Mikrotik, отдельная тема по этому оборудованию |
Здравствуйте Гость [ Вход | Регистрация ] | Форум в сети 6737-й день
![]() |
Шановні користувачі! Запрошуємо вас до офіційного телеграм-канала 0day Community. Тут ви зможете поспілкуватися одне з одним та дізнатися про останні новини щодо роботи ресурса, поставити запитання до адміністрації, тощо. Перейти до телеграм-канала можна відсканувавши QR-код або натиснувши на посилання: @zeroday_ua |
Mikrotik, отдельная тема по этому оборудованию |
mussy |
Пост
#1
|
Репутация: ![]() ![]() Постоялец ![]() ![]() ![]() Группа: Пользователи Сообщений: 1 410 С нами с: 31-January 08 ![]() |
Ранее часто для объединения разных офисов / точек между собой использовал исключительно OPEN VPN. Сейчас начал все больше присматриваться к Mikrotik.
Подскажите, если соединять Mikrotik`овские маршрутизаторы исключительно по EOIP - является ли это достаточным для обеспечения безопасности трафика между офисами? Или нужно еще дополнительно этот туннель шифровать чем-то ? Сообщение отредактировал Spectral - Jul 15 2020, 22:50 |
![]() ![]() |
Console |
Пост
#2
|
Репутация: ![]() ![]() ultra active user ![]() ![]() ![]() ![]() ![]() ![]() Группа: Пользователи Сообщений: 11 283 С нами с: 23-March 08 ![]() |
Ну тут скорей вопрос уровня паранои..и какая задача стоит Если просто соеденить два удаленых офиса может и хватит EOIP, но там условно есть ограниечение на количество машин.
Если вам нужно не просто соеденить два офиса, а действительно обеспечить еще и защиту логичней наверное IPSec VPN в том же микротике. Или отдельное специализированое оборудывание. |
Vitaliy_y |
Пост
#3
|
Репутация: ![]() ![]() Cтаршой ![]() ![]() Группа: Пользователи Сообщений: 962 С нами с: 3-July 07 ![]() |
eoip, l2tp без шифрования не несут никакой защиты.
Смотря какое оборудование, всякие 2011,951 не жуют ipsec больше 30 мегабит, если нужно гонять ethernet over ip тогда l2tp обернутый ipsec, на нормальных железках качается 100-200 мегабит, если нужны простые туннели можно через ikev2, но там с маршрутизацией поиграться надо. дальше ospf или bgp, анонсишь сети и сидишь в масле ![]() У меня филиалы бегают через l2tp/ipsec, roads через ikev2 Сообщение отредактировал Vitaliy_y - Oct 8 2018, 7:07 |
mussy |
Пост
#4
|
Репутация: ![]() ![]() Постоялец ![]() ![]() ![]() Группа: Пользователи Сообщений: 1 410 С нами с: 31-January 08 ![]() |
пробовал включать IPsec в свойствах EOIP туннеля, TTL вырастает в два раза =(
|
mussy |
Пост
#5
|
Репутация: ![]() ![]() Постоялец ![]() ![]() ![]() Группа: Пользователи Сообщений: 1 410 С нами с: 31-January 08 ![]() |
|
tiss |
Пост
#6
|
Репутация: ![]() ![]() Старожил ![]() ![]() ![]() ![]() Группа: Пользователи Сообщений: 4 818 С нами с: 21-April 09 ![]() |
|
Tiger |
Пост
#7
|
Благодарности: 1756 Репутация: ![]() ![]() Праведник ![]() ![]() ![]() ![]() ![]() ![]() Группа: CуперМодеры Сообщений: 13 194 С нами с: 20-October 06 ![]() |
|
Smog |
Пост
#8
|
Репутация: ![]() ![]() Дух Группа: Пользователи Сообщений: 136 С нами с: 14-May 06 ![]() |
hap ac2 для филиалов самое оно. Идеал по соотношению цена-качество.
|
post_val |
Пост
#9
|
Репутация: ![]() ![]() Активист ![]() Группа: Пользователи Сообщений: 423 С нами с: 6-January 10 ![]() |
|
tiss |
Пост
#10
|
Репутация: ![]() ![]() Старожил ![]() ![]() ![]() ![]() Группа: Пользователи Сообщений: 4 818 С нами с: 21-April 09 ![]() |
|
x1shn1k |
Пост
#11
|
Репутация: ![]() ![]() Старожил ![]() ![]() ![]() ![]() Группа: Пользователи Сообщений: 2 907 С нами с: 2-April 06 ![]() |
|
Tiger |
Пост
#12
|
Благодарности: 1756 Репутация: ![]() ![]() Праведник ![]() ![]() ![]() ![]() ![]() ![]() Группа: CуперМодеры Сообщений: 13 194 С нами с: 20-October 06 ![]() |
|
mussy |
Пост
#13
|
Репутация: ![]() ![]() Постоялец ![]() ![]() ![]() Группа: Пользователи Сообщений: 1 410 С нами с: 31-January 08 ![]() |
Ребята, подскажите, в сети у бухгалетов не работает iFobs клиент банки. Что можно сделать? На TP-link все ок =(
NAT » Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... « Firewall » Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... « UPnP включен Сообщение отредактировал mussy - Oct 19 2018, 15:40 |
tiss |
Пост
#14
|
Репутация: ![]() ![]() Старожил ![]() ![]() ![]() ![]() Группа: Пользователи Сообщений: 4 818 С нами с: 21-April 09 ![]() |
Ребята, подскажите, в сети у бухгалетов не работает iFobs клиент банки. Что можно сделать? На TP-link все ок =( UPnP включен 1. На дефолтном конфиге иФОБС работает без проблем 2. UPnP - это ему не нужно 3. Мне не нравится твое 13 правило 4. иФОБС веб версия или win32 приложение? Сообщение отредактировал tiss - Oct 20 2018, 7:54 |
mussy |
Пост
#15
|
Репутация: ![]() ![]() Постоялец ![]() ![]() ![]() Группа: Пользователи Сообщений: 1 410 С нами с: 31-January 08 ![]() |
tiss
Это я пробовал принудительно написать разрешение на forward этих протоколов. Правило не активно Сообщение отредактировал mussy - Oct 20 2018, 12:01 |
YaAllex |
Пост
#16
|
Репутация: ![]() ![]() Постоялец ![]() ![]() ![]() Группа: Пользователи Сообщений: 1 184 С нами с: 15-November 11 ![]() |
Попробуйте метод "поочередного отключения запрещающих правил и оценки результата" - может поможет.
ПС. Небольшие замечания » Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... « |
tiss |
Пост
#17
|
Репутация: ![]() ![]() Старожил ![]() ![]() ![]() ![]() Группа: Пользователи Сообщений: 4 818 С нами с: 21-April 09 ![]() |
а) Зачем нужны правила 2 и 3, если у Вас 1-ым стоит объединяющее их обоих правило(все подпадает под правило 1 и стоит первым)? Не верно. Первое правило отработает если пакет идет в ван-интерфейс. Попробуйте метод "поочередного отключения запрещающих правил и оценки результата" - может поможет. Я обычно делаю три правила - акцепт в цепочках ин, аут и форвард и ставлю их первыми. Если в таком варианте пакет не улетает в мир... А вот потом уже отключаю запретки. |
mussy |
Пост
#18
|
Репутация: ![]() ![]() Постоялец ![]() ![]() ![]() Группа: Пользователи Сообщений: 1 410 С нами с: 31-January 08 ![]() |
2 YaAllex
Да, интерфейсы указывал для UPnP. По NAT tiss написал. Без этих правил клиенты из внутренней сети не могут зайти на проброшенный порт сервиса, если обращаются не по внутреннему, а по внешнему адресу. Самое интересное, что на сервере, куда проброшен порт 3389, работает iFobs, а у бухов не работает... Не понимаю =( |
tiss |
Пост
#19
|
Репутация: ![]() ![]() Старожил ![]() ![]() ![]() ![]() Группа: Пользователи Сообщений: 4 818 С нами с: 21-April 09 ![]() |
Дорвался до конфига, где работает иФОБС - простая как угол дома.
» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... « Я вот задумался - внешний айпи белый? И посмотрел, как сделан доступ рдп из мира: add action=dst-nat chain=dstnat dst-address=*внешний айпи* dst-port=3389 in-interface=eth1-WAN protocol=tcp to-addresses=192.168.7.252 to-ports=3389 Сообщение отредактировал tiss - Oct 21 2018, 19:23 |
mussy |
Пост
#20
|
Репутация: ![]() ![]() Постоялец ![]() ![]() ![]() Группа: Пользователи Сообщений: 1 410 С нами с: 31-January 08 ![]() |
tiss
да, внешний IP белый. |
![]() ![]() |
![]() |
Упрощённая версия | Сейчас: 25th August 2024 - 13:07 |
Сайт не розміщує електронні версії творів, а займається лише колекціонуванням та каталогізацією посилань, що публікуються нашими користувачами. Якщо Ви є правовласником якоїсь частини опублікованого матеріалу та не бажаєте, щоб посилання на нього знаходилось в нашому каталозі, зв’яжіться з нами і ми видалимо його. Файли для обміну надані користувачами сайту і адміністрація не несе відповідальності за їх вміст. |