывал
Moneron 🇷🇺
Есть вопрос по SSTP. Есть у меня сотрудник, который подключается по L2TP или по PPTP. И все было бы хорошо, но она переехала в то место где нет нормального интернета и есть только Yota. А через ёту не работают эти туннели. Подумываю переключить ее на SSTP. Вроде как он прикидывается HTTPs и должен работать. Один момент смущает. На сервере я не могу отдать 443 порт так как он уже dnat-ится на веб сервер. Какие предложения будут по выходу из сложившейся ситуации?
Юзайте любой тсп-порт, который незадействован на роутере. Если Вы поставите 587, думаю, никто от этого не умрёт. А если умрёт — выбирайте любой, который нравится.
Андрей
я сделал /ip firewall nat
add chain=dstnat protocol=udp dst-port=53 action=redirect
add chain=dstnat protocol=tcp dst-port=53 action=redirect
и на микротике прописал один DNS 77.88.8.7 (яндекс семейный)
Андрей
задача стоит редиректить любые запросы DNS на 77.88.8.7
Андрей
в общем оградить детей от всего плохого :)
Denis
Ну вот так же делал и я, только не на яндекс, а на свой
Андрей
вот странно что не работает это
Denis
Только я добавлял еще адреслист с исключениями
Андрей
и не могу понять это яндекс не пашет или я что то не так сделал
Андрей
в общем не блокируются запросы на взрослые фильмы
Андрей
как проверить что отвечает на DNS запрос именно 77.88.8.7?
John
Заворачивайте трафик по 53 на роутер и все делов
Moneron 🇷🇺
Moneron 🇷🇺
меняет, просто я не знаю что оставляет ёта людям, создалось впечатление что там тольно 80 и 443 порт
Нене, там норм. Но ГРЕ иногда не пролазит
Андрей
Заворачивайте трафик по 53 на роутер и все делов
да я сделал, но не могу разобраться почему это не работает
Андрей
семейный DNS Яндекса должен блокировать запросы с взрослым контентом, но он пропускает их
John
да я сделал, но не могу разобраться почему это не работает
Блокируйте forward на 53 порт из локалки
Андрей
Блокируйте forward на 53 порт из локалки
у меня комп использует как DNS микротик, но все равно запросы проходят
Moneron 🇷🇺
Сниффер включайте на порту провайдера и на локальном, дампы раскуривайте
John
Я вам предложил вариант как заблокировать использование сторонних dns пользователями локалки. Всегда проще идти от всеобщего запрета
Maxim
у меня комп использует как DNS микротик, но все равно запросы проходят
а как он должен блокировать их? отдавать на запрос xxx.com адрес 127.0.0.1? я просто пару сайтов nslookup-ом запросил у этого днс так он мне айпишники и отдал... можжет он просто не про все сайты знает???
Maxim
Как вариант
тогда нужно конкретный пример того что нормальный днс резолвит а яндекс не резолвит и уже на этой лакмусовой бумажке настраивать и тестировать МТ
Maxim
есть пример?
Maxim
Сниффер включайте на порту провайдера и на локальном, дампы раскуривайте
...если это мне, то боюсь будет весело)
Maxim
Это не я настраиваю
я понимаю, просто тут нужно избрать для себя порядок проведения эксперимента дабы достичь поставленных целей
Андрей
отключил перенаправление, назначил себе на компе 77.88.8.7 как DNS сервер, и на запрос sex в строке поиска яндекса получил "По вашему запросу ничего не нашлось."
Moneron 🇷🇺
Андрей
если использовать его как единственный DNS то в резульататах поиска не будет взрослого контента, это не панацея но помогает
Андрей
снова включил
add chain=dstnat protocol=udp dst-port=53 action=redirect
add chain=dstnat protocol=tcp dst-port=53 action=redirect
поиск пестрит, т.е. редирект рабоатет но сам микротик запросы шлет не на яндекс
Moneron 🇷🇺
Вы кэш не забываете почистить?
Андрей
очистил не помогает :(
Moneron 🇷🇺
Не верю я в чудеса
Андрей
и я
Moneron 🇷🇺
Ин-интерфейс локальный укажите в дст-нате.
Андрей
хотя нет, я верю в чудеса, но это другой случай :)
Moneron 🇷🇺
Сделайте экспорт ip dns и ip fi nat на pastebin.com
Андрей
/ip dns> print
servers: 77.88.8.7,77.88.8.3
dynamic-servers:
allow-remote-requests: yes
max-udp-packet-size: 4096
query-server-timeout: 2s
query-total-timeout: 10s
max-concurrent-queries: 100
max-concurrent-tcp-sessions: 20
cache-size: 2048KiB
cache-max-ttl: 1w
cache-used: 35KiB
Андрей
nat> print
Flags: X - disabled, I - invalid, D - dynamic
0 ;;; defconf: masquerade
chain=srcnat action=masquerade out-interface=ether1
1 ;;; masq. vpn traffic
chain=srcnat action=masquerade src-address=192.168.89.0/24
2 chain=dstnat action=redirect protocol=tcp in-interface=bridge dst-port=53
log=no log-prefix=""
3 chain=dstnat action=redirect protocol=udp in-interface=bridge dst-port=53
log=no log-prefix=""
Maxim
Нене, там норм. Но ГРЕ иногда не пролазит
Вроде PPTP зарботал. Есть подозрение, что это временное явление
Moneron 🇷🇺
Просил экспорт, ну ладно. Ошибок не вижу. Тогда план действий:
1. Очистить днс-кэш
2. Включить сниффер на внешнем интерфейсе по удп:53, натравить на комп с вайршарком
3. Поймать udp:37008, разобрать днс-запросы и ответы
Max
Попробуйте в настройках dhcp server-a явно указать dns микротика
Evgeny
Очередные результаты тестирования wAP LTE Kit в выходной в городе примерно в километре от базовой станции. wAP LTE Kit с модемом R11e-LTE демонстрирует D/U: 2,5/8 Мбит, сообщая о RSRP -86 RSRQ -12 и SINR - 0-2 dBi. При том рядом стоящий hAP с воткнутым Huawei E3372h в режиме HiLink показывает D/U: 35-40/20 Мбит, RSRP -95 RSRQ -7 и SINR 9dBi. Оба модема 4 категории.
Внимание вопрос - пачиму? Планирую в понедельник написать в саппорт. Перепробовал уже всяко-разно, без антенн, например, он вообще отказываетя подключаться к сети.
При этом оба девайса в процессе тестирования подключались к 1 базовой станции на 1 частоте - band 20. Никак не могу победить этот wAP LTE Kit. Не могу понять, в чем с ним проблема. Самое смешное, что проблема не только в LTE, если переключиться на 3g, ситуация еще печальнее. Т.е. видимо, проблема в железе либо в модеме R11e, который производства самого Mikrotik.
FoxPDLL
Билайн?
FoxPDLL
Я вам по секрету скажу. Что большая тройка не любит абонентский микротик. Я бы сказал ненавидит.
FoxPDLL
Попробуйте симку Теле2 если есть возможность. Вы скорее всего увидите кардинальную разницу.
Evgeny
Не спалил :)
Evgeny
Спасибо за совет. Вот только нам нужен Мегафон, без вариантов :(