Никогда не мойте руки, Шею, уши и лицо. Это глупое занятье Не приводит ни к чему. Вновь испачкаются руки, Шея, уши и лицо, Так зачем же тратить силы, Время попусту терять. Стричься тоже бесполезно, Никакого смысла нет. К старости сама собою Облысеет голова.

без клиентских маршрутов, даже если удастся трафик на микроте завернуть в нужную сеть, то ответ-то от хоста все равно полетит в дефалт

На дефолтных шлюзах писать роуты в нужные сети с микротиками в качестве шлюзов

На дефолтных шлюзах писать роуты в нужные сети с микротиками в качестве шлюзов

да если на шлюзах маршруты прописать, то проще друг на друга, зачем микротик вмешивать? пусть себе включает bridge и прикидывается l2-свитчом ;)

тогда микрот должен быть хотя бы шлюзом для 172.16.3.136 и иметь интерфейс в 192.168.1.0/24. И тогда уже маскарад

но учтите, что при таком раскладе инициировать соединение сможет только 172.16.3.136, но не клиенты 192.168.1.0/24

не думали просто на 172.16.3.136 повесить второй айпишник из 192.168.1.0?

это, если не секрет, что за оборудование такое?

неужели видеорегистратор?

ну так это не он к клиентам, а клиенты к нему все-таки должны ходить?

в общем, давайте представим, что у вас на 172.16.3.136 висит веб-сервер... На микрот вешаем адреса 172.16.3.254/24 и 192.168.1.254/24 на соответствующих портах. Потом делаем dst-nat в цепочке dstnat, и просто с клиентов ходим на 192.168.1.254, а попадаем на 172.16.3.136

как бы и все

https://wiki.mikrotik.com/wiki/Manual:IP/Firewall/NAT#Destination_NAT

тут даже в картинках

и никаких маршрутов при такой схеме: client(192.168.1.2) -> (192.168.1.254)[MT dst-nat](172.16.3.254)->(172.16.3.136)device руками писать нигде не надо

а, надо будет еще маскарад для ответов добавить, а то клиент удивится, если на запрос к узлу 192.168.1.254 ему начнет отвечать 172.16.3.136

Нарисуйте только тот кусок сети про который мы сейчас готовим, только с оборудованием и адресами

А то путаница какая-то получается. Но если я правильно понимаю задачу, вашим клиентам нужно с железки что-то забирать, допустим, картинки по ftp, то решение я описал выше

Но если у вас там не дай б-г sip АТС, то это будет боль

VLAN использовать и иметь уже раздельные виртуальные интерфейсы для разных кусков сети

Ну морально готовьтесь к одностороннему прохождению голоса, курению sip alg и прочим радостям жизни.

Сип +такие наты - это можно сказать отсутствие сипа, а точнее RTP

Нет. Если микрот не дефолт, то нет.

Советую кушать слона по кускам: во-первых, нечего в одном бродкаст-домене делать 100500 разным сетям, рубите все на вланы

Pptp поднимите, хоспаде

Да дайте им 3 аккаунта

И не придется их вообще по л2 вязать

Вам что именно подробнее? Что такое Virtual Private Network, или на какие кнопки в винбоксе нажимать?

Или почему впн не требует л2 связности, которую вы так упорно пытаетесь заставить выполнять функции л3?

Всем здравствуйте

Ну у вас там три клиента

Каждому дайте свою пару логин/пароль, да и все. И пусть к вам в сеть ходят через туннели

Есть кто нибудь из Перми и кто пользуется у микротика сервисом cloud с динамическим ip адресом? И какой у вас провайдер?

Приехали. Ну тогда рубите весь этот апокалипсец на вланы, а потом нат

Всем привет! Интересовался ли кто-нибудь правовой стороной вопроса о методе шифрования ipsec? AES-128. AES-256 и иже с ними. То есть собираемся делать siti-to-site vpn между офисами, защищённый с помощью ipsec. Все ли методы разрешено использовать?

Но вообще схема, мягко говоря, шизоидная

Всем привет! Интересовался ли кто-нибудь правовой стороной вопроса о методе шифрования ipsec? AES-128. AES-256 и иже с ними. То есть собираемся делать siti-to-site vpn между офисами, защищённый с помощью ipsec. Все ли методы разрешено использовать?

Насколько я знаю, без лицензии нельзя туннель шифрованный как услугу предоставлять. А так, для дома-для семьи, вроде бы можно

Насколько я знаю, без лицензии нельзя туннель шифрованный как услугу предоставлять. А так, для дома-для семьи, вроде бы можно

Вообще никак нельзя Кроме использования сертифицированной в том числе фстэк оборудования

Насколько я знаю, без лицензии нельзя туннель шифрованный как услугу предоставлять. А так, для дома-для семьи, вроде бы можно

В смысле услугу? Мы админы в компании и собираемся впн между офисами своими же делать

И при этом нужна лицензия. Но вроде не ругают особо.

В смысле услугу? Мы админы в компании и собираемся впн между офисами своими же делать

Лицензия на использование криптографии

В смысле услугу? Мы админы в компании и собираемся впн между офисами своими же делать

Да делайте спокойно, никто вам ничего не скажет если вы не провайдеры и не гос.структура

Да делайте спокойно, никто вам ничего не скажет если вы не провайдеры и не гос.структура

Это да

Лицензия на использование криптографии

Не, это только если по 152 ФЗ защищаться

Да делайте спокойно, никто вам ничего не скажет если вы не провайдеры и не гос.структура

Но теоретически по закону нужно использовать именно сертифицированное оборудование? К которому микротик не относится?? То есть теоретически использование ipsec в микротике в России вообще незаконно?😊

Но теоретически по закону нужно использовать именно сертифицированное оборудование? К которому микротик не относится?? То есть теоретически использование ipsec в микротике в России вообще незаконно?😊

Неверно. Сертифицированное нужно для передачи персональных данных. Да и то, если вы оператор оных.

Ну и для госов свои отдельные правила по шифрованному каналу

Ну ладно

А то так можно дойти до маразма: у моего сервера (ужас-ужас) нет лицензии и сертификата на использование SSH

Подскажите где купить ssh по ФСТЭК

Подскажите где купить ssh по ФСТЭК

Но смешно не смешно. Но если очень захотят то прижмут и за это 😄

Вот что незаконно про микротик, и за что реально гребут - так это врубать wifi мосты на 300Вт на 30-метровой высоте

Но смешно не смешно. Но если очень захотят то прижмут и за это 😄

Мы так-то в запрещенном шифрованном телеграме сидим. Предлагаю на следующий MUM позвать ФСБ и массово добровольно сдаться

Пошли на фиг

В соответствии с Федеральным законом “О лицензировании отдельных видов деятельности”, практически все виды деятельности в области криптографии подлежат лицензированию. Из-под лицензирования выведены: 1. техническое обслуживание шифровальных средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных средств, которое осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя; 2. деятельность с использованием: ... к) беспроводного оборудования, осуществляющего шифрование информации только в радиоканале с максимальной дальностью беспроводного действия без усиления и ретрансляции менее 400 м в соответствии с техническими условиями производителя (за исключением оборудования, используемого на критически важных объектах); л) шифровальных (криптографических) средств, используемых для защиты технологических каналов информационно-телекоммуникационных систем и сетей связи, не относящихся к критически важным объектам; ...

Вот наш вариант. Для большинства. Что бы использовать

Ну я так и сказал как в первом пункте написано. Для себя - используй

Продавать не смей

Так ты настраивай просто, для их личного пользования...консалтинг просто

Ну все все. Думаю тема понятна всем.

Может я что-то не допонял, но там в логе было указано "service: imap"... Так зачем вы пытаетесь мониторить 21-23??? Долбят то по IMAP, это 143/tcp

Добавил и на этот порт. Пока тишина.

Подскажите пожалуйста, disabled mangles и queues trees жрут процессор?

Ура! Мум в Ростов приходит! Это лучше протухшего красного деда 😊

Когда?

Подскажите пожалуйста, disabled mangles и queues trees жрут процессор?

Disabled не обрабатываются, не участвуют в обработке пакета/коннекта вообще. Гипотетически, 100500 правил могут подзагадить ОЗУ и увеличить время загрузки роутера

Но есть стойкое подозрение, что лимиты, наложенные на количество этих паттернов настолько малы, что влияние их даже по атомным часам не замерить

Когда?

22 марта, регистрация открыта

Я тут посмотрел вовнутрь роутерОС - по сути, там один бинарник ядра, загрузчик и на перезаписываемой области настройки типа .dat

Вся логика зафигачивается в бинарное ядро, именно поэтому доустановка пакета, включение чего-то ядро-ориеньированного требует рестарта. Сами конфиги сэйвятся в .dat, но всегда болтаются в ОЗУ

Теоретически, некое влияние на cpu возможно если правила ядро обрабатывает интерпретатором из ОЗУ, но скорее всего, пишется все это раздельно

Это не есть истина, но мои выводы после безуспешных попыток реверса роутерОС

22 марта, регистрация открыта

Попробуем контору свою развести на эту покатушку, спасибо. В конце марта ж у вас тепло уже? (У нас -10 22 марта вполне может случиться - Самара)

Алексей, спасибо!

Попробуем контору свою развести на эту покатушку, спасибо. В конце марта ж у вас тепло уже? (У нас -10 22 марта вполне может случиться - Самара)

По идее будет ~+10 и мокро

Алексей, спасибо!

Прошу учесть, что все вышеперечисленное - мои личные домыслы с точки зрения линух-админа. Не кодера, не реверсера.... Но опыты показали что все если уж не точно так, то крайне близко

Модули, выходит, не как в каноническом линухе modprobe advanced включаются, а по флагу компилятся в ядро при рестарте

И то, что требует вкл/выкл модуля целиком, но не его настойки, только после ребута. Типа bridge firewall ON/OFF

Ведь все в моно-ядре. Пакеты сами по себе, ну типа advanced, видимо, представляют из себя шифрованный чистый С код. Поэтому чтобы модуль включить/выключить надо перекомпилить ядро

Но прав я или нет, нам не скажет даже @moneron . Ибо или это закрытая тайна разрабов, или тренерам вшивают чип самоуничтожения при попытке раскрытия секрета Полишинеля

По идее будет ~+10 и мокро

Ну лучше чем наши -10 -- -2 Я в прошлом году 21 числа марта провалился под лёд на Волге, т.е. лед в основном на водохранилище ещё был, просто на промоину попал. И было -7 и солнце

Доброго времени суток! MikroTik RB3100, на 5й порт приходит тегом 3 вилана с ОЛТ по меди. Каждый, из привязанных к 5му порту виланов, добавлен портом в свой бридж, у каждого бриджа свой с IP из сети соответствующего вилана (например: vlan65_in добавлен как порт в бридж bridge65). Проблема в том, что трафик между ОЛТ и Микротиком не бегает, на ОЛТ на порту даже МАКов не видно - в чем пробка?