Mikrotik IPv4/IPv6 firewall

[macro]

Μια χαρα δουλευει ετσι και τα εχω ολα.

[jkarabas]

Εχω load balance με 3 γραμμες wan1,2,3...... με συνεπεια αν εβαζα τις wan στο in interface και οχι το !bridge θα επρεπε να εχω 3 κανονες για τα 3 διαφορετικα wan. Δε παιζω με pppoe-out1,2,3 για λογους που ψιλοβαριεμαι να εξηγω. Eχω 3 διαφορετικα isolated subnets, επειδη το ιντερνετ μοιραζεται σε πολλους εδω που ειμαι. Μιλαω για το σπιτι και οχι στη δουλεια που και εκει καπως ετσι τα εχω.

Συνολικα εχω 6 ΜΤ, 3 για router και 3 για repeaters.

Εντάξει τώρα το κατάλαβα.

[deniSun]

Μια χαρα δουλευει ετσι και τα εχω ολα.

Όπως θέλεις...

[jkarabas]

Να ρωτήσω κάτι?
Εάν έχεις στο χώρο σου πάνω απο 1 συσκευές ΜΤ όπως επειπλέον AP χρειάζεται στα υπόλοιπα να έχεις firewall?
Η λογική μου λέει πως όχι, απο τη στιγμή που τη διαχείριση όλη την κάνει ο κεντρικός router που είναι σε bridge με το modem σωστά;

[macro]

ναι σωστα δε χρειαζεσαι, η μονη περιπτωση να χρειαζεσαι ειναι αν εχεις mid end router.

[TeoNOKIA]

Ακολούθησα τον οδηγό https://www.adslgr.com/forum/threads...roid-iOS/page3. Το πρόβλημα μου είναι ότι έχω καταφέρει να βλέπω το LAN μου, αλλά δεν παιρνάει το internet από το VPN (το τσεκάρω από την public ip που έχω).
Επίσης, αν βάλω Source Adress List τη λίστα OpenVpn που λέει ο οδηγός δεν συνδέομαι καθόλου. Τι κάνω λάθος; To mikrotik εχει ip 192.168.88.1

/ip firewall address-list
add address=10.1.1.0/24 list=OpenVPN
/ip firewall filter
add action=accept chain=forward comment=OpenVPN out-interface=all-ppp
add action=accept chain=forward comment=OpenVPN in-interface=all-ppp
add action=accept chain=input comment=Openvpn dst-port=1194 log=yes protocol=\
    tcp
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
add action=masquerade chain=srcnat src-address=192.168.88.0/24
add action=masquerade chain=srcnat comment=OpenVPN dst-address=\
    192.168.88.0/24
add action=dst-nat chain=dstnat comment=Torrent dst-port=9091 in-interface=\
    pppoe-out1 protocol=tcp to-addresses=192.168.88.10 to-ports=9091
add action=dst-nat chain=dstnat comment="Torrent 2" dst-port=51413 \
    in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.88.10 to-ports=\
    51413
add action=dst-nat chain=dstnat comment=Passive dst-port=5000-5099 \
    in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.88.10 to-ports=\
    5000-5099
add action=dst-nat chain=dstnat comment=FTP dst-port=19000 in-interface=\
    pppoe-out1 protocol=tcp to-addresses=192.168.88.10 to-ports=21

Στο config file του client εχω τη γραμμή
route 192.168.88.0 255.255.255.0

[puntomania]

πριν καιρό...είχε βάλει κάποιος 2 κανόνες ώστε συγκεκριμένες συσκευές να χρησιμοποιούν διαφορετικό DNS...

αν τους έχει κάποιος εύκαιρους....

[RpMz]

\ip firewall nat

add chain=dstnat src-address=192.168.X.XX dst-port=53 protocol=udp action=dst-nat to-addresses=1.1.1.1

[puntomania]

\ip firewall nat

add chain=dstnat src-address=192.168.X.XX dst-port=53 protocol=udp action=dst-nat to-addresses=1.1.1.1

δε μου πιάνει το subnet απ το hotspot που τρέχω... χμμμμμμ

[x_undefined]

Το hotspot, αν έτρεξες το αντίστοιχο setup, φτιάχνει από μόνο του δικό του κανόνα και τα στέλνει στον εσωτερικό DNS server του Mikrotik, οπότε από το IP > DNS μπορείς να αλλάξεις τους servers για τους χρήστες του hotspot.

[puntomania]

Το hotspot, αν έτρεξες το αντίστοιχο setup, φτιάχνει από μόνο του δικό του κανόνα και τα στέλνει στον εσωτερικό DNS server του Mikrotik, οπότε από το IP > DNS μπορείς να αλλάξεις τους servers για τους χρήστες του hotspot.

το μικροτικ δεν το εχω μονο για τους hotspot... αλλα και τους LAN.... έχω περισσότερα subnet...

στο IP > DNS... αν βάλω εκεί τον dns που θέλω πάει για όλους το ίδιο...ενώ θέλω μόνο για το subnet του hotspot.

[x_undefined]

Το Hotspot το έφτιαξες με το Hotspot Setup; Σου έφτιαξε τον κανόνα που φαίνεται παρακάτω; Αν ναι, τότε δοκίμασε να τον διαγράψεις και δες αν πλέον πιάνει πακέτα ο κανόνας του RpMz.

[RpMz]

δε μου πιάνει το subnet απ το hotspot που τρέχω... χμμμμμμ

Δοκίμασε να τον βάλεις 1ο τον κανόνα, για να δούμε εάν το πιάνει.

[puntomania]

Το Hotspot το έφτιαξες με το Hotspot Setup; Σου έφτιαξε τον κανόνα που φαίνεται παρακάτω; Αν ναι, τότε δοκίμασε να τον διαγράψεις και δες αν πλέον πιάνει πακέτα ο κανόνας του RpMz.

ναι..αυτό ήθελε...έβγαλα αυτόν που έφτιαξε το hotspot και έβαλα στη θέση του τον καινούργιο... φαίνεται να είναι εντάξει.

- - - Updated - - -

Δοκίμασε να τον βάλεις 1ο τον κανόνα, για να δούμε εάν το πιάνει.

οχι δεν πιάνει... έπρεπε να φύγει ο μαμα!!!

[gfdimopo]

καλησπέρα σε όλους. Για να ανοιξουμε πορτες πχ για το καταγραφικο έχοντας το τελευταίο firewall version του denisun χρειάζεται να προθεσω κάποιο κανόνα ? Προσθεσα στο NAt το αντιστοιχη εντολή dst για την διευθυνση αλλα δεν βλεπω να μου την έχει ανοιξει. sorry που ρωτάω αλλα είμαι εξοχικο και ηθελα να ενεργοποιησω το συναγερμο να με ειδοποιει μεσω της εφαρμογής πριν φυγω για Αθηνα

Ευχαριστώ εκ των προτέρων

To Βρήκα!