Mikrotik IPv4/IPv6 firewall

**teodor_ch** · 25-01-18, 00:42

Αρχικό μήνυμα από puntomania

να ρωτήσω κάτι άλλο... (ρωτώντας πας στην πόλη λένε)...

στο ΝΑΤ... dstnat.... παίζει να βάλουμε 2 ή περισσότερους κανόνες εξωτερικής πόρτας για την ίδια εσωτερική και μηχάνημα? δηλαδή... στέκει αυτό?

είναι ο κανόνας που σου έβαλα 2-3 ποστ πιο πάνω....

https://www.adslgr.com/forum/threads...=1#post6322647

ανεξάρτητα απο ποιό pppoe-client wan IP έρχεται το κλικ
οδηγεί πάντα στην ίδια εσωτερική ΙΡ:PORT

Και είχες πρόβλημα ακριβώς εκεί που το περίμενα

(τα έχω περάσει και εγώ αυτά)

Αυτό εδώ είναι αποτέλεσμα copy-paste.

Κώδικας:

/ip firewall mangle
add chain=prerouting in-interface=pppoe-out1
add chain=prerouting in-interface=pppoe-out2

**puntomania** · 25-01-18, 01:25

Αρχικό μήνυμα από teodor_ch

είναι ο κανόνας που σου έβαλα 2-3 ποστ πιο πάνω....

https://www.adslgr.com/forum/threads...=1#post6322647

ανεξάρτητα απο ποιό pppoe-client wan IP έρχεται το κλικ
οδηγεί πάντα στην ίδια εσωτερική ΙΡ:PORT

Και είχες πρόβλημα ακριβώς εκεί που το περίμενα

(τα έχω περάσει και εγώ αυτά)

Αυτό εδώ είναι αποτέλεσμα copy-paste.

Κώδικας:

/ip firewall mangle
add chain=prerouting in-interface=pppoe-out1
add chain=prerouting in-interface=pppoe-out2

Έβαλα το δικό σου κανόνα... Διάβασε 2 ποστ πιο πίσω...

**teodor_ch** · 25-01-18, 10:20

Παραιτούμαι

Σου απάντησα στο κομμάτι που έκανα quote.
Τα έχω διαβάσει όλα και σου απάντησε ο Κώστας 2 ποστ πίσω τί να διορθώσεις.

Εύχομαι καλή υπομονή και δύναμη στους υπόλοιπους!

**puntomania** · 25-01-18, 18:14

Αρχικό μήνυμα από kostas2911

το πρόβλημα σου είναι ότι δεν μαρκάρεις την εισερχόμενη κίνηση όποτε όταν πάει η κάμερα να σου απαντήσει δεν παίρνει σαν δεδομένο ότι εσύ έχει "μπει" από την pppoe2 πχ.

Σβήσε το mangle σου και δοκίμασε το παρακάτω

Κώδικας:

/ip firewall mangle
add chain=prerouting dst-address=192.168.88.0/24 src-address=192.168.88.0/24
add action=mark-connection chain=prerouting connection-mark=no-mark \
    in-interface=pppoe-out1 new-connection-mark=to_wan1
add action=mark-connection chain=prerouting connection-mark=no-mark \
    in-interface=pppoe-out2 new-connection-mark=to_wan2
add action=jump chain=prerouting connection-mark=no-mark in-interface=ether6 \
    jump-target=policy_route
add action=mark-routing chain=prerouting connection-mark=to_wan1 \
    new-routing-mark=to_wan1 src-address=192.168.88.0/24
add action=mark-routing chain=prerouting connection-mark=to_wan2 \
    new-routing-mark=to_wan2 src-address=192.168.88.0/24
add action=mark-routing chain=output connection-mark=to_wan1 \
    new-routing-mark=to_wan1
add action=mark-routing chain=output connection-mark=to_wan2 \
    new-routing-mark=to_wan2
add action=mark-connection chain=policy_route dst-address-type=!local \
    new-connection-mark=to_wan1 per-connection-classifier=dst-address:2/0
add action=mark-connection chain=policy_route dst-address-type=!local \
    new-connection-mark=to_wan2 per-connection-classifier=dst-address:2/1

Ωραίος... έκανα την αλλαγή στο mangle... πρόσθεσα στο παραπάνω τις γραμμές για την 3η γραμμή μου. ναι φαίνεται οτι είναι οκ το nat και στις 3 γραμμές....

στους προηγούμενους κανόνες που είχα... στο speedtest... μου τερμάτιζε και τις 3 γραμμές... στο δικό σου... βγαίνει κάθε φορά... από μία μόνο...

πως συμπεριφέρεται όταν υπάρχουν περισσότεροι clients πάνω στο δίκτυο?

υπάρχει τρόπος... να αθροίζετε η ταχύτητα ακόμα και για έναν client?

- - - Updated - - -

Αρχικό μήνυμα από teodor_ch

Παραιτούμε

Σου απάντησα στο κομμάτι που έκανα quote.
Τα έχω διαβάσει όλα και σου απάντησε ο Κώστας 2 ποστ πίσω τί να διορθώσεις.

Εύχομαι καλή υπομονή και δύναμη στους υπόλοιπους!

σε καλό δρόμο είμαι... υπομονή!

**kostas2911** · 25-01-18, 19:42

Αρχικό μήνυμα από puntomania

στους προηγούμενους κανόνες που είχα... στο speedtest... μου τερμάτιζε και τις 3 γραμμές... στο δικό σου... βγαίνει κάθε φορά... από μία μόνο...

πως συμπεριφέρεται όταν υπάρχουν περισσότεροι clients πάνω στο δίκτυο?

υπάρχει τρόπος... να αθροίζετε η ταχύτητα ακόμα και για έναν client?

Εσύ είχες

Κώδικας:

per-connection-classifier=both-addresses-and-ports

ενώ τώρα έχεις

Κώδικας:

per-connection-classifier=dst-address

Δεν ήταν βέβαια πραγματικό άθροισμα. Και ούτε μπορεί να γίνει άθροισμα σε επίπεδο browsing αν δεν το υποστηρίζει ο πάροχος ή πας σε αρκετά δύσκολες υλοποιήσεις. Μόνο με torrent θα πάρεις την αθροισμενη ταχυτητα.

**puntomania** · 25-01-18, 23:46

Αρχικό μήνυμα από kostas2911

Εσύ είχες

Κώδικας:

per-connection-classifier=both-addresses-and-ports

ενώ τώρα έχεις

Κώδικας:

per-connection-classifier=dst-address

Δεν ήταν βέβαια πραγματικό άθροισμα. Και ούτε μπορεί να γίνει άθροισμα σε επίπεδο browsing αν δεν το υποστηρίζει ο πάροχος ή πας σε αρκετά δύσκολες υλοποιήσεις. Μόνο με torrent θα πάρεις την αθροισμενη ταχυτητα.

θα το τεστάρω... να το δω....

**lsavvaid** · 26-01-18, 18:32

Παιδιά κάποιος τρόπος να κοπούν τα torrent όσο αυτό είναι δυνατόν.

Δεν περιμένω να πιάσει το 100%
Φυσικά.

Εκείνη η λύση σε layer 7 protocol με regexp που πολυκυκλοφορεί

διαβάζω ότι δεν τα πιάνει με την νέα ανανέωση του μtorrent.

Αν κάποιος έχει κάποια δοκιμασμένη λύση θα ήμουν ευγνώμων.

Θέλω να μην μπορεί να κατεβάζει κάποιος από το 10.190.2.0/24

Ευχαριστώ

**Nikiforos** · 26-01-18, 20:02

καλησπέρα, δοκιμασες απο firewall filter με συγκεκριμενες πορτες?

**lsavvaid** · 26-01-18, 20:11

Αρχικό μήνυμα από Nikiforos

καλησπέρα, δοκιμασες απο firewall filter με συγκεκριμενες πορτες?

Δεν έχω δοκιμάσει τίποτα ακόμη.

Πριν που είχα ενα 433ah έτρεχα σε layer 7 protocol τη λύση που κυκλοφορεί στο διαδίκτυο, και δούλευε σχετικά καλά.

Επειδή διαβάζω από χρήστες ότι σε πολλούς δεν δουλεύει πλέον ρωτάω αν υπάρχει άλλος καλύτερος τρόπος.

Κάποιος παράδειγμα με πόρτες να περάσω;

Το νήμα είναι πολύ μεγάλο για να ψάξω πλέον αν έχει αναφερθεί.

Ευχαριστώ!

**Nikiforos** · 26-01-18, 20:14

αυτο λες ? http://gregsowell.com/?p=894
δεν εχω ασχοληθει ακριβως με αυτο που θες να κανεις, να μπλοκαρεις ενα subnet απο ολα ειναι το μονο ευκολο, απο κατι συγκεκριμενο βαζεις και πορτα, αλλα τα torrents εχουν πολλες.
Δες και αυτο αν δεν το εχεις δει ηδη https://forum.mikrotik.com/viewtopic...1178&start=100
Αμα βρω κατι ποιο συγκεκριμενο θα επανελθω.

**lsavvaid** · 26-01-18, 20:31

Ναι αυτό ,
https://forum.mikrotik.com/viewtopic.php?t=59234

Δεν το δοκίμασα το άλλο που ποσταρες

Κάπου σε ένα PDF από mum είχα βρει κάτι αλλά δεν το βρίσκω τώρα

**Nikiforos** · 26-01-18, 20:41

δες εδω https://mum.mikrotik.com/presentatio...1491889120.pdf
και https://mum.mikrotik.com/presentatio...essconnect.pdf
και https://mum.mikrotik.com//presentations/US13/rick.pdf

εχω βρει πολλα εβαλα μερικα που νομιζω πως εχουν σχεση. Αυτος ο mum εχει απειρα αρθρα για Mikrotikia!

**lsavvaid** · 26-01-18, 20:46

Σε ευχαριστώ!

Θα τα κοιτάξω αν και κάτι σαν το προηγούμενο αν έπαιζε θα με βόλευε.

**gfdimopo** · 26-01-18, 23:53

Καλησπέρα παιδια,

Ανοιξα την πόρτα με τον τρόπο που μου είπε ο Νικηφόρος.

Βρήκα όμως ότι όταν ενεργοποιώ το Drop Forward everything else που είναι ο τελευταίος κανόνας του firewall του Denisun μου κόβει το ανοιγμα της πόρτας. Λογικό μου ακούγεται.

Από ότι καταλαβαίνω θα πρέπει να βάλω ενα κανόνα επιπλέον πρίν από αυτόν ή να βάλω κάποιο exception στον συγκεκριμένο ώστε να μου αφήνει την πόρτα που θέλω και να μην την κόβει.

Πως μπορεί να γίνει αυτό?

**deniSun** · 27-01-18, 00:02

Αρχικό μήνυμα από gfdimopo

Καλησπέρα παιδια,

Ανοιξα την πόρτα με τον τρόπο που μου είπε ο Νικηφόρος.

Βρήκα όμως ότι όταν ενεργοποιώ το Drop Forward everything else που είναι ο τελευταίος κανόνας του firewall του Denisun μου κόβει το ανοιγμα της πόρτας. Λογικό μου ακούγεται.

Από ότι καταλαβαίνω θα πρέπει να βάλω ενα κανόνα επιπλέον πρίν από αυτόν ή να βάλω κάποιο exception στον συγκεκριμένο ώστε να μου αφήνει την πόρτα που θέλω και να μην την κόβει.

Πως μπορεί να γίνει αυτό?

Ο κανόνας για drop everything θα πρέπει να είναι τελευταίος όλων των άλλων.

Θέμα: Mikrotik IPv4/IPv6 firewall

Παρόμοια Θέματα

Mikrotik IPv6 σε PPPoE client με modem σε bridge mode

Έναρξη πιλοτικής λειτουργίας IPv4/IPv6 dual stack από τον ΟΤΕ

Mikrotik 2011 DHCP lease failed without success Point to Multipoint

IPV6 + IPV4 SPEED TEST

Tags για αυτό το Θέμα

Bookmarks

Bookmarks

Δικαιώματα - Επιλογές