Перейти из форума на сайт.

Новости • Файловые архивы
Поиск • Активные темы • Топ лист
Правила • Кто в on-line?
Вход • Забыли пароль? • Первый раз на этом сайте? • Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 3)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

ShriEkeR (05-01-2012 00:59):  Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147

   

ShriEkeR



Moderator		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
 
 
MikroTik RouterOS (часть 1), MikroTik RouterOS (часть 2)
Официальный сайт: http://www.mikrotik.com
 
Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS
Тема в варезнике
 
 
последняя устаревшая версия: 4.17
последняя стабильная версия: 5.11

 
 
 
Официальная документация:
  • http://wiki.mikrotik.com/wiki/Category:Manual
  • для версии 3.х http://www.mikrotik.com/testdocs/ros/3.0/
  • для версии 2.9.х http://www.mikrotik.com/docs/ros/2.9/
  • RouterOS Packet Flow: http://wiki.mikrotik.com/wiki/Packet_Flow (важно знать для понимания сути происходящего в файрволе и шейпере)
     
    Обмен опытом пользователей MikroTik RouterOS: http://wiki.mikrotik.com/wiki/Main_Page
     
    Настройка подключения L2TP IPSec VPN между Windows 7 и Микротиком
    Дополнение к настройке L2TP IPsec
     
    Обсуждение ROS:
    Раздел форума PCRouter, посвященный MikroTik RouterOS
    Раздел форума DriverMania. Много полезного.
     
    Статьи:
    Перевод официального документа о QoS, очередях и шейпере.
    Краткий FAQ по настройке (первоисточник).
    Объединяем офисы с помощью Mikrotik
    Делим Интернет или QoS на Mikrotik (первоисточник).
    Установка и настройка ABillS + Mikrotik на Gentoo Linux.  
    Mikrotik-Qos Приоритезация по типу трафика и деление скорости
    • Всего записей: 6382 | Зарегистр. 27-09-2004 | Отправлено: 21:25 23-08-2010 | Исправлено: Chupaka, 14:25 19-12-2011
    emfs

    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Полный бэкап через Acronis или Clonezilla будет работоспособным на абсолютно другом железе с учётом донастройки сетёвок? Насколько критичен к смене железа?
    Версия 3.20.
     
    --
    Добавлено:
    Chupaka

    Цитата:
    эммм... DHCP Snooping - это не атака, это защита... что именно надо сделать?  

     
    ну да, ошибся, хотел спросить как настроить защиту от атак на сервер DHCP?
    имеется в наличии LAN
    192.168.1.0/24
    192.168.1.1 - MikroTik 3.20
    192.168.1.2 - DHCP сервер
     
    при появлении второго DHCP естественно начинается бардак в сети.
    Вот поэтому хотелось бы, чтобы такая атака не смогла бы вывести из строя всю работу в сети.
     
    Или лучше это сделать на коммутаторе?
    Всего записей: 900 | Зарегистр. 09-07-2007 | Отправлено: 17:14 22-11-2010 | Исправлено: emfs, 17:32 22-11-2010
    vlh

    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Chupaka
    спасибо, значит мне пока не грозит оптимизация правил
    но скорее всего не избежать настройки PCC...
    пока собираю данные...после того как я настрою PCC,
    если конечно у меня получится, как мне про маркировать пакеты  
    для шейпера PCQ? я в данный момент мечу в форварде, выход
    для группы на интерфейсе LAN, и вход на интерфейсе PABLIC-1...
    теперь PABLIC интерфейсов будет два...что то никак не соображу...
    про QoS пока и спрашивать боюсь
    Всего записей: 770 | Зарегистр. 21-11-2009 | Отправлено: 18:59 22-11-2010
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

    Цитата:
    в результате пользователи сети где сервер 2 подключаются к сервер1,  
    пользователи сети сервер1 не могут подключится к сервер2 по rdp

    схема всё ещё непонятна, но в целом: местонахождение пользователя не должно влиять на работу, пока он находится на внешнем интерфейсе роутера
     

    Цитата:
    Полный бэкап через Acronis или Clonezilla будет работоспособным на абсолютно другом железе с учётом донастройки сетёвок? Насколько критичен к смене железа?

    SoftwareID привязывается к серийнику винта. новый винт = новая лицензия
     

    Цитата:
    при появлении второго DHCP естественно начинается бардак в сети

    и этот бардак лечится только блокированием левых серверов, что делается только на коммутаторе - поскольку трафик между левым сервером и пользователем идёт только через него
     

    Цитата:
    как мне про маркировать пакеты  
    для шейпера PCQ? я в данный момент мечу в форварде, выход  
    для группы на интерфейсе LAN, и вход на интерфейсе PABLIC-1...  
    теперь PABLIC интерфейсов будет два...что то никак не соображу...  

    ну, либо по out-interface=LAN, либо два правила отдельных, по одному на каждый интерфейс =)
     

    Цитата:
    про QoS пока и спрашивать боюсь  

    и правильно - для каждого интерфейса отдельный QoS нужен
    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 19:44 22-11-2010
    vlh

    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Chupaka
    либо два правила отдельных, по одному на каждый интерфейс

    то есть было так:

    Код:
    52   ;;; 3M
         chain=forward action=mark-packet new-packet-mark=packet_3m_out passthrough=no  
         src-address-list=09.Unlimit-3072 in-interface=LAN  
    53   chain=forward action=mark-packet new-packet-mark=packet_3m_in passthrough=no  
         dst-address-list=09.Unlimit-3072 in-interface=PABLIC-3

    а делаем так:

    Код:
    52   ;;; 3M
         chain=forward action=mark-packet new-packet-mark=packet_3m_out passthrough=no  
         src-address-list=09.Unlimit-3072 in-interface=LAN  
    53   chain=forward action=mark-packet new-packet-mark=packet_3m_in passthrough=no  
         dst-address-list=09.Unlimit-3072 in-interface=PABLIC-3
    54   chain=forward action=mark-packet new-packet-mark=packet_3m_in passthrough=no  
         dst-address-list=09.Unlimit-3072 in-interface=PABLIC-4

    то есть и метка у них должна быть одинаковая - packet_3m_in?
    а не будет это сбоить при такой ситуации когда например установилось у клиента
    соединение по одному каналу (торрент) а он открывает еще например просмотр
    фильмов и его балансировка направляет на другой канал, не будет у него складываться
    скорости? то есть все равно будет резать указанной в параметре Rate:...
    Всего записей: 770 | Зарегистр. 21-11-2009 | Отправлено: 20:04 22-11-2010 | Исправлено: vlh, 20:09 22-11-2010
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    vlh
    поскольку используется address-list, я бы из правила 53 просто убрал in-interface =)
    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 20:05 22-11-2010
    vlh

    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    поскольку используется address-list, я бы из правила 53 просто убрал in-interface =)

    тогда и из 54 можно тоже убрать?
    предыдущее сообщение отредактировал, прокомментируешь...
    Всего записей: 770 | Зарегистр. 21-11-2009 | Отправлено: 20:11 22-11-2010 | Исправлено: vlh, 20:13 22-11-2010
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    vlh
    я имел в виду первоначальные правила. вместо "а делаем так" - просто убрать
    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 20:13 22-11-2010
    vlh

    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    я имел в виду первоначальные правила. вместо "а делаем так" - просто убрать

    если так тогда и вопрос про одинаковые метки отпадает, вроде понятно
    и вот эти правила для того что бы при падении одного канала все пошло по другому,
    мне вроде бы и не нужны, так как оба канала у меня от одного провайдера и если
    рухнет один, то и рухнет второй...

    Код:
    add dst-address=0.0.0.0/0 gateway=10.111.0.1 distance=1 check-gateway=ping
    add dst-address=0.0.0.0/0 gateway=10.112.0.1 distance=2 check-gateway=ping

     
     
    Добавлено:

    Цитата:
    Chupaka
    и правильно - для каждого интерфейса отдельный QoS нужен

    наверное так?

    Код:
    23   ;;; udp unlimit
         chain=prerouting action=mark-packet new-packet-mark=udp_unlimit_out  
         passthrough=no protocol=udp src-address-list=(PCQ_QoS_Unlim) in-interface=LAN  
    24   chain=prerouting action=mark-packet new-packet-mark=udp1_unlimit_in  
         passthrough=no protocol=udp in-interface=PABLIC-3
    25   chain=prerouting action=mark-packet new-packet-mark=udp2_unlimit_in  
         passthrough=no protocol=udp in-interface=PABLIC-4

    и еще вопросик, какой алгоритм срабатывания балансировки?
    то есть как он делит трафик, одного пользователя  на один канал другого
    на другой или еще как...
    Всего записей: 770 | Зарегистр. 21-11-2009 | Отправлено: 21:08 22-11-2010 | Исправлено: vlh, 21:11 22-11-2010
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

    Цитата:
    какой алгоритм срабатывания балансировки?  
    то есть как он делит трафик, одного пользователя  на один канал другого  
    на другой или еще как...

    всё зависит от реализации балансировки =) если речь о PCC - то всё зависит от, собственно, classifier
    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 03:43 23-11-2010
    dea_appolo



    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Уважаемые пофессионалы, добрый день.
    Chupaka, здравствуйте.
     
    Помогите пожалуйста.
     
    Схема такая:
     
                                                                                                           / Client1
                                                                         / - - DWL2100 - Switch - Client2
    Internet - MT750 (192.168.10.0/24) - DWL2100
                                                                         \ - - DWL2100 - Switch - Client3
                                                                                                           \ Client4
     
     
    Изначально на месте MT750  ничего не было и у клиентов были белые Ипы одного прова.
    Теперь с Ипами проблема.  
    Ставим МТ750. Пров тот же.
    Теперь Клиентам 1 и 3 выдается подсеть,  а Клиентам 2 и 4 нужно оставить их же внешники но из-под МТ750.
    Как пробросить внешники ?
    Подсобите плиз.
     
    С уважением, dea_appolo
    Всего записей: 28 | Зарегистр. 29-02-2008 | Отправлено: 22:47 23-11-2010
    faust72rus



    Full Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    dea_appolo
    Netmap чем-то не устраивает?  
    Нужны именно белые адреса или нужно исходящий трафик маскировать от определённого адреса, а входящий на этот белый адрес направлять на определённого внутреннего клиента?
    Всего записей: 536 | Зарегистр. 28-10-2007 | Отправлено: 09:33 24-11-2010
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    dea_appolo
    а зачем вообще RB750 поставили?
    подсеть выдаётся - белая или серая?
    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 09:36 24-11-2010
    dea_appolo



    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Здравствуйте,  
     
    faust72rus,
    Нужно чтобы часть клиентов стала работать в серой подсети, а часть как была так и осталась с обычными белыми адресами (ничего маскировать не надо).
     
    Chupaka
    Поставили для регуляции трафика, мониторинга (и в будущем возможно для объединения сетей).
    Подсеть теперь выдается серая (и часть клиентов соответственно переводится на серые Ипы),  а вот вторая часть клиентов требуют оставить им белые Ипы.  
    Вот и вопрос - как в МТ750 прописать эти белые Ипы?
     
    С уважением, dea_appolo
     
    Всего записей: 28 | Зарегистр. 29-02-2008 | Отправлено: 20:28 24-11-2010
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    dea_appolo
    тогда - либо напрямую маршрутизировать на них белые адреса, либо дать им серый адрес и делать src+dst-NAT. можно ещё PPP-сервер поднять - и там давать нужный адрес
    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 20:35 24-11-2010
    dea_appolo



    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Chupaka
     
    1. напрямую маршрутизировать на них белые адреса
    2. дать им серый адрес и делать src+dst-NAT
    3. PPP-сервер поднять - и там давать нужный адрес
     
    - а в каком из этих трех вариантое клиент  вообще не заметит разницы между тем что было и тем что стало?
    - если не сложно, объясните в трех словах принцип каждого варианта, пожалуйста .
     
    С уважением
    Всего записей: 28 | Зарегистр. 29-02-2008 | Отправлено: 20:43 24-11-2010
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

    Цитата:
    в каком из этих трех вариантое клиент  вообще не заметит разницы между тем что было и тем что стало?

    если у клиентов был прописан адрес шлюза провайдера - то в любом заметит. в том плане, что настройки надо будет поменять
     
    1. выдать маленькую подсеть каждому (например, /29) с его адресом, настроить один из адресов на маршрутизаторе в качестве шлюза клиента, остальные адреса клиент вешает себе на компьютер
    2. делать /ip fi nat add chain=srcnat src-address=серый action=src-nat to-addresses=белый; /ip fi nat add chain=dstnat dst-address=белый action=dst-nat to-addresses=серый;
    3. собсна, как и написано. при подключении VPN (например, PPTP) клиент получает белый адрес и с ним работает. прелесть в том, что, в отличие от 2. не теряются адреса на адрес сети и широковещательный адрес
    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 21:37 24-11-2010
    dea_appolo



    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Chupaka
     
     
    правильно ли я понял, что  
     
     в п.1.  надо раздавать белые Ипы, и создавать назначать соответственно Ип сети, Ип бродкасту,  и соответственно минимальное испольщование белых ипов - 6 штук.
     
    в п.2.  всё замечательно,  и фактически будет приравнеивание серого ипа у клиента  к отдельному белому ипу на роутере.  и в чем тут могут быть "но"  для клиента?
     
    в. 3.  всё вообще отлично, но надо каждый раз коннектиться к впн серверу для получения белого ипа? и будет ли роутер точно также управлять траффиком в этом случае (Qos)
     
    ?
    Всего записей: 28 | Зарегистр. 29-02-2008 | Отправлено: 22:04 24-11-2010 | Исправлено: dea_appolo, 22:32 24-11-2010
    AhtonITC

    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Уважаемые гуру микротика! Помогите написать скрипты для микротика пожалуйста. В общем что нужно: на микротике в /ip Firewall Address List в адресном листе itc_users есть IP адреса. Нужно чтобы скрипт брал оттуда адреса, генерил файл, в котором будет содержимое:
     
    !
    no access-list 150
     
    с этой строки добавлял адреса, которые есть в адрес-листе
     
    access-list 150 deny tcp 10.222.0.250 0.0.0.0 any
    access-list 150 permit tcp any any
    !
    end
     
    и ложил этот файлик через tftp на сервер, с которого этот файлик будет брать кошка.
     
    И второе: скрипт, который бы через телнет или ссш заходил на адрес, авторизовывался и делать нажатие кливиши Enter.
     
    Буду очень признателен! Заранее спасибо!
    Всего записей: 3 | Зарегистр. 14-10-2010 | Отправлено: 07:45 25-11-2010
    Demon

    Full Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    AhtonITC
     
    А не проще ли со заходить чем угодно и откуда угодно на МК по ssh забирать Address List и творить уже с ним чего угодно.
    Всего записей: 583 | Зарегистр. 03-10-2001 | Отправлено: 10:19 25-11-2010
    AhtonITC

    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Не проще... мне просто надо на кошку ложить этот лист - а кошка не умеет по расписанию делать скрипты., вот в чем загвоздка Я почему говорю про микротик и тфтп - у микротика есть клиент тфтп - значит он может ложить файлы на машину, на которой заведен тфтп сервер а оттуда в свою очередь кошка может брать файлы.
    Всего записей: 3 | Зарегистр. 14-10-2010 | Отправлено: 10:39 25-11-2010
       

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 3)
    ShriEkeR (05-01-2012 00:59):


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru