Mikrotik IPv4/IPv6 firewall

[deniSun]

γιατί όμως και στο wiki δεν αναφέρει θύρες? http://wiki.mikrotik.com/wiki/Manual:IP/Firewall/NAT
πχ εκεί που λέει basic examples.

Τα παραδείγματα είναι συνήθως γενικά.
Δεν μπορείς να πιάσεις όλες τις περιπτώσεις που θα χρησιμοποιήσει κάποιος ένα ΜΤ.
Δεν είναι λάθος αλλά καλό είναι να το κάνεις όσο πιο συγκεκριμένο γίνεται ώστε να μην γίνονται conflict.

[teodor_ch]

Έτσι όπως το έχεις θα σου κάνει nat σε όλες τις ether.
Καλό είναι να το προσδιορίσεις στο in. interface πχ για την ether1.

Θα έχω
ether1 -> modem
ether2 -> switch
wlan0 -> wireless
και λογικά ένα bridge ether2 & wlan0
Αν τα έχω καταλάβει σωστά.

Απο τη στιγμή που το
to-addresses=192.168.1.200
είναι ένα και μοναδικό στο δίκτυο μου, δεν είναι πλεονασμός το in interface ether1?

Άσε που ΑΝ το καταλαβαίνω σωστά, χωρίς το in interface θα μπορώ να δώ την κάμερα με το ίδιο link που θα χρειαζόμουν απο έξω.
πχ. puplicIP:40080
όχι?

[Nikiforos]

Τα παραδείγματα είναι συνήθως γενικά.
Δεν μπορείς να πιάσεις όλες τις περιπτώσεις που θα χρησιμοποιήσει κάποιος ένα ΜΤ.
Δεν είναι λάθος αλλά καλό είναι να το κάνεις όσο πιο συγκεκριμένο γίνεται ώστε να μην γίνονται conflict.

εχεις δικιο αν εχεις ενα μηχανημα με πολλες θυρες ομως οπως το 951 κτλ, αν εχεις κατι σαν το δικο μου το 711 που εχει μονο μια τοτε δεν χρειαζεται ετσι κι αλλιως.

@ teodor_ch τι RB έχεις εσύ?

[teodor_ch]

Ακόμα δεν έχω τίποτα.
Ψάχνω modem/router ή router για το σπίτι και εξετάζω την επιλογή του Mikrotik.

Απλά μίλησα και με το άτομο που θα μου τερματίσει τα καλώδια και θα μετρήσει ότι όλα δουλεύουν σωστά και μου είπε ότι με το mikrotik για το άνοιγμα μίας πόρτας θα κάνω πολύ ώρα να το ρυθμίσω και ότι είναι κυρίως για επαγγελματικούς χώρους.

Και έτσι, εξετάζω κάποιες ανάγκες που ήδη έχω, πόσο δύσκολο είναι να υλοποιηθούν στο mikrotik σε σύγκριση με ένα vigor για παράδειγμα.

Προσανατολίζομαι προς το 951.

[deniSun]

Θα έχω
ether1 -> modem
ether2 -> switch
wlan0 -> wireless
και λογικά ένα bridge ether2 & wlan0
Αν τα έχω καταλάβει σωστά.

Απο τη στιγμή που το
to-addresses=192.168.1.200
είναι ένα και μοναδικό στο δίκτυο μου, δεν είναι πλεονασμός το in interface ether1?

Άσε που ΑΝ το καταλαβαίνω σωστά, χωρίς το in interface θα μπορώ να δώ την κάμερα με το ίδιο link που θα χρειαζόμουν απο έξω.
πχ. puplicIP:40080
όχι?

Εξαρτάται τι θέλεις να κάνεις.
Το port forward το χρησιμοποιούμε για να έχουμε πρόσβαση από έξω προς τα μέσα.
Από μια εσωτερική ΙΡ αν θέλεις να δεις κάποια συσκευή εντός του ίδιου δικτύου, γιατί να χρησιμοποιήσεις την public ip και να χρειάζεσαι port forward;
Δεν υπάρχει λόγος.
Αν ήθελες όμως να κάνεις κάτι τέτοιο τότε ναι θα έπρεπε να το αφήσεις κενό το in interface.

Ακόμα δεν έχω τίποτα.
Ψάχνω modem/router ή router για το σπίτι και εξετάζω την επιλογή του Mikrotik.

Απλά μίλησα και με το άτομο που θα μου τερματίσει τα καλώδια και θα μετρήσει ότι όλα δουλεύουν σωστά και μου είπε ότι με το mikrotik για το άνοιγμα μίας πόρτας θα κάνω πολύ ώρα να το ρυθμίσω και ότι είναι κυρίως για επαγγελματικούς χώρους.

Και έτσι, εξετάζω κάποιες ανάγκες που ήδη έχω, πόσο δύσκολο είναι να υλοποιηθούν στο mikrotik σε σύγκριση με ένα vigor για παράδειγμα.

Προσανατολίζομαι προς το 951.

Φυσικά και είναι πιο εύκολο να κάνεις κλικ πάνω σε γραφικό περιβάλλον που γράφει port forward από το να παίζεις με έννοιες τύπου nat κλπ (το ίδιο πράγμα είναι απλά το γράφουν με πιο κατανοητό τρόπο).
Όπως επίσης είναι ευκολότερο να έχεις upnp από το να μπαίνεις σε μενού και να ανοίγεις πόρτες με το χέρι.
Αυτά όμως δεν σημαίνουν τίποτε.
Για να ανοίξεις πόρτα στο ΜΤ απλά κάνεις τα παρακάτω:

IP > Firewall > NAT > (+)
	General
		Chain: dstnat
		Protocol: tcp
		Dst. Port: 59775
		In. Interface: ether1
	Action
		Action: dst-nat
		To Address: 192.168.5.33
		To Ports: 59775

Τώρα αν θέλει κάποιος περισσότερο από 1 λεπτό για να κάνει το παραπάνω... δεν ξέρω να σου πω.
Αλλά μου φαίνεται μάλλον παράλογο αυτό που σου είπανε.

[Nikiforos]

Ακόμα δεν έχω τίποτα.
Ψάχνω modem/router ή router για το σπίτι και εξετάζω την επιλογή του Mikrotik.
Απλά μίλησα και με το άτομο που θα μου τερματίσει τα καλώδια και θα μετρήσει ότι όλα δουλεύουν σωστά και μου είπε ότι με το mikrotik για το άνοιγμα μίας πόρτας θα κάνω πολύ ώρα να το ρυθμίσω και ότι είναι κυρίως για επαγγελματικούς χώρους.
Και έτσι, εξετάζω κάποιες ανάγκες που ήδη έχω, πόσο δύσκολο είναι να υλοποιηθούν στο mikrotik σε σύγκριση με ένα vigor για παράδειγμα.
Προσανατολίζομαι προς το 951.

Καλημέρα! όπως τα λέει ο deniSun, και να πω και εγώ πως αυτός που στο είπε είναι παράλογος, είναι αρκετά εύκολο, λίγο θα ασχοληθείς και θα μάθεις πως γίνονται, και δεν είναι ανάγκη να τα κάνεις απο κονσόλα, όπως είδες έδειξα και από γραφικό περιβάλλον με το winbox, αλλά έχει και web interface για την διαχείριση του. Επίσης είδα πως είπες modem/router, να ξεκαθαρίσουμε πως δεν είναι modem κανένα από αυτά, πρέπει να βάλεις το adsl router σου σε bridge mode και έτσι το δουλεύεις μόνο σαν modem και για ιντερνετ ρουτερ στο ROS κανεις PPOE CLIENT. Το καλύτερο αλλά και ακριβότερο 951 είναι αυτό http://routerboard.com/RB951G-2HnD το έχω εγώ στο εξοχικό. Εδώ έχω μια πλακέτα το 711 που έτυχε να καει το wireless και προκειμενου να παει χαμενο....και να πω πως κάτι ΜΑΠΕΣ adsl router οπως αυτα που εδινε η wind ποιο πολυ με πεδευαν με το ανοιγμα στις πορτες!!!!!

[teodor_ch]

Από μια εσωτερική ΙΡ αν θέλεις να δεις κάποια συσκευή εντός του ίδιου δικτύου, γιατί να χρησιμοποιήσεις την public ip και να χρειάζεσαι port forward;
Δεν υπάρχει λόγος.
Αν ήθελες όμως να κάνεις κάτι τέτοιο τότε ναι θα έπρεπε να το αφήσεις κενό το in interface.

Σε κάποια android apps μπαίνει μόνο μία IP και έτσι θα μπορώ να τα βλέπω και απο μέσα και απο έξω με την ίδια.

Τώρα αν θέλει κάποιος περισσότερο από 1 λεπτό για να κάνει το παραπάνω... δεν ξέρω να σου πω.
Αλλά μου φαίνεται μάλλον παράλογο αυτό που σου είπανε.

Ίσα ίσα που χρειάζεται και λιγότερο χρόνο για να φτιάξεις 5-6 κάμερες.

Δε διαφωνώ μαζί σας. Για αυτό ρώτησα για να κρίνω μόνος μου πόσο δύσκολο είναι!

Ρίχνω τη παραγγελία λοιπόν για το RB951G-2HnD

[Nikiforos]

Εγω θα ελεγα για λογους ασγαλειας ειδικα καμερες να μην τις βγαζεις στο ιντερνετ απευθειας, ειναι προτιμοτερο να τις δουλευεις μεσω VPN, ετσι κανω και εγω για το εσωτερικο μου δικτυο και για asterisk. Ετσι δεν χρειαζεται να ανοιγεις και πολλες πορτες, θες μονο αυτη για το VPN. Φανταζομαι μιλας για ip καμερες και οχι DVR CCTV μηχανημα.

[teodor_ch]

Ναί για IP.

Με το VPN όμως δε χρειάζεται περισσότερο bandwidth για τις κρυπτογραφήσεις?
Δε χάνω κάτι να το δοκιμάσω βέβαια.

Και αν θελήσω στα γρήγορα να τις δώ απο ξένο υπολογιστή δε θα είναι ταλαιπωρία?

[deniSun]

Ναί για IP.

Με το VPN όμως δε χρειάζεται περισσότερο bandwidth για τις κρυπτογραφήσεις?
Δε χάνω κάτι να το δοκιμάσω βέβαια.

Και αν θελήσω στα γρήγορα να τις δώ απο ξένο υπολογιστή δε θα είναι ταλαιπωρία?

Χρειάζεσαι ένα κλικ επιπλέον για να κάνεις το connections με το vpn.
Στην ταχύτητα τα ποσά που χάνεις είναι αμελιταία.

[Nikiforos]

Αναλογα τον τυπο VPN, αν ειναι το απλο δλδ με PPTP απο win μπορεις να συνδεθεις γρηγορα, αν θες openvpn που ειναι ποιο ασφαλες με αρχεια κρυπτογραφησης κτλ εδω θελει παραπανω δουλεια, καθως θελει και εγκατασταση, αλλα και τα αρχεια για καθε πελατη. Παντως απο το να βγαζεις καθε συσκευη που θες να εχει προσβαση στο ιντερνετ, ειναι καλυτερα να το κανεις με VPN, ετσι εχεις το εσωτερικο σου δικτυο στην ουσια οπου και να εισαι και απο φορητες συσκευες, ετσι κανω εγω και για ip cameres και για cctv DVR αλλα και για τον asterisk, ειδικα αυτος αν πεσει θυμα hacking θα σου κανουν και κλησεις και θα σε χρεωνουν (απλα το αναφερω για παραδειγμα εσυ μπορει να μην εχεις asterisk).

[deniSun]

Σε μια τέτοια περίπτωση και εγώ θα το προτιμούσα.
Από θέμα ασφάλειας εννοείται ότι είναι η καλύτερη λύση.
Και μάλιστα με openvpv και όχι με απλό tunnel.

[Nikiforos]

Υπάρχουν και άλλες λύσεις που εχω δοκιμάσει όπως το EoiP tunnel και το GRE αλλά για σύνδεση ROS με ROS μονο και ασφαλεια σχεδον μηδεν....

[teodor_ch]

Χρειάζεσαι ένα κλικ επιπλέον για να κάνεις το connections με το vpn.

Για να συνδεθώ στο VPN μου απο ξένο υπολογιστή είναι τόσο εύκολο?
Κάποιος οδηγός να το κοιτάξω?

Δε πρέπει να φτιάχνω συνδέσεις κλπ?

[airbus]

αμα θες απο κινητο να συνδεθεις με vps πως?