Перейти из форума на сайт.

Новости • Файловые архивы
Поиск • Активные темы • Топ лист
Правила • Кто в on-line?
Вход • Забыли пароль? • Первый раз на этом сайте? • Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 3)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

ShriEkeR (05-01-2012 00:59):  Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147

   

ShriEkeR



Moderator		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
 
 
MikroTik RouterOS (часть 1), MikroTik RouterOS (часть 2)
Официальный сайт: http://www.mikrotik.com
 
Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS
Тема в варезнике
 
 
последняя устаревшая версия: 4.17
последняя стабильная версия: 5.11

 
 
 
Официальная документация:
  • http://wiki.mikrotik.com/wiki/Category:Manual
  • для версии 3.х http://www.mikrotik.com/testdocs/ros/3.0/
  • для версии 2.9.х http://www.mikrotik.com/docs/ros/2.9/
  • RouterOS Packet Flow: http://wiki.mikrotik.com/wiki/Packet_Flow (важно знать для понимания сути происходящего в файрволе и шейпере)
     
    Обмен опытом пользователей MikroTik RouterOS: http://wiki.mikrotik.com/wiki/Main_Page
     
    Настройка подключения L2TP IPSec VPN между Windows 7 и Микротиком
    Дополнение к настройке L2TP IPsec
     
    Обсуждение ROS:
    Раздел форума PCRouter, посвященный MikroTik RouterOS
    Раздел форума DriverMania. Много полезного.
     
    Статьи:
    Перевод официального документа о QoS, очередях и шейпере.
    Краткий FAQ по настройке (первоисточник).
    Объединяем офисы с помощью Mikrotik
    Делим Интернет или QoS на Mikrotik (первоисточник).
    Установка и настройка ABillS + Mikrotik на Gentoo Linux.  
    Mikrotik-Qos Приоритезация по типу трафика и деление скорости
    • Всего записей: 6382 | Зарегистр. 27-09-2004 | Отправлено: 21:25 23-08-2010 | Исправлено: Chupaka, 14:25 19-12-2011
    fdboss

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Такая проблема
    Хочу поднять DHCP на трех ethernet интерфейсах в одном пуле 192.168.1.2-192.168.1.4
    Используя winbox (роутер mikrotik 450g)
    прописываю адрес 192.168.1.1 на каждом интерфейсе.
    создаю три dhcp сервера на каждый интерфейс, указывая один и тот-же пул.
    Dhcp работает, раздает адреса, но при активации более одного ethernet интерфейса интернет начинает глючить и тормозить.  В NAT единственная запись (scrant. masquerade, out_int=pppoe_1), роутинг настроен.
    Сейчас на каждый интерфейс назначил свою подсеть (192.168.2.1, 192.168.3.1) - все работает как надо, но всё равно хочу реализовать идею с одним диапазоном (потом настроить статический dhcp  по mac)
    Подскажите что я делаю не так. Сам подозреваю необходимость добавить правила NAT, но в пока в этом ничего толком не понимаю.

    да вообщем то все не так, надо курить мат часть прежде чем что то настраивать,
    1) если все компы в одной сети накой тогда 3 изернета.
    2) один и тот же адрес прописывать на три изернета, это вообще значит в школе информатики не было. А если не было информатики, то лучше доверить настройку у кого она была.
    Всего записей: 76 | Зарегистр. 21-07-2009 | Отправлено: 06:45 31-01-2011
    alex757

    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Здравствуйте!
    Помогите пожалуйста разрешить одну проблему.  
    Необходимо организовать VPN канал с головным сервером. На удаленном сервере стоит  Kerio Winroute Firewall, авторизация через логин и пароль. И еще я так понял, происходит  обмен ssl ключами. Скажите, пожалуйста, технически возможно реализовать VPN канал используя Mikrotik  в качестве клиента? Если возможно, то по какому протоколу и если можно ссылочку как это реализовать.  
    Всего записей: 1 | Зарегистр. 30-11-2007 | Отправлено: 10:02 31-01-2011
    Dr0niX



    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    fdboss
    изернет = интерфейс. Три интерфеса eth3-5. на каждом адрес роутера  (gateway) 192.168.1.1.
    Соответственно клиентам по dhcp раздаются адреса с 192.168.1.2-192.168.1.4 (это три разных адреса).
    Так что говорит Ваша школьная информатика по этому поводу?
    Всего записей: 77 | Зарегистр. 12-11-2008 | Отправлено: 13:09 31-01-2011
    coverman



    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Здравствуйте!
    Подскажите пожалуйста как сделать так чтобы конкретные адреса или списки адресов использовали определенные внешние днс.
    //Т.е. для адреса 192.168.0.1 днс 8.8.8.8 а для 192.168.0.2 8.8.4.4.//
    Спасибо.
    Всего записей: 31 | Зарегистр. 14-01-2005 | Отправлено: 13:42 31-01-2011
    fdboss

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    eth3-5.
    это как расшифровывается ?
    и причем здесь то что раздается, dhcp никогда не выдаст один и тот же адрес,  
     
    а школьная программа гласит ip адрес в сети должен быть уникален, то есть один.
     
    а все остальное это чистое шаманство, и танцы с бубном  
    Всего записей: 76 | Зарегистр. 21-07-2009 | Отправлено: 13:43 31-01-2011 | Исправлено: fdboss, 14:12 31-01-2011
    Dr0niX



    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    это как расшифровывается ?

    интерфейсы с третьего по пятый, то-есть физические порты ethernet_3, ethernet_4, ethernet_5.
    Всего записей: 77 | Зарегистр. 12-11-2008 | Отправлено: 16:12 31-01-2011
    smileV2008

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Dr0niX
    А не объединить ли Вам их (интерфейсы) в бридж? или клиенты должны быть в разных сетях?
     
    Добавлено:
    Smito1
     
    chain=forward action=drop tcp-flags=syn protocol=tcp src-address-list=Кому_хочешь_порезать connection-limit=60,32
     
    В данном случае по 60 соединений на один адрес
    в качестве совета - не увлекайся особо уменьшением этого числа
    и чтобы ничего не вешалось сделай шейпер на дереве очередей, разбирайся в общем
     
    Добавлено:
    coverman
     
    ну прописать у этих групп соответствующие днс..... а лучше выдать по dhcp... а еще можно посмотреть в сторону файла hosts если windows) какая задача если не секрет у Вас
    Всего записей: 52 | Зарегистр. 25-03-2008 | Отправлено: 20:27 31-01-2011 | Исправлено: smileV2008, 20:32 31-01-2011
    Dr0niX



    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    или клиенты должны быть в разных сетях?  

    клиенты должны быть в одной сети  
    192.168.1.2 - первый комп
    192.168.1.3 - второй комп
    192.168.1.4 - третий комп
     
    проблема в том, что раздав адреса с одной сети отваливается интернет и я не могу понять почему
    Всего записей: 77 | Зарегистр. 12-11-2008 | Отправлено: 20:55 31-01-2011 | Исправлено: Dr0niX, 21:07 31-01-2011
    smileV2008

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Dr0niX

    Цитата:
    Dr0niX  
    А не объединить ли Вам их (интерфейсы) в бридж? или клиенты должны быть в разных сетях?  
     

    Так объедините порты в коммутатор бриджем и сделайте один dhcp-сервер на этот бридж
    и выдавайте на здоровье адреса
    или поставьте коммутатор доступа, воткните туда клиентов, и соедините комутатор по аплинку с одним из портов микротика.... это если у Вас планируется рост подключений
    Всего записей: 52 | Зарегистр. 25-03-2008 | Отправлено: 22:19 31-01-2011
    Dr0niX



    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    smileV2008
    я правильно понял, что именно так это реализовано в роутерах работающих "из коробки"?
    Всего записей: 77 | Зарегистр. 12-11-2008 | Отправлено: 22:48 31-01-2011
    smileV2008

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    на мой взгляд да, если сеть несекретна и есть внешний айпи и желание, можете дать доступ, в личку
    а почему такой вопрос, то не получаетсято??
    Всего записей: 52 | Зарегистр. 25-03-2008 | Отправлено: 23:01 31-01-2011
    me2k

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    faust72rus
     
    Можно поподробнее про passthrough ?
    не очень разобрался.
    У меня в манглах есть, сначала маркер маркирующий соединения(tcp 80/53/443), с включенным passthrough, потом есть маркер который маркирует пакеты в этих соединениях, с выключенным passthrough.
    Потом я создаю маркер "другой_трафик" соединения, без указания протоколов/порта, с включенным passthrough.  
    После чего создаю маркер по пакетам, с отбором соединения "другой_трафик", с выключенным passthrough.
     
    После чего создаю правила в деревьях. Но вот беда, в "другой_трафик" попадает и ХТТП трафик и в вообще весь.
     
    Что делаю не так?

    Код:
     
     0   ;;; dns-connection
         chain=prerouting action=mark-connection new-connection-mark=dns-connection passthrough=yes protocol=tcp dst-port=53  
     
     1   ;;; dns-packet
         chain=prerouting action=mark-packet new-packet-mark=dns-packet passthrough=no connection-mark=dns-connection  
     
     2   ;;; http-connection
         chain=prerouting action=mark-connection new-connection-mark=http-connection passthrough=yes protocol=tcp dst-port=80  
     
     3   ;;; http-packet
         chain=prerouting action=mark-packet new-packet-mark=http-packet passthrough=no connection-mark=http-connection  
     
     4   ;;; https-connection
         chain=prerouting action=mark-connection new-connection-mark=https-connection passthrough=yes protocol=tcp dst-port=443  
     
     5   ;;; https-packet
         chain=prerouting action=mark-packet new-packet-mark=https-packet passthrough=no connection-mark=https-connection  
     
     6   ;;; p2p-connection
         chain=prerouting action=mark-connection new-connection-mark=p2p-connection passthrough=yes p2p=all-p2p  
     
     7   ;;; p2p-packet
         chain=prerouting action=mark-packet new-packet-mark=p2p-packet passthrough=no connection-mark=p2p-connection  
     
     8   ;;; DnsUDP
         chain=prerouting action=mark-connection new-connection-mark=DnsUDP passthrough=yes protocol=udp dst-port=53  
     
     9   ;;; DnsUDP
         chain=prerouting action=mark-packet new-packet-mark=DnsUDP passthrough=no connection-mark=DnsUDP  
     
    10   ;;; all_outher
         chain=prerouting action=mark-connection new-connection-mark=all_outher passthrough=no  
     
    11   chain=prerouting action=mark-packet new-packet-mark=all_outher_packet passthrough=no connection-mark=all_outher  
     
    Всего записей: 153 | Зарегистр. 01-10-2007 | Отправлено: 00:37 01-02-2011 | Исправлено: me2k, 00:52 01-02-2011
    Smito1



    Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    smileV2008
     
    ругаеться, нее понимает этой команды, я уж перепробовал все
     
    chain=forward action=drop tcp-flags=syn protocol=tcp src-address-list=192.168.1.16 connection-limit=60,32  
     
    я где то что то пропустил?
    Всего записей: 373 | Зарегистр. 19-12-2006 | Отправлено: 01:15 01-02-2011
    faust72rus



    Full Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    me2k
    passthrough - означает обрабатывать ли трафик дальнейшими правилами (если yes) или его обработка законченна (если no). Т.е. тебе нужно просто не пропускать отмеченый трафик ниже, всё что останется НЕ отмеенным и попадёт в другой трафик.  
    (порядок и соджержание правил не проверял)

    Цитата:
      ;;; dns-connection
         chain=prerouting action=mark-connection new-connection-mark=dns-connection passthrough=no protocol=tcp dst-port=53  
     
     1   ;;; dns-packet
         chain=prerouting action=mark-packet new-packet-mark=dns-packet passthrough=no connection-mark=dns-connection  
     
     2   ;;; http-connection
         chain=prerouting action=mark-connection new-connection-mark=http-connection  passthrough=no protocol=tcp dst-port=80  
     
     3   ;;; http-packet
         chain=prerouting action=mark-packet new-packet-mark=http-packet passthrough=no connection-mark=http-connection  
     
     4   ;;; https-connection
         chain=prerouting action=mark-connection new-connection-mark=https-connection passthrough=no protocol=tcp dst-port=443  
     
     5   ;;; https-packet
         chain=prerouting action=mark-packet new-packet-mark=https-packet passthrough=no connection-mark=https-connection  
     
     6   ;;; p2p-connection
         chain=prerouting action=mark-connection new-connection-mark=p2p-connection passthrough=no p2p=all-p2p  
     
     7   ;;; p2p-packet
         chain=prerouting action=mark-packet new-packet-mark=p2p-packet passthrough=no connection-mark=p2p-connection  
     
     8   ;;; DnsUDP
         chain=prerouting action=mark-connection new-connection-mark=DnsUDP passthrough=no protocol=udp dst-port=53  
     
     9   ;;; DnsUDP
         chain=prerouting action=mark-packet new-packet-mark=DnsUDP passthrough=no connection-mark=DnsUDP  
     
    10   ;;; all_outher
         chain=prerouting action=mark-connection new-connection-mark=all_outher passthrough=no  
     
    11   chain=prerouting action=mark-packet new-packet-mark=all_outher_packet passthrough=no connection-mark=all_outher  
    Всего записей: 536 | Зарегистр. 28-10-2007 | Отправлено: 07:13 01-02-2011 | Исправлено: faust72rus, 07:13 01-02-2011
    coverman



    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    smileV2008
     

    Цитата:
    ну прописать у этих групп соответствующие днс..... а лучше выдать по dhcp... а еще можно посмотреть в сторону файла hosts если windows) какая задача если не секрет у Вас

     
    Задача прописать для некоторых адресов сервис типа Skydns.  
    Машины с Windows находятся в домене, адреса получают по dhcp, в качестве днс сервера у них контроллер АД на котором прописан адрес Mikrotik (как днс релей) ну и  т. д., также адрес Mikrotik им отдается в качестве шлюза.
    Задача выборочно порезать народу некоторые типы сайтов средствами днс
    Всего записей: 31 | Зарегистр. 14-01-2005 | Отправлено: 08:56 01-02-2011 | Исправлено: coverman, 08:57 01-02-2011
    vlh

    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Smito1
    не src-address-list а src-address
    Всего записей: 770 | Зарегистр. 21-11-2009 | Отправлено: 09:35 01-02-2011
    smileV2008

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vlh
    не, я имел ввиду именно адрес-лист, ну список адресов, которым надо резать коннекты....
    а не работает у него, потому что надо делать /ip firewall filter add и так далее
    а выше  просто пример написал куда какие значения вбивать)  
     
    Добавлено:
    coverman
    так они сами себе нужный днс пропишут, ии файл hosts поправят..... может быть выдавать адреса днс всем, а на микротике разрешить только нужному адрес-листу? в /ip firewall filter
     
    Добавлено:
    Smito1

    Цитата:
    src-address-list=192.168.1.16

    сюда надо не ip вставлять, а имя адрес-листа... а адрес лист с таким именем набить нужными адресами, кому резать коннекты..вот...
    Всего записей: 52 | Зарегистр. 25-03-2008 | Отправлено: 12:17 01-02-2011
    coverman



    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    smileV2008

    Цитата:
    так они сами себе нужный днс пропишут, ии файл hosts поправят..... может быть выдавать адреса днс всем, а на микротике разрешить только нужному адрес-листу? в /ip firewall filter
     
     
    Они себе ничего не могут прописать.
    Всего записей: 31 | Зарегистр. 14-01-2005 | Отправлено: 15:01 01-02-2011
    me2k

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    faust72rus
     
    Если я так делаю, то перестают работать маркеры пакетов по соединению.  
    Соответственно я потом и в Queue Tree отобрать по пакетам не могу.
     
    Т.е. у меня было как:
     

    Код:
     2   ;;; http-connection  
         chain=prerouting action=mark-connection new-connection-mark=http-connection  passthrough=yes protocol=tcp dst-port=80    
       
     3   ;;; http-packet  
         chain=prerouting action=mark-packet new-packet-mark=http-packet passthrough=no connection-mark=http-connection    

     
    А потом уже в Queue Tree
     

    Код:
     2   name="HTTP/HTTPS" parent=global-total packet-mark=http-packet,https-packet limit-at=0 queue=default priority=3  
         max-limit=0 burst-limit=0 burst-threshold=0 burst-time=0s  

    Всего записей: 153 | Зарегистр. 01-10-2007 | Отправлено: 15:58 01-02-2011
    smileV2008

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    coverman

    Цитата:
    может быть выдавать адреса днс всем, а на микротике разрешить только нужному адрес-листу? в /ip firewall filter

    такой вариант тоже не подходит?
    еще пришло в голову: если на коммутаторах есть option82 то можно привязать freeradius и , после анализа откуда и от кого пришел запрос, выдавать разные днс......но "костыль" получается несуразный....
    Всего записей: 52 | Зарегистр. 25-03-2008 | Отправлено: 16:42 01-02-2011
       

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 3)
    ShriEkeR (05-01-2012 00:59):


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2025

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru