Mikrotik IPv4/IPv6 firewall

[kostas2911]

κάτι στο mangle θέλει αλλαγή η προσθήκη...

- - - Updated - - -

όσο έψαξα ολοι κάνουν αναφορα οτι θέλει το hotspot=auth

add action=mark-connection chain=prerouting dst-address-type=!local hotspot=auth in-interface=Local new-connection-mark=WAN1_conn per-connection-classifier=both-addresses-and-ports:2/0
add action=mark-connection chain=prerouting dst-address-type=!local hotspot=auth in-interface=Local new-connection-mark=WAN2_conn per-connection-classifier=both-addresses-and-ports:2/1
...

στην περίπτωσή μου όμως εγώ έχω..

add action=mark-connection chain=policy_route dst-address-type=!local new-connection-mark=to_wan1 passthrough=yes per-connection-classifier=both-addresses-and-ports:3/0
add action=mark-connection chain=policy_route dst-address-type=!local new-connection-mark=to_wan2 passthrough=yes per-connection-classifier=both-addresses-and-ports:3/1
add action=mark-connection chain=policy_route dst-address-type=!local new-connection-mark=to_wan3 passthrough=yes per-connection-classifier=both-addresses-and-ports:3/2

chain=policy_route βάζω ναι μεν το hotspot=auth άλλα και πάλι δεν έχει ιντερνετ το hotspot.

- - - Updated - - -



ναι οκ... αυτό είναι δευτερεύων...

- - - Updated - - -



το τσέκαρα...

Το mangle θέλει όντως το hotspot=auth αλλά μόνο αν κανεις load balancing στο interface του hotspot.
θέλεις load balancing;

[puntomania]

Το mangle θέλει όντως το hotspot=auth αλλά μόνο αν κανεις load balancing στο interface του hotspot.
θέλεις load balancing;

Θέλω Όπως λειτουργεί το lan... έτσι και το hotspot.

χωρίς το hotspot=auth δεν θα έπρεπε να είχα ιντερνετ όμως έστω και από μία γραμμή?

- - - Updated - - -

έκανα την εξής δοκιμή... πρόσθεσα ένα 941 που τρέχει μόνο ως hotspot... και με vlan το πάω πίσω στο 3011... στις ether που θέλω και παίζει... είναι μπακαλίστικη λύση όμως!

[kostas2911]

Με κλειστά όλα τα mangle σου παίζει;

[puntomania]

Με κλειστά όλα τα mangle σου παίζει;

Χμμμ δεν το δοκίμασα... θα το τσεκάρω μετά

[macro]

dhcp εναν μονο μπορεις να εχεις, ή αυτον του hotspot ή αυτον του lan. Εκτος και αν φτιαξεις δευτερο αλλα σε αλλη θυρα.

[puntomania]

dhcp εναν μονο μπορεις να εχεις, ή αυτον του hotspot ή αυτον του lan. Εκτος και αν φτιαξεις δευτερο αλλα σε αλλη θυρα.

2 έχω.... ένα για LAN 192.168.0.0/24 και ένα για την wan2 192.168.20.0/24 που χρησιμοποιώ το wifi του speedport

και ο 3ος ήταν στην ether10 για το hotspot 192.168.3.0/24

[macro]

Ειναι σε αλλη θυρα ο δευτερος dhcp? Αν σε μηχανημα που συνδεεται σε hotspot του βαλεις στατικ, βγαινει ιντερνετ?

[puntomania]

o 1o LAN (bridge ether 4-5-6-7-8)
o 2o Wifi speedport ( ether2 )

hotspot ( ether 10 )

θα το δοκιμάσω αυτό με την στατικ

[macro]

statik του hotspot ομως να βαλεις και οχι του λαν σου. Γιατι απο το λαν σου θα βγει σιγουρα

[kostas2911]

o 1o LAN (bridge ether 4-5-6-7-8)
o 2o Wifi speedport ( ether2 )

hotspot ( ether 10 )

θα το δοκιμάσω αυτό με την στατικ

Το hotspot που το έχεις τελικά;
Στην ether10 ή σε vlan;

[puntomania]

Το hotspot που το έχεις τελικά;
Στην ether10 ή σε vlan;

έκανα δοκιμές...

μόνο στην ether10

ether10+vlan100

[kostas2911]

έκανα δοκιμές...

μόνο στην ether10

ether10+vlan100

Πάλι δεν σε καταλαβαίνω.
Στην ether10 ή στο vlan100;

[puntomania]

Πάλι δεν σε καταλαβαίνω.
Στην ether10 ή στο vlan100;

PPPOE-OUT ether 1-2-3

bridge1 ( LAN ) ether 4-5-6-7-8-9 192.168.0.1/24 dhcp 192.168.0.100-192.168.0.200

bridge2 (HOTSPOT) ether10-VLAN100 dhcp dhcp 192.168.3.100-192.168.3.200

το vlan100 έχει interface το LAN

2 είναι τα δίκτυα, στο bridge2 (HOTSPOT) συνδέονται απευθείας μέσω της ether10 και κάποια μέσο της bridge1 ( LAN ) με vlan 100

[kostas2911]

PPPOE-OUT ether 1-2-3

bridge1 ( LAN ) ether 4-5-6-7-8-9 192.168.0.1/24 dhcp 192.168.0.100-192.168.0.200

bridge2 (HOTSPOT) ether10-VLAN100 dhcp dhcp 192.168.3.100-192.168.3.200

το vlan100 έχει interface το LAN

2 είναι τα δίκτυα, στο bridge2 (HOTSPOT) συνδέονται απευθείας μέσω της ether10 και κάποια μέσο της bridge1 ( LAN ) με vlan 100

Άρα το hotspot και όλους τους κανόνες που το αφορούν θα τους βάλεις στο bridge2. Ούτε στο ether10 ούτε στο vlan100

[deniSun]

Απαντώντας καθυστερημένα σε μια παλιά συζήτηση περί ΝΑΤ και κατά πόσο είναι σωστή η δήλωση:

/ip firewall nat
add action=masquerade chain=srcnat comment=NAT src-address=192.168.5.0/24

χωρίς δηλαδή out-interface.
Η παραπάνω δήλωση δεν παρουσιάζει κανένα πρόβλημα στην λειτουργία της.
Φαινομενικά θα μπορούσε να πει κάποιος ότι περνάει από ΝΑΤ όλη την κίνηση είτε εσωτερική είτε εξωτερική.
Παρ όλα αυτά από αυτήν περνάει μόνο η εξερχόμενη κίνηση.
Αν δηλαδή θέλει να επικοινωνήσει ο 5.10 με τον 5.20 δεν θα περάσει από τον συγκεκριμένο κανόνα.
Επίσης δεν προσθέτει καμία καθυστέρηση.
Ο κίνηση του 5.10 προς τον 5.20 θα περάσει έτσι και αλλιώς από έλεγχο ακόμα και αν στον παραπάνω κανόνα υπήρχε η δήλωση με το out interface.
Όπως λοιπόν ο παραπάνω κανόνας απορρίπτει την κίνηση του 5.10 στον 5.20 λόγω του ότι είναι στο ίδιο subnet και δεν χρειάζονται ΝΑΤ, έτσι θα τον απέρριπτε και αν ακόμα υπήρχε το out interface αφού δεν θα απευθυνόταν σε αυτό.

Ο παραπάνω (γενικός) κανόνας αντίθετα μας λύνει πολλά προβλήματα.
1. την επικοινωνία με το bridge modem, αν αυτό βρίσκεται σε διαφορετικό subnet πχ 0.1
2. την πρόσβαση προς τα έξω της Openvpn κίνησης.
Χωρίς τον παραπάνω κανόνα θα έπρεπε για τις περιπτώσεις 1 και 2 να υπάρχουν ξεχωριστοί επιμέρους κανόνες.