MikroTik RouterOS (часть 5) - [25] :: В помощь системному администратору :: Компьютерный форум Ru.Board
Перейти из форума на сайт.

Новости • Файловые архивы
Поиск • Активные темы • Топ лист
Правила • Кто в on-line?
Вход • Забыли пароль? • Первый раз на этом сайте? • Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126

Открыть новую тему     Написать ответ в эту тему

Germanus



Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Предыдущие части темы
 
Официальный сайт
 
Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS
Тема в варезнике  [?]
 
актуальные версии RouterOS:
Stable: 7.18.2 changelogs Testing: 7.19b8
Stable: 6.49.17 Long-term: 6.49.13
актуальная версия SwitchOS: 2.17
актуальная версия WinBox: 3.41 32/64-bit Подробнее... [?]

Mikrotik — Плюсы и минусы [?]

FAQ по особенностям и тонкостям MikroTik RouterOS  Перейти [?]

Официальная документация:
  • MikroTik Documentation
  • Packet Flow in RouterOS (важно знать для понимания сути происходящего в файрволе и шейпере)
  • News
  • Система управления пользователями встроенная в RouterOS (RADIUS server)

    Официальные ресурсы:
    Форум
    Демо-сайт с веб-интерфейсом системы №1, №2        Подробнее... [?]
    MikroTik User Meeting(Конференции пользователей Mikrotik)        Подробнее... [?]
    "Хардварные решения"
    DESIGNS.MIKROTIK.COM - сервис для брендирования продукции Mikrotik.
    Twitter Mikrotik
    MikroTik Training (Хочешь на тренинг? Получить сертификат?)
    Предыдущие версии RouterOS Подробнее... [?]    История релизов  Подробнее... [?]
    Mikrotik Wireless Link Calculator


    Неофициальная русскоязычная документация    Перейти [?]
    Обсуждение ROS(форумы)    Перейти [?]
    Обзоры продуктов RouterBOARD    Перейти [?]

    Русскоязычные ресурсы интернет-магазинов и блоггеров по настройке и тонкостям Mikrotik:  
     


    		  

    		 

    		 
       


    		  

    		 
    		     
    pvsm.ru   ... [?]
    		  
    		 
    		     
     
    		 
    		     
     
    		 
    		 


    Смежные ресурсы [?]
     
    VPN + OSPF в картинках. [?]
    MikroTik Config Parser
    mikrotik.vetriks.ru
    // текущий бэкап шапки.. [?]
    • Всего записей: 4461 | Зарегистр. 08-06-2003 | Отправлено: 11:02 07-03-2019 | Исправлено: alexnov66, 07:51 05-04-2025
    Sergio0912

    Newbie    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Други, нужна помощь с VLAN-ами.

    А что в итоге получают клиенты подключенные к  ether4 и ether5 на втором mikrotik ?
    PS: что в фаерволе на втором микроте?
    Всего записей: 13 | Зарегистр. 07-02-2016 | Отправлено: 17:08 03-02-2020
    jfx



    Silver Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Ничего не получают. В DHCP leases на первом Mikrotik видна попылка получить IP, но в полях MAC-адресов нули стоят, а статус - conflict.  
    Смеха ради IP выделился только 3-му Mikrotik в этом каскаде
     
    Добавлено:

    Цитата:
    что в фаерволе на втором микроте?  

    Firewall со стандартными правилами, как после первой настройки с качестве AP.
    Всего записей: 3165 | Зарегистр. 06-02-2003 | Отправлено: 17:27 03-02-2020
    jfx



    Silver Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Дали не верный vlan id с первого Mikrotik. С нормальным id все завелось.
    Всего записей: 3165 | Зарегистр. 06-02-2003 | Отправлено: 21:20 03-02-2020
    Murder302



    Adguard    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Здравствуйте
    Имею цель сделать белый список адресов для определённого IP или MAC(хочу запретить телевизору Самсунг ломиться на свои серверы за мусором и, возможно, загрузкой региональной блокировки), как минимум - ограничить запросы локальной сетью или роутером и NAS(+ адреса Plex, их не много вроде, и в списках имена доменов можно указать).
    Каким образом лучше реализовать "белый список"?(телевизор ломится на кучу доменов и IP, и список не постоянный)
     
    Подсеть - 192.168.88.0. IP раздаются по DHCP, часть привязана к MAC(включая телек и NAS).  
    IP телека - 192.168.88.120
    IP NAS - 192.168.88.102
    Вроде нужно два правила - разрешающее локалку, и запрещающее всё остальное, добавленное после разрашающего, либо блокировать "НЕ"

    Код:
    ip firewall filter add action=drop chain=forward dst-address-list="!whitelist"

    Не пойму как сделать блокировку для конкретного устройства, и верный ли подход у правила выше.
    Всего записей: 3287 | Зарегистр. 28-06-2006 | Отправлено: 01:01 09-02-2020
    jfx



    Silver Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Murder302
    В ваше правило нужно еще добавить и src-address – адрес вашего устройства.
    Сделайте его IP адрес статическим, что бы он случайно не изменился.
    В целом подход верный.
    Всего записей: 3165 | Зарегистр. 06-02-2003 | Отправлено: 10:37 09-02-2020
    muk_as

    Full Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    WINBOX
     
    What's new in v3.21:
     
    *) added support for HiDPI displays;
    *) download WinBox specific files from router only into AppData folder and not anywhere else (CVE-2020-5720);
    *) enabled Drag and Drop support on 64-bit WinBox in Wine;
    *) font size can be increased/decreased under "Settings/Zoom In" or "Zoom Out";
    *) improved MikroTik signature checking on WinBox update;
    Всего записей: 444 | Зарегистр. 30-10-2009 | Отправлено: 19:53 09-02-2020
    anton04



    Silver Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    All
     
    Помогите разобраться с синтаксисом команды.
    Нужно отредактировать (изменить) "address-list".
     
    /ip firewall address-list edit
     
    <number> -- Item number - это номер строки в  "address-list", а как его определить? с помощью команды "print"?
    <value-name> -- Name of editable property - непонятно это что?
     
    Если можно, то на примере поясните пожалуйста.
     
     
    Всего записей: 2834 | Зарегистр. 14-06-2006 | Отправлено: 14:53 10-02-2020 | Исправлено: anton04, 14:55 10-02-2020
    vklp

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    anton04
    Было бы лучше, если б вы написали, что конкретно меняете.
    Обычно проще менять через set, а номер строки (или строк) там же получать через find.
    Например изменение адреса с одного на другой:
     
    /ip firewall address-list set address=4.3.2.1 [find list=test_list and address=1.2.3.4]
    Всего записей: 133 | Зарегистр. 21-02-2019 | Отправлено: 15:13 10-02-2020
    alexnov66



    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    anton04

    Цитата:
    /ip firewall address-list edit

    Команды редактирования нет, сразу даётся команда на изменение, удаления, переименования ну и т.д
    Всего записей: 1505 | Зарегистр. 29-08-2005 | Отправлено: 18:03 10-02-2020
    anton04



    Silver Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vklp (пост) [?]
    Цитата:
    Было бы лучше, если б вы написали, что конкретно меняете.

     
    Нужно заменить один IP адрес в адресном листе на другой, не добавить а именно заменить.
     
    vklp (пост) [?]
    Цитата:
    Например изменение адреса с одного на другой:  
     
    /ip firewall address-list set address=4.3.2.1 [find list=test_list and address=1.2.3.4]

     
    Думаю подойдёт и такое. Спасибо.
    Но просто интересно как всё же правильно использовать "edit" ?  
     
    alexnov66 (пост) [?]
    Цитата:
    Команды редактирования нет, сразу даётся команда на изменение, удаления, переименования ну и т.д

     
    Да это я и имел в виду. Буду рад если подскажите как правильно пользоваться именно "edit".
    Всего записей: 2834 | Зарегистр. 14-06-2006 | Отправлено: 19:59 10-02-2020
    alexnov66



    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    anton04
    Я же сказал команды редактирования нет, в зависимости что вам нужно и даётся команда с указанием параметров какие нужно изменить
    Удалить все записи в адрес-листах (удаляет ВСЕ адрес-листы)
    /ip firewal address-list remove [find]
     
    Удалить адрес лист по имени list1, удалит все адреса в адрес листе list1
    /ip firewall address-list remove [find list=list1]
     
    Переименовываем адрес-лист
    /ip firewall address-list set [find list=list1] list=list2
     
    Добавить в адрес лист list1 нужный ip адрес
    /ip firewall address-list add list=list1 address=123.222.234.0/22
     
    Отключить адрес лист по коментарию
    /ip firewall address-list disable [find comment=list1]
    Всего записей: 1505 | Зарегистр. 29-08-2005 | Отправлено: 05:11 11-02-2020 | Исправлено: alexnov66, 05:16 11-02-2020
    EAKislov

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    День добрый!
    Возникла необходимость пробросить порт в другую подсеть за VPN.
    обычное правило не работает:
    /ip firewall nat add action=dst-nat chain=dstnat dst-port=53398 in-interface=Provider protocol=tcp to-addresses=192.168.2.224 to-ports=3389
    Потому как обращение идет от внешнего интерфейса к подсети за VPN.
     
    обычное правило в свою подсеть 192.168.0.0 при этом работает!
     
    Я проверил просто пинг на адрес 192.168.2.224 от микротика не идет, но если в ping указать Src.Address внутренний интерфейс микротика то пинг работает.
    я и подумал что для файервола каким то образом надо объяснить ему что запрос на порт 3389 для IP 192.168.2.224 идет от внутреннего интерфейса 192.168.0.255
    но не могу сообразить как это сделать! подскажите как это можно сделать?
     
    И да, я не хочу все запросы из вне пересылать в подсеть 192.168.2.0/24, мне нужно только на один адрес 192.168.2.224, и на один порт 3389 для этого адреса!
    Всего записей: 70 | Зарегистр. 31-08-2007 | Отправлено: 14:43 11-02-2020
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    anton04

    Цитата:
    Но просто интересно как всё же правильно использовать "edit" ?

    Вот именно так и пользоваться: сделать print, глазками найти нужный номер, сделать edit <номер> <параметр> - и ручками отредактировать. Edit предназначен исключительно для ручной работы.
     
    EAKislov
    Проблема в том, что пакеты "обратно" идут не обратным путём (ВПН - этот роутер - Интернет), а, видимо, напрямую через локальный интернет у 192.168.2.224. Можно сделать костыль, чтобы все запросы к 192.168.2.224 не с адресом того, кто подключается, а с адресом внутреннего интерфейса микротика (т.е. сервер будет видеть, что к нему подключается роутер, а не кто-то из Интернета).
     

    Код:
    /ip fi nat add chain=srcnat dst-address=192.168.2.224 protocol=tcp dst-port=3389 action=src-nat to-addresses="Src.Address внутренний интерфейс микротика"
    Всего записей: 3748 | Зарегистр. 05-05-2006 | Отправлено: 15:55 11-02-2020
    vklp

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    /ip fi nat add chain=srcnat dst-address=192.168.2.224 protocol=tcp dst-port=3389 action=src-nat to-addresses="Src.Address внутренний интерфейс микротика"  

    Почти же делаю, чтобы дать доступ внешней техподдержки к компу из филиала, чтобы с TeamViewer или аналогами не связываться.
    Если есть необходимость самому туда подключаться по RDP, то это правило может помешать - нужно себя исключить.
    Для udp ещё надо такое же правило.
    Всего записей: 133 | Зарегистр. 21-02-2019 | Отправлено: 17:15 11-02-2020
    EAKislov

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Chupaka

    Цитата:
    Проблема в том, что пакеты "обратно" идут не обратным путём  

    Спасибо, ваша идея заработала.
    но как говорит vklp перестал работать RDP из внутренней подсетки, как внутреннюю подсеть исключить из этого правила?
     
     
    Всего записей: 70 | Зарегистр. 31-08-2007 | Отправлено: 19:39 11-02-2020
    vklp

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    EAKislov
    Ну так исключите свою подсеть:
    src-address=!192.168.0.0/24
    Всего записей: 133 | Зарегистр. 21-02-2019 | Отправлено: 19:47 11-02-2020
    EAKislov

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vklp
    ранее спросил, но вроде разобрался сам добавил src-address=!192.168.0.0/24  
    не знаю может и не правильно сделал, но пока все работает, завтра выясню на работе других клиентов.
     
    add action=src-nat chain=srcnat dst-address=192.168.2.224 dst-port=3389 \
        protocol=tcp src-address=!192.168.0.0/24 to-addresses="Src.Address внутренний интерфейс микротика"
     
    Добавлено:
    vklp
    Да! Спасибо, я так и сделал!
    Всего записей: 70 | Зарегистр. 31-08-2007 | Отправлено: 19:50 11-02-2020
    ghogho

    Junior Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Есть такая проблема - часть VPN коннесктов с некоторых Win10 1909 не хочет соединяться с VPN микротика созданного на вкладке - Quick Setup...
    Может ссылка есть какая?
    Заранее спасибо!
    Всего записей: 54 | Зарегистр. 27-11-2008 | Отправлено: 06:03 21-02-2020
    Grafus



    Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Доброго времени суток, коллеги.
    Прошу совета.
    Есть два офиса. В каждом по микроте. Между офисами проброшен PPTP VPN канал и прописаны статические маршруты.
    Сети обоюдно видны.
    Но вот тут есть неприятное НО.
    Допустим шлюз в VPN 5.5.5.5. Адрес в первой сети 1.1.1.1 обращается к адресу во второй 2.2.2.2. При этом 1.1.1.1 видит исходящий трафик на 2.2.2.2. А вот 2.2.2.2 видит входящий трафик не от 1.1.1.1, а от 5.5.5.5, то есть от VPN-шлюза...
    Это крайне неудобно при использовании авторизации по ip на машинах и мониторинге netflow.
    Как заставить машины видеть входящий трафик не от VPN-шлюза, а от машины сгенерировавшей сей трафик?
    Всего записей: 397 | Зарегистр. 15-12-2004 | Отправлено: 21:52 25-02-2020
    Chupaka



    Silver Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Grafus
    Приветствую. Тут больше вопрос, зачем вы так сделали изначально
    Проблема в правиле src-nat masquerade, оно у вас ловит весь подряд трафик — и вы имеете то, что имеете. Добавьте в него параметр out-interface=WAN
    Всего записей: 3748 | Зарегистр. 05-05-2006 | Отправлено: 22:50 25-02-2020
    Открыть новую тему     Написать ответ в эту тему

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2025

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru