как делается в больших компаниях?

у нас каждые 3 дня делался экспорт конфигурации и файл отправлялся на почту

погуглите скрипт, сюда его писать не удобно будет

а в случае если с железякой что то случилось, тогда что делаете (бэкап это понятно)

это же вся маршрутизация поляжет

физически?

ну да

тогда либо дублирование и избыточность, либо заранее подготовленная идентичная железка

вот, как сделать дублирование?

подключаются более 1 провайдера, настраивается на 2 (или более) разных роутерах, далее сильно зависит от вашей сети

я про дублирование внутри сети

главное чтобы у каждого узла сети было минимум 2 пути в интернет

контролируемые петли, дублирование сервисов (dhcp, dns, etc)

в крайнем случае 2 сетевки в каждый комп😃

а вообще грамотное построение отказоустойчивой сети это тема многих статей, уроков, мануалов и лет опыта

вот, как сделать дублирование?

вррп почитай, если дублирование самого микротика нужно

вот, как сделать дублирование?

Зависит от схемы сети

Коллеги, как правильно решается ситуация: dns сервер находятся за туннелем и юзеры должны использовать его. Но когда туннель не пашет - использовать 8.8.8.8.

поднять локальный резолвер, который будет 1 - кэшировать 2 - first dns за туннелем 3 - second dns google

ну или по dhcp отдавать first & google, но тогда у клиентов будет тупить резолв

когда первый будет отваливаться по таймауту всегда

Средствами микроти никак, получается

Либо в туннеле прописать скрипт, который в момент отвала включит нат и перенаправит днс-запросы на гуглоднс, а когда туннель поднимется – вернёт всё обратно

Либо в туннеле прописать скрипт, который в момент отвала включит нат и перенаправит днс-запросы на гуглоднс, а когда туннель поднимется – вернёт всё обратно

Да, о чем то таком и думал)

Надеялся ест какие-то бест практис

Либо в туннеле прописать скрипт, который в момент отвала включит нат и перенаправит днс-запросы на гуглоднс, а когда туннель поднимется – вернёт всё обратно

Гм. А разве, если указать первый dns за туннелем будет не то же самое и без скриптов? Порядок перебора dns-серверов известен. Первый отвалится по таймауту и запрос пойдёт на второй.

Гм. А разве, если указать первый dns за туннелем будет не то же самое и без скриптов? Порядок перебора dns-серверов известен. Первый отвалится по таймауту и запрос пойдёт на второй.

Теория в инете и практика на месте показали что порядок не имеет значения, все днс в списке равнозначны

Теория в инете и практика на месте показали что порядок не имеет значения, все днс в списке равнозначны

а тоннель каким образом организован?

а тоннель каким образом организован?

L2TP, если вы об этом

L3

ага. Ну если l2tp - тогда можно в файрволе просто все запросы на 53/udp 53/tcp перенаправлять в интерфейс l2tp. А юзерам отдавать днс четыре восьмерки. Интерфейс l2tp отвалится - правила станут неактивными.

Хотя не уверен, счас проверю )

да, похоже срабатывает так

Добрый день. Подскажите в чем проблема, через микротик перестает работать почта Яндекс на клиенте, ругается login invalid credentials or imap is disabled - убираю микрот и все норм, как будто что то блокирует. Соединение с интернет через пппое.

да, похоже срабатывает так

Спасибо, попробуем-с

Теория в инете и практика на месте показали что порядок не имеет значения, все днс в списке равнозначны

Вы сами-то проверяли? Я, вот только что проверил. Нашел интересное.

Вы сами-то проверяли? Я, вот только что проверил. Нашел интересное.

Да, правда клиенты линуксовые

Да хоть какие клиенты. Речь о микротике, как о днс-форвардере

Да, правда клиенты линуксовые

Поставьте в микротике правило на output логирующее исходящие запросы на udp:53 Очистите dns-кэш на микротике и клиенте. Сделайте dns-запрос с клиента и поглядите, куда обращается микротик. Сразуу станет ясен порядок обращений.

а обратно кстати микротик каким образом к первому dns возвращается?

а обратно кстати микротик каким образом к первому dns возвращается?

Если первый днс перестал отвечать, микротик его перестает использовать. Возможно, на какое-то время. Окончания таймаута не дождался.

да. Начинает использовать второй. А как он возвращается к первому?

да. Начинает использовать второй. А как он возвращается к первому?

Пока не готов сказать. Если там и есть таймаут, то достаточно долгий.

просто некоторые линуксы раньше, например, возвращались только после принудительного дерганья резолвера.

Принудительно можно вернуть проведя изменения в настройках днс.

да. Начинает использовать второй. А как он возвращается к первому?

Прекрасный вопрос)

ну то есть вручную

Возможно, здесь то же самое.

Теория в инете и практика на месте показали что порядок не имеет значения, все днс в списке равнозначны

Теперь, вы видете, что ПОРЯДОК указания серверов ИМЕЕТ ЗНАЧЕНИЕ ?!

Теперь, вы видете, что ПОРЯДОК указания серверов ИМЕЕТ ЗНАЧЕНИЕ ?!

Ну пока не вижу, но верю

Теперь, вы видете, что ПОРЯДОК указания серверов ИМЕЕТ ЗНАЧЕНИЕ ?!

я б не полагался на это, на самом деле. Потому что производитель может изменить это когда угодно. Как вот например винда сейчас делает - она идет во все днс.

Первым опрашивается первый сервер из списка dns. Далее ветвление: Если сервер ответил (не важно, нашел IP/не нашел IP), даже ответ "не нашел" считается успешным сохраняется в кэше, и пересылается клиенту. Процедура завершается. Если сервер вообще не ответил (timeout), то не ответивший сервер исключается из списка пересылки запросов. Последующие запросы к нему не направляются. Запрос идёт ко второму серверу из списка. И т.д.

Добрый день. Подскажите в чем проблема, через микротик перестает работать почта Яндекс на клиенте, ругается login invalid credentials or imap is disabled - убираю микрот и все норм, как будто что то блокирует. Соединение с интернет через пппое.

Помогите советом.

Настройки микротика? Может imaps заблокирован? Порт 993

Помогите советом.

Дай экспорт firewall

И ната тогда уж. /ip fi ex

сейчас стоит crs125-24-1s но сеть разрослась, так что хочется вланы. клиентов в сети 300-400 (телефоны, компы и прочее) подумал о преобретении CCR1016-ххх, но так как в городе их нет чтобы просто купить в случае если будет проблема (гроза какая нибудь), можно ли какое то резервирование сделать...

Если не ошибаюсь , можно 2 роутера сделать , один мастер и другой слейв , и для вашей один вертуалтный шлюз , отпал мастер микрот заработал слейв. Как то так

Если не ошибаюсь , можно 2 роутера сделать , один мастер и другой слейв , и для вашей один вертуалтный шлюз , отпал мастер микрот заработал слейв. Как то так

это и есть VRRP?

Ага

это и есть VRRP?

Да

Только аплинк надо тоже резервировать.

и коммутатор ядра сети )

Только аплинк надо тоже резервировать.

Ну это с провайдером договориться

Да

спасибо

Только аплинк надо тоже резервировать.

ну это второй момент...

Займетесь резервированием - увидите еще и "третий" и "четвёртый" и еще много.

Я думаю чтоб грозы не было оптику от ядра провайдера и все без проблем

"от ядра" провайдеры обычно не дают. вы для них "access"

Ну это с провайдером договориться

чтобы дали еще один шланг от своей активки? ) От оторой уже один дали? )

"от ядра" провайдеры обычно не дают. вы для них "access"

Ну это вы как договоритесь , если вы хоме .... А если вы ентерпрайс клиент - то вам от ядра в ваше оборудование, но учесть цена за 100 мб хоме - 5$ а за ентерпрайс гарантию будет 100$ за месяц :)

Если в датацентре провайдера - то нормально.

Если далеко - то надо линию строить. Это дорого.

Ну это вы как договоритесь , если вы хоме .... А если вы ентерпрайс клиент - то вам от ядра в ваше оборудование, но учесть цена за 100 мб хоме - 5$ а за ентерпрайс гарантию будет 100$ за месяц :)

Вы путаете гарантированную пропускную способность и схему подключения. Скорость могут гарантировать и на access. Что и делают за деньги.

Вы путаете гарантированную пропускную способность и схему подключения. Скорость могут гарантировать и на access. Что и делают за деньги.

Я не про скорость а про корпоративное включение , и гарантию от ядра, аксес провайдеры гарантию дают но у них 2-5 узлов , то свет пропал то гроза....

В ядро сети пускать сторонних пользователей, пусть даже "Ынтырпрайз" - отвага и слабоумие. Это дать шанс любому корпоративному рукожопу положить всю сеть провайдера.

В ядро сети пускать сторонних пользователей, пусть даже "Ынтырпрайз" - отвага и слабоумие. Это дать шанс любому корпоративному рукожопу положить всю сеть провайдера.

Ну вот , весь мир живёт а у нас все ложат :)

Я не про скорость а про корпоративное включение , и гарантию от ядра, аксес провайдеры гарантию дают но у них 2-5 узлов , то свет пропал то гроза....

Строится отдельная линия до опорного, защищенного узла. Но не до ядра. Но часто постройка отдельной физической линии технически невозможна.

На площадку заказчика дешевле получить 2-3 провайдера из разных узлов имея AS + BGP

В ядро сети пускать сторонних пользователей, пусть даже "Ынтырпрайз" - отвага и слабоумие. Это дать шанс любому корпоративному рукожопу положить всю сеть провайдера.

да ну почему же. Запер его там в своем влане, все повыключал, фильтрацию по маку включил - пусть хоть зарукожопят

но меня бы жаба задушила - тратить 10G порт