Mikrotik, отдельная тема по этому оборудованию Опции

[mussy]

Ранее часто для объединения разных офисов / точек между собой использовал исключительно OPEN VPN. Сейчас начал все больше присматриваться к Mikrotik.

Подскажите, если соединять Mikrotik`овские маршрутизаторы исключительно по EOIP - является ли это достаточным для обеспечения безопасности трафика между офисами? Или нужно еще дополнительно этот туннель шифровать чем-то ?

Сообщение отредактировал Spectral - Jul 15 2020, 22:50

[YaAllex]

Попробуйте метод "поочередного отключения запрещающих правил и оценки результата" - может поможет.

ПС. Небольшие замечания

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

1. Что бы UPnP заработал нужно не только включить, но и настроить(указать внешние/внутренние интерфейсы).
2. У вас включен FastTrack(с ним могут быть неожиданности) -> из документации

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

When FastTrack is enabled, the traffic will bypass queues, firewall and other RouterOS features. When using FastTrack make sure that it is configured properly and does not interfere with other configuration.

Это отличная опция, но почитать "как оно работает" все же стоит.
3. Настройка Nat:
а) Зачем нужны правила 2 и 3, если у Вас 1-ым стоит объединяющее их обоих правило(все подпадает под правило 1 и стоит первым)?
б) Проброс портов осуществляется обычно до маскарадинга.

[mussy]

2 YaAllex
Да, интерфейсы указывал для UPnP. По NAT tiss написал. Без этих правил клиенты из внутренней сети не могут зайти на проброшенный порт сервиса, если обращаются не по внутреннему, а по внешнему адресу.
Самое интересное, что на сервере, куда проброшен порт 3389, работает iFobs, а у бухов не работает... Не понимаю =(

[tiss]

Дорвался до конфига, где работает иФОБС - простая как угол дома.

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input in-interface=eth1-WAN src-address-list="white list"
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN

Я вот задумался - внешний айпи белый? И посмотрел, как сделан доступ рдп из мира:
add action=dst-nat chain=dstnat dst-address=*внешний айпи* dst-port=3389 in-interface=eth1-WAN protocol=tcp to-addresses=192.168.7.252 to-ports=3389

Сообщение отредактировал tiss - Oct 21 2018, 19:23