MikroTik RB952

[Odar]

FileZilla je FTP server. Nazdielaj si adresar (Windows share), prida sa ti dalsi drive ("pismenko") a pouzivas ako normalny bezny disk.

[16cmfan]

Adresar viem zdielat v ramci domacej skupiny v LAN... preto chcem FTP riesit

1. chcem si kupit do konca roka NAS - preco si to nevyskusat najrpv na tom, co mam k dispozicii (a mozno nakoniec este pouzijem jeden starsi NB ked ho najdem)

2. Chcem k nemu pristupovat z vonku (notebook, mobil hocico) - mam aj verejnu IP...

[16cmfan]

Tak mi napadla este jedna vec - cez VPN tunet PPTP ?

Ten som zvladol, dokonca som na interface nastavil proxy-arp no nedari sa mi pripojit na zdielanu zlozku... v ramci wifi to ide samozrejme...

- riesil uz toto niekto ? Mate s tym skusenost alebo nejaky elegantnejsi napad ? Idem na to debilne a nefunguje to tak, ako si predstavujem ? Diky za radu

Snad obrazok pomoze

[mp3turbo]

ja by som na to isiel L2TP tunelom ak mozes - a hlavne by som podal sakramentsky detailnejsi popis odkial kam (source IP, destination IP) sa snazim pripojit. Lebo z tohoto tvojho popisu teraz som vcelku somar po dvoch minutach studovania a viac tomu nedam lebo to nerozpletiem.

skus aj nejake ine testy - vies pingnut adresu na ktorej mas zdielanu zlozku. Cim je zdielana, microsoft SMB ? NFS ? iSCSI ? Vies sa telnetnut na prislusny destination port kam sa treba pripojit ? Nahodou "netstat -ano" vystup zo zdrojovej masiny po pokuse o otvorenie spojenia, samozrejme len cast kde mas prislusnu destination adresu (chcem vidiet ci je tam SYN_SENT status alebo nejaky iny pre ten paket)...

[16cmfan]

Ahoj,

- zdielana zlozka je asi v ramci microsft smb, kedze som ju nasharoval v ramci domacej skupiny medzi PC a NB...

- ide o to, ze ja sa viem pripojit na svoj VPN server.. ale to je asi tak vsetko

- mam nastaveny pool 192.168.3.10-192.168.3.20

- cital som na inom fore, ze ak sa chceme dostat aj za router a nie len nanho, je potrebne nastavit na interface ARP: proxy-ARP. To mam nastavene, cely bridge interface..

Teraz k tomu pingovaniu a IP... Local adress mam nastaveny 192.168.88.1 - co je defeaultna gate pre moje mydlo

Remote adress mam uz hore nastaveny poll, napr. posledne mi pridelilo 192.168.3.17 - pripojeny cez kyslik 3G net ext. adress 151.236.xxx.xxx

Dal som si pingovat z mojho stolneho PC 192.168.88.253 tu 192.168.3.17 - pinglo ho! Nebude tam nejaka kuleha vo firewall ?

Lebo predtym som ani nemohol nadviazat spojenie, pokym som do pravidiel nepridal:

[16cmfan]

Este pre istotu cely vypis fw co mam...

Kód: Vybrať všetko

/ip firewall filter
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connectio
    established,related disabled=yes log-prefix=""
add action=accept chain=input comment="VZDIALENY PRISTUP" dst-port=8291 log-prefix="
    tcp
add action=accept chain=input dst-port=1723 log-prefix="" protocol=tcp
add action=accept chain=input log-prefix="" protocol=gre
add action=accept chain=forward comment="defconf: accept established,related" connec
    established,related log-prefix=""
add action=drop chain=forward comment="defconf: drop invalid" connection-state=inval
    log-prefix=""
add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" \
    connection-nat-state=!dstnat connection-state=new in-interface=WAN_PROXIS log-pr
add action=accept chain=input protocol=icmp
add action=accept chain=input connection-state=established
add action=accept chain=input connection-state=related
add action=drop chain=input in-interface=WAN_PROXIS
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" log-prefix="" out-i
    WAN_PROXIS

A routovacia tabulka:

Kód: Vybrať všetko

B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          10.251.0.1                1
 1 ADC  10.251.0.0/21      10.251.0.10     WAN_PROXIS                0
 2 ADC  192.168.2.0/24     192.168.2.1     Bridge-hostia             0
 3 ADC  192.168.3.20/32    192.168.3.19    <pptp-sestnastka>         0
 4 ADC  192.168.88.0/24    192.168.88.1    bridge                    0

[mp3turbo]

naviazat spojenie si nemohol lebo si mal blokovany port na PPtP. Doporucujem vymenit za L2TP tunely ale to je nepodstatne.
V tych firewalloch nemas predsa povoleny Microsoft SMB traffic, takze to nemoze fungovat (lebo tam mas zahodenie vsetkeho co nie je povolene).

PS: vobec, ale fakt ze vobec sa mi nepacia tie bridžované bridže.

[16cmfan]

Tak ide to

Staci nastavit NAT ako hore - zaistit jednu IP ktoru stale prideli pre PPtP...

A natvrdo natukat IPcku stroja kde mam sharovane veci \\192.168.88.253 napr.

Jedna drobnost - neviem heslo a vyznat sa v tom windowse... ani si napametam ze by som daval nejake heslo Viete poradit ? Aale dostal som sa na bratov NB co nepytalo heslo a funguje to Skusane cez mobilny net O2

[16cmfan]

Pani, co robim zle - ked mi to neroutuje a nemam pristup na net, aj ked mi prideli IPcku.. ani google nepingnem :/ Prehliadol som nieco ? Obrazok viz. priloha.

Co chcem tym dosiahnut je aby vsetky interface medzi sebou routovali, tak ako sa patri na router... aby som nemal v bridgy nic... mp3turbo ma inspiroval

Nakopne ma do zadku niekto spravnym smerom ? Diky za kazdu radu

Edit: Este podivnost... niekedy to samo prepne samo od seba... viz. dalsi obrazok... a vtedy ide net...

Prilohy vo vacsom rozlisku -

wtfrouta.PNG

[mp3turbo]

na tvojich klientoch kde dostavas adresy DHCPckom musis mat nastavene ich prislusne gatewaye, teda na 192.168.2.x sieti musis mat nastavenu gateway 192.168.2.1 pretoze tuto adresu ma Mikrotik a to je cesta ako sa tvoj klient (pocitac, tablet, telefon...) po sieti dostane "cez Mikrotik" dalej do sveta. Na 192.168.3.1 sieti (teda ked DHCPcko prideli 192.168.3.x adresu lebo si pichnuty do toho interfejsu) musis rozdavat gatewaye 192.168.3.1 atd.

A potom NATovanie von, kde ocakavam problem. V ramci vnutornych sieti 192.168.1.x, 192.168.2.x, az 192.168.5.x ti Mikrotik bude routovat od prirody, nastavovat netreba nic. Prevadzku medzi tymito sietami mozes regulovat firewallom, ale to routovanie samotne mas zariadene samo.

Keby bol Mikrotik pripojeny priamo do internetu, treba spravit NAT (preklad adries) respektive "maskaradu" co je ista forma NATu z dovodu, ze 192.168.x.x adresy su vyhradene pre vnutorne pouzitie a internet ich nepozna/nevie pouzit. To je proste direktiva. Takze v /ip firewall nat by trebalo definovat ze "vo vsetkych paketoch co odchadzaju von cez interface ether1 pretoze ten je "verejny" sa musi zmenit zdrojova adresa - napr. 192.168.5.x, za verejnu adresu Mikrotiku". Mikrotik si vnutorne udrzuje tabulku spojeni a ked mu pride odpoved na dany paket, on uz vie ze to ma poslat na masinu 192.168.5.34 napriklad odkial ten povodny paket ktory sme zmanipulovali prisiel.

Ked Mikrotik nie je priamo pripojeny do internetu, co je tvoj pripad pretoze mas pred nim nejake zariadenie 192.168.0.254 na ktore Mikrotik posiela vsetky pakety smerom von do sveta, vtedy treba bud urobit rovnaku vec ako v bode hore (pretoze 192.168.0.254 NEVIE ze Mikrotik ma za sebou schovane siete 192.168.2.x ; 192.168.3.x ; 4.x a 5.x a preto nevie kam ma posielat pakety pre tieto siete ked mu nieco z nich doleti) alebo treba nastavit na tom zariadeni routovanie aby vedel ze pakety do siet 192.168.2.0/24, 192.168.3.0/24 atd treba posielat na 192.168.0.155 cize Mikrotik a ten uz zariadi nasledne veci pretoze vie kde sa dane siete nachadzaju.


Neviem ake zariadenie je to 192.168.0.254, predpokladam nejaky ADSL modem alebo take nieco, a predpokladam ze tam nastavit routovanie bude problem. Aj preto ti doporucujem jednoducho spravit NAT na Mikrotiku pretoze sa ti to zide ako cvik do buducnosti

/ip firewall nat action=masquerade out-interface=ether1 chain=srcnat

"urob maskaradu teda maskovanie, ked paket odchadza interfejsom ether1 a vymen mu zdrojovu adresu aby sme predstierali ze ide priamo z mikrotiku".






dokelu striktne pouzivam len ssh a nechce sami trapit s winboxom terazki

/ip firewall nat print

Flags: X - disabled, I - invalid, D - dynamic
0 chain=srcnat action=masquerade src-address=192.168.123.0/24 dst-address=10.5.0.0/16 log=no log-prefix=""

cize vsetko co ide zo zdrojovej adresy 192.168.123.x a ide do sieti 10.5.x.x (toto by si nedefinoval pre internet, u mna je to zo specifickeho dovodu) zmaškaráduj akokeby pochadzalo z teba sameho, drahy Mikrotik.



kukni na youtube videa "mikrotik masquerade"

[16cmfan]

Ahoj, maskaradu mam nastavenu - resp. doma ju mam (kazdy SOHO MT od vyroby ju ma).. tuna v praci som to skusal na RB750 lite - GW je nejaky switch... maskarada je tiez aj na RB750 nastavena - gateway mam tiez nastavene pre DHCP... je mozne tiez, ze je nieco s tym MT...

skusam si to tu v praci aby som sa stym pohral a na ostru doma nastavil A sef mi tiez tvrdil, ze by mi to malo ist a na to DHCP ma tiez ako prve upozornil tak neviem no ...

EDIT 10:59 - DHCP Adr... divne co ? dva krat 2.x... ? ja som pridal len 1x ...

dhcpadress.PNG

Ale dalsi edit: - z 2.x pingnem nedosiahnutelny (podla routes) 3.x a ked pichnem kabel do ether 3 kde mam 3.x pripojim sa na MT a uz je dosiahnutelny ale net nejde... to je divne

eth3.PNG

[mp3turbo]

Nie, mikrotiku nic nebude, chyba je medzi stolickou a klavesnicou a to nemyslim osobne.

To co vidis je symbolicky zapis, podobne sa sprava aj Windouz :


C:\Users\trulo> route print
===========================================================================
Interface List
22...00 a0 c6 00 00 17 ......Dell Wireless 5570 HSPA+ (42Mbps) Mobile Broadband Card
16...00 ff b0 db f9 0d ......Juniper Network Connect Virtual Adapter
14...3c a9 f4 8c 44 51 ......Microsoft Virtual WiFi Miniport Adapter #2
13...3c a9 f4 8c 44 51 ......Microsoft Virtual WiFi Miniport Adapter
12...ec f4 bb 07 ff c7 ......Intel(R) Ethernet Connection I217-LM
11...3c a9 f4 8c 44 50 ......Intel(R) Centrino(R) Ultimate-N 6300 AGN
1...........................Software Loopback Interface 1
23...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter
15...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface
24...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #3
26...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #4
25...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #5
27...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #6
61...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #7
===========================================================================

IPv4 Route Table
===========================================================================
Active Routes:
Network Destination Netmask Gateway Interface Metric
0.0.0.0 0.0.0.0 192.168.123.1 192.168.123.106 10
0.0.0.0 0.0.0.0 192.168.123.1 192.168.123.102 25
127.0.0.0 255.0.0.0 On-link 127.0.0.1 306
127.0.0.1 255.255.255.255 On-link 127.0.0.1 306
127.255.255.255 255.255.255.255 On-link 127.0.0.1 306
192.168.123.0 255.255.255.0 On-link 192.168.123.106 266
192.168.123.0 255.255.255.0 On-link 192.168.123.102 281
192.168.123.102 255.255.255.255 On-link 192.168.123.102 281
192.168.123.106 255.255.255.255 On-link 192.168.123.106 266
192.168.123.255 255.255.255.255 On-link 192.168.123.106 266
192.168.123.255 255.255.255.255 On-link 192.168.123.102 281
224.0.0.0 240.0.0.0 On-link 127.0.0.1 306
224.0.0.0 240.0.0.0 On-link 192.168.123.106 266
224.0.0.0 240.0.0.0 On-link 192.168.123.102 281
255.255.255.255 255.255.255.255 On-link 127.0.0.1 306
255.255.255.255 255.255.255.255 On-link 192.168.123.106 266
255.255.255.255 255.255.255.255 On-link 192.168.123.102 281
===========================================================================
Persistent Routes:
Network Address Netmask Gateway Address Metric
10.5.0.0 255.255.0.0 10.4.1.1 1
===========================================================================

IPv6 Route Table
===========================================================================
Active Routes:
If Metric Network Destination Gateway
1 306 ::1/128 On-link
12 266 fe80::/64 On-link
11 281 fe80::/64 On-link
11 281 fe80::685b:5d4e:967:624e/128
On-link
12 266 fe80::90a3:a298:39c3:9f75/128
On-link
1 306 ff00::/8 On-link
12 266 ff00::/8 On-link
11 281 ff00::/8 On-link
===========================================================================

[16cmfan]

Nie, mikrotiku nic nebude, chyba je medzi stolickou a klavesnicou a to nemyslim osobne.

Veru ze tak!

Takze neviem kde zacat lebo som posraty od stastia Tak za prve - ja debil pre strom nevidim les - modrym oznacene routy su neaktivne nie ze boli zle nastavene - ako nahle som sa nejakym zariadenim pripojil na dany itnerface - routa bola cierna...

Tie skratky predsa ADC a podobne Ale chybami sa clovek (m)uci

Potom dolezitost, ktoru turbo napisal - maskaaaraaada

pre kazdy interface som nastavil viz:

Kód: Vybrať všetko

[admin@Sestnastka_ROUTER] /ip firewall nat> print
Flags: X - disabled, I - invalid, D - dynamic 
 0    ;;; defconf: masquerade
      chain=srcnat action=masquerade out-interface=ether1 log=no log-prefix="" 

 1    chain=srcnat action=masquerade src-address=192.168.2.0/24 
      dst-address=IP do vonku log=no log-prefix="" 

 2    chain=srcnat action=masquerade src-address=192.168.3.0/24 
      dst-address=IP do vonku log=no log-prefix="" 

 3    chain=srcnat action=masquerade src-address=192.168.4.0/24 
      dst-address=IP do vonku log=no log-prefix="" 

 4    chain=srcnat action=masquerade src-address=192.168.5.0/24 
      dst-address=IP do vonku log=no log-prefix="" 

 5    chain=srcnat action=masquerade src-address=192.168.6.10 
      dst-address=!192.16 log=no log-prefix="" 

A ked som hentoto hore nastavil, zacalo to ficat jak vinko Posledne pravidlo je pre PPTP ktore som si radsej tiez vyskusal ci fungiren a ide to paradne

Tu je este printik z route list-u:

Kód: Vybrať všetko

[admin@Sestnastka_ROUTER] /ip route> print
Flags: X - disabled, A - active, D - dynamic, 
C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, 
B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          10.251.0.1                1
 1 ADC  10.251.0.0/21      10.251.0.10     ether1                    0
 2 ADC  192.168.2.0/24     192.168.2.1     ether2                    0
 3  DC  192.168.3.0/24     192.168.3.1     ether3                  255
 4  DC  192.168.4.0/24     192.168.4.1     ether4                  255
 5 ADC  192.168.5.0/24     192.168.5.1     ether5                    0
 6 ADC  192.168.24.0/24    192.168.24.1    2.4GHZ                    0
 7 ADC  192.168.50.0/24    192.168.50.1    5GHZ                      0

Cize odporucam kto sa boji, nic zloziteho - routujte medzi interfejsami - ako dalsie si z toho druheho maleho prehodim z modu Bridge tiez na routing.. ten maly bazmeg co mam zatial na 192.168.5.1 mAP Lite... zatial sluzi len ako AP...

BONUS: je to stopro routovanim - cez speedtest - viem ze turbo nema rad, skresluje ale mozem 100/100 skusat a na kabli nedam pod 80 zvacsa okolo 90Mbps - server: peering centrum Bratislava - skuste: proxisnet.sk/speed-test co vam hadze..

no a k tomu bonusu - na NB cez WIFI na 5Ghz som nedaval take rychlosti - teraz davam okolo 80 stabilne na wifi som nemenil nic...

Diky TURBO! A ak mas este nejake rady, pripomienky, sem snimi - verim ze aj ostatnym pomozu tieto tu moje zadrhele a ich riesenia

[mp3turbo]

moja rec - taka dobra SESTNASTKA nikdy nie je zla, jejda to boli uzasne casy a dodnes tu sestnastku mam doma, i ked uz ma o "dvacať" viac.

V tvojich maskaradach by som presunul pravidlo cislo 5 uplne dopredu ak si chcel nieco specificke vyhodit z maskarady. Ak si chcel len povedat "nerob ziadnu maskaradu s paketmi ktore smeruju do inych vnutornych sieti 192.168.x" [lebo to pravidlo si zle orezal, nie je kompletne] tak to robit nemusis pretoze nulka hovori len o maskarade ked sa ide von cez interface ether1 co sa do vnutornych sieti nechodi, tie pouzivaju ine interfejsy takze maskarada podla pravidla 0 sa neuplatni.


Dalej, ked do toho dobre škúlim so sucasnymi tromi promile, tak sucasne pravidla 1,2,3,4 su neucinne a nic nerobia, mozes ich kludne vymazat (CTRL-X safe mod tak ako vzdy). Tieto pravidla hovoria "cokolvek ide zo zdrojovej adresy 192.168.2.hocico a ide na destination adresu verejna mikrotiku, tak s tymi paketmi sprav maskaradu kde vymenis zdrojovu adresu za... sakra za default adresy mikrotiku". Nedava mi to zmysel, podla mna ked tie pravidla zakazes, furt ti vsetky tie segmenty budu chodit na internet pretoze prve pravidlo hovori (cokolvek ide von cez interface ether1, sprav s tym maskaradu a vymen tym paketom zdrojovu adresu" cize na tie dalsie pravidla sa uz jednoducho nedostane.

Skus.

Inak s tym bonusom som to tiez nenakupil - chcel si povedat ze teraz mas vyssi performance ako si mal predtym ? Aj na internet aj na wifi ?


Čajíček : cakal som 980/980 http://imageshost.eu/images/2016/10/15/proxisnet.png
ze si budu musiet dat lepsiu lajnu u energotelu...


No a ked chces este nejake ine rady, tak rychlo sem s /ip wireless print advanced pretoze LEN 80Mbit na 5GHz, tak to s tym teda budeme musiet nieco urobit a sfleku napis aj ake konkretne typy wirelessiek mas v notebooku (Intel 7260ABG, Atheros 9105, alebo podobne). Uplne presne typ model, idealne z DEvice Magaera. Verziu ovladacov na tie wifinky potrebujeme takisto, a verzia Mikrotiku nesmie chybat bez debaty.

[16cmfan]

Dalej, ked do toho dobre škúlim so sucasnymi tromi promile, tak sucasne pravidla 1,2,3,4 su neucinne a nic nerobia, mozes ich kludne vymazat (CTRL-X safe mod tak ako vzdy). Tieto pravidla hovoria "cokolvek ide zo zdrojovej adresy 192.168.2.hocico a ide na destination adresu verejna mikrotiku, tak s tymi paketmi sprav maskaradu kde vymenis zdrojovu adresu za... sakra za default adresy mikrotiku". Nedava mi to zmysel, podla mna ked tie pravidla zakazes, furt ti vsetky tie segmenty budu chodit na internet pretoze prve pravidlo hovori (cokolvek ide von cez interface ether1, sprav s tym maskaradu a vymen tym paketom zdrojovu adresu" cize na tie dalsie pravidla sa uz jednoducho nedostane.

Skus.

Mas pravdu - net bezi na ostatnych zariadeniach aj bez tychto pravidie

No a ked chces este nejake ine rady, tak rychlo sem s /ip wireless print advanced pretoze LEN 80Mbit na 5GHz, tak to s tym teda budeme musiet nieco urobit a sfleku napis aj ake konkretne typy wirelessiek mas v notebooku (Intel 7260ABG, Atheros 9105, alebo podobne). Uplne presne typ model, idealne z DEvice Magaera. Verziu ovladacov na tie wifinky potrebujeme takisto, a verzia Mikrotiku nesmie chybat bez debaty.

Krabicka RB952Ui5ac2nD

WIFI karta v NB: Intel Centrino Advanced-N 6235 (DELL E3330), ovladac: 15.16.0.2. Mam Windows 10...

Pouzil som iny prikaz, tamten nesiel alebo ja robim nieco zle..

Kód: Vybrať všetko

[admin@Sestnastka_ROUTER] /interface wireless> print 
Flags: X - disabled, R - running 
 0  R ;;; HLAVNE WIFI 2.4GHZ
      name="2.4GHZ" mtu=1500 l2mtu=1600 mac-address=6C:3B:6B:1D:44:30 arp=enabled 
      interface-type=Atheros AR9300 mode=ap-bridge ssid="Sestnastka" frequency=2437 
      band=2ghz-b/g/n channel-width=20/40mhz-Ce scan-list=default wireless-protocol=802.
      vlan-mode=no-tag vlan-id=1 wds-mode=disabled wds-default-bridge=*8 wds-ignore-ssid
      bridge-mode=enabled default-authentication=no default-forwarding=no 
      default-ap-tx-limit=0 default-client-tx-limit=0 hide-ssid=no security-profile=defa
      compression=no 

 1    ;;; HLAVNE WIFI 5GHZ
      name="5GHZ" mtu=1500 l2mtu=1600 mac-address=6C:3B:6B:1D:44:2F arp=enabled 
      interface-type=Atheros AR9888 mode=ap-bridge ssid="Sestnastka_5GHZ" frequency=5550
      band=5ghz-a/n/ac channel-width=20/40/80mhz-eCee scan-list=default 
      wireless-protocol=802.11 vlan-mode=no-tag vlan-id=1 wds-mode=disabled 
      wds-default-bridge=none wds-ignore-ssid=no bridge-mode=enabled 
      default-authentication=no default-forwarding=yes default-ap-tx-limit=0 
      default-client-tx-limit=0 hide-ssid=no security-profile=5GHZ compression=no 

// som chcel zmenit frekvenciu o 5mhz na 5555 a odvtedy mi pise detecting radar a i potom co ho prestane hladat, nemozem najst svoju 5g siet...

Mam najnovsi ROS 6.37.1 - na starsich mi to az tak dlho nezapinalo..