@mikrotikclub - страница 835

Andrey

Не готов предоставить доказательное опровержение, но стало интересно.

Moneron 🇷🇺

Андрюх, оно у меня дома работает, так что не просто из вакуума ))

Moneron 🇷🇺

Расскажите пожалуйста ☺️

Извините, очень занят сейчас. Может, позже (не сегодня)

Andrey

Пару лет назад делал радиус для впа2ентерпрайз, завёл радиус отдельно, т.к. была ситуация как у GopNick и нарыл на форуме микротов ответ разраба, что не можно так

Moneron 🇷🇺

Тут вроде для аутентификации на роутере спрашивают? Или я невнимательно прочитал?

Moneron 🇷🇺

Нет, внимательно. Аутентификация на роутере через юзерман работает

sbera

Тут вроде для аутентификации на роутере спрашивают? Или я невнимательно прочитал?

Александр, все верно. Подскажите, когда к вам можно обратиться с этим вопросом?

Moneron 🇷🇺

Напомните послезавтра через @ здесь в чате, ответом на ваш первый вопрос.

Andrey

Понял отличие. Был неправ. Спасибо! :)

Moneron 🇷🇺

Может, до этого времени уже и сами разберётесь. Точно помню, что ничего сложного там не было.

sbera

Может, до этого времени уже и сами разберётесь. Точно помню, что ничего сложного там не было.

Да уж неделю бьюсь. Понять не могу в чем беда. Настроено прямо по статье из Вики.

sbera

Напомните послезавтра через @ здесь в чате, ответом на ваш первый вопрос.

Спасибо! В понедельник напомню о себе.

Moneron 🇷🇺

Вечером только, днём у меня тренинг

sbera

Хорошо! Еще раз спасибо!

Evgeny

Товарищи, тут вот в очередной раз меня спросили, нужно ли дропать трафик на WAN-порту, на котором нет IP-адресации, а только ppoe поднимается. Я обычно говорю, что не обязательно, тестил на своих роутерах даже, счетчики в файерволле пустые даже после продолжительного времени. Ведь поидее если адресации на порту нет, то и никакой пакет не прилетит. Или все же что-то может? Какой-то служебный трафик? Хотелось бы для себя тоже однозначно устаканить вопрос.

lOoOl

Товарищи скажите не обманывают ли меня глаза что действительно можно кинуть 2Гб\с на 1500 метров https://mikrotik.com/product/wireless_wire_dish

Sergey

Товарищи скажите не обманывают ли меня глаза что действительно можно кинуть 2Гб\с на 1500 метров https://mikrotik.com/product/wireless_wire_dish

там не опечатка

lOoOl

а работал кто с таким железом?

lOoOl

Ребята задача у меня такова пустить поток от 32 камер ип поток видео равен 400мб\с на растояние 1000 м

lOoOl

вот то что выше кинул подойдет под данную задачу?

Сергей

Могу ошибаться, но для таких игрушек возможно понадобиться разрешение

Moneron 🇷🇺

@transceiver точно знает

Moneron 🇷🇺

@dlOoOlb и @Zzengis заблокированы за мат в чате.

Oleg

@dlOoOlb и @Zzengis заблокированы за мат в чате.

Yevhen

Тогда не подскажу , в Украине есть кто сильно вник в ремонт микротиков и ubnt

asp24.com.ua не реклама. но ремонтируют

Roman

Товарищи скажите не обманывают ли меня глаза что действительно можно кинуть 2Гб\с на 1500 метров https://mikrotik.com/product/wireless_wire_dish

Видео только медь или оптика, если радио то канал ляжет :(

Vladimir

Товарищи, тут вот в очередной раз меня спросили, нужно ли дропать трафик на WAN-порту, на котором нет IP-адресации, а только ppoe поднимается. Я обычно говорю, что не обязательно, тестил на своих роутерах даже, счетчики в файерволле пустые даже после продолжительного времени. Ведь поидее если адресации на порту нет, то и никакой пакет не прилетит. Или все же что-то может? Какой-то служебный трафик? Хотелось бы для себя тоже однозначно устаканить вопрос.

Если нет опасения, что случайно dhcp клиент будет включён на интерфейсе - то, наверное, и незачем. А хотя - винбокс вот умеет же без ip работать. Так что...

Evgeny

Если нет опасения, что случайно dhcp клиент будет включён на интерфейсе - то, наверное, и незачем. А хотя - винбокс вот умеет же без ip работать. Так что...

Так вот в этом и вопрос же. Winbox работает по L2, т.е. по маку. А файерволл же поидее L3+, т.е. он работает с пакетами. А если нет адреса на интерфейсе, то какие пакеты может микрот принять?

Vladimir

Так вот в этом и вопрос же. Winbox работает по L2, т.е. по маку. А файерволл же поидее L3+, т.е. он работает с пакетами. А если нет адреса на интерфейсе, то какие пакеты может микрот принять?

Возможно, l2 фильтровать стоит. А так, наверное, если нет опасения, что случайно dhcp клиент не включится - и незачем

Evgeny

Так вот «наверное» :) а хотелось бы от более продвинутых коллег услышать мнение. М.б. какие-то подводные камни есть

Vladimir

Так вот «наверное» :) а хотелось бы от более продвинутых коллег услышать мнение. М.б. какие-то подводные камни есть

Нету подводных камней. Если на интерфейсе нету ip - то опасностей, связанных с ip, нету. А от опасностей, не связанных с этим протоколом, вы не защититесь.

Evgeny

Я по логике так же рассуждаю)

Moneron 🇷🇺

Интересно, надо будет проверить. Заслать на интерфейс без ip-адреса ip-пакет трафик-генератором

Moneron 🇷🇺

Не исключаю, что без RP-Filter пакет будет обработан. Но это неточно.

Damir

Всем привет. Ребята ткните носом в магуал или вики по настройки wifi, чет видимо дома расплодилось кол-во точек и скорость просто ни какая. Основные настройки потыкал не помогает!

Roman

Дошел до настройки капсМена, все выполнил что выше рекомендовали в чате, вот конфиг : https://pastebin.com/wvFHvxwu , прошу указать еще ошибки, чтоб все летало , спасибо

Вот я настраивал по подсказкам, может вам поможет

Damir

А мне обязательно капсман настраивать если у меня просто один роутер?

😷Драничек

Разумеется, нет.

Moneron 🇷🇺

Товарищи, тут вот в очередной раз меня спросили, нужно ли дропать трафик на WAN-порту, на котором нет IP-адресации, а только ppoe поднимается. Я обычно говорю, что не обязательно, тестил на своих роутерах даже, счетчики в файерволле пустые даже после продолжительного времени. Ведь поидее если адресации на порту нет, то и никакой пакет не прилетит. Или все же что-то может? Какой-то служебный трафик? Хотелось бы для себя тоже однозначно устаканить вопрос.

Пока летел, проверил. МТ спокойно форвардит пакеты, полученные на порт без адреса. Поэтому если на порту не ip – лучше сразу в raw-прероуте всё убить на этом интерфейсе.

Evgeny

Пока летел, проверил. МТ спокойно форвардит пакеты, полученные на порт без адреса. Поэтому если на порту не ip – лучше сразу в raw-прероуте всё убить на этом интерфейсе.

Ого! Спасибо большое за рзъяснение :) Я всегда отвечал на этот вопрос "без разницы, адреса то нет", но сам интерфейс добавлял в лист WAN и рубил по этому листу все. Иногда лучше перебдеть, как говорится.

Nikolai

Пока летел, проверил. МТ спокойно форвардит пакеты, полученные на порт без адреса. Поэтому если на порту не ip – лучше сразу в raw-прероуте всё убить на этом интерфейсе.

А ответные пакеты он должен отправлять, только если есть явный маршрут через этот безадресный интерфейс. При отсутствии IP, маршрут придется создавать руками. Иначе, ответные пакеты должны уйти в default route

Nikolai

Товарищи, тут вот в очередной раз меня спросили, нужно ли дропать трафик на WAN-порту, на котором нет IP-адресации, а только ppoe поднимается. Я обычно говорю, что не обязательно, тестил на своих роутерах даже, счетчики в файерволле пустые даже после продолжительного времени. Ведь поидее если адресации на порту нет, то и никакой пакет не прилетит. Или все же что-то может? Какой-то служебный трафик? Хотелось бы для себя тоже однозначно устаканить вопрос.

У меня был параноический вариант: 1) ethernet-порт для PPPoE встраивается в отдельный бридж. Например "bridge-wan1" 2) на этом бридже заводится фильтр, который пропускает только mac-протоколы "PPPoE Discovery" и "PPPoE Session". Остальное дропается на уровне бриджевого фильтра. В итоге, из недоверенной сети все IP, IPv6, ARP, IPX и прочие идут лесом.

Evgeny

У меня был параноический вариант: 1) ethernet-порт для PPPoE встраивается в отдельный бридж. Например "bridge-wan1" 2) на этом бридже заводится фильтр, который пропускает только mac-протоколы "PPPoE Discovery" и "PPPoE Session". Остальное дропается на уровне бриджевого фильтра. В итоге, из недоверенной сети все IP, IPv6, ARP, IPX и прочие идут лесом.

Воу-воу. Это уже чтобы совсем обезопаситься :) Но прикольно, спасибо. Надо будет попробовать.

Nikolai

Воу-воу. Это уже чтобы совсем обезопаситься :) Но прикольно, спасибо. Надо будет попробовать.

Ну, да. Я старый параноик. 😊

Evgeny

Кстати, у меня вот есть еще 1 наркоманский вопрос, который тоже с легкой паранойей. Есть объекты, где, например, только VPN, и трафик ходит по дефолтным маршрутам только в VPN-ы. И соответственно локальные сетки не NAT-ятся во внешку. Но бывают ситуации, когда VPN падают (например, обслуживание роутера на том конце). Соответсвенно локальный трафик по дефолтному маршруту может попасть в сеть провайдера, причем с соурс адресами локалки. И нужно прибить этот трафик. Вот сижу думаю, файерволлом его прибивать или лучше роут дефолтный с типом blackhole или unreachable. :)

Nikolai

Мне кажется, лучше роут, т.к. он стоит раньше в цепочке обработки пакетов. Соответственно чуть меньше ресурсов потратите, не передавая убиваемый пакет фаерволу в форвард. Да и таблица фаервола станет чуть меньше на одно правило.

Artem

Всем привет Слушайте, если два микрота соединены через eoip который в бридже с ланом, у каждого свой dhcp. Через фильтр бриджа дхцп блокируются чтоб не гасили друг друга. Как только на интерфейсе bridge я ставлю arp read-only. С удаленного микрота пропадает доступ. Нужно руками прописать арпы на удаленном микротике?

Artem

Если да, тогда мак необходимо прописывать интерфейса bridge и всех девайсов которые подключены к роутеру?

Moneron 🇷🇺

У арпа нет режима read-only

Artem

Reply-only

Moneron 🇷🇺

Какие два действия совершает арп для выполнения своей задачи?