Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

Открыть новую тему     Написать ответ в эту тему

Germanus



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
 
Предыдущие части темы: часть 1, часть 2, часть 3, часть 4
Официальный сайт: https://mikrotik.com
 
Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS
Тема в варезнике
 
актуальные версии RouterOS:
Stable: 7.14.2 Подробнее... Testing: 7.15b9
Stable: 6.49.14 Long-term: 6.49.13

актуальная версия SwitchOS: 2.17
актуальная версия WinBox: 3.40 32/64-bit Подробнее...

 
Mikrotik — Плюсы и минусы Подробнее...
Видео-экскурсия по заводу Mikrotik Ltd


FAQ по особенностям и тонкостям MikroTik RouterOS  Перейти



Официальная документация:
  • Англоязычный ОФИЦИАЛЬНЫЙ мануал
  • Алфавитный указатель
  • Официальные статьи пользователей RouterOS
  • для версии 3 http://www.mikrotik.com/testdocs/ros/3.0/
  • для версии 2.9 http://www.mikrotik.com/docs/ros/2.9/
  • RouterOS Packet Flow: http://wiki.mikrotik.com/wiki/Packet_Flow (важно знать для понимания сути происходящего в файрволе и шейпере)
  • Совместимое оборудование
  • Описание изменений в новых версиях RouterOS(+rc)
  • RouterBOOT changelog (изменения в boot-версиях загрузчика RouterOS)
  • Система управления пользователями встроенная в RouterOS (RADIUS server)
  • l7-protos.rsc (примеры L7-filter)


    Официальные ресурсы:
    Форум
    Демо-сайт с веб-интерфейсом системы №1        Подробнее...
    Демо-сайт с веб-интерфейсом системы №2        Подробнее...
    MikroTik User Meeting(Конференции пользователей Mikrotik)        Подробнее...
    "Хардварные решения"
    MikroTik News
    MikroTik related video service
    DESIGNS.MIKROTIK.COM - сервис для брендирования продукции Mikrotik.
    Twitter Mikrotik
    MikroTik Training (Хочешь на тренинг? Получить сертификат?)
    Предыдущие версии RouterOS Подробнее...    История релизов  Подробнее...
    Mikrotik Wireless Link Calculator


    Неофициальная русскоязычная документация    Перейти
    Обсуждение ROS(форумы)    Перейти
    Обзоры продуктов RouterBOARD    Перейти


    Русскоязычные ресурсы интернет-магазинов и блоггеров по настройке и тонкостям Mikrotik:  
     


     

     

     
       


     

     
         
     
     
         
     
     
         
     
     
     



    Смежные ресурсы    Перейти
     
    VPN + OSPF в картинках.
    MikroTik Config Parser
    mikrotik.vetriks.ru

    // текущий бэкап шапки..

  • Всего записей: 4420 | Зарегистр. 08-06-2003 | Отправлено: 11:02 07-03-2019 | Исправлено: anton04, 10:54 08-04-2024
    Chupaka



    Silver Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    alkrymov
    Вы говорите, что на той стороне VPN IPSec, а пытаетесь подключиться по L2TP. В логах L2TP сообщает, что с той стороны ему никто не отвечает. Может, всё так и должно бы?

    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 13:19 28-04-2020
    alkrymov

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Chupaka
    При создании VPN сервера, в итоге, я получил от него такую инфу:
     
    IPsec VPN server is now ready for use!
     
    Connect to your new VPN with these details:
     
    Server IP: 94.177.ххх.ххх
    IPsec PSK: ххххххххххххххххх
    Username: vpnuser
    Password: хххххххххххх
     
    Write these down. You'll need them to connect!
     
    Important notes:   https://git.io/vpnnotes
    Setup VPN clients: https://git.io/vpnclients
     
     
    Так, какое подключение мне создать то?
    На айфоне и ноуте я создавал подrлючение L2TP/IPsec.

    Всего записей: 12 | Зарегистр. 15-08-2009 | Отправлено: 15:49 28-04-2020
    alkrymov

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Итак, разобрался я со своим вопросом.
    Гуглил несколько дней и нашел таки ответ.
     
    Кому интересно, то тут описано как создавать различные подключения - https://interface31.ru/tech_it/2019/09/nastroyka-vpn-soedineniya-v-routerah-mikrotik.html
     
    В моем случае, все, что нужно было сделать, так это в IP-IPSec-Proposal отметить не хватающие алгоритмы и отключить PFS Group.
       
     
    И все сразу же подключилось и работает.

    Всего записей: 12 | Зарегистр. 15-08-2009 | Отправлено: 16:54 30-04-2020
    Plaague

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Джентльмены помогите пожалуйста разобраться
     
    Есть два микротика соединенные между собой ВПН
    Схема сети здесь https://prnt.sc/s974d3
    Стоит задача, пронатить порт с сервера 192.168.10.10 через роутер 192.168.0.1
    До сервера пакеты доходят (зеленая линия), но ответ сервера роутер 192.168.10.1 согласно своему маршруту посылает в инет(красная линия), а не возвращает в ВПН
     
    Подскажите как схему заработать?
    Вариант выключить выход в инет с 192.168.10.1 не рассматривается
     
    Заранее благодарю

    Всего записей: 100 | Зарегистр. 26-11-2008 | Отправлено: 16:15 01-05-2020
    fly_indiz



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Plaague
    Сначала идёт входящий пакет к серверу (зелёная линия). на роутере .10.1 в mangle можно пометить коннект (mark connection) отвечающий такому входящему пакету с connection-state=new. Коннект помечен.
     
    Там же, в mangle, для исходящих от сервера ответных пакетов (красная линия) с установленной меткой коннекта - делать таким пакетам - mark routing.
     
    В таблице маршрутизации роутера .10.1 cсделать маршрут в 0.0.0.0/0 для роутинг-метки через шлюз .0.1

    Всего записей: 2618 | Зарегистр. 28-04-2006 | Отправлено: 17:03 01-05-2020 | Исправлено: fly_indiz, 17:04 01-05-2020
    Plaague

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    fly_indiz>> СПАСИБО!!!
     
    Завелось

    Всего записей: 100 | Зарегистр. 26-11-2008 | Отправлено: 17:23 01-05-2020
    vlary



    Platinum Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Всем знатокам этой балтийской поделки - КУ!,
    а тем кто знает еще и циску - два раза КУ!
     Имеется проблема. В городе Н в конторе К стоит роутер циска,
    имеются 2 провайдера, А и Б. С провайдером Б нет проблем,
    Все шуршит. Что у него с той стороны, не знаю, да и не интересует,
    раз все работает нормально.
    С провайдером А все плохо. У него микротик. Идет оптика, потом медиаконвертер,
    и эзернет в циску. Айпишник белый, статический.
    Через каждые пару минут связь отваливается. Потом появляется снова.
    Появится может тоже через пару минут, может через час, может больше.
    Причем линк стоит на месте. Пинги на шлюз, понятно не идут.
    Провайдер А висел на встроенном гигабитном порту,
    провайдер Б на одном из портов HWIC-2FE.
    Попробовали сменить им порты, переткнули наоборот.
    Картина ничуть не изменилась, Б работает так же хорошо, А так же плохо.
    Вернее, практически не работает.
    Вызвали их техобслугу. Приехал мальчик с ноутбуком под виндовс,
    воткнул шнур, настроил адрес. Показал - все работает, никаких проблем.
    Типа, хрень с вашим оборудованием, у нас все пучком.
    Местные ребята тоже проверяли. Действительно, подключенный ноут вполне работает.
    То есть имеется чисто индивидуальная нелюбовь между циской и микротиком.
    Отсбда вопрос. Не алкивался ли кто с таким поведением?
    Что (в идеале) изменить в настройках циски. чтобы связь была.
    Или что нужно сменить с той стороны, на микротике?
    Может, если сказать ребятам провайдера что конкретно сделать, они сделают,
    а не станут вставать в позу оскорбленной невинности.
    Сам я в микротике абсолютный ноль, изучать его ради одного конкретного случая не планирую.
     


    ----------
    Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек

    Всего записей: 17278 | Зарегистр. 13-06-2007 | Отправлено: 17:07 02-05-2020
    leshiy_odessa



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vlary

    Цитата:
    Приехал мальчик с ноутбуком под виндовс,
    воткнул шнур, настроил адрес. Показал - все работает, никаких проблем.


    Цитата:
    Типа, хрень с вашим оборудованием, у нас все пучком.  

     
     
    Мне помогло таке :  

    Код:
     
     
    /ip neighbor discovery-settings set discover-interface-list=!WAN
    /tool mac-server set allowed-interface-list=LAN
    /tool mac-server mac-winbox set allowed-interface-list=LAN
    /tool mac-server ping set enabled=no
    /
     
     

    Всего записей: 546 | Зарегистр. 23-09-2001 | Отправлено: 18:17 02-05-2020 | Исправлено: leshiy_odessa, 18:18 02-05-2020
    fly_indiz



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    leshiy_odessa
    ну вот опять началось...
    все перечисленные 4 команды никак не относятся к работе инета. от слова совсем.
     
    1 - https://wiki.mikrotik.com/wiki/Manual:IP/Neighbor_discovery
    всего лишь обнаруживалка других устройств по MNDP/LLDP - не более того
     
    2,3,4 - https://wiki.mikrotik.com/wiki/MAC_access
    работа MAC-сервера микрота. Т.е. функционала позволяющего заходить на управление микротиком по низкоуровнему протоколу ( например в случае если по ip себе ногу отстрелил)

    Всего записей: 2618 | Зарегистр. 28-04-2006 | Отправлено: 18:24 02-05-2020
    vertex4

    Moderator
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    vlary
    медиаконвертор гигабит/100мб? И часто у них дохнут БП.
    на циске отключай auto negotiation и настраивай вручную.

    ----------
    В любой инструкции пропущено самое важное - что делать, если это устройство или программа не работают

    Всего записей: 10393 | Зарегистр. 29-01-2006 | Отправлено: 18:34 02-05-2020
    leshiy_odessa



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    fly_indiz

    Цитата:
    ну вот опять началось...
    все перечисленные 4 команды никак не относятся к работе инета. от слова совсем.  

     
    Я знаю это лучше вас, но в аналогичной ситуации мне это помогло. Единственное логическое объяснение это то, что провайдер хотел мне насолить (были косвенные причины), чтобы я разорвал контракт. То есть напрямую в комп всё работает, а при включенном Микротике нет. При включенном neighbor идут потери пинга и разрывы, а при выключенном всё в порядке, зашибись. Ну вот и объясните мне что я делаю не так.
     
    Самое смешное что я при включенном neighbor discovery вижу соседние Микротики, а это значит что у них всё в порядке, а у меня нет.

    Всего записей: 546 | Зарегистр. 23-09-2001 | Отправлено: 19:21 02-05-2020 | Исправлено: leshiy_odessa, 19:23 02-05-2020
    fly_indiz



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    leshiy_odessa

    Цитата:
    Я знаю это лучше вас

    Очень категорично. 100%-ая уверенность? Ну спорить не буду, ок, пусть будет так.
     

    Цитата:
    При включенном neighbor идут потери пинга и разрывы, а при выключенном всё в порядке, зашибись.

    Вот это уже интересно. Вероятно на протокол обнаружения случайно или целенаправлено был флуд/ddos.
     
    Вот только в дефолтной конфигурации (а так же в любых говно-и-неочень-инструкциях по базовой настройке) и максервер, и обнаружение - на WAN и так отключены. Что логично из банальных соображений безопасности.
    Т.е. подразумевается что у всех нормальных людей эти вещи и так наружу не светятся, и как следствие не подвержены изнасилованиям.
    В таком-же стиле можно предположить что там даже дефолтного файрвола нету (пустой напроч), десяток бэкдоров и микрот сношают во все дыры.
     
    Но судя по симптомам описаным у vlary - ситуация там совсем иная. Согласитесь - подключеный ноутбук - никак не меняет настройки микротика и его подверженность внешним неприятностям. Вот предположение товарища vertex4 - уже несет зерно смысла, да и то не факт что поможет. Тут неплохо бы анализировать проблему онлайн непосредственно на самом микроте.

    Всего записей: 2618 | Зарегистр. 28-04-2006 | Отправлено: 19:34 02-05-2020 | Исправлено: fly_indiz, 19:53 02-05-2020
    leshiy_odessa



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    fly_indiz

    Цитата:
    Т.е. подразумевается что у всех нормальных людей эти вещи и так наружу не светятся


    Цитата:
    даже дефолтного файрвола нету

     
    Я адепт дефолтных настроек Микротика. Я априори считаю, что разработчики Микротика + пинки, которые достаются им от суперпрофи с их форумы в сотни раз умнее меня.
     

    Всего записей: 546 | Зарегистр. 23-09-2001 | Отправлено: 21:32 02-05-2020
    fly_indiz



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    leshiy_odessa

    Цитата:
    Я адепт дефолтных настроек Микротика

    Ну вот так и я о том же.
    И тоже считаю (и не только считаю, но и вижу по логике) что там не дураки делали дефолтную конфу.
    А тонны дурных мануалов, которые начинаются с "приступаем к настройке - удаляем дефолтную конфу" - закрываю сразу, ибо дальнейшее мнение о минимальном понимании автором того что он предлагает - уже сложено.

    Всего записей: 2618 | Зарегистр. 28-04-2006 | Отправлено: 22:05 02-05-2020
    vlary



    Platinum Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vertex4
    Цитата:
    на циске отключай auto negotiation и настраивай вручную
    А то я не настраивал? Первым делом.
    Перебрал все варианты включая 10 Мбит / полудуплекс. Тот же фигвам.
    Насчет БП в медиаконвертере думал. Но почему тогда с ноутом работает?
     
    leshiy_odessa
    Цитата:
    При включенном neighbor идут потери пинга и разрывы, а при выключенном всё в порядке, зашибись
    Вот - да, что-то похожее. Что должно отличать, подключен ли к порту
    одиночный  абонент типа ПК/ноута, или же другой роутер/свитч.
    В циске аналоги - это всяческие CDP, BPDU, Spanning Tree....
    Я со своей стороны это все поотключал, а на той стороне доступа и понятия не имею.
     
    fly_indiz
    Цитата:
    Тут неплохо бы анализировать проблему онлайн непосредственно на самом микроте.
    Кто же спорит? Вот только желание у ТП прова такое вряд ли будет.
    Вот и хотелось бы им решение под нос сунуть, чтобы уже не отвертелись...
    Сколько не сталкивался с провайдерской техподдержкой, они в первую голову  
    стараются отрицать наличие проблемы, тем более по их вине.
    Потом, правда, проблема частенько волшебным образом исчезает, но добиться
    признания, что именно было сделано, и даже что они что-то делали, практически невозможно.
     
     
     


    ----------
    Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек

    Всего записей: 17278 | Зарегистр. 13-06-2007 | Отправлено: 23:31 02-05-2020 | Исправлено: vlary, 23:39 02-05-2020
    vlary



    Platinum Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
     В общем, достал из чулана бубен, сымитировал костер, и начал камлание...
    К тому времени шлюз почти перестал отзываться, пинг показывал 98% потерь.
    Решал взглянуть, что там с пакетами  интерфейсе.
    Увидел арп-запросы, причем не из назначенной мне сетки, а локальной,
    от хоста 10.60.10.170. Поскольку сеть другая, в дебаге видел сообщения типа
    arp request filtered (wrong cable). Что-то забрезжило... Назначил на интерфейс дополнительно
    адрес 10.60.10.240. Попробовал - 10.60.10.170 пингуется. Начал пинговаться и шлюз.
    Связь рваться перестала. Подождал - простояла час, "разрывов не было" (с)
    Присмотрелся внимательнее к адресу 10.60.10.170, оказалось его МАС тот же. что у шлюза.
    Сразу захотелось материться... Эти друзья, не долго думая, сделали себя
    на интерфейсе вторичный (белый) адрес, и выдали в качестве дефолт шлюза.
    Про виланы и прочие изыски они понятия конечно не имеют.
    И вот адрес 10.60.10.170 шлет арп запросы  с МАС шлюза и адресом, не совпадающим с сетью.
    Ноуту было бы пофиг, а циска блокирует этот МАС после нескольких пакетов
    (хотя я ее этому и не учил, никакой интерфейс секьюрити не фигурил).
    После присвоения интерфейсу вторичного адреса рп запросы стали легитимными,
    и блокировка МАС адреса шлюза прекратилась, ь нормализовалась.
    Теперь осталось закрепить результат. Либо убрать арп секьюрити с интерфейса,
    либо добавить МАС шлюза в авторизованные.
    Никто навскидку не помнит нужных комманд (для роутера)?
    А то все мои записи, бумажки, книжки и прочее осталось на работе и будет доступно не скоро.  


    ----------
    Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек

    Всего записей: 17278 | Зарегистр. 13-06-2007 | Отправлено: 22:36 03-05-2020
    fly_indiz



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vlary
    К сожалению цыска для меня - ноль
     
    А предположение лешего из одессы о том что провайдеры гадить любят - оказалось недалеко от истины. И моё о том что провайдеры с микротиками - это звездец..

    Всего записей: 2618 | Зарегистр. 28-04-2006 | Отправлено: 08:23 04-05-2020
    vlary



    Platinum Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    fly_indiz

    Цитата:
    А предположение лешего из одессы о том что провайдеры гадить любят - оказалось недалеко от истины.
    Ну тут они не столько нагадили, сколько обосрались.
    Сами не заметили, а у клиентов засмердило...

    Цитата:
    И моё о том что провайдеры с микротиками - это звездец..
    Вот-вот, я тоже, как понял что стоит на той стороне, офигел...
    Пусть простят меня аборигены этой ветки, но микротики это далеко не провайдерское оборудование.  
     


    ----------
    Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек

    Всего записей: 17278 | Зарегистр. 13-06-2007 | Отправлено: 10:14 04-05-2020
    FiLDiX



    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    To All People
     
    "Золотой конфиг" с универсальными настройками для малого и среднего офиса в виде вопрос-ответ.
     
    Видео с MUM Russia '19 длительностью 01:00:58
     
    Презентация в формате *.pdf или *.pptx
    Полная версия скрипта UniversalDefConf.rsc

    Всего записей: 18 | Зарегистр. 07-04-2020 | Отправлено: 18:57 04-05-2020
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Золотой конфиг

    Очередное коверканье заводского конфига. Таких советов сомнительной универсальности и так хватает. Ну и автор правописание частицы не освоить не в силах.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 19:25 04-05-2020
    Открыть новую тему     Написать ответ в эту тему

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru