ShriEkeR Moderator Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору     MikroTik RouterOS (часть 1), MikroTik RouterOS (часть 2) Официальный сайт: http://www.mikrotik.com   Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS Тема в варезнике     последняя устаревшая версия: 4.17 последняя стабильная версия: 5.11       Официальная документация: http://wiki.mikrotik.com/wiki/Category:Manual для версии 3.х http://www.mikrotik.com/testdocs/ros/3.0/ для версии 2.9.х http://www.mikrotik.com/docs/ros/2.9/ RouterOS Packet Flow: http://wiki.mikrotik.com/wiki/Packet_Flow (важно знать для понимания сути происходящего в файрволе и шейпере)   Обмен опытом пользователей MikroTik RouterOS: http://wiki.mikrotik.com/wiki/Main_Page   Настройка подключения L2TP IPSec VPN между Windows 7 и Микротиком Дополнение к настройке L2TP IPsec   Обсуждение ROS: Раздел форума PCRouter, посвященный MikroTik RouterOS Раздел форума DriverMania. Много полезного.   Статьи: Перевод официального документа о QoS, очередях и шейпере. Краткий FAQ по настройке (первоисточник). Объединяем офисы с помощью Mikrotik Делим Интернет или QoS на Mikrotik (первоисточник). Установка и настройка ABillS + Mikrotik на Gentoo Linux.   Mikrotik-Qos Приоритезация по типу трафика и деление скорости Всего записей: 6382 | Зарегистр. 27-09-2004 | Отправлено: 21:25 23-08-2010 | Исправлено: Chupaka, 14:25 19-12-2011

Chupaka Silver Member Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору Цитата: вот например для UDP сдесь все правильно метится? нет. правильно - это когда, например, connection-state=new они актуальны, видимо, в условиях жёсткой нехватки ресурсов роутера. ограничивают максимальную длину пакетной очереди для каждой подочереди и максимальную суммарную длину всех очередей. на PC я не заморачиваюсь, увеличиваю limit раза в два-три от дефолта и делаю total-limit=limit*макс.число_активных_клиентов   Добавлено: Цитата: как можно метить скажем трафик icq и пересылать его через определенный шлюз? для начала - сформулировать, что такое "трафик ICQ". можно попробовать, например, определять его по protocol=tcp dst-port=5190. навесить нужный routing-mark - и будет счастье   Цитата: а то у меня несколько шлюзов и в итоге icq часто переподключается использовать PCC - проблему снимет кардинально   rambo15 Цитата: все верно? да Всего записей: 3752 | Зарегистр. 05-05-2006 | Отправлено: 14:18 19-11-2010

rambo15 Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Chupaka так и делаю. IP -> Firewall -> Mangle -> New   закладка General   chain preprouting   src adr. 192.168.100.0/24 (моя сеть)   Protocol - TCP   Dst Port - 5190 закладко Action   Action - mark routing   New Routing Mark: - icq галочка сотит еще на - passthrough потом в IP -> Routes -> Routes -> New   Destination 0.0.0.0/0   Gateway шлюз через который пойдёт, например 192.168.13.1 (тот шлюз через который я хочу отправлять icq трафик) Mark: icq ПОСЛЕ всего этого у меня ВЕСЬ трафик начинает почему то идти через 192.168.13.1 Всего записей: 311 | Зарегистр. 14-08-2006 | Отправлено: 15:28 19-11-2010

Chupaka Silver Member Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору Цитата: ПОСЛЕ всего этого у меня ВЕСЬ трафик начинает почему то идти через 192.168.13.1 а роутинг метится точно только для 5190? весь по-любому не должен Всего записей: 3752 | Зарегистр. 05-05-2006 | Отправлено: 15:34 19-11-2010

Chupaka Silver Member Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору vlh в идеале - так:   Код:   add action=mark-packet chain=prerouting comment="" disabled=no in-interface=LAN new-packet-mark=udp_unlimit_out passthrough=no protocol=udp connection mark=conn_udp_unlimit   add action=mark-packet chain=prerouting comment="" disabled=no in-interface="PABLIC-3 (U)" new-packet-mark=udp_unlimit_in passthrough=no protocol=udp connection mark=conn_udp_unlimit   add action=mark-connection chain=prerouting comment="udp unlimit" disabled=no new-connection-mark=conn_udp_unlimit passthrough=yes protocol=udp src-address-list="(PCQ_QoS_Unlim)"     add action=mark-packet chain=prerouting comment="" disabled=no in-interface=LAN new-packet-mark=udp_unlimit_out passthrough=no protocol=udp connection mark=conn_udp_unlimit   add action=mark-packet chain=prerouting comment="" disabled=no in-interface="PABLIC-3 (U)" new-packet-mark=udp_unlimit_in passthrough=no protocol=udp connection mark=conn_udp_unlimit     т.е. по существующей метке метим всё, что можно, а потом, если такого не нашли, ставим метку - и ещё раз метим пакеты. правила с пакетами можно в отдельную цепочку вынести и два раза её вызывать Всего записей: 3752 | Зарегистр. 05-05-2006 | Отправлено: 18:40 19-11-2010

vlh Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Chupaka это столько нужно правил что бы пометить UDP трафик для одной группы? обалдеть... наверное я останусь на старом конфиге где для этого нужно всего два правила: Код: 21   ;;; udp unlimit      chain=prerouting action=mark-packet new-packet-mark=udp_unlimit_out        passthrough=no protocol=udp src-address-list=(PCQ_QoS_Unlim) in-interface=LAN   22   chain=prerouting action=mark-packet new-packet-mark=udp_unlimit_in        passthrough=no protocol=udp in-interface=PABLIC-3 или ты хочешь и тут развеять мои сомнения по поводу правильности этих правил? и потом где ты меня путаешь и по твоим правилам не получается что соединение и пакет пометятся, смотрим - движется пакет по прероутингу и на пути у него первое твое правило: Код: add action=mark-packet chain=prerouting comment="" disabled=no in-interface=LAN new-packet-mark=udp_unlimit_out passthrough=no protocol=udp connection mark=conn_udp_unlimit   которое метит пакеты маркой udp_unlimit_ou на основании соединения conn_udp_unlimit прости но такого соединения еще нет, оно же выше по прероутингу еще не помечено .... что ты меня путаешь, понимаю выходные на носу :0 Всего записей: 770 | Зарегистр. 21-11-2009 | Отправлено: 21:51 19-11-2010 | Исправлено: vlh, 22:07 19-11-2010

Chupaka Silver Member Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору Цитата: или ты хочешь и тут развеять мои сомнения по поводу правильности   этих правил? никак нет. я просто говорю, что их ещё можно оптимизировать по производительности. а работать и эти будут   Цитата: которое метит пакеты маркой udp_unlimit_ou на основании соединения conn_udp_unlimit   прости но такого соединения еще нет, оно же выше по прероутингу еще не помечено ....   что ты меня путаешь, понимаю выходные на носу :0 ну что, эта песня хороша, начинай сначала... добро пожаловать в первый класс метки пакета и роутинга на вновь пришедшем пакете девственно чисты (no-mark). метка соединения - это немножко другое. каждый пакет попадает в первую очередь в Connection Tracking, и если он принадлежит уже установленному соединению - то метка соединения на него устанавливается прямо здесь, ещё до срабатывания любых правил файрвола. т.е. если мы на первый пакет соединения повесили метку - то эта метка будет автоматически появляться у всех пакетов данного соединения (причём как исходящих, так и входящих)   поэтому логика вышеприведённых правил такова: если соединение уже помечено (что будет у 99% пакетов), то сразу вешаем метку пакета - и уходим. если же нет - то метим соединение на основе адрес-листа (что само по себе не очень быстро), и повторяем процедуру размечивания пакета. да, 1% пакетов будет обрабатываться чуть дольше, зато 99% пролетят со свистом   как-то так   Добавлено: Цитата: чтобы <...> не надо было перемешать пк из одного класса в другой какого класса? О_о   Цитата: Для 2 варианта можно EthernetOverIP использовать, но он уже должен быть на другом протоколе на каком протоколе?!? о чём тут речь?   а EoIP можно использовать в обоих случаях, просто в первом к нему ещё надо прикрутить IPSec Всего записей: 3752 | Зарегистр. 05-05-2006 | Отправлено: 18:00 20-11-2010

vlh Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: я просто говорю, что их ещё можно оптимизировать по производительности хорошо, тогда вопрос если у меня на 450g проц загружен примерно на 25% и изредка на 50% то можно этому верить, что загрузки ни какой нет и оптимизировать правила нет необходимости, то есть разницы в производительности (открытии страниц и т.д.) будет не заметно? и если по вечерам внешний канал бывает загружен на 100% а проц по прежнему 25% то оптимизация правил тоже ни чего не даст? я понимаю, что если канал загружен то что тут сделаешь, но вдруг Всего записей: 770 | Зарегистр. 21-11-2009 | Отправлено: 12:05 21-11-2010 | Исправлено: vlh, 12:08 21-11-2010

Chupaka Silver Member Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору vlh да, если по процу затыка нет - то тут и смысла городить огород в плане нагрузки на него особо не появляется Всего записей: 3752 | Зарегистр. 05-05-2006 | Отправлено: 17:05 21-11-2010

Chupaka Silver Member Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору bigex2 пакет routerboard установлен? Всего записей: 3752 | Зарегистр. 05-05-2006 | Отправлено: 11:14 22-11-2010

bigex2 Newbie Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору да, конечно     Всего записей: 9 | Зарегистр. 22-10-2010 | Отправлено: 11:27 22-11-2010

Sergey Sosnovsky Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Цитата: Внутри сети сервер 192.168.0.100. Из интернет  и в сети к нему подключаются по RDP 3389 порт.   Сделал правило как в help /ip firewall nat add chain=dstnat dst-address=69.69.69.69 protocol=tcp dst-port=3389 \       action=dst-nat to-addresses=192.168.1.100 to-ports=3389   Пробрасывать другой порт. И подключаться по нему. mstsc /v:xxx:9999   /ip firewall nat add chain=dstnat dst-address=69.69.69.69 protocol=tcp dst-port=9999 \       action=dst-nat to-addresses=192.168.1.100 to-ports=3389 Всего записей: 86 | Зарегистр. 07-07-2004 | Отправлено: 13:11 22-11-2010

Chupaka Silver Member Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору dellby я что-то всё ещё не понимаю проблемы... у серверов в разных городах один внешний IP-адрес?.. Всего записей: 3752 | Зарегистр. 05-05-2006 | Отправлено: 16:13 22-11-2010

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 3)

ShriEkeR (05-01-2012 00:59):

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование