Mikrotik, отдельная тема по этому оборудованию Опции

[mussy]

Ранее часто для объединения разных офисов / точек между собой использовал исключительно OPEN VPN. Сейчас начал все больше присматриваться к Mikrotik.

Подскажите, если соединять Mikrotik`овские маршрутизаторы исключительно по EOIP - является ли это достаточным для обеспечения безопасности трафика между офисами? Или нужно еще дополнительно этот туннель шифровать чем-то ?

Сообщение отредактировал Spectral - Jul 15 2020, 22:50

[javelin]

Простейший способ это routes -> distance . Трафик пойдет через route с меньшим параметром.

ИМХО, маркировка трафика будет работать, но немного сложно и, для новичка, может привести к неоднозначным результатам.

Тоже думал так, но у меня в route у ISP1 и ISP2 - distance стоит 0 в строках, которые генерируются динамически и я не могу им присвоить ни 1, ни 2...
Почему спрашиваю, а не пробую, потому что пока нахожусь удаленно и не хочу, чтобы я что-то не то нажал и у меня пропал доступ к микротику )))

[YaAllex]

Тоже думал так, но у меня в route у ISP1 и ISP2 - distance стоит 0 в строках, которые генерируются динамически и я не могу им присвоить ни 1, ни 2...
Почему спрашиваю, а не пробую, потому что пока нахожусь удаленно и не хочу, чтобы я что-то не то нажал и у меня пропал доступ к микротику )))

Генерируются динамически - это через DHCP-клиент? Если да, то обратите внимание на вкладку advanced и соответсвенно на поле distance в DHCP-клиенте

[javelin]

Генерируются динамически - это через DHCP-клиент? Если да, то обратите внимание на вкладку advanced и соответсвенно на поле distance в DHCP-клиенте

Точно спасибо! Т.е. если я укажу для основного провайдера - distance=1, а для того, через которого я буду заходить удаленно на mikrotik - distance=2, я смогу зайти зайти на микротик? (дело в том, что я не могу зайти на микротик через основного провайдера из-за ip )

[gonivo]

Точно спасибо! Т.е. если я укажу для основного провайдера - distance=1, а для того, через которого я буду заходить удаленно на mikrotik - distance=2, я смогу зайти зайти на микротик? (дело в том, что я не могу зайти на микротик через основного провайдера из-за ip )

Нажми кнопку Safe Mode в винбоксе, а потом уже делай изменения. Если что то пойдет не так то все само назад вернется. Если уверен что заработало - отжимаешь кнопку.

Вообщем, я сделал все по мануалу, только заменил в IP Adresses адреса ISP1 и ISP2 на 192.168.100.1 и 192.168.200.1, соответственно, и bridge интерфейс LAN оставил на дефолтном 192.168.88.1 (так как с другими настройками интернет в роутере не поднимался) - выход в интернет работает, но в IP routes все гейтвеи 192.168.ххх.254 указаны как unreachable... Просто я не могу понять - .254 - это зарезервированный адрес для гейтвея подсети или как?

Вот такой вышел файлик:

CODE Format

#используя PPC разделим трафик на две группы по исх. адресу и порту
/ip firewall mangle add src-address=192.168.88.0/24 action=mark-routing chain=prerouting new-routing-mark=lan_out_ISP1 per-connection-classifier=src-address-and-port:2/0
/ip firewall mangle add src-address=192.168.88.0/24 action=mark-routing chain=prerouting new-routing-mark=lan_out_ISP2 per-connection-classifier=src-address-and-port:2/1

Вместо 2-х этих правил оставь одно и жестко привяжи метку, например:
/ip firewall mangle add src-address=192.168.88.0/24 action=mark-routing chain=prerouting new-routing-mark=lan_out_ISP1

Сообщение отредактировал gonivo - Jul 28 2020, 17:41

[javelin]

Нажми кнопку Safe Mode в винбоксе, а потом уже делай изменения. Если что то пойдет не так то все само назад вернется. Если уверен что заработало - отжимаешь кнопку.

Вместо 2-х этих правил оставь одно и жестко привяжи метку, например:
/ip firewall mangle add src-address=192.168.88.0/24 action=mark-routing chain=prerouting new-routing-mark=lan_out_ISP1

Спасибо, буду пробовать

[javelin]

А как можно сделать, чтобы я "попал" в подсеть микротика удаленно? А то нужно настроить пару локальных точек доступа

[YaAllex]

А как можно сделать, чтобы я "попал" в подсеть микротика удаленно? А то нужно настроить пару локальных точек доступа

vpn настроить

[Vitaliy_y]

А как можно сделать, чтобы я "попал" в подсеть микротика удаленно? А то нужно настроить пару локальных точек доступа

ssh туннель

[gonivo]

А как можно сделать, чтобы я "попал" в подсеть микротика удаленно? А то нужно настроить пару локальных точек доступа

https://asp24.com.ua/blog/nastrojka-pptp-se...ik/#prettyPhoto

[javelin]

И порежь им торренты.

А как это сделать?)

[gonivo]

А как это сделать?)

До 39-й версии было все просто:
add action=drop chain=forward p2p=all-p2p
Или для надежности промаркировать соединение а потом его грохнуть.
Но потом то ли торренты шифроваться стали то ли микротиковцы решили повые... но этот критерий выпилили.
Потому:
https://www.mansooryousaf.com/2018/01/18/bl...k-version-6-41/
как я думаю ключевыми являются правила:
add action=drop chain=forward dst-port=\
!0-1024,8291,5900,5800,3389,14147,5222,59905 protocol=tcp \
src-address-list=Torrent-Conn
add action=drop chain=forward dst-port=\
!0-1024,8291,5900,5800,3389,14147,5222,59905 protocol=udp \
src-address-list=Torrent-Conn
- кто попал под критерий layer7-protocol=layer7-bittorrent-exp - тому тупо завалить порты 1024-65535 на 2 мин.

[KoNoRIMCI]

ㅤ

Сообщение отредактировал KoNoRIMCI - Nov 4 2025, 15:11

[Sasha74]

питання про мікротік Wi Fi

на даний час налаштовано Capsman і використовуються дві групи точок (використовуються RB951Ui-2HnD) на каналах 1 і 11. Ширина каналу виставлена в Capsmah 20mHz і по факту вона становить 40 mHz. З'явилась потреба поставити точку на каналі 6 і відповідно поставити ширину каналу фактичну 20 mHz, щоб всі канали не пересікалися. і от коли ставлю в Capsman ширину каналу 10 mHz пропадає сигнал на телефонах і ноутбуках, телефони дивився різні.
Що можна зробити в такому випадку?

вирішено, треба поставити extension channel disabled

Сообщение отредактировал Sasha74 - Aug 28 2020, 12:22

[YaAllex]

питання про мікротік Wi Fi

на даний час налаштовано Capsman і використовуються дві групи точок (використовуються RB951Ui-2HnD) на каналах 1 і 11. Ширина каналу виставлена в Capsmah 20mHz і по факту вона становить 40 mHz. З'явилась потреба поставити точку на каналі 6 і відповідно поставити ширину каналу фактичну 20 mHz, щоб всі канали не пересікалися. і от коли ставлю в Capsman ширину каналу 10 mHz пропадає сигнал на телефонах і ноутбуках, телефони дивився різні.
Що можна зробити в такому випадку?

1.Не ставить на 10mHz, а вернуть стандартные 20mHz.
2. Если хотите отключить расширения канала до 40mHz, то Вам нужно отключить опцию "Extension Channel" ->disabled

[uvv802]

Коллеги!
Помогите рулить IPTV трафиком на роутере.

Имеем:
1. адрес потока в плейлисте: хттпсадрес.потока.ком/индекс.м3у/токен=токен
2. роутер

Задача:
1. Поймать трафик (layer 7?)
2. Дать ему приоритет (с этим справлюсь сам)

Без проблем получается при известном IP, (забил в adress list iptv запись адрес.потока.ком (с IP х.х.х.х) и создал правило маркировки пакетов) но на адрес.потока.ком IP периодически меняется,
и тут возникают сложности - пакеты не маркируются
а иногда (есть у меня такие подозрения и torch меня в этом убеждает) что трафик IPTV идет с других адресов (например с адреса у.у.у.у а не с адрес.потока.ком (x.x.x.x))
а дальше не хватает знаний

Спасибо за подсказки в какую сторону копнуть

[H_U_L_K]

А привязаться не к ИП, а к домену не вариант? Вроде бы в ютубе на mikrotik training Рома это рассказывал...

[uvv802]

А привязаться не к ИП, а к домену не вариант? Вроде бы в ютубе на mikrotik training Рома это рассказывал...

ну у домена в плейлисте ИП х.х.х.х, а поток идет с ИП у.у.у.у, а завтра пойдет с ИП z.z.z.z
как быть в этой ситуации, вот в чем вопрос..

[Vitaliy_y]

ну у домена в плейлисте ИП х.х.х.х, а поток идет с ИП у.у.у.у, а завтра пойдет с ИП z.z.z.z
как быть в этой ситуации, вот в чем вопрос..

Понимание как работают редиректы прояснит ситуацию, включите снифер, и поклацайте приставкой, потом в шарке можно посмотреть что творится и как это маркировать.

[uvv802]

Понимание как работают редиректы прояснит ситуацию, включите снифер, и поклацайте приставкой, потом в шарке можно посмотреть что творится и как это маркировать.

Спасибо за наводку!

Ответ с х.х.х.х приходит

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

Hypertext Transfer Protocol
HTTP/1.1 302 Moved Temporarily\r\n
Server: nginx/1.10.3 (Ubuntu)\r\n
Date: Fri, 02 Oct 2020 12:30:56 GMT\r\n
Content-Type: text/html\r\n
Content-Length: 170\r\n
Connection: keep-alive\r\n
Location: http://НОВЫЙ_АДРЕС:8080/14106/index.m3u8?token=токен\r\n
\r\n
[HTTP response 1/1]
[Time since request: 0.044987000 seconds]
[Request in frame: 21]
[Request URI: http://х.х.х.х/14106/index.m3u8?token=ТОКЕН]
File Data: 170 bytes

Теперь как этот редирект запихнуть в правила Mangle, не указывая явно новый ИП?
Куда копнуть?

Сообщение отредактировал uvv802 - Oct 2 2020, 14:43

[Vitaliy_y]

Спасибо за наводку!

Сорян, провтыкал сообщение, маркируйте тогда исходящие запросы и ловите обратный трафик на приставку

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

chain=prerouting action=mark-connection new-connection-mark=preroute
passthrough=yes connection-state=new protocol=tcp
src-address=192.168.88.11 dst-port=443 log=yes log-prefix="!newconn"

chain=postrouting action=mark-packet new-packet-mark=postroute passthrough=yes
dst-address=192.168.88.11 connection-mark=FromHome log=yes
log-prefix="postroute"

ну и дальше в очередях давайте приоритет пакетам

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

сам не тестил