ADSL router with mikrotik RB DMZ host

[Nikiforos]

@Νικηφόρε, είτε με DMZ είτε με τον οδηγό του φίλου και Block IP, δεν χρειάζεται PF στον 1ο router.
Αν η όποια υπηρεσία (π.χ. VPN που λες) τρέχει στο Mikrotik δεν θα χρειαστεί σε αυτό άνοιγμα. Μόνο στον 1ο router (σε περίπτωση 2πλού ΝΑΤ). Όμως το ανέφερα ως παράδειγμα που τρέχει σε κάποιον υπολογιστή στο δίκτυό σου ή για να το καταλάβεις καλύτερα αντί του VPN βάλε τις πόρτες ενός online παιχνιδιού.
Και ναι, έχουν δίκιο. Τίποτα ουσιαστικό δεν αλλάζει στο Mikrotik και στο δίκτυο πίσω από αυτό.

α γιαυτο επαιζε το openvpn επειδη ειναι πανω στο mikrotik, οποτε οτι αλλο ειναι πανω στο 2ο ρουτερ βγαινει στο ιντερνετ ΧΩΡΙΣ να πρεπει να ανοιξω πορτες? μιλαω παντα για p.f απο το 2ο ρουτερ το ξερω οτι στο 1ο δεν θελει.
Πχ υπηρεσιες οπως το winbox, telnet, ssh, ftp, webfig εφοσον ειναι ενεργα στο mikrotik θα βγαινουν στο ιντερνετ ετσι?
γιατι παρατηρησα οτι ειχα logs απο Ινδια πχ για winbox/dude αρκετα συχνα, αλλα στο ip-services τα ειχα ανοιχτα μονο για απο 10.0.0.0/8 (awmn subnets) οποτε δεν γινοταν κατι.

Δλδ για να καταλαβω καλυτερα αν καποια υπηρεσια τρεχει σε ενα αλλο μηχανημα στο εσωτερικο μου δικτυο πχ ο nas server που εχει apache, ftp κτλ για αυτον πρεπει να ανοιξω πορτες στο mikrotik σωστα?

- - - Updated - - -

Ανάλογα με το πως έχει ρυθμιστεί ο κάθε client Να δηλώνει την Ip του στην όποια υπηρεσία ddns, κάποιοι κοιτάνε το external ip (αυτοί θα δουλέψουν και πίσω απο dmz, nat, Κλπ) κάποιοι κοιτάνε την Ip του wan interface όποτε αυτοί θα έχουν θέμα.

α γιαυτο παιζει το noip ενω παντα το ip cloud θελει να εχει πανω του το ιντερνετ, καταλαβα.

[jkoukos]

α. Για οποιαδήποτε υπηρεσία που λειτουργεί στο Mikrotik, δεν χρειάζεται να κάνεις PF. Αρκεί φυσικά να το επιτρέψεις στο firewall για να έχεις πρόσβαση απ' έξω.
β. Για οποιαδήποτε υπηρεσία που τρέχει σε μηχάνημα πίσω από το Mikrotik (στο εσωτερικό σου δίκτυο), θα χρειαστεί επιπλέον του firewall να ανοίξεις την αντίστοιχη πόρτα (στο Mikrotik) προς την ΙΡ αυτού του μηχανήματος.

Έτσι δουλεύει πάντα, είτε έχεις σταθερή IP είτε δυναμική.

Αν όμως το Mikrotik είναι πίσω από άλλο router, τότε επιπλέον πρέπει να κάνεις PF σε αυτό το router τις σχετικές πόρτες προς την WAN IP του Mikortik.
Μόνο εδώ επεμβαίνει το DMZ (αν το ενεργοποιήσεις), οπότε δεν χρειάζεται να κάνεις τίποτα στον 1ο router. Κατά τα άλλα δεν αλλάζει τίποτα απολύτως στο Mikrotik.

[Nikiforos]

καλημέρα, εδώ είναι που ειχα μπερδευτεί.
Οποτε λογω του DMZ ότι τρεχει επανω στο mikrotik βγαινει απευθειας εφόσον του το επιτρεπουν οι κανονες του firewall.
Και ότι άλλο τρεχει σε ένα άλλο μηχανημα του εσωτερικου δικτιου τοτε πρεπει να ανοιξω πορτες.
Σωστα τα εχω καταλαβει τωρα?

- - - Updated - - -

Όχι δεν αλλαζει τιποτα, αλλαζει ένα πραγμα και πολύ σημαντικο γιαυτο και μπερδευτηκα.
Ότι στο μικροτικ για υπηρεσίες δικες του ΔΕΝ χρειαζεται να ανοιξουμε πορτες! ετσι δεν είναι?
ενώ πριν δλδ με pppoe client + adsl modem (bridge) ήθελε.
Κλασικο παράδειγμα που είναι το 1ο που ειδα η πορτα για το OpenVPN server, πριν ειχα ανοιξει από το mikrotik ενώ τωρα disable ο κανονας και ηταν ανοιχτη.

- - - Updated - - -

Ηξερα για το DMZ παλιοτερα αλλα ειχα διαβασει ότι πχ σε ένα desktop pc για να μην ανοιγουμε ένα καρο πορτες για διαφορα πραγματα το στελνουμε με DMZ και είναι ανοιχτα όλα του προς το ιντερνετ, πραγμα αρκετα κακο φυσικα εκτος αν εχει ένα καλοστημενο firewall.

[jkoukos]

καλημέρα, εδώ είναι που ειχα μπερδευτεί.
Οποτε λογω του DMZ ότι τρεχει επανω στο mikrotik βγαινει απευθειας εφόσον του το επιτρεπουν οι κανονες του firewall.
Και ότι άλλο τρεχει σε ένα άλλο μηχανημα του εσωτερικου δικτιου τοτε πρεπει να ανοιξω πορτες.
Σωστα τα εχω καταλαβει τωρα?

Σωστά.

Όχι δεν αλλαζει τιποτα, αλλαζει ένα πραγμα και πολύ σημαντικο γιαυτο και μπερδευτηκα.
Ότι στο μικροτικ για υπηρεσίες δικες του ΔΕΝ χρειαζεται να ανοιξουμε πορτες! ετσι δεν είναι?
ενώ πριν δλδ με pppoe client + adsl modem (bridge) ήθελε.
Κλασικο παράδειγμα που είναι το 1ο που ειδα η πορτα για το OpenVPN server, πριν ειχα ανοιξει από το mikrotik ενώ τωρα disable ο κανονας και ηταν ανοιχτη.

Και πριν όταν είχες modem + Mikrotik (PPP), δεν χρειαζόταν PF για υπηρεσίες που έτρεχες στο ίδιο Mikrotik. Για ποιον λόγο το έκανες;

Ηξερα για το DMZ παλιοτερα αλλα ειχα διαβασει ότι πχ σε ένα desktop pc για να μην ανοιγουμε ένα καρο πορτες για διαφορα πραγματα το στελνουμε με DMZ και είναι ανοιχτα όλα του προς το ιντερνετ, πραγμα αρκετα κακο φυσικα εκτος αν εχει ένα καλοστημενο firewall.

Ισχύει αυτό. Και ο λόγος είναι ότι στον υπολογιστή συνήθως δεν τρέχει κάποιο σοβαρό firewall και φυσικά ούτε ΝΑΤ. Αλλά το ίδιο ισχύει και στον router αν του τα κλείσεις.

[Nikiforos]

Σωστά.
Και πριν όταν είχες modem + Mikrotik (PPP), δεν χρειαζόταν PF για υπηρεσίες που έτρεχες στο ίδιο Mikrotik. Για ποιον λόγο το έκανες;
Ισχύει αυτό. Και ο λόγος είναι ότι στον υπολογιστή συνήθως δεν τρέχει κάποιο σοβαρό firewall και φυσικά ούτε ΝΑΤ. Αλλά το ίδιο ισχύει και στον router αν του τα κλείσεις.

επιτελους τα καταλαβα, καποιο θαυμα θα εγινε!
οι οδηγοι που εχω βρει στο ιντερνετ δειχνουν ότι κανουμε ΝΑΤ, δεν ειχα δοκιμασει ποτε να κλεισω να δω αν παιζουν ή όχι.
Αλλα ανοιγα και άλλες πορτες για άλλες υπηρεσίες αλλων μηχανηματων ανοιγα και αυτά.
Ωραια μαθαμε κατι ακομα!
εμ γιαυτο ειχα μπερδευτεί τοσο.
Λεγαμε ότι μενουν τα ιδια κτλ τα αλλα και δεν ηξερα τι λεμε!

- - - Updated - - -

Σημερα αρχισαν τα εργα από INALAN οποτε αναμενω να τα δω με τον δικο της εξοπλισμο.
Τωρα αν ενδιαφέρεται κανεις που δε νομιζω να το κανει σε adsl router, μπορει να γραφει στο θεμα εδώ.
Γενικα το setup είναι το ιδιο αφου πρόκειται αρχικα για την επιλογή dmz στο 1ο ρουτερ και μετα παμε στο mikrotik.

Για να βλέπουμε από το εσωτερικο μας δικτυο το 1o router που εχει άλλο subnet ποιος είναι ο σωστότερος τροπος?
με καποιον κανονα που να κανει masquerade στο 192.168.1.0/24 με out interface την ether του mikrotik που είναι εκτος bridge και εχει το 1o router?
ή εχει και αλλον τροπο?

[jkoukos]

Για πρόσβαση στο άλλο router, θα κάνεις ότι έκανες και πριν για πρόσβαση στο modem.

[Nikiforos]

Για πρόσβαση στο άλλο router, θα κάνεις ότι έκανες και πριν για πρόσβαση στο modem.

Βασικα πριν ασχοληθώ με το DMZ, ειχα το adsl "modem" στο ιδιο subnet με το εσωτερικο μου δικτυο και η ether στο mikrotik ηταν πανω στο bridge και αυτή οποτε δεν ηθελε κατι.
Ηθελα να εχω και προσβαση στα μενου από το εξοχικο και ετσι το εβλεπα αφου εχει awmn ip και επισης στον χωρο που είναι εχω καλωδια και παιζει και σαν switch αλλα και σαν wifi ap για μια ipcamera που εχει μονο wifi πανω της, οποτε για τους 3 αυτους λογους δεν βολευε να είναι σε άλλο ξεχωριστο subnet.

Δοκιμασα τον κανονα παραπανω που ειπα με το DMZ όμως και το εβλεπα, είναι σωστο ετσι? αυτό ρωτησα ή εχει ποιο σωστον τροπο?
γιατι καπου αναφερθηκε καποιος ότι μπορει να θελει δευτερο καλωδιο.

- - - Updated - - -

Εννοείτε ότι στο μηχανημα της inalan επειδή θα μπει και διπλα στο mikrotik, ουτε σαν wifi ap θα παιζει, ουτε και για switch οποτε θα είναι και σε άλλο subnet όπως αλλωστε απαιτει και το DMZ.

[jkoukos]

Αφού το βλέπεις έτσι, δεν χρειάζεται 2ο καλώδιο.
Δεν ξέρω πως γίνεται στο Mikrotik και αν είναι σωστός ο κανόνας που έβαλες.

Στη δικιά μου περίπτωση με OpenWrt, φτιάχνω απλά ένα νέο Interface με μια ΙΡ στο ίδιο υποδίκτυο με του modem (και διαφορετικό από το LAN του OpenWrt), στο ίδιο eth με το WAN και το βάζω και αυτό στον ίδιο κανόνα του firewall (WAN & WAN6). Τέλος δημιουργώ έναν κανόνα static route, προς το modem μέσω του νέου αυτού interface.
Αν δεν φτιάξω τον τον τελευταίο κανόνα, αρκεί ο υπολογιστής που θέλει να συνδεθεί στο modem να έχει και 2η ΙΡ, στο υποδίκτυο αυτού.

[Nikiforos]

Καλησπέρα, ενταξει ευχαριστω καταλαβα. Εχω και εχω openwrt και ειχα και το Rspro παλια της Ubiquiti.
Βασικα ειχα την εντυπωση δεν ξερω πως και απο που οτι ειχες και mikrotik μηχανημα.
Ωραια ειμαστε λοιπον.

Ομως δεν πρεπει απο το DMZ να βλεπει το lan σωστα? αλλιως καπου θα εχει τρυπα.

[jkoukos]

Αν δεν το επιτρέψεις στο Mikortik, πως θα έχουν πρόσβαση από το WAN;

Είχα πριν από πολλά χρόνια Mikrotik αλλά βασικά δεν είχα χρόνο για να εντρυφήσω στο RouterOS και το παράτησα, αρχικά για Freetz και μετά Gargoyle και OpenWrt.
Αναγνωρίζω ότι έχει τεράστιες δυνατότητες ως router, μα τώρα πλέον είναι αργά για να ξεκινήσω από την αρχή, αφού καλύπτομαι επαρκώς από το OpenWRT για router και Ubiquiti σε ασύρματες συσκευές.

[Nikiforos]

Αν δεν το επιτρέψεις στο Mikortik, πως θα έχουν πρόσβαση από το WAN;

Είχα πριν από πολλά χρόνια Mikrotik αλλά βασικά δεν είχα χρόνο για να εντρυφήσω στο RouterOS και το παράτησα, αρχικά για Freetz και μετά Gargoyle και OpenWrt.
Αναγνωρίζω ότι έχει τεράστιες δυνατότητες ως router, μα τώρα πλέον είναι αργά για να ξεκινήσω από την αρχή, αφού καλύπτομαι επαρκώς από το OpenWRT για router και Ubiquiti σε ασύρματες συσκευές.

Off Topic

καλημέρα, θα συμφωνησω μαζι σου, δεν ξερω βεβαια από Freetz και Gargoule ουτε καν τι είναι προφανως.
Αλλα το openwrt είναι ΟΛΑ τα λεφτα!
Και εγω αν δεν ειχα κολλησει από το awmn γιατι επι το πλειστον δουλευουν με Mikrotik μηχανήματα δεν θα ειχα ασχοληθεί μαλλον ποτε.
https://www.gargoyle-router.com/ ενδιαφερον δειχνει θα το δω, για το Freetz λες να τα fritz κατι σχετικο με αυτά εστω, δεν ειχα ποτε όμως.

Μια ερωτηση τωρα, επειδή στο εξοχικο που εχω το Speedport, εχω ακομα και κινητη παγια συνδεση και θα κοπει το άλλο Σαββατο.
Μετα αφου εχω διαβασει αυτά εδώ https://www.adslgr.com/forum/threads...-με-Mikrotik
εκτος το να μπει άλλο adsl router για modem σε bridge, από το pppoe passthrough θεωρεις καλυτερη την λυση του DMZ για να εχω το 951 που ειχα για κινητη, για ιντερνετ ρουτερ? για να μην μπερδεψουμε το θεμα εδώ, αν δεν αξιζει τοτε θα το δω και θα πω τα σχετικα στο άλλο θεμα αν δεν αφορουν DMZ, αν εχω τυχον αποριες φυσικα.

Ωραια για το dmz τωρα οποτε πρεπει να προσεξω πολύ τους κανονες στο firewall.

Eπειδη τωρα με τα κρυα δεν μενω εκει ΣΚς αν παω θα είναι σαν τον κλεφτη, οποτε δεν εχω χρονο να ασχοληθώ για να βαλω άλλο adsl modem, αργοτερα μπορει να κανω την λυση με ένα ZTE W300 σε bridge mode. Οποτε για αρχη πρεπει να βολευτω ή με DMZ ή με pppoe passthrough γιαυτο ρωταω, για να δω τι είναι καλυτερο να κανω.
Σημειωτεον το σταθερο μου νουμερο είναι VOIP.

[jkoukos]

Off Topic

To Gargoyle στηρίζεται στο OpenWrt. Όμως το ακολουθεί με μεγάλη καθυστέρηση στις αναβαθμίσεις. Για να φανταστείς, σήμερα η stable έκδοση βγήκε πέρυσι τέτοια εποχή και στηρίζεται σε έκδοση OpenWRT Chaos Calmer 3 χρόνων παλιά και αυτό διότι λειτουργεί μέσω script πάνω από το firmware. Το μεγάλο πλεονέκτημα είναι ότι δίνει εύκολη παραμετροποίηση στον απλό χρήστη για λειτουργίες που δεν τις έχουν τα απλά router. Δες εδώ ένα demo παλαιότερης έκδοσης.

Το Freetz είναι κάτι αντίστοιχο για τα Fritz router. Δεν αντικαθιστά το firmware αλλά δουλεύει παράλληλα προσφέροντας επιπλέον δυνατότητες. Όμως οι πληροφορίες είναι κυρίως στα γερμανικά αλλά υπάρχει και στο φόρουμ παλαιότερο σχετικό θέμα.

Δεν αλλάζει κάτι στο firewall του Mikrotik, με το να το έχεις σε DMZ ή ΡΡΡ.

Από την στιγμή που έχεις VoIP ΟΤΕ στο εξοχικό, παντρεύεσαι το Speedport. Και μάλιστα δεν μπορεί να μπει σε Bridge mode διότι δεν θα δουλεύει η τηλεφωνία.
Άρα δοκιμάζεις DMZ και PPP και κρατάς αυτό που σε εξυπηρετεί καλύτερα.

Η άλλη λύση είναι να πάρεις τον κωδικό της τηλεφωνίας και να τον ρυθμίσεις σε μια δικιά σου συσκευή. Τότε παίζει μια χαρά το Speedport σε Bridge mode.
Ακόμη χωρίς να πάρεις τον κωδικό, μπορείς να το βάλεις πίσω από το Mikrotik ως απλό router, αλλά θα χρειαστείς άλλο modem στην τηλεφωνική γραμμή.

[Nikiforos]

Off Topic

To Gargoyle στηρίζεται στο OpenWrt. Όμως το ακολουθεί με μεγάλη καθυστέρηση στις αναβαθμίσεις. Για να φανταστείς, σήμερα η stable έκδοση βγήκε πέρυσι τέτοια εποχή και στηρίζεται σε έκδοση OpenWRT Chaos Calmer 3 χρόνων παλιά και αυτό διότι λειτουργεί μέσω script πάνω από το firmware. Το μεγάλο πλεονέκτημα είναι ότι δίνει εύκολη παραμετροποίηση στον απλό χρήστη για λειτουργίες που δεν τις έχουν τα απλά router. Δες εδώ ένα demo παλαιότερης έκδοσης.

Το Freetz είναι κάτι αντίστοιχο για τα Fritz router. Δεν αντικαθιστά το firmware αλλά δουλεύει παράλληλα προσφέροντας επιπλέον δυνατότητες. Όμως οι πληροφορίες είναι κυρίως στα γερμανικά αλλά υπάρχει και στο φόρουμ παλαιότερο σχετικό θέμα.

Δεν αλλάζει κάτι στο firewall του Mikrotik, με το να το έχεις σε DMZ ή ΡΡΡ.

Από την στιγμή που έχεις VoIP ΟΤΕ στο εξοχικό, παντρεύεσαι το Speedport. Και μάλιστα δεν μπορεί να μπει σε Bridge mode διότι δεν θα δουλεύει η τηλεφωνία.
Άρα δοκιμάζεις DMZ και PPP και κρατάς αυτό που σε εξυπηρετεί καλύτερα.

Η άλλη λύση είναι να πάρεις τον κωδικό της τηλεφωνίας και να τον ρυθμίσεις σε μια δικιά σου συσκευή. Τότε παίζει μια χαρά το Speedport σε Bridge mode.
Ακόμη χωρίς να πάρεις τον κωδικό, μπορείς να το βάλεις πίσω από το Mikrotik ως απλό router, αλλά θα χρειαστείς άλλο modem στην τηλεφωνική γραμμή.

Τις εχουμε πει τις λυσεις αυτές και τις εχω καταλαβει στο άλλο σχετικο θεμα https://www.adslgr.com/forum/threads...-με-Mikrotik αφου μου τα εχεις γραψει εκει.
Δεν θελω να μπλεξω με το να ζηταω κωδικούς και όλα αυτά οποτε το speedport θα μεινει όπως και να εχει.
Θελω να βαλω αργοτερα όμως που θα μενω εκει ΣΚ ένα ZTE W300 που εχω σε bridge mode adsl modem δλδ. Το 951 για pppoe και θα μεινει το speedport για voip. Μεχρι τοτε όμως επειδή θα μου ληξει η κινητη το επομενο Σαββατο και τωρα εχω voip (της Αθηνας το νουμερο δλδ) και καμερες μεσω κινητης, πρεπει να τα γυρισω μεσω adsl.
Από τις 2 λυσεις που μου μενουν δλδ DMZ και PPPOE passthrough τι να προτιμησω κατά την γνωμη σου?
το 2ο δεν το εχω δοκιμασει ΠΟΤΕ και με βλεπω να πεδευομαι παλι.

Aληθεια ο κωδικος της συνδεσης μου ποιος είναι? στο συμβολαιο αναφερει μονο το username! για το pppoe passthrough δεν χρειαζεται λογικα ο κωδικος στο mikrotik ?

[jkoukos]

Για τον κωδικό της DSL σύνδεσης είτε το ζητάς μέσω τηλεφώνου (από την ίδια γραμμή της σύνδεσης) και στον στέλνουν με sms, είτε μέσω του MyCosmote στα "Στοιχεία internet σύνδεσης" έχει πεδίο για "Αλλαγή" ή "Υπενθύμιση".

Για PPPoE passthrough, η επιλογή είναι εξαρχής ενεργή και απλά το επιβεβαιώνεις.
Υπόψη ότι θα βάλεις στο Speedport τα generic credentials (username:otenet@otenet.gr, password:otenet) και στο Mikrotik τα δικά σου.
Δεν υπάρχει κάτι να φοβηθείς. Όπως δούλευες μέχρι τώρα θα συνεχίσεις και μ' αυτό. Απλά θα υπάρχουν 2 ανεξάρτητες συνδέσεις που δεν θα επικοινωνούν μεταξύ τους.

[Nikiforos]

Για τον κωδικό της DSL σύνδεσης είτε το ζητάς μέσω τηλεφώνου (από την ίδια γραμμή της σύνδεσης) και στον στέλνουν με sms, είτε μέσω του MyCosmote στα "Στοιχεία internet σύνδεσης" έχει πεδίο για "Αλλαγή" ή "Υπενθύμιση".

Για PPPoE passthrough, η επιλογή είναι εξαρχής ενεργή και απλά το επιβεβαιώνεις.
Υπόψη ότι θα βάλεις στο Speedport τα generic credentials (username:otenet@otenet.gr, password:otenet) και στο Mikrotik τα δικά σου.
Δεν υπάρχει κάτι να φοβηθείς. Όπως δούλευες μέχρι τώρα θα συνεχίσεις και μ' αυτό. Απλά θα υπάρχουν 2 ανεξάρτητες συνδέσεις που δεν θα επικοινωνούν μεταξύ τους.

ωραια ευχαριστω! δεν γινεται αν παρω τηλ από κινητο που είναι cosmote επισης?
γιατι μπορω να τα κανω απομακρυσμένα, εκει θα είμαι όταν ηδη θα εχει διακοπεί η κινητη!!! οποτε δεν μπορω να καλεσω από το ιδιο νουμερο.

- - - Updated - - -

Καλα θα ρωτησω όπως και να εχει και θα δουμε. Οποτε προτιμαω αυτή την λυση εναντι του DMZ αφου μπορει να γινει και αν εχω τυχον αποριες θα ρωτησω στο άλλο θεμα να μην ειμαστε εδώ offtopic.
Ευχαριστώ!