Перейти из форума на сайт.

Новости • Файловые архивы
Поиск • Активные темы • Топ лист
Правила • Кто в on-line?
Вход • Забыли пароль? • Первый раз на этом сайте? • Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 4)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

articlebot (11-03-2019 21:34): продолжение в MikroTik RouterOS (часть 5)  Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 161 162 163 164 165 166 167 168 169 170 171 172 173 174 175 176 177 178 179 180 181 182 183 184 185 186 187 188 189 190 191 192 193 194 195 196 197 198 199 200

   

evgeniy7676



Junior Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
 
MikroTik RouterOS (часть 1), MikroTik RouterOS (часть 2), MikroTik RouterOS (часть 3), MikroTik RouterOS (часть 4)
Официальный сайт: http://www.mikrotik.com
 
Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS
Тема в варезнике
 
 
актуальные версии RouterOS:
Stable: 6.44 Long-term: 6.42.11
актуальная версия SwitchOS: 2.9
актуальная версия WinBox: 3.18

 
Mikrotik — Плюсы и минусы Подробнее...
Видео-экскурсия по заводу Mikrotik Ltd

FAQ по особенностям и тонкостям MikroTik RouterOS  Перейти

Официальная документация:
  • Англоязычный ОФИЦИАЛЬНЫЙ мануал
  • Алфавитный указатель
  • Официальные статьи пользователей RouterOS
  • для версии 3.х http://www.mikrotik.com/testdocs/ros/3.0/
  • для версии 2.9.х http://www.mikrotik.com/docs/ros/2.9/
  • RouterOS Packet Flow: http://wiki.mikrotik.com/wiki/Packet_Flow (важно знать для понимания сути происходящего в файрволе и шейпере)
  • Совместимое оборудование
  • Описание изменений в новых версиях RouterOS(+rc)
  • RouterBOOT changelog (изменения в boot-версиях загрузчика RouterOS)
  • Система управления пользователями встроенная в RouterOS (RADIUS server)
  • l7-protos.rsc (примеры L7-filter)


    Официальные ресурсы:
    Форум
    Демо-сайт с веб-интерфейсом системы №1        Подробнее...
    Демо-сайт с веб-интерфейсом системы №2        Подробнее...
    MikroTik User Meeting(Конференции пользователей Mikrotik)        Подробнее...
    "Хардварные решения"
    MikroTik News
    MikroTik related video service
    DESIGNS.MIKROTIK.COM - сервис для брендирования продукции Mikrotik.
    Twitter Mikrotik
    MikroTik Training (Хочешь на тренинг? Получить сертификат?)
    Предыдущие версии RouterOS Подробнее...    История релизов  Подробнее...
    Mikrotik Wireless Link Calculator


    Неофициальная русскоязычная документация    Перейти
    Обсуждение ROS(форумы)    Перейти
    Обзоры продуктов RouterBOARD    Перейти

    Русскоязычные блоги интернет-магазинов и блоггеров по настройке и тонкостям Mikrotik:  
     


    		  

    		 

    		 
       


    		  

    		 
    		     
     
    		 
    		     
     
    		 
    		     
     
    		 
    		 


    Смежные ресурсы    Перейти
     
    VPN + OSPF в картинках.
    MikroTik Config Parser
    mikrotik.vetriks.ru
    // текущий бэкап шапки..
    • Всего записей: 124 | Зарегистр. 19-03-2009 | Отправлено: 16:55 30-03-2016 | Исправлено: anton04, 15:34 28-02-2019
    anahaym

    Full Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Попробуйте включить маскардинг без указания диапазонов адресов и интерфейсов.  

    сделал:

    Код:
    Flags: X - disabled, I - invalid, D - dynamic  
     0    chain=srcnat action=masquerade log=no log-prefix=""  

    ничего не поменялось.
    Всего записей: 586 | Зарегистр. 24-03-2007 | Отправлено: 20:10 22-09-2016
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    anahaym

    Цитата:
    Почему правый МК просто не переадресовывает клиента на левый МК, а отправляет запросы от своего имени?

    потому что маскарад
     
    и вообще, маскарадить по src-address - очень плохо. укажите, как нормальные люди, out-interface=WAN - и вуаля, и проблемы бы не было, и правило только одно надо, а не три
    Всего записей: 3743 | Зарегистр. 05-05-2006 | Отправлено: 20:12 22-09-2016
    kikimer99

    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    А возможно ли отработка задания по событие из лога?
    Всего записей: 9 | Зарегистр. 26-11-2014 | Отправлено: 20:13 22-09-2016
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    kikimer99
    http://wiki.mikrotik.com/wiki/Monitor_logs,_send_email_alert_/_run_script
    Всего записей: 3743 | Зарегистр. 05-05-2006 | Отправлено: 20:16 22-09-2016
    anahaym

    Full Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    и вообще, маскарадить по src-address - очень плохо

    это почему же? по src я указываю, какие сети натить. остальные не будут попадать под правило.
    так же я использовал src когда одну сеть натил (на кошке) в один IP, а другую сеть в другой IP.

    Цитата:
    out-interface=WAN - и вуаля

    сделал:

    Код:
    Flags: X - disabled, I - invalid, D - dynamic  
     0    chain=srcnat action=masquerade out-interface=Ethernet1 - ISP log=no log-prefix=""

     
    нат между сетями пропал. интернет тоже...
    Всего записей: 586 | Зарегистр. 24-03-2007 | Отправлено: 20:17 22-09-2016
    kikimer99

    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Премного благодарен за инфу.
    Всего записей: 9 | Зарегистр. 26-11-2014 | Отправлено: 20:29 22-09-2016 | Исправлено: kikimer99, 20:29 22-09-2016
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    anahaym

    Цитата:
    это почему же? по src я указываю, какие сети натить. остальные не будут попадать под правило

    вот это и плохо. пакеты будут улетать в сторону провайдера, а маскарадиться не будут. т.е. канал можно забить флудом даже из "неразрешённой" сети
     

    Цитата:
    нат между сетями пропал. интернет тоже

    есть подозрение, что WAN неправильно указан никакой pppoe и прочий vpn не используется?
    Всего записей: 3743 | Зарегистр. 05-05-2006 | Отправлено: 20:30 22-09-2016
    anahaym

    Full Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    а маскарадиться не будут.

    видимо мы друг друга не поняли. ладно, проехали.

    Цитата:
    никакой pppoe и прочий vpn не используется?

    ога, есть такой. надо его указывать? сейчас сделаю.

    Код:
    Flags: X - disabled, I - invalid, D - dynamic  
     0    chain=srcnat action=masquerade out-interface=T-online log=no log-prefix=""

    да, всё гут!
    Спасибо!
     
    а подскажите, пожалуйста, по firewall. сейчас так настроил, но правила не влкючал, боюсь отключит мой winbox , и всё...

    Код:
    [admin@MT-GW] > ip firewall filter print  
    Flags: X - disabled, I - invalid, D - dynamic  
     0    chain=forward action=accept src-address=192.168.29.0/24 log=no log-prefix=""  
     
     1 XI  chain=input action=accept connection-state=established in-interface=Ethernet1 - ISP log=no log-prefix=""  
     
     2 XI  chain=input action=accept connection-state=related in-interface=Ethernet1 - ISP log=no log-prefix=""  
     
     3 XI  chain=input action=drop in-interface=Ethernet1 - ISP log=no log-prefix=""  
     
     4 XI  chain=forward action=drop log=no log-prefix=""  

    или тут тоже указывать не физический интерфейс, а от PPPOE ?
    Всего записей: 586 | Зарегистр. 24-03-2007 | Отправлено: 20:37 22-09-2016
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    anahaym

    Цитата:
    видимо мы друг друга не поняли

    нет, это вы меня не поняли. маскарадинг - это не разрешение доступа в Интернет. без него пакеты будут улетать, но провайдер увидит их с адресов ваших внутренних, поэтому в лучшем случае дропнет. но через шейпер они уже прошли
     

    Цитата:
    или тут тоже указывать не физический интерфейс, а от PPPOE ?

    видимо, да. данные правила будут дропать пакеты с Ethernet1, так что если вы подключены с другого порта - ничего они не сделают. ну, кроме четвёртого: под него попадут все пакеты из Интернета к пользователям, так что доступ в Интернет у всех пропадёт.
    Всего записей: 3743 | Зарегистр. 05-05-2006 | Отправлено: 20:42 22-09-2016
    anahaym

    Full Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    ну, кроме четвёртого: под него попадут все пакеты из Интернета к пользователям, так что доступ в Интернет у всех пропадёт.

    так как тогда настроить так, чтобы дропало то, что нельзя, что лезет само. А то, что пользователь запросил - пропускало обратно?
    ведь 1 и 2 разрешают как раз установленные соединения. Например, моя сессия с рубордом...
    Всего записей: 586 | Зарегистр. 24-03-2007 | Отправлено: 20:45 22-09-2016
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    anahaym
    почитайте про файрвол. chain=input - это трафик, предназначенный непосредственно роутеру (управление, отсылка почты с него, прокси всякие), а forward - это трафик, который входит в роутер в один интерфейс, а выходит из другого
    Всего записей: 3743 | Зарегистр. 05-05-2006 | Отправлено: 20:48 22-09-2016
    anahaym

    Full Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    почитайте про файрвол. chain=input - это трафик, предназначенный непосредственно роутеру (управление, отсылка почты с него, прокси всякие), а forward - это трафик, который входит в роутер в один интерфейс, а выходит из другого

    ога. то есть надо так:

    Код:
    [admin@MT-GW] > ip firewall filter print  
    Flags: X - disabled, I - invalid, D - dynamic  
     0    chain=forward action=accept src-address=192.168.29.0/24 log=no log-prefix=""  
     
     1 XI  chain=forward action=accept connection-state=established in-interface=T-online log=no log-prefix=""  
     
     2 XI  chain=forward action=accept connection-state=related in-interface=T-online log=no log-prefix=""  
     
     3 XI  chain=input action=drop in-interface=T-online log=no log-prefix=""  

    Всего записей: 586 | Зарегистр. 24-03-2007 | Отправлено: 20:54 22-09-2016
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    anahaym
    неплохо бы сформулировать задачу. например, если роутер указан клиентам как DNS, то #4 будет с большой вероятностью дропать DNS-ответы от вышестоящего сервера (провайдера), так что Интернет в каком-то смысле пропадёт
     
    а то, что вы в цепочку forward напихали правил action=accept, ничего не меняет: по умолчанию все пакеты в цепочке акцептятся. поэтому надо хоть что-нибудь дропнуть, чтобы правила не болтались без пользы
     
    по описанию из предыдущего поста вам должно хватить просто
    Код:
    /ip firewall filter add chain=forward connection-state=new connection-nat-state=!dstnat in-interface=T-online action=drop
    Всего записей: 3743 | Зарегистр. 05-05-2006 | Отправлено: 21:03 22-09-2016
    anahaym

    Full Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Chupaka вклюли свои правила (коллеги наконец-то ушли по домам) - на удалённом сервере запустил nmap - host down!
    сейчас попробую просто ваше правило ...

    Код:
    chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=T-online log=no log-prefix=""

    попробовал:
     

    Код:
    Scanning blabla.com (XXX.XXX.XXX.XXX) [65535 ports]
    Discovered open port 22/tcp on XXX.XXX.XXX.XXX
    Discovered open port 80/tcp on XXX.XXX.XXX.XXX
    Discovered open port 2000/tcp on XXX.XXX.XXX.XXX
    Discovered open port 8728/tcp on XXX.XXX.XXX.XXX
    Discovered open port 8729/tcp on XXX.XXX.XXX.XXX
    Discovered open port 8291/tcp on XXX.XXX.XXX.XXX

     
     
    вообщем сейчас так работает:

    Код:
    0 XI  chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=T-online log=no log-prefix=""  
     1    chain=input action=accept protocol=icmp in-interface=T-online log=no log-prefix=""  
     2    chain=forward action=accept src-address=192.168.29.0/24 log=no log-prefix=""  
     3    chain=forward action=accept connection-state=established in-interface=T-online log=no log-prefix=""  
     4    chain=forward action=accept connection-state=related in-interface=T-online log=no log-prefix=""  
     5    chain=input action=drop in-interface=T-online log=no log-prefix=""  

    нулевое правило выключено
    1-2-3-4 разрешают пинг на роутер и, наверное, установленные соединения, т.к. интеренет есть
    5 запрещает всё на порт PPPOE
    Всего записей: 586 | Зарегистр. 24-03-2007 | Отправлено: 21:13 22-09-2016 | Исправлено: anahaym, 21:36 22-09-2016
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    anahaym

    Цитата:
    сейчас попробую просто ваше правило


    Цитата:
    Discovered open port

    всё правильно. моё правило влияет на проходящий сквозь роутер трафик (forward), а указанные порты открыты на самом роутере. как я и говорил, для начала
    Цитата:
    неплохо бы сформулировать задачу

     

    Цитата:
    вообщем сейчас так работает

    правила 2,3,4 не нужны и только слегка нагружают роутер, поскольку остальные пакеты в forward и так accept'ятся. их можно убрать - и ничего не изменится
    Всего записей: 3743 | Зарегистр. 05-05-2006 | Отправлено: 23:40 22-09-2016
    anahaym

    Full Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    для начала  
    Цитата:
    неплохо бы сформулировать задачу


    Цитата:
    второй вопрос, немного не по этой теме:  
    сейчас у меня включен только NAT. Какие правила мне написать в firewall, чтобы закрыть подключения из вне?

    стандартная настройка роутера с firewall:
    - раздать интернет
    - закрыть доступ из вне к ресурсам внутренней сети
    - и самому роутеру
     

    Цитата:
    правила 2,3,4 не нужны и только слегка нагружают роутер

    ок, тогда оставлю 1 и 5, хотя и 1 можно будет убрать.
     
    Спасибо за помощь Chupaka
    Всего записей: 586 | Зарегистр. 24-03-2007 | Отправлено: 23:54 22-09-2016
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    anahaym
    1, говорят, лучше не убирать. мало ли придут какие полезные сообщения для PMTU Discovery и иже с ними
     
    Добавлено:
    а моё правило всё же рекомендую оставить, на всякий случай =)
    Всего записей: 3743 | Зарегистр. 05-05-2006 | Отправлено: 02:13 23-09-2016
    dragovich01

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Здравствуйте. Закрыл на роутере Mikrotik v6.30 всем пользователям соцсети через Layer7 - работает. Теперь нужно конкретным юзерам с конкретными IP открыть доступ к этим самым соцсетям, не могу догнать как. Подскажите пожалуйста.
    Всего записей: 104 | Зарегистр. 03-09-2014 | Отправлено: 04:17 23-09-2016
    Simply_Kot

    Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    dragovich01
    1. Создаете список адресов разрешенных пользователей
    2. В закрывающем правиле добавляете исключения для списка адресов разрешенных пользователей
    Всего записей: 229 | Зарегистр. 07-02-2007 | Отправлено: 08:03 23-09-2016
    dragovich01

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Simply_Kot
    список создал.
    а где в закрывающем правиле указать список? как оно называется?
    Всего записей: 104 | Зарегистр. 03-09-2014 | Отправлено: 08:43 23-09-2016
       

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 161 162 163 164 165 166 167 168 169 170 171 172 173 174 175 176 177 178 179 180 181 182 183 184 185 186 187 188 189 190 191 192 193 194 195 196 197 198 199 200

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 4)
    articlebot (11-03-2019 21:34): продолжение в MikroTik RouterOS (часть 5)


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru

    Рейтинг.ru