да

Вы две одинаковые политики никаким образом не заставите работать

Требуется вывести левый хост на внешний IP правого.

Я вам два решения дал. Вы ждёте третьего?

Я наверное что-то упустил.

В вашем случае самым простым способом будет маскарадинг трафика в гре-туннель на айпи убунты

Маскарад=подмена адреса источника на адрес выходного интерфейса

/ip fi nat add chain=srcnat proto=tcp dst-port=22 dst-address=!<local subnet> out-interface=gre action=masquerade

Вы две одинаковые политики никаким образом не заставите работать

как тогда правильно отказоустойчивость обеспечить? впринципе микротик первый поймет что маршрут упал, там рекурсивный роутинг

Ещё раз. У вас до удалённого сервера не маршрут, а политика айписека. И две одинаковые политики написать вам просто не даст система. Если удалённая сторона умеет транспортный айписек, будет чуть легче.

Привет. Кто подскажет как лучше автоматизировать: в точке подключений 2 провайдера, строится туннель ipsec до забугорного VPS. Туда заворачивается весь трафик. Трафик заправляется в туннель по роут-метке. Как автоматизировать, чтобы в случае траблов, туннель на втором провайдере поднимался? Я что-то не могу придумать кроме скриптования(

Какой туннель?

присаживайся, мы тут как раз это обмусоливаем)

да, умеет транспортный тоже

Переделывайте на транспортный. Либо ipip, либо gre, дальше с этим будет проще

Переделывайте на транспортный. Либо ipip, либо gre, дальше с этим будет проще

блин, вот что значит месяц не смотрел как сам же и настроил. я накрутил gre поверх IPSEC.

Два гре нужно. К каждому провайдеру. На МТ это тоже необходимо разрулить

так...мысль понятна

да, я уловил немного. только как во второй гре переключать, рекурсивными маршрутами тоже?

У гре есть такая штука, кипэлайв. Выставьте нужные значения на туннелях, всё будет переключаться само

Тут важно, чтобы с МТ у гре были локал адреса прописаны, и каждый отправлялся только через своего провайдера

в полиси у микротика нельзя днс имя удаленного узла прописать? strongswan умеет

Нет, у МТ нельзя, насколько знаю

впринципе если микротик в пассивный режим перевести, с той стороны пусть долбится по доменному имени пока не возьмет живой ip

в вики ничего про имена не пишут: sa-dst-address (ip/ipv6 address; Default: ::) SA destination IP/IPv6 address (remote peer).

ну и т.к. у дедика один ip, полиси тоже одна будет, надо только научить микротик убивать неотвечающие SA

как dpd работает?

хотя похоже вру, со стороны микротика тоже ведь надо конкретный ip указать

Надо попробовать, есть идея, как это можно подружить. Но уже не сегодня

а кратко?) сам попробую

Добрый , подскажите пожалуйста , динамическое деление скорости на всех активных юзеров в сети , тоесть есть скорость 50 мб, и чтоб например 5 активных юзеров и им поделил роутер скорость по 10 мб, стало 10 юзеров по 5 ть , и так далее на уменьшение и увеличение скорости

ppc

А пример есть ?

первые два десятка ссылок из гугла, "mikrotik ppc"

Спасибо, пошел читать

например вот: https://habr.com/post/244385/

Так мне не два канала нужно , а разделить скорость поровну всем юзеоам и динамическое деление

или вот: https://mum.mikrotik.com//presentations/RU16V/presentation_3301_1458634675.pdf к нему лучше сразу видео найти, по смой презентации не все понятно может быть

пардон, pcq

https://i.ytimg.com/vi/K06Dy3XCttY/maxresdefault.jpg

или вот: https://mum.mikrotik.com//presentations/RU16V/presentation_3301_1458634675.pdf к нему лучше сразу видео найти, по смой презентации не все понятно может быть

Да это нашел под 2 провайдера

https://i.ytimg.com/vi/K06Dy3XCttY/maxresdefault.jpg

Да вот это и надо , но много написано что жрет проц , есть ли какая то самая простая и нежрущпя проц конфигурация

а сколько юзеров и какая железка?

Rb3011 35 человек рабочая и фри зона - до 50 актив ых

он даже не заметит

Всем здрасти. Может кто поможет решить проблему, следующая схема. Тупая мыльница-микротик1-микротик2-комп. После обновления прошивки на микротиках с 6.40.5 на 6.42.7 появилась проблема, что на втором микротике root порт становится то один, то другой (на всех микротиках, все интерфейсы в бридже), соответственно происходят потери пакетов, раньше выставлялся master порт. Как сейчас отдать приоритет порту?

В новых прошивках нет мастер порта

порты в бридж, на бридж ip

Я знаю что нет мастер порта. Все порты в бридже, ip на бридже. Пакеты теряются.

Сверху первый, снизу второй.

Root path cost меняется

хм

ты сам себе широковещательный шторм делаешь, если еще и dhcp включен

на бридже admin mac уже предлагали прописать?

Есть мак на бридже

стоп

dhcp с обеих сторон включен?

У меня дхцп на домене

предлагаю сбросить в 0 и заново добавить интерфейсы в мост

и что-то пинг великоват, это в одной ЛАН пингуются хосты?

предлагаю сбросить в 0 и заново добавить интерфейсы в мост

На 5 разных микротиках пробовал. Остался вариант откатить на 6.40 и протестить.

и на одном и на другом, ну естественно адреса разные только

Проще всё сбросить и заново настроить, отключив вай-фай, создав бридж и засунув все порты в бридж. Как любит выражаться Александр… "профит")) А, на бридж управляющий адрес не забыть повесить

Проще всё сбросить и заново настроить, отключив вай-фай, создав бридж и засунув все порты в бридж. Как любит выражаться Александр… "профит")) А, на бридж управляющий адрес не забыть повесить

Ровно так и сделал.

Ровно так и сделал.

Нормально стало?

Нормально стало?

Нет

Вообще, я бы сброс без дефалтовой конфигурации сделал

Это наблюдается если микротик подключен через микротик

Вообще, я бы сброс без дефалтовой конфигурации сделал

Я всегда только так и делаю

Это наблюдается если микротик подключен через микротик

А на портах ошибки есть?

А на портах ошибки есть?

Нет.

Это прям оооооочень странно…

Вот и я второй день ищу причину. Вчера думал что up link? потом думал что конкретный микротик. Сегодня создал стенд

А порты если поменять, тоже самое?

А пингами <1470 есть потери?

здесь же поднят дхцп

зачем?

если тебе свитч нужен

там wifi второй сид

если тебе свитч нужен

Точно и фаервол выключи