да, пакеты тикают

Сделать то что надо? Прокинуть порт на внутренний ресурс?

Сделать то что надо? Прокинуть порт на внутренний ресурс?

да

Да, 1.100 - сервер 1с

В фаерволле сделать чейн-инпут-указать интерфейс интернета-экшн-акцепт

В вики про ипсек всего одна страница. И в ней нету слов route based либо route-based

В нат: ин интерфейс-интерфейс инета-порт-экшн—дснаст-адрес сервера

Вообще бы, проверить на другом сервере

Да, 1.100 - сервер 1с

Вечером скину вам пример пробросила порта

В нат: ин интерфейс-интерфейс инета-порт-экшн—дснаст-адрес сервера

Да, 1.100 - сервер 1с

Попробуйте to-address 192.168.1.100 to-port 80 Чот мне кажется, что там на стандартном порту веб-сервер

Попробуйте to-address 192.168.1.100 to-port 80 Чот мне кажется, что там на стандартном порту веб-сервер

точно, сейчас попробую

да

сделал 80 порт - открыдся иис

Это то, что нужно?

/ip firewall filter add action=accept chain=input dst-port=180 in-interface="BIS optika" protocol=tcp /ip firewall nat add action=dst-nat chain=dstnat dst-port=180 in-interface="BIS optika" protocol=tcp to-addresses=192.168.140.254 как-то так

сделал 80 порт - открыдся иис

а что там вообще должно быть? случаем, не rdp-web?

эт да)) я такие вещи телнетом проверяю))

Вы же говорили, что там написано, что нельзя?

А маршруты да, на удалённую железку не инжектируются, факт

Тем, что на интерфейс вешается криптомап. Собственно, в микротике есть механизмы такого поведения - ну за исключением маршрутов на другую сторону.

Но для передачи контрол плейна есть куча механизмов

Я не могу на машину зайти, к сожалению...

Подключиться с машины, которая в той же локалке

Ничто не мешает в полиси написать адреса транзита и конечного узла например.

Ну вот такого нету, да. Но реальный кейз такой вообще существует? У микротика есть eoip over ipsec например.

Он уже не ответит. Ридонли на веки веков злой Панда назначил

За оскорбление чувств верующих микротоводов

Жаль. Я чот просто кейз не могу придумать, когда прям вот надо так, и без натов.

вот скрин консоли с моего пк

телнечусь по белому ипшнику на 180 порт - нет соединения, на 80 - есть. оба одинаково проброшены

Это проблема на стороне сервера, что он 180 не слушает, получается?

Это проблема на стороне сервера, что он 180 не слушает, получается?

Да

Стоп

У вас же сейчас проброс 180 в 80?

Или что вы сделали вообще? Я ж просил только в экшне дст поменять - но явно не сказал, так что вы могли не так понять.

Как сейчас проброс настроен?

Сейчас 2 правила одинаковых на 80 и 180

Покажите их

Вы же можете с порта 180 пробросить трафик на порт 80. Непонятно, зачем два правила

Но похоже да, сервер на порту 80

Но можно сделать так, чтоб снаружи стучаться на порт 180 и попадать на сервер на порт 80

Сейчас 2 правила одинаковых на 80 и 180

Можно одним: порт - 1-65535 🙄

Это вопрос не ко мне)

И будет DMZ

Это вопрос не ко мне)

Ну это риторический вопрос. Он ко всем относится 😏

Согласен) спасибо что разделили со мной эту проблему

Я бы вообще остерёгся 80ый порт пробрасывать для работы 1с. Ибо похакают

А кто будет виноват? Естессн сисадмин, 1с-ника не подтянут.

Я бы вообще остерёгся 80ый порт пробрасывать для работы 1с. Ибо похакают

У 1с есть впн сервис. Лучше через него юзать, 1с fresh

Фреш это облако, есть 1слинк

Фреш это облако, есть 1слинк

Точно, перепутал. Давали на пробу, но я отказался

Он уже не ответит. Ридонли на веки веков злой Панда назначил

Жаль, очень жаль... я очень ждал сегодня от него хоть одного пруфа на его высказывания (хотя бы на тему что в микроте дырявый ipsec)

Жаль, очень жаль... я очень ждал сегодня от него хоть одного пруфа на его высказывания (хотя бы на тему что в микроте дырявый ipsec)

Можете в личке пообщаться

Можете в личке пообщаться

о, спасибо PS затупил, не додумался до простейшего

А никто не сталкивался с подвисанием ipsec? Все настроено "по книжке", всё коннектится, обе сети прозрачны, всё летает. Но иногда сети становятся недоступны, хотя впн поднят и счётчики тикают. Потом связь сама по себе возобновляется

А никто не сталкивался с подвисанием ipsec? Все настроено "по книжке", всё коннектится, обе сети прозрачны, всё летает. Но иногда сети становятся недоступны, хотя впн поднят и счётчики тикают. Потом связь сама по себе возобновляется

Lifetime, lifebytes и dpd у первой фазы проверьте на обоих концах. А так же время на устройствах

Lifetime, lifebytes и dpd у первой фазы проверьте на обоих концах. А так же время на устройствах

А ипсек синхронизируется по времени? Проверю

А ипсек синхронизируется по времени? Проверю

Криптография от времени часто зависит. Ловил эффекты от этого.

Забавно то, что в логе нет ошибок, есть соединение и какие-то пакеты бегают

Я бы вообще остерёгся 80ый порт пробрасывать для работы 1с. Ибо похакают

Это объяснить 1с-кам нереально , вот только 80 , так как тонкий клиент с мобильного работает только по 80му..... Это анриал бороться с 1си

Криптография от времени часто зависит. Ловил эффекты от этого.

Если так , то как тогда делать конекты с Тюмени в Молдову , или Германия Тюмень , США - Молдова ! ??? У них у всех разное время то :( ! ?

Если так , то как тогда делать конекты с Тюмени в Молдову , или Германия Тюмень , США - Молдова ! ??? У них у всех разное время то :( ! ?

Ну вот например пишут "If you are only setting your time manually, then the clocks throughout the system will not be synchronized, and due to drift will create some odd behavoirs, primarily when checking command output, and even potentially having VPN's flapping unnecessarily due to SA expiration."

Если так , то как тогда делать конекты с Тюмени в Молдову , или Германия Тюмень , США - Молдова ! ??? У них у всех разное время то :( ! ?

Часовые пояса нужны только людям. Железки живут другим временем. 😉 но важно что бы оно было синхронизировано.

куплю P1

Часовые пояса нужны только людям. Железки живут другим временем. 😉 но важно что бы оно было синхронизировано.

Хм, тогда получается центральгая железка а Украине , и остальные по миру синхроняться с ней а не поместному , и для локальных железок подымать отдельный нтп сервер локальный так ?

Хм, тогда получается центральгая железка а Украине , и остальные по миру синхроняться с ней а не поместному , и для локальных железок подымать отдельный нтп сервер локальный так ?

Да пусть где хотят, часовой пояс только выставляйте.

Это вообще много где может выстрелить, так что лучше время везде синхронизировать и пояса устанавливать.

Хорошо , а что говорят офф микрот ???

Хм, тогда получается центральгая железка а Украине , и остальные по миру синхроняться с ней а не поместному , и для локальных железок подымать отдельный нтп сервер локальный так ?

Не. Сервера синхронизации могут быть абсолютно разные. Главное что бы все сервера имели точное время.

Хорошо , а что говорят офф микрот ???

Warning: Ipsec is very sensitive to time changes. If both ends of the IpSec tunnel are not synchronizing time equally(for example, different NTP servers not updating time with the same timestamp), tunnels will break and will have to be established again.

Не. Сервера синхронизации могут быть абсолютно разные. Главное что бы все сервера имели точное время.

Ну у нас не только сервера у нас есть pxe загрузки бездисковых станций с микрота

Warning: Ipsec is very sensitive to time changes. If both ends of the IpSec tunnel are not synchronizing time equally(for example, different NTP servers not updating time with the same timestamp), tunnels will break and will have to be established again.

Хм, тогда настрою везде время одинаковые и пояс , так как интересно такого не замечал ...

Ну у нас не только сервера у нас есть pxe загрузки бездисковых станций с микрота

"С" микрота?

"С" микрота?

Да , разворачиваться образ , и прописан конфигурацию на rdp конект, tftp поднят на микроте и плюс образ на нем тоже лежит

Хм, тогда настрою везде время одинаковые и пояс , так как интересно такого не замечал ...

Это как вам удобно.

Это как вам удобно.

Ну вы напугали что все того ....

Если будете синхронизироваться с нормальных ntp серверов с выставленными часовыми поясами в соответсвии с местоположением тоже будет все отлично.

Если будете синхронизироваться с нормальных ntp серверов с выставленными часовыми поясами в соответсвии с местоположением тоже будет все отлично.

Счас так сделано :) но вы в описании порекомендовали везде одинаковые время и пояс !