Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

Открыть новую тему     Написать ответ в эту тему

Germanus



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
 
Предыдущие части темы: часть 1, часть 2, часть 3, часть 4
Официальный сайт: https://mikrotik.com
 
Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS
Тема в варезнике
 
актуальные версии RouterOS:
Stable: 7.14.2 Подробнее... Testing: 7.15b8
Stable: 6.49.13 Long-term: 6.49.10

актуальная версия SwitchOS: 2.17
актуальная версия WinBox: 3.40 32/64-bit Подробнее...

 
Mikrotik — Плюсы и минусы Подробнее...
Видео-экскурсия по заводу Mikrotik Ltd


FAQ по особенностям и тонкостям MikroTik RouterOS  Перейти



Официальная документация:
  • Англоязычный ОФИЦИАЛЬНЫЙ мануал
  • Алфавитный указатель
  • Официальные статьи пользователей RouterOS
  • для версии 3 http://www.mikrotik.com/testdocs/ros/3.0/
  • для версии 2.9 http://www.mikrotik.com/docs/ros/2.9/
  • RouterOS Packet Flow: http://wiki.mikrotik.com/wiki/Packet_Flow (важно знать для понимания сути происходящего в файрволе и шейпере)
  • Совместимое оборудование
  • Описание изменений в новых версиях RouterOS(+rc)
  • RouterBOOT changelog (изменения в boot-версиях загрузчика RouterOS)
  • Система управления пользователями встроенная в RouterOS (RADIUS server)
  • l7-protos.rsc (примеры L7-filter)


    Официальные ресурсы:
    Форум
    Демо-сайт с веб-интерфейсом системы №1        Подробнее...
    Демо-сайт с веб-интерфейсом системы №2        Подробнее...
    MikroTik User Meeting(Конференции пользователей Mikrotik)        Подробнее...
    "Хардварные решения"
    MikroTik News
    MikroTik related video service
    DESIGNS.MIKROTIK.COM - сервис для брендирования продукции Mikrotik.
    Twitter Mikrotik
    MikroTik Training (Хочешь на тренинг? Получить сертификат?)
    Предыдущие версии RouterOS Подробнее...    История релизов  Подробнее...
    Mikrotik Wireless Link Calculator


    Неофициальная русскоязычная документация    Перейти
    Обсуждение ROS(форумы)    Перейти
    Обзоры продуктов RouterBOARD    Перейти


    Русскоязычные ресурсы интернет-магазинов и блоггеров по настройке и тонкостям Mikrotik:  
     


     

     

     
       


     

     
         
     
     
         
     
     
         
     
     
     



    Смежные ресурсы    Перейти
     
    VPN + OSPF в картинках.
    MikroTik Config Parser
    mikrotik.vetriks.ru

    // текущий бэкап шапки..

  • Всего записей: 4418 | Зарегистр. 08-06-2003 | Отправлено: 11:02 07-03-2019 | Исправлено: anton04, 12:30 28-03-2024
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Accessor
    Опыта настройи не имею, но если вы опасаетесь совсем выключать фаервол, почему бы просто не добавить разрешающее правило на 89 порт (или вообще разрешить всё) от своих IP адресов?

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 15:23 29-03-2019 | Исправлено: vklp, 15:23 29-03-2019
    Accessor



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Спасибо, реально помогло с обеих сторон правило:
    Код:
    ip firewall filter chain=input action=accept protocol=ospf log=no log-prefix=""

     
    2all: а может кто-то подсказать ещё по GRE, там есть local address и remote address. Как выкручиваются, когда один из этих адресов динамический от провайдера? Даже можно перефразировать: на центральном роутере статический белый IP, а на клиентах динамика. Как решается?

    Всего записей: 2863 | Зарегистр. 31-10-2003 | Отправлено: 15:37 29-03-2019 | Исправлено: Accessor, 15:39 29-03-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Accessor
    Вот именно, что выкручиваются - через скрипты а-ля dyndns.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 15:48 29-03-2019
    SealXTX



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Accessor

    Цитата:
    GRE, там есть local address и remote address. Как выкручиваются, когда один из этих адресов динамический от провайдера?

    Непонятно. Один из назначаемых Вами в канале VPN адресов динамический? Им что, провайдер управляет\назначает? Или, по pptp идет соединение с провайдоровским шлюзом, для выпуска в интернет, с динамическим присвоением?
    В общем случае, когда соединяете роутерами два офиса в сеть или заходите в офис с к-л мобильного аппарата, с полноценной операционкой, а сервер с белой статикой IP, этого единственного статического адреса вполне достаточно для организации доступа по VPN клиентам на сервер.
    Никаких dyndns не требуется. Непонятно, в чем проблема.

    Всего записей: 616 | Зарегистр. 24-03-2004 | Отправлено: 07:49 01-04-2019
    Accessor



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    SealXTX
    GRE+IPSec требует белых адресов на обоих концах. Они жестко прописываются в соответствующие интерфейсы GRE. А соединение небольших офисов с провайдером, часто-густо бывает через PPPoE. Поэтому адрес они получают хоть и белый, но динамический. И после каждого падения и поднятия PPPoE приходится подставлять новый динамический IP в GRE-соединение, причём на обоих концах.

    Всего записей: 2863 | Зарегистр. 31-10-2003 | Отправлено: 11:21 01-04-2019 | Исправлено: Accessor, 11:29 01-04-2019
    fakintosh



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Новое требование Латвийского Сейма:
     
    Продаваемые 1 апреля девайсы от MikroTik должны:
    не иметь на борту RouterOS
    иметь в коробке CD с записанным образом RouterOS, для самостоятельной установки
    коробка должна быть трудно открываемая
    Обязательно, чтобы диск ломался при попытке открыть
    тюбик клея момент в комплекте
    внутрь поместить схему сборки программатора NAND
    Обновление всего парка оборудования через посещение Латвийского офиса
    местная налоговая требует задекларировать весь парк микротов привезенный или изымут с штрафом
    местные кибер-безопасники тебя вяжут за микрот от которого у тебя нет пароля, у них как раз висяк по ботнетам

    ----------
    Нащяльника, мая сервира паставиль, фрибизьдя инсталя сделаль, апачи сабраль, пыхапе патключиль, сапускаю, а ано - ажамбех пашамбе эшельбе шайтанама!

    Всего записей: 2156 | Зарегистр. 02-01-2009 | Отправлено: 11:26 01-04-2019
    Accessor



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vklp

    Цитата:
    Вот именно, что выкручиваются - через скрипты а-ля dyndns.

    А можно ли сперва сделать IPSec соединение, инициированное на "динамической" стороне, с указанием только лишь удаленного IP. Сразу же назначить серый IP на этот только что полученный IPIP-интерфейс и потом уже соединять GRE по уже известной паре внутренних серых адресов? Так делал кто-то?

    Всего записей: 2863 | Зарегистр. 31-10-2003 | Отправлено: 16:52 04-04-2019
    makz

    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Здравствуйте! Настроил на микротике vpn сервер(l2tp), подключаюсь к нему zyxel'ем кинетиком. Со стороны кинетика сервер виден, а вот со стороны сервера клиент не пингуется. Подскажите как наладить связь в обратную сторону?

    Всего записей: 1034 | Зарегистр. 17-05-2003 | Отправлено: 08:37 05-04-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Accessor
    Не особо понял, что вы собираетесь сделать, но будет интересно узнать, что вышло.
     
    makz
    Или фаервол блокирует или маршрута нет.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 09:51 05-04-2019
    makz

    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vklp
    Маршруты на обоих рутерах прописаны - микротик сам делает для vpn, кинетику вручную написал. На кинетике файервол вообще все permit по всем интерфейсам, на микротике input по этому впн интерфейсу тоже разрешен. Куда еще рыть не знаю.

    Всего записей: 1034 | Зарегистр. 17-05-2003 | Отправлено: 10:55 05-04-2019
    alexnov66



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    makz

    Цитата:
    микротик сам делает для vpn

    не делает он сам если только в профиле в строке Routes у вас не прописано создавать маршрут при подключении.
    прописать можно так
    192.168.0.0/24 172.16.0.2
    при подключении к микротику будет создаваться маршрут к противоположной сети или к конкретному ip адресу
    192.168.0.1/32 172.16.0.2
    можно прописать с метрикой
    192.168.0.0/24 172.16.0.2 1
    можно несколько маршрутов через запятую
    192.168.0.0/24 172.16.0.2,192.168.1.0/24 172.16.0.2
    или в роутах прописать маршрут постоянный.

    Код:
    /ip route
    add comment=pptp_client dst-address=192.168.0.0/24 distance=1 gateway=172.16.0.2

    Всего записей: 1195 | Зарегистр. 29-08-2005 | Отправлено: 05:30 06-04-2019 | Исправлено: alexnov66, 05:48 06-04-2019
    makz

    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    alexnov66

    Код:
     
     #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
     
     2 ADC  10.0.0.254/32      10.0.0.1        l2tp-in1                  0
     3 A S  192.168.0.0/24                     l2tp-in1                  1
     4 ADC  192.168.1.0/24     192.168.1.10    bridge                    0
     

    Вот он, номер 2. Не пингуется 10.0.0.254(кинетик) с микротика. Мне дальше сеть не нужна, планирую пробросить из нее один порт прямо на 10.0.0.254 и всё. А со стороны кинетика 10.0.0.1 доступен.

    Всего записей: 1034 | Зарегистр. 17-05-2003 | Отправлено: 06:48 06-04-2019 | Исправлено: makz, 06:56 06-04-2019
    alexnov66



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    makz
    Значит кинетик блокирует подключение к себе, настройки кинетика не для этой темы.

    Всего записей: 1195 | Зарегистр. 29-08-2005 | Отправлено: 07:25 06-04-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    makz
    На всякий случай стоит уточнить: пингуете прямо с микротика, явно указав интерфейс?
    Без указания интерфейса может не через тот улетать.
    Или может src-nat правило срабатывает и на этот пинг. Много вариантов в общем.
    Посмотрите в Torch на l2tp, есть ли там вообще это соединение и с правильными ли оно адресами отправления и назначения.
    Если всё верно, то причина видимо всё же в кинетике.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 15:39 06-04-2019
    rsilin

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Добрый день господа, подскажите пожалуйста, в чём разница в режимах работы у "Use Encryption" между "yes" и  "required" на вкладке PPP > Profiles ?

    Всего записей: 11 | Зарегистр. 25-09-2017 | Отправлено: 16:19 08-04-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    rsilin
    required = шифрование или смерть.
    При required соединение будет переподключаться, если шифрование отвалилось/не установилось.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 17:01 08-04-2019
    rsilin

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vklp
    Спасибо, а не подскажите, возможно ли на ROS 6.43 настроить VPN сервер L2TP/IPsec с использованием сертификатов для авторизации пользователей? В настройках OVPN такую опцию вижу, а в L2TP - нет.

    Всего записей: 11 | Зарегистр. 25-09-2017 | Отправлено: 17:18 08-04-2019 | Исправлено: rsilin, 17:23 08-04-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    rsilin
    Вам тогда нужно отдельно настраивать IPSec, без галочки в L2TP, которая просто для быстрой настройки на рекомендуемых параметрах.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 17:25 08-04-2019
    serega1372

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Подробнее...

    Всего записей: 6 | Зарегистр. 20-03-2019 | Отправлено: 15:58 11-04-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    serega1372
    а кроме ovpn интернет нормально работает? Попробуйте в ip firewall connections прибивать ovpn соединение, когда будет наблюдаться проблема + посмотрите в лог + отключите фаервол.
    Видимо резервный провайдер это йота, так она режет малопопулярные порты, попробуйте поменять порт ovpn сервера, на крайний случай сделать tcp 443.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 10:51 12-04-2019
    Открыть новую тему     Написать ответ в эту тему

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru