res_nom
L7 вполне с этим справится
Dmitrii
Вы не учитываете, что судя по описанию доступа к МТ нет, и провайдер хочет не заморачиваться, и спрашивает как настроить
res_nom
учитываю, уже успел запамятовать.
Dmitrii
И не хочет, чтобы использовали чужие днс чтобы фильтровать неприличный контент в школе
res_nom
Честно, проще тогда на вин машинах ДНС АД прибить руками. IP пусть по с МТ прорва получают. на сервере АД поднять пересылку, куда уже угодно.
Dmitrii
Это можно через ад статикой, да
res_nom
Могу, совсем самурайский способ предложить. На сервере АД поднять openvpn сервак все виндовые машины завернуть на него с выдачей нужных днсов и роутов. Весь трафик пустить через openvpn server пустить клиентский.
res_nom
хотя это ниразу к МТ не имеет отношения ;)
Dmitrii
Делается через group policy
res_nom
самое интересное, в озвученной схеме ГПО тоже не будет работать нормально уже
Dmitrii
Это так, именно для этого первым контроллер ставят в списке днс
res_nom
так у него адреса днс с МТ прилетают куда нет доступа ж
Dmitrii
Ещё вариант, машины в домене - wmi скрипт с контролёра под доменным админом
Dmitrii
С обходом списка компов
res_nom
а за резольвом адресов скрипт пойдет на сервер выданый прорвом. Но попробовать стоит
res_nom
и новые машины, в описанной ситуации, я так думаю, тоже в домен подключить не выйдет
res_nom
Тут скорее скрипт с использованием локальной админской записи должен быть. Если она настроена была и пароли известны.
res_nom
честно проще всего МТ в разрыв и хоть спать спокойно, а то мало ли, что там натворить может, человек с безумием в глазах, со стороны прорва.
Vladimir
Dhcp over scripting
res_nom
за HAP mini не уверен, но AC lite 100 мегабит в любую сторону прожует и не подавится
Vladimir
А между провайдерским микротом и вашими машинами у вас какая железка стоит?
res_nom
Если я правильно помню о чем был разговор сегодня, то никакой. Все прилетает с дхсп прорва напрямую
Vladimir
Какой длинк?
Vladimir
Это мы не знаем, какой пока. Там может что-то относительно приличное
res_nom
расходимся.... 😁
Vladimir
Пичаль, да.
Vladimir
Купите тплинк, и поставьте между провайдером и вашим длинком
res_nom
так что не МТ купить то сразу? хоть какой-то
Vladimir
Потому что с костылями на 150 машин вы горя хлебнете
res_nom
hap mini 1000 +\- рублей
hap ac lite 3000 +\-
толко денег, я так понял, там никто не даст
res_nom
ну впн и с ДЦ можно поднять. Ну как любите, извращения
Vladimir
Чей микротик, провайдерский?
Vladimir
Так там все просто. Провайдер пусть вам не отдаёт dhcp.
res_nom
Я потерялся в сути нужного. Вам нужно решение чтобы отдать его провайдеру на рассмотрение и реализацию? тогда L7 и с дст натом.
Вам нужно решить ваш вопрос, уже не один вариант был, включая самурайский, мой 😂
Vladimir
Сами dhcp раздавайте, гейт - провайдер, dns - ваш
Vladimir
Всё, что нужно провайдеру - выключить dhcp
Vladimir
Если провайдер ссыт - пусть dns от вас перенаправляет
res_nom
Всё, что нужно провайдеру - выключить dhcp
У них с этим сложности и терки, честно мне мало понятные, но видимо такая ситуация
Vladimir
Тогда зачем курить микротик провайдера?
res_nom
Провайдер нам не доверяет, ведь мы тогда сможем всю контент фильтрацию по бороде пустить
res_nom
там часов с 12 сегодня, полистайте
Vladimir
Да я видел. Просто тогда микротик провайдера курить незачем
res_nom
Был месадж, что выдать им настройки для утверждения. Или я что-то не так понял м.б.
res_nom
Но лично мне кажется, что с наркоманами бессмысленно договариватся. нужно от них изолироваться
Master
Alexey
подскажите плз одну вещь. добавил eoip интерфейс в бридж, на котором висит физический порт, смотрящий в локальную сеть. fast forward отключил. теперь в этой сети вебстраницы грузятся или очень долго или вообще не грузятся. виноват mtu eoip, который понизил его на бридже до 1408?
Moneron 🇷🇺
У еоипа была проблема, он не фиксил мсс...
Moneron 🇷🇺
Не знаю, пофиксили или нет
Alexey
короче в мангле нужно вручную фиксить, да?
Moneron 🇷🇺
Скорее всего придётся использовать use-ip-firewall=yes в настройках бриджей, и только после этого фиксить
Alexey
Скорее всего придётся использовать use-ip-firewall=yes в настройках бриджей, и только после этого фиксить
да проще маршрутизировать тогда трафик в сеть за eoip. хотел одну подсеть сделать
Innokentiy
чтобы что?
Алексей
Главное чтобы не соседские компы видеть в обозревателе виндовс :)
Илья
Ни у кого нет скрипта брутфорсера шлюзов?)
Moneron 🇷🇺
Чтобы что?
Moneron 🇷🇺
Ладно. Не надо так делать, вот основная мысль повторяющегося вопроса.
Moneron 🇷🇺
Если что-то умеет в ip, не нужно делать ethernet и плодить бродкаст-домены
Innokentiy
весь смысл маршрутизации в том, чтобы направить трафик в нужном направлении
Innokentiy
если у вас есть два дц, они физически разнесены
Innokentiy
один, условно, справа, а второй слева
Innokentiy
именно процесс маршрутизации позволит наиболее эффективно направить трафик до определенногодц в нужную сторону
Innokentiy
если вы делаете одну сеть, то вы должны будете решить эту задачу все равно, но только другими инструментами, которые ее решают хуже
Alexey
мне бродкаст не нужен
Alexey
могу с тем же успехом любой другой туннель поднять
Alexey
мне нужна одна подсеть
Alexey
а еоип проще всего сделать и тут же ипсек привязать
Alexey
хостов там будет не много, так что на бродкаст пофиг, если он будет
Innokentiy
а еоип проще всего сделать и тут же ипсек привязать
ипсек привязывается не только к eoip, но и к обычному gre
Innokentiy
протокол ip устроен так , что в подобной ситуации вам следует использовать дае разнве сети
Innokentiy
с помощью костылей и такой-то матери можно обойтись и одной, но для этого нужно понимать, зачем вы это делаете
Innokentiy
например, у вас есть приложение, которое не использует ip и работает, инкапсулируясь сразу в ethernet
Innokentiy
и вам нужно обеспечить в первую очередь его работу, а во вторую уже приделать сбоку ip
Boris
Коллеги, я тут мозг сломал с пробросом портов череp l2tp. Есть МТ А с белым ip 1.2.3.4. Есть МТ В (SXT LTE kit с йотой) и сетью 192.168.x.0/24 за ним. Роутер В 10.0.0.2 подключается к МТ А 10.0.0.1 как l2tp-клиент. Нужно пробросить несколько портов для внешнего Ip 1.2.3.4 на видеорегистратор из сети 192.168.x.0. На обеих МТ включён ospf. Вижу, что маршруты все есть.
На МТ А:
add action=dst-nat chain=dstnat comment="NVR" dst-address=1.2.3.4 dst-port=37777 protocol=tcp to-addresses=192.168.x.y to-ports=37777
По счётчику вижу, что пакеты редиректятся, но обратно не возвращаются. На разных форумах вижу, что народ зачем-то маскарадинг делает для туннульного интерфейса на роутерах с йотой. Куда копать?
Alexey
Коллеги, я тут мозг сломал с пробросом портов череp l2tp. Есть МТ А с белым ip 1.2.3.4. Есть МТ В (SXT LTE kit с йотой) и сетью 192.168.x.0/24 за ним. Роутер В 10.0.0.2 подключается к МТ А 10.0.0.1 как l2tp-клиент. Нужно пробросить несколько портов для внешнего Ip 1.2.3.4 на видеорегистратор из сети 192.168.x.0. На обеих МТ включён ospf. Вижу, что маршруты все есть.
На МТ А:
add action=dst-nat chain=dstnat comment="NVR" dst-address=1.2.3.4 dst-port=37777 protocol=tcp to-addresses=192.168.x.y to-ports=37777
По счётчику вижу, что пакеты редиректятся, но обратно не возвращаются. На разных форумах вижу, что народ зачем-то маскарадинг делает для туннульного интерфейса на роутерах с йотой. Куда копать?
потому что со второго роутера они возвращаются по дефолтному маршруту на том роутере