Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

Открыть новую тему     Написать ответ в эту тему

Germanus



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
 
Предыдущие части темы: часть 1, часть 2, часть 3, часть 4
Официальный сайт: https://mikrotik.com
 
Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS
Тема в варезнике
 
актуальные версии RouterOS:
Stable: 7.14.2 Подробнее... Testing: 7.15b8
Stable: 6.49.13 Long-term: 6.49.10

актуальная версия SwitchOS: 2.17
актуальная версия WinBox: 3.40 32/64-bit Подробнее...

 
Mikrotik — Плюсы и минусы Подробнее...
Видео-экскурсия по заводу Mikrotik Ltd


FAQ по особенностям и тонкостям MikroTik RouterOS  Перейти



Официальная документация:
  • Англоязычный ОФИЦИАЛЬНЫЙ мануал
  • Алфавитный указатель
  • Официальные статьи пользователей RouterOS
  • для версии 3 http://www.mikrotik.com/testdocs/ros/3.0/
  • для версии 2.9 http://www.mikrotik.com/docs/ros/2.9/
  • RouterOS Packet Flow: http://wiki.mikrotik.com/wiki/Packet_Flow (важно знать для понимания сути происходящего в файрволе и шейпере)
  • Совместимое оборудование
  • Описание изменений в новых версиях RouterOS(+rc)
  • RouterBOOT changelog (изменения в boot-версиях загрузчика RouterOS)
  • Система управления пользователями встроенная в RouterOS (RADIUS server)
  • l7-protos.rsc (примеры L7-filter)


    Официальные ресурсы:
    Форум
    Демо-сайт с веб-интерфейсом системы №1        Подробнее...
    Демо-сайт с веб-интерфейсом системы №2        Подробнее...
    MikroTik User Meeting(Конференции пользователей Mikrotik)        Подробнее...
    "Хардварные решения"
    MikroTik News
    MikroTik related video service
    DESIGNS.MIKROTIK.COM - сервис для брендирования продукции Mikrotik.
    Twitter Mikrotik
    MikroTik Training (Хочешь на тренинг? Получить сертификат?)
    Предыдущие версии RouterOS Подробнее...    История релизов  Подробнее...
    Mikrotik Wireless Link Calculator


    Неофициальная русскоязычная документация    Перейти
    Обсуждение ROS(форумы)    Перейти
    Обзоры продуктов RouterBOARD    Перейти


    Русскоязычные ресурсы интернет-магазинов и блоггеров по настройке и тонкостям Mikrotik:  
     


     

     

     
       


     

     
         
     
     
         
     
     
         
     
     
     



    Смежные ресурсы    Перейти
     
    VPN + OSPF в картинках.
    MikroTik Config Parser
    mikrotik.vetriks.ru

    // текущий бэкап шапки..

  • Всего записей: 4418 | Зарегистр. 08-06-2003 | Отправлено: 11:02 07-03-2019 | Исправлено: anton04, 12:30 28-03-2024
    55550000



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vklp
     
    Ну собственно я так и предположил. А в чем тогда разница на представленной выше ссылке в последний двух вариантах настройки l2tp?

    ----------
    Челябинск - родина сладкой стекловаты... Челябинские мужчины настолько суровы, что...

    Всего записей: 1852 | Зарегистр. 16-11-2004 | Отправлено: 20:24 29-04-2019
    zBear



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    не могу понять в чём проблема
     
    при использовании вот таких правил на домашнем микротике я не могу подключаться по RDP к домашнему компу с работы
     
       
     
    если удалить 12-е правило или если до 12 правила я добавлю accept - forward - port 38564 (порт RDP компа), то всё работает

    Всего записей: 1635 | Зарегистр. 20-02-2007 | Отправлено: 16:32 09-05-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    zBear
    12-е правило работает как и должно, в чём проблема?

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 17:00 09-05-2019 | Исправлено: vklp, 17:00 09-05-2019
    HERSOFT



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    не могу понять в чём проблема  

    Вкладку NAT покажи. Наверняка там нет проброса.

    Всего записей: 291 | Зарегистр. 12-07-2008 | Отправлено: 17:11 09-05-2019 | Исправлено: HERSOFT, 17:18 09-05-2019
    zBear



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vklp
    просмотрел несколько инструкций и единственное, что там настраивали - это проброс портов в NAT
    поэтому я решил, что RDP должно относится к 1 правилу для established-related
     
    т.е. это правильное поведение?
    и решение добавить "accept - forward - port 38564" чтобы всё работало тоже правильное?
     
     
    HERSOFT
    ниже картинки тоже есть текст

    Всего записей: 1635 | Зарегистр. 20-02-2007 | Отправлено: 17:19 09-05-2019
    HERSOFT



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    ниже картинки тоже есть текст

    Так 12-е правило дропает (читай херит) ВЕСЬ форвард в сеть. Выключаем его. 13-е тоже всё ВХОДЯЩИЕ убивает.  

    Всего записей: 291 | Зарегистр. 12-07-2008 | Отправлено: 17:24 09-05-2019 | Исправлено: HERSOFT, 17:24 09-05-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    zBear
    Чтобы оно стало established, нужно чтобы первый пакет прошёл, а вы его отбрасываете этим правилом.

    Цитата:
    решение добавить "accept - forward - port 38564" чтобы всё работало тоже правильное?

    Да, правильное, но так-то по идее 12-е правило вообще сомнительное, правильно делать как в заводской конфигурации в правиле "defconf:  drop all from WAN not DSTNATed" - отбрасывать пакеты, которые не были транслированы.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 17:28 09-05-2019
    zBear



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vklp
    заменил мой обычный forward на такой:
     
    /ip firewall filter
    add action=drop chain=forward connection-nat-state=!dstnat connection-state=new in-interface=INTERNET
     
    так тоже работает
     
    спасибо

    Всего записей: 1635 | Зарегистр. 20-02-2007 | Отправлено: 19:19 09-05-2019 | Исправлено: zBear, 20:53 09-05-2019
    Accessor



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Привет. Коллеги, стоит задача запретить все ВПН на компьютере ребёнка. Есть ли какие-то общие правила или под каждый конкретный ВПН будут свои правила? P.S. сейчас вижу используется PsiPhon и встроенный в Оперу впн.

    Всего записей: 2863 | Зарегистр. 31-10-2003 | Отправлено: 13:25 10-05-2019 | Исправлено: Accessor, 13:25 10-05-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Accessor
    общих правил нет и быть не может.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 15:48 10-05-2019
    Accessor



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    А заблокировать протоколы l2tp, ipsec-esp, ipsec-ah ?

    Всего записей: 2863 | Зарегистр. 31-10-2003 | Отправлено: 17:18 10-05-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Accessor
    это конечно можно, только упомянутая вами Опера не имеет к ним никакого отношения - это просто прокси-сервер, тут скорее уже нужно искать и блокировать соответствующие домены Оперы. Когда-то я нашёл, что это можно сделать через добавление статического DNS с регэкспом:

    Код:
    .*\.opera\-mini\.net

    За актуальность не ручаюсь.
     
    Ну а если ребёнок нагуглит, что лучше использовать OpenVPN, то тогда это будут просто TCP соединения на 443 порт, их просто так не заблокируешь.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 17:26 10-05-2019
    Chupaka



    Silver Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Accessor

    Цитата:
    А заблокировать протоколы l2tp, ipsec-esp, ipsec-ah ?

    А заблокировать Forward и настроить в браузере Proxy через RouterOS Web Proxy?

    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 17:39 10-05-2019
    Accessor



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Ну, вариант хороший, конечно. Но надо в течение дня чтоб ребенок имел безграничный доступ в Инет в течение отведённого времени. А затем только лишь браузинг, без развлекаловки типа игры, ятуп и т.д.

    Всего записей: 2863 | Зарегистр. 31-10-2003 | Отправлено: 19:21 10-05-2019
    leshiy_odessa



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Accessor

    Цитата:
    Коллеги, стоит задача запретить все ВПН на компьютере ребёнка.

     
    GRE.
     
    Но если честно, то вы совсем не с того бока заходите.

    Всего записей: 546 | Зарегистр. 23-09-2001 | Отправлено: 20:58 10-05-2019 | Исправлено: leshiy_odessa, 20:59 10-05-2019
    Chupaka



    Silver Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Accessor

    Цитата:
    Ну, вариант хороший, конечно. Но надо в течение дня чтоб ребенок имел безграничный доступ в Инет в течение отведённого времени. А затем только лишь браузинг, без развлекаловки типа игры, ятуп и т.д.

    Firewall Rule можно заставить работать только в нужное время (параметр Time во вкладке Extra) - в остальное время игры будут работать
    А ятуп - это уже не браузинг?..

    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 12:14 11-05-2019
    Murder302



    Adguard
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    День добрый
    Есть Микрот hAP AC lite. Проблема с Full Duplex ПК-роутер-NAS - работает как Half Duplex. В одну сторону - стабильно 100 Мбит/с, а при загрузке с/на NAS одновременно - примерно поровну делится. Вот скрин:
    https://i.imgur.com/UJLaLFf.png
    На роутере порты настроены на 100 Мбит/с Full Duplex с Auto Negrotiation(иначе идут ошибки в не зависимости от используемых кабелей). Расстояние устройств до роутера менее 5 метров.
    У NAS Synology порт гигабитный, в веб морде отображается как 100 Мбит/с Full Duplex.
    На компе переключал в разные режимы - без толку. При обмене между ноутом(WiFi 5 ГГц) и проводным компом проблема повторяется. Ошибок при этом нет.
    В чём может быть проблема?

    Всего записей: 3178 | Зарегистр. 28-06-2006 | Отправлено: 17:33 13-05-2019
    Chupaka



    Silver Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Murder302
    Добрый.
    А что с загрузкой ЦПУ? В него не упирается?

    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 18:45 13-05-2019
    Murder302



    Adguard
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Chupaka
    Нет. Загрузка меньше 10%. В харды тоже не упирается - проверяю с SSD.
    Временами и приём и передача доходят до 60 Мбит/с, видимо Full Duplex работает коряво по какой-то причине. C 2011 не припомню такого.
    https://i.imgur.com/4DgLq9t.png
    Может сам процессор не может осилить, хотя в характеристиках он не на столько убогий.
    ---
    Всё это дело проверяется в локалке. Третьим устройством поставил загрузку из интернетов, и этой задачей почти вся полоса сожралась, будто у внутреннего коммутатора полное бессилие - из интернета качается 8 МБ/с(WAN-WiFi), а внутри локалки с компа на NAS - чуть больше 1 МБ/с. Странно, больше не повторяется, загрузка из интернета теперь не влияет на обмен NAS-комп.
     
    Правила файервола выключал, оставляя дефолтные - видимого изменения нет.
    ---
    Про TCP забыл, видимо из-за подтверждений пакетов такой результат.

    Всего записей: 3178 | Зарегистр. 28-06-2006 | Отправлено: 19:32 13-05-2019 | Исправлено: Murder302, 00:58 14-05-2019
    Sashaiv

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    подскажите пожалуйста
     
    настроен нат
     
    add action=masquerade chain=srcnat out-interface-list=WAN
    add action=dst-nat chain=dstnat comment=Port_rdp_from_pppoe-out_to_SERVER dst-address=хх.х.х.х dst-port=8888 in-interface=pppoe-out protocol=tcp to-addresses=192.168.0.134 to-ports=3389
    add action=dst-nat chain=dstnat comment=Port_rdp_from_LAN_to_SERVER dst-address=хх.х.х.х dst-port=8888 in-interface=bridge-LAN protocol=tcp src-address=192.168.0.0/24 to-addresses=192.168.0.134 to-ports=3389
     
    третье правило не работает, то есть из внутренней сети по внешнему ip по RDP на сервер не зайти. Как сделать чтоб работало? если из первого правила убрать out-interface-list=WAN то работает, но не уверен что это правильно
     

    Всего записей: 9 | Зарегистр. 18-04-2019 | Отправлено: 21:47 17-05-2019
    Открыть новую тему     Написать ответ в эту тему

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru