Вот только надо ценник Фортигейта и аналогичного по мощам Микротика сравнить :) + стоимость подписок Раз в 5-10 будет И нет, Микротик не умеет AppControl с сигнатурами. Так что если только вычленять трафик матчерами типа layer7, но это тоже по процессору затратно.

Вопрос дебила. 34 регион меняет временную зону 28 числа. Я правильно понимаю что настроенные на мск часовой пояс микротики продолжат спокойно работать. Просто опережая часами локальное время?

Ipsec как делал отсчёт по utc зоне, так и продолжит

Да. Все правильно

Вот только надо ценник Фортигейта и аналогичного по мощам Микротика сравнить :) + стоимость подписок Раз в 5-10 будет И нет, Микротик не умеет AppControl с сигнатурами. Так что если только вычленять трафик матчерами типа layer7, но это тоже по процессору затратно.

а микротик умеет анализировать трафик?

можно сравнить цену микротика и друшлака

Анализировать как? Как это делают Фортигейт, Чекпоинт и т.п? Нет очевидно. Тут можно только по пропускной способности файерволла, vpn сравнивать

Вопрос дебила. 34 регион меняет временную зону 28 числа. Я правильно понимаю что настроенные на мск часовой пояс микротики продолжат спокойно работать. Просто опережая часами локальное время?

отставая же. Локальное - мск+1

Ребят, просто routerboard 750 скока выжмет по l2tp/ipsec?

Чуть больше, чем нисколько.

И RB450G интересует

Примерно так же

Привет всем. Может кто нибудь подскажет как сбросить коннекшены с командной строки указав определенный dst address? Сброс всех коннекшенов /ip firewall connection remove [find ]

/ip firewall connection remove [find dst-address~"8.8.8.8"]

/ip firewall connection remove [find dst-address~"8.8.8.8"]

Спасибо

У кого два провайдера и астериск, пишем на данном примере сброс коннекшена до сип серверов.

У кого два провайдера и астериск, пишем на данном примере сброс коннекшена до сип серверов.

Бывает, что залипают коннекшены и на одном провайдере. Есть идеи как отлавливать такие ситуации?

Бывает, что залипают коннекшены и на одном провайдере. Есть идеи как отлавливать такие ситуации?

Уменьшить время перерегистрации, может в нате где глюк

Уменьшить время перерегистрации, может в нате где глюк

60 сек. Даже перезагрузка сип устройства не помогает. Только сброс коннккшена вручную

Замечено уже давно. Прошивки разные, модели миуротов тоже

У товарища та-же проблема. Только сброс.

У кого два провайдера и астериск, пишем на данном примере сброс коннекшена до сип серверов.

blackhole маршрут не помогает?

blackhole маршрут не помогает?

не помогает

Всем привет. Возвращаюсь к старому вопросу. есть 2 тика, между ними настроен l2tp, и все завязано в OSPF. Проблема Не могу попасть на 80 порт, просто загрузка страницы висит. В локальной сети все норм. Если включаю статические маршруты через тот же l2tp, то все нормально. Загвоздка где то в OSPF получается?

на прот 80 чего?

есть ли необходимоть OSPF на 2-х тиках?

А как связан протокол динамической маршрутизации и доступность сервиса по какому то порту?

А как связан протокол динамической маршрутизации и доступность сервиса по какому то порту?

Я подозреваю что не прилетает маршрут или есть некорректный с меньшим дистансом

есть ли необходимоть OSPF на 2-х тиках?

обычный веб сервис. это я к примеру привел. Так в ospf много чего привязано.

У оспф дистанс 110, т.е. некорректный - это не проблема оспф, а пользователя. Теперь про маршрут. Он для 80 порта отдельно прилетает?

Маршрут до машины с 80 портом трейсили? Пакеты правильно идут?

Маршрут до машины с 80 портом трейсили? Пакеты правильно идут?

нет никаких отдельных маршрутов. трассировку не делал по порту.

Заметил если включить статический маршрут на одном тике по тому же l2tp то все работать начинает.

нет никаких отдельных маршрутов. трассировку не делал по порту.

Маршрутизация не знает никаких портов. Трейсинг сделайте и посмотрите пакеты идут правильно? Потом пройдитесь по узлам и проверьте файрвол

Маршрутизация не знает никаких портов. Трейсинг сделайте и посмотрите пакеты идут правильно? Потом пройдитесь по узлам и проверьте файрвол

трейсинг по порту через среду винбокса можно сделать?

Фаервол не мешает. Просто по мимо 80 порта, перестали улетать сканы на почту, я так понимаю 25 порт тоже не пропускает

Вы объединяете теплое и мягкое. В маршрутизации нет портов. Есть фактически только некстхоп. И для принятия решения о выборе этого некстхопа порт безразличен. Вам надо понять фактический маршрут и отследить как он работает. Может быть у Вас косты стоят так, что пакеты уходят через Гугл?

Оспф вообще никак не решает «пускать или нет». Он отвечает только за то на какой следующий шлюз отправить этот пакет. Все

Все пускалки-непускалки это не к оспф.

Единственно, что дизайн сети в оспф приводит к закольцовке, блекхолам и прочим радостями некорректного дизайна. А для этого как раз надо сделать трейс

У кого два провайдера и астериск, пишем на данном примере сброс коннекшена до сип серверов.

Не совсем понял. Речь о переключении между двумя провайдерами?

Не тому ответили

Единственно, что дизайн сети в оспф приводит к закольцовке, блекхолам и прочим радостями некорректного дизайна. А для этого как раз надо сделать трейс

В общем вяснилось что даже по статическому маршруту порт 80 по L2TP недоступен.

Что и требовалось доказать. Оспф молодец, но вопросы ограничения доступа не решает...

Всем доброго вемени суток. Кто-нибудь делал очереди для двух провайдеров? Как вышли из положения?

Маркировка трафика по интерфейсу?

Не совсем понял. Речь о переключении между двумя провайдерами?

Да

Что и требовалось доказать. Оспф молодец, но вопросы ограничения доступа не решает...

Что можно поковырять в l2tp?

Маркировка трафика по интерфейсу?

Да

А как помечали? Одна метка на входящий трафик, например sfp1 - ether2, вторая на исходящий наоборот, и в queue указываем две метки?

Да

Так, вроде, есть решение..

Да

В личку написал

Что можно поковырять в l2tp?

я бы разделил вашу проблему. она делится на 2 составляющие. 1 - доступность того самого 80 порта. 2 - прохождение пакетов по всему маршруту. л2тп как таковой скорее всего не при чем. он либо работает, либо нет.

я бы разделил вашу проблему. она делится на 2 составляющие. 1 - доступность того самого 80 порта. 2 - прохождение пакетов по всему маршруту. л2тп как таковой скорее всего не при чем. он либо работает, либо нет.

неподскажите как 1ую составляющую выполнить?

сам вебсервер работает? доступ к нему из своей локальной сети есть?

на сервере там где установлен вебсервер шлюз по умолчанию прописан? если прописан то куда? нет ли там фаервола который дропает пакеты не из своей сети?

а дальше log правило в микротик c dst-addr=вебсервер, порт=80 и смотреть логи, уходят пакеты в нужный интерфейс

чаин=forrward

tcpdump на сервере тоже не помешает посмотреть

Добрый день. Оператор выдает сеть /29 для филиала. Настроил на микротике интерфейс, через него раздаю интернет. Как выдавать оставшиеся IP адреса для серверов подключенных напрямую в микротик? Как это сделать с коммутатором понимаю, а как правильно на маршрутизаторе не пойму.

Добрый день. Оператор выдает сеть /29 для филиала. Настроил на микротике интерфейс, через него раздаю интернет. Как выдавать оставшиеся IP адреса для серверов подключенных напрямую в микротик? Как это сделать с коммутатором понимаю, а как правильно на маршрутизаторе не пойму.

NAT

Добрый день. Оператор выдает сеть /29 для филиала. Настроил на микротике интерфейс, через него раздаю интернет. Как выдавать оставшиеся IP адреса для серверов подключенных напрямую в микротик? Как это сделать с коммутатором понимаю, а как правильно на маршрутизаторе не пойму.

Bridge

Все привет! На wiki в разделе Sub-menu: /ip ipsec policy есть параметр tunnel. Не могу его найти. Как изменить значение?

Все привет! На wiki в разделе Sub-menu: /ip ipsec policy есть параметр tunnel. Не могу его найти. Как изменить значение?

В policy есть галочка tunnel

Добрый день. Есть CRS125 c настроенными VLAN. Хочу обновить прошивку до последней 6.43.4, сейчас 6.40.9. Нужно ли будет что-то перенастраивать или обновление само переконвертирует настройки? Больше интересует вот что, доступ к устройствам есть только из менедж.влан, он повешен на мастер порт, при обновлении он его повесит на бридж или нет?

как вариант: соберите похожую конфигурацию в виртуалке, и обновитесь, проверите что получиться, или перед обновлением сделайте бэкдор на одном порту, чтобы гарантированно попасть в устройство

Bridge

как его правильно настроить? От оператора приходит VLAN xxxx. Создан интрейфес, к нему привязан адрес, через который пользователи смотрят в интернет.

как его правильно настроить? От оператора приходит VLAN xxxx. Создан интрейфес, к нему привязан адрес, через который пользователи смотрят в интернет.

В зависимости от задачи. Если нужно просто раздать публичный адрес внутрь локалки, то в бридж добавляем vlan и интерфейс, смотрящий в lan

У меня после этого перестает работать NAT

У меня после этого перестает работать NAT

Зачем NAT, если отдаём публичный адрес?

Я как написал про NAT увидел там ошибку и исправил. Заработало.

Зачем NAT, если отдаём публичный адрес?

Есть сервер и локальная сеть с пользователями. У сервера должен быть публичный адрес. При установки бриджа у меня переставал NAT работать - сейчас поправил.

И достаточно ли пометить только родительский трафик от провайдера, а остальное разруливать Таргетами?

Всем доброго вемени суток. Кто-нибудь делал очереди для двух провайдеров? Как вышли из положения?

Маркировка трафика по интерфейсу?

Да

А как помечали? Одна метка на входящий трафик, например sfp1 - ether2, вторая на исходящий наоборот, и в queue указываем две метки?

Выскажу свою догадку. Маркируем трафик от провайдера, например по интерфейсам, в две стороны, входящий-исходящий: add action=mark-connection chain=forward comment=ALL-IN-RTK in-interface=sfp1 new-connection-mark=ALL-IN-RTK-Conn out-interface=ether2 passthrough=yes add action=mark-packet chain=forward connection-mark=ALL-IN-RTK-Conn dst-address=******** new-packet-mark=ALL-IN-RTK-P passthrough=yes add action=mark-connection chain=forward comment=ALL-OUT-RTK in-interface-list=LAN new-connection-mark=ALL-OUT-RTK-Conn out-interface=sfp1 passthrough=yes add action=mark-packet chain=forward connection-mark=ALL-OUT-RTK-Conn new-packet-mark=ALL-OUT-RTK-P passthrough=yes src-address=********** Есть, готово. Маркируем соединение и пакеты от провайдера. Аналогично для второго провайдера. После этого в Simple Queue заводим очереди. Родительские С ПОМЕЧЕННЫМ ТРАФИКОМ. И клиентские просто по taret: add max-limit=50M/50M name=ISP1-DON packet-marks=ALL-IN-DON,ALL-OUT-DON target=************** add max-limit=100M/100M name=ISP2-ROSTELEKOM packet-marks=ALL-IN-RTK-P,ALL-OUT-RTK-P target=*************************** add max-limit=15M/15M name=DON-DMZ parent=ISP1-DON queue=pcq-upload-default/pcq-download-default target=********** add max-limit=45M/45M name=DON-LAN parent=ISP1-DON queue=pcq-upload-default/pcq-download-default target=************ add max-limit=95M/95M name=RT-LAN parent=ISP2-ROSTELEKOM queue=pcq-upload-default/pcq-download-default target=********** add max-limit=15M/15M name=RT-DMZ parent=ISP2-ROSTELEKOM queue=pcq-upload-default/pcq-download-default target=*********** add max-limit=10M/10M name=RT-SHOPS-OVPN parent=ISP2-ROSTELEKOM queue=pcq-upload-default/pcq-download-default target=*************

хай всем

там DNS over TLS ещё не приехал ?

нет

У кого два провайдера и астериск, пишем на данном примере сброс коннекшена до сип серверов.

Предлагаю всем желающим подключиться к обсуждению. Есть вот такая статья: https://habr.com/post/319082/ Хочется чтобы компетентные в микротиках люди прочитали ее и озвучили их резюме. Особенно интересен вопрос работы SIP-клиентов при "переключении" между внешними каналми.