Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

Открыть новую тему     Написать ответ в эту тему

Germanus



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
 
Предыдущие части темы: часть 1, часть 2, часть 3, часть 4
Официальный сайт: https://mikrotik.com
 
Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS
Тема в варезнике
 
актуальные версии RouterOS:
Stable: 7.14.2 Подробнее... Testing: 7.15b8
Stable: 6.49.13 Long-term: 6.49.10

актуальная версия SwitchOS: 2.17
актуальная версия WinBox: 3.40 32/64-bit Подробнее...

 
Mikrotik — Плюсы и минусы Подробнее...
Видео-экскурсия по заводу Mikrotik Ltd


FAQ по особенностям и тонкостям MikroTik RouterOS  Перейти



Официальная документация:
  • Англоязычный ОФИЦИАЛЬНЫЙ мануал
  • Алфавитный указатель
  • Официальные статьи пользователей RouterOS
  • для версии 3 http://www.mikrotik.com/testdocs/ros/3.0/
  • для версии 2.9 http://www.mikrotik.com/docs/ros/2.9/
  • RouterOS Packet Flow: http://wiki.mikrotik.com/wiki/Packet_Flow (важно знать для понимания сути происходящего в файрволе и шейпере)
  • Совместимое оборудование
  • Описание изменений в новых версиях RouterOS(+rc)
  • RouterBOOT changelog (изменения в boot-версиях загрузчика RouterOS)
  • Система управления пользователями встроенная в RouterOS (RADIUS server)
  • l7-protos.rsc (примеры L7-filter)


    Официальные ресурсы:
    Форум
    Демо-сайт с веб-интерфейсом системы №1        Подробнее...
    Демо-сайт с веб-интерфейсом системы №2        Подробнее...
    MikroTik User Meeting(Конференции пользователей Mikrotik)        Подробнее...
    "Хардварные решения"
    MikroTik News
    MikroTik related video service
    DESIGNS.MIKROTIK.COM - сервис для брендирования продукции Mikrotik.
    Twitter Mikrotik
    MikroTik Training (Хочешь на тренинг? Получить сертификат?)
    Предыдущие версии RouterOS Подробнее...    История релизов  Подробнее...
    Mikrotik Wireless Link Calculator


    Неофициальная русскоязычная документация    Перейти
    Обсуждение ROS(форумы)    Перейти
    Обзоры продуктов RouterBOARD    Перейти


    Русскоязычные ресурсы интернет-магазинов и блоггеров по настройке и тонкостям Mikrotik:  
     


     

     

     
       


     

     
         
     
     
         
     
     
         
     
     
     



    Смежные ресурсы    Перейти
     
    VPN + OSPF в картинках.
    MikroTik Config Parser
    mikrotik.vetriks.ru

    // текущий бэкап шапки..

  • Всего записей: 4418 | Зарегистр. 08-06-2003 | Отправлено: 11:02 07-03-2019 | Исправлено: anton04, 12:30 28-03-2024
    Deem_Basic



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Добрый вечер. Уважаемые, подскажите пожалуйста куда копать.
    Есть сервер (Ubuntu, что-то там вертится), на нем данные которые вытягиваются через приложение, всё работает нормально но только в локальной сети.
    При пробросе портов, сам сервак видно, приложение пишет что соединение установлено, а вот данные не подтягиваются. Уже что только не делал в нате, ничего не помогает. И dst и netmap и в маскарадинге на wan интерфейсе всё испробовал
    Не пойму почему в локалке по дефолту всё работет как часы а вот при банальном форвардинге именно не подгружаются данные. Порты которые показывает прожка прописывал в нате, эффекта нет. Подскажите направление пожалуйста...
    P.S. в файерволе никаких ограничений не стоит (ну кроме dns flood) и то я уже всё что можно отключал, без толку

    Всего записей: 296 | Зарегистр. 10-10-2006 | Отправлено: 20:09 15-07-2021 | Исправлено: Deem_Basic, 20:13 15-07-2021
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Deem_Basic
    Раз в локалке работает, то посмотреть в фаерволе или wireshark, какие на самом деле соединения создаются между приложением и сервером.
    Ну и некоторые порты иногда блокируются провайдером. В NAT можно посмотреть, капают ли на правилах пакеты или их вообще нет.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 20:27 15-07-2021
    Deem_Basic



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Капают по немногу
    Подскажите пожалуйста, как глянуть по соединениям?

    Всего записей: 296 | Зарегистр. 10-10-2006 | Отправлено: 20:30 15-07-2021
    HERSOFT



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Не пойму почему в локалке по дефолту всё работет как часы а вот при банальном форвардинге именно не подгружаются данные.

    А если попробовать "не стандартный" проброс портов ? У Вас есть сомнения, что пров может блочить некоторые порты ? Попробуйте на те повесить, которые он не сможет блочить.

    Всего записей: 291 | Зарегистр. 12-07-2008 | Отправлено: 22:35 15-07-2021
    alexnov66



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Deem_Basic

    Цитата:
    Порты которые показывает прожка прописывал в нате

    А какие она показывает порты, что гадать не зная что за прога, в фаере сделайте правила разрешающие всё для сервера и проброса, поднимите их на самый верх и проверяйте, проверка надеюсь не из локалки делается.

    Всего записей: 1195 | Зарегистр. 29-08-2005 | Отправлено: 05:52 16-07-2021
    Deem_Basic



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    4006 и 104
    telnetом проверял, 104 не проходит бл

    Всего записей: 296 | Зарегистр. 10-10-2006 | Отправлено: 06:12 16-07-2021 | Исправлено: Deem_Basic, 06:57 16-07-2021
    zBear



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    подскажите, можно как-то лимитировать vpn-подключения только списком юзеров, которые заданы в secrets?
     
    т.е. если там есть пользователь ert456rd, то отсекать сразу попытки логина с другим username
     
     
    я знаю, что есть скрипты, которые отлавливают такие попытки и ставят адреса в блоклисты, меня же интересует вариант вайтлиста, но только по имени юзера, а не по адресу

    Всего записей: 1635 | Зарегистр. 20-02-2007 | Отправлено: 20:24 25-07-2021
    urodliv



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    zBear

    Цитата:
    .е. если там есть пользователь ert456rd, то отсекать сразу попытки логина с другим username

    Ну так попытка входа с неверным логином и последующий отлуп - это разве не отсечение "леваков"?

    ----------
    Очень скоро еда станет совершенно безвкусной, и тогда этот недостаток придётся компенсировать хорошо развитым воображением.

    Всего записей: 6684 | Зарегистр. 29-04-2009 | Отправлено: 21:14 25-07-2021
    zBear



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    urodliv
    да
    ступил
    оно и есть
    но нарисовал в голове более интересную схему
    буду думать

    Всего записей: 1635 | Зарегистр. 20-02-2007 | Отправлено: 10:15 26-07-2021
    HERSOFT



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    меня же интересует вариант вайтлиста, но только по имени юзера, а не по адресу

    Не вижу практического смысла в задумке. Зачем городить скрипт, если гораздо проще отлавливать их по количеству попыток за N-ое время, как, например, попытки доступа по RDP и прям в RAW их долбить.

    Всего записей: 291 | Зарегистр. 12-07-2008 | Отправлено: 11:29 26-07-2021
    321new



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    /ip firewall filter  
    add action=reject chain=forward comment=block_Win_Update content=\  
    update.microsoft.com reject-with=icmp-network-unreachable  
    add action=reject chain=forward comment=block_Win_Update content=\  
    download.microsoft.com reject-with=icmp-network-unreachable  
    add action=reject chain=forward comment=block_Win_Update content=\  
    download.windowsupdate.com reject-with=icmp-network-unreachable  
    add action=reject chain=forward comment=block_Win_Update content=\  
    wustat.windows.com reject-with=icmp-network-unreachable  
    add action=reject chain=forward comment=block_Win_Update content=\  
    stats.microsoft.com reject-with=icmp-network-unreachable  
    add action=reject chain=forward comment=block_Win_Update content=\  
    ntservicepack.microsoft.com reject-with=icmp-network-unreachable  
    add action=reject chain=forward comment=block_Win_Update content=\  
    windowsupdate.com reject-with=icmp-network-unreachable
     
    или лучше
     
    /ip firewall raw
    add chain=prerouting action=drop content=update.microsoft.com
    add chain=prerouting action=drop content=download.microsoft.com
    add chain=prerouting action=drop content=download.windowsupdate.com
    add chain=prerouting action=drop content=windowsupdate.com
    add chain=prerouting action=drop content=wustat.windows.com
    add chain=prerouting action=drop content=ntservicepack.microsoft.com
    add chain=prerouting action=drop content=stats.microsoft.com
    add chain=prerouting action=drop content=wustat.windows.com
    add chain=prerouting action=drop content=windowsupdate.microsoft.com
    add chain=prerouting action=drop content=windowsupdate.microsoft.com
    add chain=prerouting action=drop content=*.windowsupdate.microsoft.com
    add chain=prerouting action=drop content=*.windowsupdate.microsoft.com
    add chain=prerouting action=drop content=crl.microsoft.com/pki/crl/products/MicProSecSerCA_2007-12-04.crl
    add chain=prerouting action=drop content=*.update.microsoft.com
    add chain=prerouting action=drop content=*.update.microsoft.com
    add chain=prerouting action=drop content=*.windowsupdate.com
    add chain=prerouting action=drop content=activation.sls.microsoft.com/
    add chain=prerouting action=drop content=download.windowsupdate.com
    add chain=prerouting action=drop content=download.microsoft.com
    add chain=prerouting action=drop content=*.download.windowsupdate.com
    add chain=prerouting action=drop content=wustat.windows.com
    add chain=prerouting action=drop content=ntservicepack.microsoft.com
    add chain=prerouting action=drop content=go.microsoft.com/
    add chain=prerouting action=drop content=go.microsoft.com/
    add chain=prerouting action=drop content=login.live.com
    add chain=prerouting action=drop content=validation.sls.microsoft.com/
    add chain=prerouting action=drop content=activation-v2.sls.microsoft.com/
    add chain=prerouting action=drop content=validation-v2.sls.microsoft.com/
    add chain=prerouting action=drop content=displaycatalog.mp.microsoft.com/
    add chain=prerouting action=drop content=licensing.mp.microsoft.com/
    add chain=prerouting action=drop content=purchase.mp.microsoft.com/
    add chain=prerouting action=drop content=displaycatalog.md.mp.microsoft.com/
    add chain=prerouting action=drop content=licensing.md.mp.microsoft.com/
    add chain=prerouting action=drop content=purchase.md.mp.microsoft.com/

    на будущее, кто еще прочитает и захочет сделать также. Дико режет скорость интернета. Переделал через AdressList и nat блок, стало все ок.

    Всего записей: 452 | Зарегистр. 03-11-2011 | Отправлено: 08:48 03-08-2021 | Исправлено: 321new, 08:48 03-08-2021
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    321new
    Так это как бы очевидно, что правилами с content нужно пользоваться примерно никогда, тем более адресов у microsoft гораздо больше (см. windows spy block на github)

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 09:06 03-08-2021
    HERSOFT



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Дико режет скорость интернета. Переделал через AdressList и nat блок, стало все ок.
     

    Да, действительно имел место такой факт, но это мы выяснили и исправили ещё две недели.

     
    Подробнее...

    Всего записей: 291 | Зарегистр. 12-07-2008 | Отправлено: 10:18 03-08-2021 | Исправлено: HERSOFT, 10:22 03-08-2021
    321new



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Так это как бы очевидно, что правилами с content нужно пользоваться примерно никогда, тем более адресов у microsoft гораздо больше (см. windows spy block на github)

    кому очевидно то? Тебе? Ну может быть. Ну явно не мне, например, так как я вообще мало имел дел с этой ОС роутера впринципе и многих нюансов не знаю, опята нету. Мне, например, нихрена не очевидно это было, познал это естестно на собственной шкуре. Ладно, проехали.
     
    Добавлено:

    Цитата:
    Да, действительно имел место такой факт, но это мы выяснили и исправили ещё две недели.  

    вот за это благодарочка, гляну как тока дойдут руки поставить микрот назад.

    Всего записей: 452 | Зарегистр. 03-11-2011 | Отправлено: 12:17 03-08-2021 | Исправлено: 321new, 12:32 03-08-2021
    HERSOFT



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    321new

    Цитата:
     гляну как тока дойдут руки поставить микрот назад.

    Посмотрите ещё сюда. В источниках вторая строчка. Вот весь список с неё. Куча адресов, о которых пишет vklp есть в этом скрипте, который можно обновлять через планировщик. Списки я взял первые попавшиеся. Кому это надо, могут сами пошерстить интернет и внести (добавить) свои.  
    ЗЫ: советую выбрать только первые два источника, иначе там список большой и может микротик не справиться с загрузкой и памяти не хватить.

    Всего записей: 291 | Зарегистр. 12-07-2008 | Отправлено: 12:39 03-08-2021 | Исправлено: HERSOFT, 12:52 03-08-2021
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    кому очевидно то? Тебе? Ну может быть.

    Ну текстовый поиск во всём пакете не может считаться быстрым решением, в отличии от проверки по битам в заголовке. Вообще-то я думал, что про это в wiki написано, но там только про layer-7 предупреждают - тоже есть любители этим через одно место пользоваться.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 13:34 03-08-2021
    Deem_Basic



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Добрый вечер. Подскажите пожалуйста, как правильно разделить проводных клиентов от Wi-Fi ?
    Настроен CAPsMAN на CCR и есть 6 точек capAC
    Сейчас все вертятся в одном DHCP, хочу разделить и каждым свой DHCP и пулл.
    Как несколько ssid создавать вроде понял, а вот проводных от беспроводных по разным дхцп не пойму как в капсмен сделать

    Всего записей: 296 | Зарегистр. 10-10-2006 | Отправлено: 19:22 05-08-2021 | Исправлено: Deem_Basic, 19:27 05-08-2021
    ivlex

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Deem_Basic
    Вам нужно создать новый бридж, повесить на него ip-адрес из подсети, отличной от той, которая у вас в проводной сети, и указать этот бридж в datapath капсмэна. Потом в ip - dhcp server настройте мастером dhcp на этом бридже. Настройки фаерволла по вашему вкусу.

    Всего записей: 21 | Зарегистр. 05-02-2007 | Отправлено: 22:04 05-08-2021
    alexnov66



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Deem_Basic
    dhcp вешается каждый на отдельный интерфейс, создаёте виртуальный интерфейс с своим ssid и на каждый можно свой dhcp сервер повесить. Не обязательно в бридж пихать если это не нужно.

    Всего записей: 1195 | Зарегистр. 29-08-2005 | Отправлено: 01:42 06-08-2021 | Исправлено: alexnov66, 01:44 06-08-2021
    Deem_Basic



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    И снова здравствуйте
    По посту выше, спасибо большое, всё получилось как и хотел.
     
    Задача следующая:
    один бридж (дхцп и т.д.), два провайдера, пока всё работает как резервный канал failower.
    теперь необходимо что бы часть клиентов и серверов из бриджа работала по одному из провайдеров, часть серваков (включая dhcp клиентов) по второму???
     
    При этом всё это параллельно и что бы все друг друга видели  
     
    Уточнение, в бридже 10 портов, 3 из него нужно вытащить (сервер, свитч-клиенты и т.д.) и пустить по резервному каналу.
     
    Заранее, спасибо за помощь.
     
    P.S. Если я сам себя правильно понял, то получается мне необходимо один маршрутизатор как-бы разделить на два и соединить патч-кордом что ли !? ))

    Всего записей: 296 | Зарегистр. 10-10-2006 | Отправлено: 07:20 10-08-2021 | Исправлено: Deem_Basic, 08:38 10-08-2021
    Открыть новую тему     Написать ответ в эту тему

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru