Korábban már említettem, hogy amikor megjött a hAP ac2, felkonfigurálást követően fél napig ment rendesen, majd megbolondult a wifije. Ledobálta az eszközöket, ha véletlen fenn is maradt valamelyik, akkor is csak 1Mbit sebességgel tudott kommunikálni. Ezen újraindítás, áramtalanítás sem segített. Már azon voltam, hogy gariztatni kell, de előtte, a hibát követő nap még kipróbáltam, azóta is működik rendesen.
Tegnap este a gyerekem hbogo-t akart nézni a tabletén, de nem ment... nézem, nincs wifi lefedettség. A szobájában van caps-ként konfigurálva egy RB493AH+R52hn. Ránézek a logokra, folyton újraindítja a manager ezt az ap-t, nem is látszik az SSID -je, csak a lakás másik feléből szűrődik át a másik caps, ott már használhatatlan jele. Átkonfiguráltam önálló ap-re, de ugyanaz a hatás, konnektorból kihúz, majd holnap ránézek. Először arra gondoltam, hogy a fene nagy capsman konfigurálgatás közben megsütöttem a R52hn-t, lehet, hogy a chain 1-et is munkára fogta, azon pedig nincs antenna, csak a nullán. Este már a kosárba tettem egy cap ac-t... szerencsére hezitáltam, mondom majd holnap megrendelem, reggel ránézek egy kicsit jobban.
Ma reggel elindít... működik, visszateszem a capsman-ba, működik.

Járt már valaki hasonlóképpen?
Mi a szent sz@r ez?
Valami bug, vagy user error?

Ami kimaradt : Vodafone SIM kártya, 2/3 - 4/5 térerő a kijelző szerint, egy szúfolt irodában.

Egy Hap Ac2 kb. milyen áteresztőképességgel bír openvpn kiszolgálóként? Vagy ipsec, esetgleg wireguard?

Az IPSEC a gyártó oldalán elérhető:

LINK

Az OpenVPN az UDP hiánya miatt nem az igazi.

Sziasztok,

A milyen routert vegyek topikból irányítottak ide (is).
Router vásárlásban kérném a segítséget. 110 négyzetméteres családi téglaházban lenne használva, falak kb 20 centi vastagok. Egy PC és egy NAS lenne rajta madzagon, két laptop és 2 telefon wifin.
Olyan kellene ami kihajtja a gigás digit, viszont inkább a Mikrotik/Ubi vonal érdekelne. Mikrotikből amiről olvastam, hogy jó lehet az a hap ac2 ebben ugye van wifi is. Melyik típust lenne érdemes még megnézni?

Ubi fórumon is kérdeztem ott az ER-3 liteot/ER-4-t ajánlották plusz switch plusz APk. Bár ez árban már elég húzós lenne, illetve az is szóba került ha Mikrotikből akarnék építeni egy normálisabbat az is sokba kerülne mert a miki wifiben gyengébb. Illetve le akartak beszélni a hap ac2-ről mondván viszonylag gyenge a wifije illetve nem olyan erős mint akár az Erlite-3.

Minden ötlet/tanács jól jönne.

Köszi!

Hello darkness, my old friend...

Nálam egy hónapja megy egy hAP ac2, maximálisan elégedett vagyok vele. A wifijétől én is tartottam, mert sok rosszat olvastam róla, de közben láttam és tapasztaltam azt is, hogy ezt mára már kijavították. Igaz én nem ezzel kezdtem a mikrotik-ezést, ezért nem volt falhoz állítás a felkonfigurálása. Érdemes ezzel kezdeni, ha nem vagy elégedett a lefedettséggel, akkor még vehetsz hozzá egy cAP ac-t, capsman-ba kötve már meg is oldottad a problémát. Az én tapasztalatom az, hogy hiába van egy ap-nak brutál erős jele, ha egy-egy gyengébb mobileszköz nem tudja visszajuttatni a sajátját.

szerk:
szerintem a gigás digit röhögve kiszolgálja, asztali gépen torrenthez meg már ssd+combos cpu kell, hogy a sok apró szeletet írni és hash-elni is tudja gigabiten.

[ Szerkesztve ]

Sziasztok!

Játék szerverhez szeretnék beállítani. Beállítottam port forwardingot,azon kívül kellene még mást is beállítani vagy működnie kéne egyből? Mert nem működik.

Valaki használ blocklist IP címeket? Melyiket érdemes és hogyan lehet beállítani hogy automatán frissítse?

port forward:

/ip firewall nat
chain=dstnat action=dst-nat to-addresses=<IP cím, ahová forwardolni akarsz> to-ports=<belső port>
protocol=tcp in-interface=<WAN interfész> dst-port=<külső port> log=no

blocklistre összeszedtem a netről két scriptet, azokat használom.
az első letölti a netről a listát

/tool fetch address=www.squidblacklist.org host=www.squidblacklist.org mode=http src-path=/downloads/drop.malicious.rsc

a második lecseréli a tegnapi listát a maira

/ip firewall address-list remove [find where list="sbl*"]
/import file-name=drop.malicious.rsc
:log info "Removed old aggregated records and imported new list";

ezeket minden éjjel lefuttatja a scheduler, a tűzfalban lévő szabályok pedig azonnal kivágják, aki ezekről a címekről érkezik

/ip firewall filter
chain=input action=drop connection-state=new src-address-list=sbl blocklist.de in-interface=<WAN interfész> log=no log-prefix="blacklist"

chain=input action=drop connection-state=new src-address-list=sbl dshield in-interface=<WAN interfész> log=no log-prefix="blacklist"

chain=input action=drop connection-state=new src-address-list=sbl spamhaus in-interface=<WAN interfész> log=no log-prefix="blacklist"

[ Szerkesztve ]

Gvella Glan! | There are two types of people: Those who can extrapolate from incomplete data

Miért vagy miért csak az input chain-t blokkolod? Az sbl spamhaus a levelező szervernek is hasznos.

Illetve én azt gondolom, hogy ami nincs forwardolva port, az amúgy is drop lesz, akkor nem csak a forward chain-be kellene tenni?

Kössünk egyezséget, megegyezős egyezséget... https://www.paypal.me/engiman/30

igazad lehet, fel is veszem a forward chaint

Gvella Glan! | There are two types of people: Those who can extrapolate from incomplete data

jut eszembe mert fontos
az import scripthez tapasztalataim szerint egy egymagos router kevés, legalábbis hAP ac, meg hEX r2 lehalt tőle, minden más, amin próbáltam, többmagos eszköz volt (hAP ac2, CCR1009, hEX r3, stb), azokon egy perc alatt megvolt az import.
nem biztos, hogy konkrétan a magok száma számít, de ezt tapasztaltam, ha valaki esetleg használná a scriptet, ezt vegye figyelembe

[ Szerkesztve ]

Gvella Glan! | There are two types of people: Those who can extrapolate from incomplete data

RB2011-en próbáltam. Elég sokat szöszölt 100%-on, de rendben megcsinálta.

Köszi. Este már szerintem próbálkozom vele.
Viszont akkor nem input chain-re kell felvenni hanem forwardra?

Még egy-két kérdésem lenne. Mik az alap szabályok a tűzfalban? Most van egy port scanner szabályom,ami felveszi ezeket egy listára majd kitiltja őket. Viszont ezeket a címeket kitiltja,ami megint droppal jár. Szóval akkor felesleges is felvenni ezeket egy listára? Így is úgy is dropolva lesznek.

Sok szempont lehet.
Nálam most per pillanat nincsenek block listák.
Felül van pár engedélyező ill spec tiltó szabály, és a végén egy drop all, aminél nem is adtem meg se inputot se forwardot.

Gigabyte Z390 Aorus master , Core i9 9900K, Asus RTX2070, 64 GB DDR4, Dell Latitude 6430

Van értelme ennek a block listának? Ez plusz pár szabály és amúgy is drop-olok mindent egy másik szabályban. Emiatt csak feleslegesen foglalja az erőforrást.
Van saját blacklistám,elég csak ahhoz hozzáadnom

Van saját blacklistám,elég csak ahhoz hozzáadnom
persze

egyébként az iptables sorrendben értékel ki, ha valamelyik szabályra találat van, akkor már nem megy tovább, ergo egy hátul lévő plusz szabály nem foglal plusz erőforrást.

én azt szoktam csinálni, hogy mivel a számlálón látom, hogy melyik szabály hány packetet fog meg, így igyekszem a jobban pörgő szabályokat előrébb venni.

Gvella Glan! | There are two types of people: Those who can extrapolate from incomplete data

Tudom,de a végén a drop all sok mindent megfog

Van egy Sony Xperia XA céges telóm (nem önszántamból vettem, mert ... )
Van mellé egy picike hAP mini.
Állandóan leszakad róla, log alapján a Sanyi MAC address deauth és diszkónetted, de biztos nem én kezdeményeztem.
Sajna a Sunyi-hoz még új szoftver se jött mostanában, csak a semmirenemjó gyári appokhoz jön néha frissítés.
Más kliensekkel nincs gond.
Próbáltam a DHCP lease time-ot 24 órára venni, mert állítólag erre háklisak egyes mobilok.

Le az elipszilonos jével, éljen a "j" !!!

Néha előfordul, hogy a wifi chip némileg inkompatibilis az AP vel.

Itt bent a cégnél Unifi Wifi van, a korábbi Samu J5 öm szenvedett rajta, alig csordogált az adat, míg otthon a nevesincs Ap vel gond nélkül ment.
Van ilyen néha.

Gigabyte Z390 Aorus master , Core i9 9900K, Asus RTX2070, 64 GB DDR4, Dell Latitude 6430

Sziasztok:

Elakadtam és kérnék szépen egy kis helpet:

PPPOE kapcsolat figyelés:

Olyan kérdésem volna, szeretnék emailt kapni ha elmegy a net ill visszajön a pppoe kapcs.

Meg is csináltam /email test faszán megy és csináltam is egy log testet az is megjön/,DE: ugye nem tud küldeni,mert dns hiba miatt eldobja a küldést,mivel még a ppoe nem connectált.

Hogyan lehetne késleltetni az email küldést? pl:15mp múlva küldje ki a logról az emailt?

22-es csapdája
Ha akkor küldenél csak e-mailt, amikor visszajött a kapcsolat? Ha késleltetni kell, úgy sincs sok értelme a kapcsolat megszakadásakor.
Esetleg egy tartalék mobilnet, amit be lehet ilyenkor izzítani és azon küldjön ki levelet?
Akkor gyorsan képben lennél, hogy gond van és püfölni kell valamit/valakit.

+1 a delay-re

[ Szerkesztve ]

Le az elipszilonos jével, éljen a "j" !!!

Szia!

PPP profil, On Up script?
Nálam a no-ip script futtatás így néz ki újracsatlakozás esetére (DIGI PPPoE):

:delay delay-time=3;
/system script run no-ip_update;

A késleltetés elegendő arra, hogy akkor próbálkozzon, ha már van net.

igen ez igaz, de nekem annyira elég otthon hogy lássam csak információ lenne részemre,igen a szép az lenne ha lenne egy backup "net". Csak próbálkozom most vettem mikrotiket.

Hogy tudod neki megmondani, hogy csak újracsatlakozásnál fusson le a script ?

Gigabyte Z390 Aorus master , Core i9 9900K, Asus RTX2070, 64 GB DDR4, Dell Latitude 6430

ezt én nem használtam még, de van no-ip scriptem amit loptam a mikrotik wikiről.

egyébként ez hogyan nézne ki ez a on up script? Digi PPPoE van nekem is.

sima logging menü alatt vettem fel az email küldést és a pppoe csatlakozás logolását.

[ Szerkesztve ]

Pontatlan volt a megfogalmazás. Alapból schedulerből lefut startup-kor, illetve az On Up gondoskodik róla, hogy a hetente esedékes disconnect után is legyen frissítés a no-ip felé.
Más esetben meg nincs rá szükség.

Az On Up részben csak annyi van, amit bemásoltam.
Némi késleltetés után meghívja a no-ip scriptet.
Korábban próbáltam úgy is, hogy egy az egyben oda másoltam a scriptet, de az valamiért eléggé összevissza működött (egyszer lefutott, egyszer nem).
A scriptben be van állítva, hogy e-mailt is küldjön az új IP-ről, így értesítést is kapok az eseményről.

Hova tetted be neki hogy On Up kor fusson, nekem most 30 percenként fut le, én is a Mikrotik oldaláról vettem a sablon-t.

Gigabyte Z390 Aorus master , Core i9 9900K, Asus RTX2070, 64 GB DDR4, Dell Latitude 6430

A pppoe kapcsolathoz társított profilnál állítottam be.

Aha, no meglesem majd, nekem ott a default van jelenleg.

Gigabyte Z390 Aorus master , Core i9 9900K, Asus RTX2070, 64 GB DDR4, Dell Latitude 6430

A default profilt módosítottam ennyivel.

Érdemes a PPPOE kapcsolathoz külön profilt csinálni, és egyúttal a Change TCP MSS-t is yes-re állítani a profilban. Így (általában) nem kell külön mókolni a firewall/mangle menüben a csomagméretekkel.

A Change TCP MSS eddig is yes volt, viszont a mangle alatt felvett szabályon ettől függetlenül volt forgalom. A mangle szabály nélkül se voltak oldal-elérési problémáim, ettől függetlenül szükség lehet rá?

munkaidőben rohadtul ráérek

Csináltam egyet,ami figyeli a "pppoe kapcsolatot", illetve a google dns-t figyeltetem és ha visszajön a netszolgáltatás küld egy üzit és az aktuális kapott ip címet.

Netwatchba tetten bele az up fül alá:

:local ip [/ip address get [find interface="pppoe-out1"] address ];
:put "IP: $ip"
:local routerneve "Mikrotik Net"
:local emailneki "xxxx@gmail.com"
:local uzenet "$routerneve elérhetõ ismét! IP címe:$ip "

:log info "$uzenet,"

/tool e-mail send to=$emailneki subject=$routerneve body=$uzenet

Létrehoztam a Mikin egy SSTP VPN szervert, rá is tudok lépni.
Mit kell ahhoz beállítani, hogy az összes internetes forgalom ezen keresztül menjen.
Amiért csináltam ezt most, tulajdonképpen az, hogy szeretném a cégnél lévő ftp szervert tesztelni.

Viszont a ha a totalcommanderrel próbálok kapcsolódni, és beírom a domain nevet (fix ip van a cégnél),
nem tud kapcsolódni az ftp re.

Gigabyte Z390 Aorus master , Core i9 9900K, Asus RTX2070, 64 GB DDR4, Dell Latitude 6430

Ez is jó, bár egy az általad írt script arra is mozdul, ha valamiért nincs net, de újracsatlakozás nem történik.
Egyébként talán a legtutibb az, ha az ember a Mikrotik saját cloud dns címére rárak egy no-ip CNAME-et, és akkor még a frissítő szkript se kell.
Max egy értesítés a szakadásról-újracsatlakozásról.

FTP-hez a NATolás megvan?
Ha igen, és továbbra sem megy, akkor nézd meg az IP/Firewall/Service Ports-nál az FTP 21 be van-e kapcsolva.

Ha a kliensen a VPN kapcsolat metrikáját manuálisan alacsonyra teszed, akkor azon keresztül fog menni.

Mondjuk én abból indultam ki ha nem tudja pingelni a 8.8.8.8-at akkor valószínű szolgáltató hiba lesz és így nincsen net sem de ez volt a cél.

És még annyit hozzátennék itt a elég a késeltetésnél ez:
pl:
:delay 150s

[ Szerkesztve ]

Itt bent a céges ftp re akarnék kapcsolódni az otthoni mikin keresztül.
És igen a Juniperben beállították a natolást

Gigabyte Z390 Aorus master , Core i9 9900K, Asus RTX2070, 64 GB DDR4, Dell Latitude 6430

Hol akad el, vagy mi látszik?

a név feloldásnál a belső lan os cím jön vissza, ráadásul talán nem annak a szervernek amin fut az ftp, ennek valszeg az az oka, hogy a ne kelljen a telokat kint és bent máshogy beállítani az Exchange server lan címét adja vissza
és az ftp egy másikon fut.

Ha ténylegesen otthon vagyok, akkor műxik.

Gigabyte Z390 Aorus master , Core i9 9900K, Asus RTX2070, 64 GB DDR4, Dell Latitude 6430

Azt hiszem kezdem elveszíteni a fonalat

Szóval a céges hálóból szeretnél ftp-vel a hálón belüli ftp szerverre csatlakozni, de a külső címen keresztül?
Ezt nekem Mikrotiken Hairpin NAT segítségével sikerült megoldani.

Így van, ezért akarnék a saját mikimre be vpn ezni, és azon keresztül vissza ftp zni, ha ez egyaltalán lehetséges.

Update : Áttettem a VPN kapcsolat metrikáját 1 -sre, és most műxik.

Megtalálható valahol, hogy a különböző metrikák beállítása mit eredményez ?

[ Szerkesztve ]

Gigabyte Z390 Aorus master , Core i9 9900K, Asus RTX2070, 64 GB DDR4, Dell Latitude 6430

Minél alacsonyabb a metrika, annál nagyobb a prioritás.
Illetve egy ilyet találtam.

szerk: a céges gépem wifin UPC-re csatakozik, LAN-on a céges hálózathoz. Route metrikával tudja, hogy net mindig UPC-n menjen.

[ Szerkesztve ]

Nem akkor nem kell. Némely RouterOS verzióban kellett csak a mangle szabály, mert a profilban megadottal valamiért nem mindíg volt jó. Az új verziókban tudtommal nincs ilyen probléma.

Mind az 1100 AHx4 essel mind korábban a HEX 750 GR3 assal tapasztaltam azt, hogy 1-2 havonta megszünik a forgalom az internet felé.

Amivel helyreáll az a wan portok ki és bekapcsolása az interface menüben.
Mi okozza ezt ?

Mit lehet tenni ellene ?

#2
Milyen beállításokat érdemes tenni a VPN el kapcsolatban biztonság terén?
Kell-e bármi, csak én használom a kapcsolatot a cégtől a saját háló elérésére.

Gigabyte Z390 Aorus master , Core i9 9900K, Asus RTX2070, 64 GB DDR4, Dell Latitude 6430

Nem tudjátok, mikor fogja a mikrotik fullra támogatni az openvpn-t? mert ami van az eléggé vérszegény.

Én emiatt áttértem a SSTP re

Gigabyte Z390 Aorus master , Core i9 9900K, Asus RTX2070, 64 GB DDR4, Dell Latitude 6430

A megoldás 10G-re...

Ma megjött a második Mellanox.
Hiba ugyanaz, Mellanox + Mikrotik = nincs link.
Most viszont kipróbáltam a Mellanox + HP direktbe kötve két gép, ami szépen linkelt. Tehát nem a kártyában van hiba.
Mikrotikban kikapcsolva minden védelmet (loop, bpdu, stb.), már jobban látszódott, hogy valamit nem szeretnek egymáson: interface flap --> Layer 2 gond.
Hogy pontosan mit nem szeretett a Mikrotik azt nem tudom, de a megoldást a "Priority and VLAN" opció "Priority only"-ra (=QoS van, VLAN címke nincs) vagy "Priority and VLAN disabled"-re állítása jelentette a Mellanox hálókártyán.
A fenti beállítás mellett a VLAN ID 0 kell maradjon a Mellanox beállításai közt.

Nem igazán értem miért számít a VLAN ID, ha eleve ki van kapcsolva egy másik kapcsoló eredményeként, de hát ez van.

Mind az intel, mind a HP driverben mindkettő alapból engedélyezett (Priority and VLAN, VLAN ID 0), és nem okoz kommunikációs problémát. Simán feljön a link, működik minden. Szóval nem teljesen értem, de legalább meg van oldva a probléma.

Egyébként most éppen stabil a router, már legalább egy hete, hogy nem fagyott le és nem volt crash sem.

Sziasztok! Még nagyon uj vagyok a MikroTik teren, ugyhogy szeretnem a segitsegeteket kerni, egy valoszinuleg nektek egyszeru feladatban...
Van ket telep. Mind a ket telepen van egy-egy nas es egy-egy mikrotik router vegzi a forgalomiranyitast.

1-es telep: Az itt levo NAS-ra dolgoznak.

2-es telep: Az itt levo NAS-on nem dolgoznak, ide az 1-es telepen levo NAS biztonsagi mentese megy.

Ment is flottul, de aztan telekomos modem cserek tortentek. Igy megzavarodott az egesz... Lehet ujra kellene kezdeni az egesz beallitast, ebben kernek segitseget. Vagy mit kellene atallitani, hogy mukodjon tovabbra is?

Elore is koszi!

MR Informatik - IT üzemeltetés, rendszergazda, szerviz, weboldal készítés - www.mrinformatik.hu