Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

Открыть новую тему     Написать ответ в эту тему

Germanus



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
 
Предыдущие части темы: часть 1, часть 2, часть 3, часть 4
Официальный сайт: https://mikrotik.com
 
Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS
Тема в варезнике
 
актуальные версии RouterOS:
Stable: 7.14.2 Подробнее... Testing: 7.15b8
Stable: 6.49.13 Long-term: 6.49.10

актуальная версия SwitchOS: 2.17
актуальная версия WinBox: 3.40 32/64-bit Подробнее...

 
Mikrotik — Плюсы и минусы Подробнее...
Видео-экскурсия по заводу Mikrotik Ltd


FAQ по особенностям и тонкостям MikroTik RouterOS  Перейти



Официальная документация:
  • Англоязычный ОФИЦИАЛЬНЫЙ мануал
  • Алфавитный указатель
  • Официальные статьи пользователей RouterOS
  • для версии 3 http://www.mikrotik.com/testdocs/ros/3.0/
  • для версии 2.9 http://www.mikrotik.com/docs/ros/2.9/
  • RouterOS Packet Flow: http://wiki.mikrotik.com/wiki/Packet_Flow (важно знать для понимания сути происходящего в файрволе и шейпере)
  • Совместимое оборудование
  • Описание изменений в новых версиях RouterOS(+rc)
  • RouterBOOT changelog (изменения в boot-версиях загрузчика RouterOS)
  • Система управления пользователями встроенная в RouterOS (RADIUS server)
  • l7-protos.rsc (примеры L7-filter)


    Официальные ресурсы:
    Форум
    Демо-сайт с веб-интерфейсом системы №1        Подробнее...
    Демо-сайт с веб-интерфейсом системы №2        Подробнее...
    MikroTik User Meeting(Конференции пользователей Mikrotik)        Подробнее...
    "Хардварные решения"
    MikroTik News
    MikroTik related video service
    DESIGNS.MIKROTIK.COM - сервис для брендирования продукции Mikrotik.
    Twitter Mikrotik
    MikroTik Training (Хочешь на тренинг? Получить сертификат?)
    Предыдущие версии RouterOS Подробнее...    История релизов  Подробнее...
    Mikrotik Wireless Link Calculator


    Неофициальная русскоязычная документация    Перейти
    Обсуждение ROS(форумы)    Перейти
    Обзоры продуктов RouterBOARD    Перейти


    Русскоязычные ресурсы интернет-магазинов и блоггеров по настройке и тонкостям Mikrotik:  
     


     

     

     
       


     

     
         
     
     
         
     
     
         
     
     
     



    Смежные ресурсы    Перейти
     
    VPN + OSPF в картинках.
    MikroTik Config Parser
    mikrotik.vetriks.ru

    // текущий бэкап шапки..

  • Всего записей: 4418 | Зарегистр. 08-06-2003 | Отправлено: 11:02 07-03-2019 | Исправлено: anton04, 12:30 28-03-2024
    Chupaka



    Silver Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    K V M

    Цитата:
    dst-limit

    Я тут хоть и с запозданием небольшим, но всё же... Перепроверил: всё ещё актуально. Примерно уже лет сто как в dst-limit всралась ошибка, и параметр expires на самом деле обозначает время в 10 раз меньше, чем задано. Т.е. 30m по факту работает как 3m, например. Это не может быть проблемой?

    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 16:39 03-05-2021
    YuraseK

    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Можно ли в MikroTik сделать так, чтобы при пробросе порта извне на внутреннее устройство (на устройстве не используется шлюз) IP адресом источника выступал IP адрес MikroTik (по аналогии с Source NAT в Kerio Control)?

    Всего записей: 527 | Зарегистр. 12-12-2003 | Отправлено: 12:05 25-05-2021
    Demon

    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Можно ли в MikroTik сделать так, чтобы при пробросе порта извне на внутреннее устройство (на устройстве не используется шлюз) IP адресом источника выступал IP адрес MikroTik (по аналогии с Source NAT в Kerio Control)?

     
    src-nat

    Всего записей: 583 | Зарегистр. 03-10-2001 | Отправлено: 12:11 25-05-2021
    YuraseK

    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Demon
    Вы могли бы привести пример настройки, а то конкретно данный сценарий вызывает у меня затруднения?
     
    Данные для сценария:
    1. Внешнее устройство:
    IP: 1.2.3.4
     
    2. Микротик:
    IP (внешний): 2.3.4.5
    IP (внутренний): 192.168.1.1
     
    3. Локальное устройство:
    IP: 192.168.1.2
    Порт: 8080
     
    Требуется чтобы: 1.2.3.4 > 2.3.4.5:8080 превратилось в 192.168.1.1 > 192.168.1.2:8080.
    Сейчас пока получается только так: 1.2.3.4 > 192.168.1.2:8080.

    Всего записей: 527 | Зарегистр. 12-12-2003 | Отправлено: 13:22 25-05-2021
    Demon

    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    YuraseK
     
    /ip firewall nat
    add action=dst-nat chain=dstnat dst-port=8080 protocol=tcp \
        to-addresses=192.168.1.2 to-ports=8080
    add action=src-nat chain=srcnat dst-address=192.168.1.2 dst-port=\
        8080 protocol=tcp to-addresses=192.168.1.1
     
    Как-то так.

    Всего записей: 583 | Зарегистр. 03-10-2001 | Отправлено: 13:51 25-05-2021
    YuraseK

    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Demon
    Спасибо, всё получилось!

    Всего записей: 527 | Зарегистр. 12-12-2003 | Отправлено: 14:13 25-05-2021
    Paromshick



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Можно ли реализовать на сабже классический статический NAT?
    То есть все, что прилетает на внешний IP тупо перправляется на внутренний, без какого либо исследования. Просто транслируется адрес в адрес. На кошке это

    Код:
    ip nat inside source static 192.168.128.18 xxx.xxx.xxx.18

    Всё, что пришло на xxx.xxx.xxx.18 отсылается на 192.168.128.18 и только на него.
    Микрот это умеет?

    ----------
    Скучно

    Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 20:40 25-05-2021
    Chupaka



    Silver Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Paromshick
    Конечно умеет. Просто удалите все ненужные параметры из любого правила
     
    /ip fi nat add chain=dstnat dst-address=xxx.xxx.xxx.18 action=dst-nat to-addresses=192.x.x.x

    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 03:18 27-05-2021
    Paromshick



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Chupaka
    А в обратном направлении? Всё, что инициирует 192.168.128.18 в сторону шлюза по умолчанию, то есть Микрота, должно вылетать в интернет без всяких изменений, кроме IP адреса источника. Он должен подменяться на xxx.xxx.xxx.18
    И будет мне счастье

    ----------
    Скучно

    Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 10:14 27-05-2021
    Chupaka



    Silver Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Paromshick
    Так ведь аналогично же:
     
    /ip fi nat add chain=srcnat src-address=192.x.x.x action=src-nat to-addresses=xxx.xxx.xxx.18

    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 17:43 29-05-2021
    Paromshick



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Chupaka
    А то, что в /ip firewall filter имеется больше сотни фильтрующих правил? Никак не скажется? Причём многие из них завязаны на интерфейсы или бриджи, а не на IP. Например
    Код:
    /ip firewall filter add chain=forward action=accept src-address-list=LAN protocol=tcp dst-port=21,80,443 out-interface=wan-bridge
    Внутренний адрес входит в лист LAN и выходить он будет через wan-bridge, неужели фильтр не применится?

    ----------
    Скучно

    Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 21:31 29-05-2021
    Demon

    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Paromshick
     
    Winbox-Bridge-Settings-Use IP Firewall

    Всего записей: 583 | Зарегистр. 03-10-2001 | Отправлено: 22:03 29-05-2021
    Paromshick



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Demon
    Три дня гадал шараду, но ничего не понял. Сдаётся мне, что это /ip firewall filter
    И что там?

    ----------
    Скучно

    Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 22:45 02-06-2021
    Chupaka



    Silver Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Paromshick

    Цитата:
    в /ip firewall filter имеется больше сотни фильтрующих правил

    Правила Firewall применяются в таком порядке:
    Dst-NAT - Filter - Src-NAT
     
    Т.е. вам надо, чтобы фильтр пропускал пакеты с изменённым адресом получателя. Адрес отправителя фильтр будет видеть оригинальным.

    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 00:57 03-06-2021
    Demon

    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Paromshick
     

    Цитата:
    Winbox-Bridge-Settings-Use IP Firewall

     
    Это я Вам написал, что нужно сделать, что бы трафик с бриджа попал в Firewall[.

    Всего записей: 583 | Зарегистр. 03-10-2001 | Отправлено: 08:02 03-06-2021
    Paromshick



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Chupaka
    Не могу сказать, что точно понимаю. Есть две цепочки
    Код:
    /ip firewall nat chain=dstnat dst-address=90.xxx.xxx.18 action=dst-nat to-addresses=192.168.128.18
    /ip firewall nat chain=srcnat src-address=192.168.128.18 action=src-nat to-addresses=90.xxx.xxx.18
    Для какого случая справедливо высказывание
    Цитата:
    Адрес отправителя фильтр будет видеть оригинальным
    ?
    Мне очевидно, что адрес отправители из интернета фильтр всегда будет видеть оригинальным.
    Видимо, речь идёт о 192.168.128.18? То есть о внутреннем. К которому применяется трансляция на выходе. Уверен на 99%, но надо 100. Ему надо дать разрешения на весь исходящий трафик.
    Или всё же о внешнем, белом, к которому применяется трансляция на входе? Маловероятно.
    Может так?
    Код:
    /ip firewall nat chain=dstnat dst-address=90.xxx.xxx.18 action=dst-nat to-addresses=192.168.128.18
    /ip firewall filter chain=forward action=accept src-address=192.168.128.18/24 out-interface=wan
    /ip firewall nat chain=srcnat src-address=192.168.128.18 action=src-nat to-addresses=90.xxx.xxx.18



    ----------
    Скучно

    Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 21:53 05-06-2021
    Chupaka



    Silver Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Paromshick

    Цитата:
    Для какого случая справедливо высказывание

    Для случая использования RouterOS.
     

    Цитата:
    Может так?

    Эти правила NAT будут транслировать как входящие из Интернета подключения, так и инициированные самим 192.168.128.18. Но правило фильтра пропускает только то, что идёт от 192.168.128.18 в Интернет. Если у вас есть ещё правило типа accept established перед тем как всё остальное drop - то будут работать соединения, инициированные 192.168.128.18, но не будут те, которые начинаются из Интернета (если нет accept established - вообще ничего работать не будет, поскольку пакеты смогут только уходить, но не возвращаться). Для нормальной двусторонней работы фильтрацию надо делать так:
     

    Код:
    /ip firewall nat chain=dstnat dst-address=90.xxx.xxx.18 action=dst-nat to-addresses=192.168.128.18
    /ip firewall nat chain=srcnat src-address=192.168.128.18 action=src-nat to-addresses=90.xxx.xxx.18
    /ip firewall filter chain=forward action=accept src-address=192.168.128.18 out-interface=wan
    /ip firewall filter chain=forward action=accept dst-address=192.168.128.18 in-interface=wan

     
    P.S. Убрал /24 из адреса - это же ошибка.

    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 00:24 06-06-2021
    alexnov66



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Paromshick
    Надо не только проброс портов делать но и форвард трафика разрешать.

    Всего записей: 1195 | Зарегистр. 29-08-2005 | Отправлено: 05:58 06-06-2021
    towarish

    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Господа есть статья для настройки qos в микротике http://mikrotik.axiom-pro.ru/articles/priorityshaper.php  она писалась для 5 версии ros , пожалуйста подскажите для последних ros 6 что то изменилось , нужно ли что то править ?

    Всего записей: 1507 | Зарегистр. 06-02-2016 | Отправлено: 13:39 06-06-2021
    anton04



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    towarish
     
    А чем не устраивает Приоритизация трафика (QoS) ?

    Всего записей: 2803 | Зарегистр. 14-06-2006 | Отправлено: 16:15 06-06-2021
    Открыть новую тему     Написать ответ в эту тему

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru