Mikrotik IPv4/IPv6 firewall

[kostas2911]

μάλλον δεν το έγραψα καλά....


στο 470+ έχω την 192.168.5.1/24 στο 3011 στην λαν1 την 192.168.5.2/24 όλα δουλεύουν οκ


στο 470+ μπορώ να του ορίσω πχ ότι η 192.168.5.10 θα βγαίνει απ την βαν1..... η 192.168.5.20 απ την βαν 2... η 192.168.5.30 απ την βαν3 και η 192.168.5.40 απ την βαν4


οπότε εχοντας αυτές της 4 ip's στην λαν1 του 3011.....

πως να ορίζω στα routes οτι ξέρεις το 192.168.5.10 να είναι το routing mark: wan1..... και το αντίστοιχο για της άλλες 3 ip's...

ώστε με τους αντίστοιχους κανόνες στο mangle.... να μπορώ να στείλω πχ τα mail μου απ την wan4...... το ιντερνετ banking απ την wan2 .... το pbx μου απ την wan1 κτλ

Καινούργια routes θα ήθελες αν είχες διαφορετικό gateway.
Εσύ θα συνεχίσεις να έχεις το ίδιο gateway 192.168.5.1

Αυτό μου χρειάζεσαι είναι να πιάσεις την κίνηση που θέλεις με κάποιο mangle και να ορίσεις ένα connection mark για αυτή.
Μετά θα πρέπει να κάνεις source nat για traffic με αυτό το connection mark προς το tplink στην αντίστοιχη ip πχ 192.168.5.10
Έτσι το Tplink θα βλέπει ότι αυτή η κίνηση έρχεται από την 192.168.5.10 και όχι από την 192.168.5.2

Επίσης φρόντισε ο καινούργιος source nat κανόνας να είναι πιο πάνω από τον γενικό που έχεις τώρα.
Και φυσικά να προσθέσεις τις ip 192.168.5.10 .20 .30 .40 στην ether1 του mikrotik

[puntomania]

Καινούργια routes θα ήθελες αν είχες διαφορετικό gateway.
Εσύ θα συνεχίσεις να έχεις το ίδιο gateway 192.168.5.1

Αυτό μου χρειάζεσαι είναι να πιάσεις την κίνηση που θέλεις με κάποιο mangle και να ορίσεις ένα connection mark για αυτή.
Μετά θα πρέπει να κάνεις source nat για traffic με αυτό το connection mark προς το tplink στην αντίστοιχη ip πχ 192.168.5.10
Έτσι το Tplink θα βλέπει ότι αυτή η κίνηση έρχεται από την 192.168.5.10 και όχι από την 192.168.5.2

Επίσης φρόντισε ο καινούργιος source nat κανόνας να είναι πιο πάνω από τον γενικό που έχεις τώρα.
Και φυσικά να προσθέσεις τις ip 192.168.5.10 .20 .30 .40 στην ether1 του mikrotik

αρα θέλουμε κανόνα στο ΝΑΤ για να στέλνει το connection mark απ την ip της ether1 που θέλουμε στο 470 και μετά κανόνα mangle για να πιάνει την κίνηση που θέλουμε και να την δρομολογεί μέσου του connection mark


θα τσεκάρω και ενημερώνω.

[kostasandr]

Καλησπερα αγορια. Το γραφω εδω γιατι δεν ξερω που να το γραψω.
Πριν λιγες μερες δοκιμασα να μπω στο ρουτερ της forthnet (192.168.0.254) και ειδα οτι δεν απαντουσε η σελιδα. Ουτε σε ping. Οταν εκανα ping μεσα απο το μικροτικ (192.168.1.254) απαντουσε κανονικα.
Το εβγαλα απο το μικροτικ το συνεδεσα στο δικτυο σκετο και καταφερα ετσι να μπω στο web interface.
Με αφορμη την μεγαλη αναβαθμιση στο Ros εχθες, αναβαθμισα το mikrotik, reset configuration και στησιμο ολο απο την αρχη ομορφα και καθαρα.
Μετα την ολοκληρωση του στησιματος εξακολουθω να μην εχω προσβαση στο forthnet.
Απενεργοποιησα κανονες firewall μηπως και, το αποτελεσμα δεν αλλαξε.
Μαλλον αυτο που πρεπει να γινει ειναι να μπει η ip 192.168.0.254 στο address lists και με καποιο κανονα να επιτρεπεται η προσβαση, αλλα δεν ξερω πως και τι.

[kostas2911]

Καλησπερα αγορια. Το γραφω εδω γιατι δεν ξερω που να το γραψω.
Πριν λιγες μερες δοκιμασα να μπω στο ρουτερ της forthnet (192.168.0.254) και ειδα οτι δεν απαντουσε η σελιδα. Ουτε σε ping. Οταν εκανα ping μεσα απο το μικροτικ (192.168.1.254) απαντουσε κανονικα.
Το εβγαλα απο το μικροτικ το συνεδεσα στο δικτυο σκετο και καταφερα ετσι να μπω στο web interface.
Με αφορμη την μεγαλη αναβαθμιση στο Ros εχθες, αναβαθμισα το mikrotik, reset configuration και στησιμο ολο απο την αρχη ομορφα και καθαρα.
Μετα την ολοκληρωση του στησιματος εξακολουθω να μην εχω προσβαση στο forthnet.
Απενεργοποιησα κανονες firewall μηπως και, το αποτελεσμα δεν αλλαξε.
Μαλλον αυτο που πρεπει να γινει ειναι να μπει η ip 192.168.0.254 στο address lists και με καποιο κανονα να επιτρεπεται η προσβαση, αλλα δεν ξερω πως και τι.

Προφανώς χρειάζεσαι source nat στο interface που είναι συνδεδεμένο το router της forthnet.

[macro]

Προσεξε το interface να ειναι out στο src.nat

[kostasandr]

Ευχαριστω πολυ και τους 2 σας. Επαιξε με: srcnat - out interface ether1 action masquerade.
Πως εξηγειτε οτι μεχρι πριν λιγο καιρο επαιζε και μια στιγμη αλλαξε;

[kostasandr]

Καλησπερα αγορια.
Στα mikrotik μου εχω περασμενο τα rules του denisun. Προσπαθωντας να μπω στο μηχανημα της δουλειας απο το σπιτι μεσω ip-cloud δεν με αφηνει. Το κοβει ο κανονας "drop input everything else.
Τι μπορω να κανω ουτως ωστε να μου επιτρεψει την προσβαση. Συμπληρωμα στον υπαρχον κανονα η προσθηκη αλλου ψηλοτερα στη σειρα.

[jkarabas]

Καλησπερα αγορια.
Στα mikrotik μου εχω περασμενο τα rules του denisun. Προσπαθωντας να μπω στο μηχανημα της δουλειας απο το σπιτι μεσω ip-cloud δεν με αφηνει. Το κοβει ο κανονας "drop input everything else.
Τι μπορω να κανω ουτως ωστε να μου επιτρεψει την προσβαση. Συμπληρωμα στον υπαρχον κανονα η προσθηκη αλλου ψηλοτερα στη σειρα.

Δηλ. θέλεις να μπεις από το σπίτι σου στη δουλεία ή το αντίστροφο γιατί με μπέρδεψες αναφέροντας το ip-cloud.

[kostasandr]

Απο το σπιτι στη δουλεια.

[deniSun]

Καλησπερα αγορια.
Στα mikrotik μου εχω περασμενο τα rules του denisun. Προσπαθωντας να μπω στο μηχανημα της δουλειας απο το σπιτι μεσω ip-cloud δεν με αφηνει. Το κοβει ο κανονας "drop input everything else.
Τι μπορω να κανω ουτως ωστε να μου επιτρεψει την προσβαση. Συμπληρωμα στον υπαρχον κανονα η προσθηκη αλλου ψηλοτερα στη σειρα.

Να μπεις... με τι;
winbox, vpn,... ;
Για το κάθε ένα θα πρέπει να ανοίξεις και τις αντίστοιχες πόρτες.
Το cloud δεν σου δίνει πρόσβαση παντού.
Το cloud είναι υπηρεσία dynamic dns.

[jkarabas]

Να μπεις... με τι;
winbox, vpn,... ;
Για το κάθε ένα θα πρέπει να ανοίξεις και τις αντίστοιχες πόρτες.
Το cloud δεν σου δίνει πρόσβαση παντού.
Το cloud είναι υπηρεσία dynamic dns.

Πιθανολογώ με winbox από το σπίτι του στο ρούτερ της δουλειάς του μάλλον???
Ας το ξεκαθαρίσει να μας πει.

[kostasandr]

Ναι, μεσω winbox απο το σπιτι στο ρουτερ της δουλειας. Μονο προσβαση στο ρουτερ θελω. Οχι σε υπολογιστες κτλ.

Δυναμικες διευθυνσεις απο isp και στη δουλεια και στο σπιτι.

[deniSun]

Ναι, μεσω winbox απο το σπιτι στο ρουτερ της δουλειας. Μονο προσβαση στο ρουτερ θελω. Οχι σε υπολογιστες κτλ.

Δυναμικες διευθυνσεις απο isp και στη δουλεια και στο σπιτι.

1. Αρχικά πρέπει να ορίσεις το winbox να μπορεί να συνδέεται από οποιαδήποτε ΙΡ.
2. Θα πρέπει να ανοίξεις την πόρτα του winbox στο fw.

[jkarabas]

Ότι σου είπε ο deni, στο router της δουλειάς σου ανοίγεις (επιτρέπεις) την πόρτα 8291 μέσα στα filter rules.
To fw κόβει τα πάντα, εσύ αποφασίζεις τι θα περνάει.
Πρόσεχε τη σειρά που θα μπει ο κανόνας.
Accept Input 8291.

[kostasandr]

1. το εχω ηδη ετσι
2. για αυτο θελω την βοηθεια. το winbox ειναι στην 8291. σε ποιο σημειο να μπει ο κανονας. στην αρχη, στην μεση, που; και η συνταξη του;
"/ip firewall filter add action=accept chain=input disabled=no dst-port=8291 protocol=tcp". Ειδα αυτον καπου, ειναι σωστος;
υπαρχει τροπος να δηλωσω και την mac διευθυνση μου για να απανταει μονο σε αυτη το winbox?