MikroTik - zrusenie bridge (default SOHO settings)

[16cmfan]

16cmfan --> Viem. Len ja som uz reagoval na shiro. Sa to tu uz mota

Nepotrebujem ziadne selektovanie na rozne subnety, ako je v linku co si dal predtym ze LAN2 ma 192.168.2.xxx, LAN3 ma 192.168.3.xxx atd.

Jasne, ze nie. Je to len priklad, ze sa to tak spravit da. Mozes si zadefinovat trebars

Kód: Vybrať všetko

ether2 192.168.88.10  - 192.168.88.50
ether3 192.168.88.51  - 192.168.88.100
ether4 192.168.88.101 - 192.168.88.150
ether5 192.168.88.151 - 192.168.88.200
wlan1  192.168.88.201 - 192.168.88.250

Na doma ti na kazdy interface taky pocet IP adries urcite staci. Vacsinu z nich aj tak budes mat zrejme nastavenu ako static. Otazne je este, ci nie je lepsie stacicke adresy volit mimo rozsahu, ktory bude pridelovat DHCP server. Trebas si to cislovat od 192.168.88.300 a vyssie . . .

255.255.255.255/32 - nad 300 sa neda

vidis, robis zbytocnu robotu - i tak do toho budes sprtat, tak preco to neurobit poriadne - z toho by si mal problemy - ako ti to bude routovat ked su na rovnakom subnete ? Nemam odskusane ale je vyzera to na pekny sajgon... valstne ani fungovat to z principu nemoze ci ? Turbo urcite poda vysvetlicko

[Odar]

No s tou 300vkou som to nedomyslel

No nic, koniec teoretizovania. Ked zacnem do toho vrtat - ozvem sa.

Inak to riesenie, ze kazda zastrcka iny subnet ma logiku - podla IP adresy clovek vie, kde ma to zariadenie fyzicky strcene. Ma to svoje vyhody.

[shiro]

dik za info turbo.
nebojte, chapem
Ked uz, tak asi to spravim ako pisal Odar s tymi poolmi.
A uvidia sa bez problemov zariadenia, ked jedno bude mat ip z poolu
ether2 192.168.88.10 - 192.168.88.50

a dalsie z poolu
ether3 192.168.88.51 - 192.168.88.100 ?
Routy sa spravia vraj automaticky...alebo je potrebne nieco dakde doplnat?

Co forwarding portov? Bez bridgu tam musim urcit aj interface, ze?

[Hexaris]

No v soho ten bridge bude urcite strasna kalamita ... z tohto som uz ja vyrastol. Routing nech je tam, kde je ho naozaj treba. Preco by inak existoval vmbr ? Je pravda ze u xeonu mi to da 1,4GBps nie Gb takze sa to zrovnavat moc neda s cpu v RB, ale v urcitych pripadoch to chapem, ze bridge by bol na skodu.

[16cmfan]

dik za info turbo.
nebojte, chapem
Ked uz, tak asi to spravim ako pisal Odar s tymi poolmi.
A uvidia sa bez problemov zariadenia, ked jedno bude mat ip z poolu
ether2 192.168.88.10 - 192.168.88.50

a dalsie z poolu
ether3 192.168.88.51 - 192.168.88.100 ?
Routy sa spravia vraj automaticky...alebo je potrebne nieco dakde doplnat?

Co forwarding portov? Bez bridgu tam musim urcit aj interface, ze?

Ale mas tam stale rovnaky subnet A nema to ziaden zmysel tym padom...

[Odar]

Tak nakoniec je to v domacich podmienkach zbytocna robota a nema zmysel sa s tym babrat?

[mp3turbo]

>> Ked uz, tak asi to spravim ako pisal Odar s tymi poolmi.
>> A uvidia sa bez problemov zariadenia, ked jedno bude mat ip z poolu ether2 192.168.88.10 - 192.168.88.50
>> a dalsie z poolu ether3 192.168.88.51 - 192.168.88.100 ?

nie, neuvidia ked im das masku 255.255.255.0 alebo 255.255.255.128 alebo nieco podobne velke. Dovod ? V takom pripade bude totiz lokalny pocitac povedzme 192.168.88.32 hladat kamarata 192.168.88.87 na svojej tcp/ip sieti cize pojde cestou zistovania MAC adresy cez ARP a to sa mu nepodari kedze 192.168.88.87 bude obeseny na inom fyzickom interfejsi mikrotiku. Tak ako som napisal hore teda moj posledny prispevok na konci prvej strany, nebude to fungovat kvoli MAC/ARP.

Nechapem aky je stress mat ine cisla na telefone a ine cisla na pocitaci a ine cisla na notebooku a ine cisla na televizore. Proste si chcem otvorit notebookove fajliky, tak \\meno a cisla ma nezaujimaju. Ked nemam dobre spraveny DNS, tak \\192.168.300.400 [sranda na zaklade vyssie uvedeneho] a vobec ma netrapi ze moje cisla su 192.168.600.700, ci to je iny segment alebo nie. Napriamo to ajtak nepojde, bude to cez Mikrotik tak ci tak, cize je to jedno z hladiska praktickeho.


Je to zbytocna robota aj nie je to zbytocna robota, poviem ti tak : ked mas spravne nastavenu firewall vec, tak jedna rodina z tych troch v baraku nemoze zavirit ostatne dve. Lebo ty si slusny clovek, chodis na www.bestgames.com a www.vub.sk, nic ine, lenze ten 16rocny chuj odvedla je www.bestporno.com www.noviruseshereonlythebestchicks.com a podobne. A ked mas na pocitaci nejake normalne nechcem povedat cenne data... mnohi z nas na pocitaci robia aj ine veci nez sa hraju Doom a KaunterStrajk.

Ja som proste cely zivot routovaci chlapec a nechapem preco ma existovat nieco ine co ma kvanta kvanta technologickych nevyhod. Nechapem preco vznikla 1.2htp a preco to ludia vobec kupovali, ked je to proste technologicky odpad a blbost, ma to strasny zvuk a podobne. To znamena ze bridging ako taky ma svoje vlastnosti a "ehm pouzitie" ale je proste technologicky inferiorny v porovnani s alternativami.

JEDINA vec kde "vynika" je jednoduchost obsluhy, vsetko na velku jednu hromadu. Cele zle, uplne zle. Strasne ako 1.2htp.

[shiro]

obecne radsej vytukam ipcku, ako hostname...naco do toho tahat dns v ramci domacej LAN, ked nemusim?
V tomto som rad jednoduchy a idem natvrdo po ipckach

moze to byt lepsie, ale ked to ma mat 10x viac nastavovaciek a mam si pamatat 10x viac informacii co a ako pracuje, tak to za efektivne moc nepovazujem. aby som si o tom pisal dve strany textaku ze ako to funguje, aby som nezabudol casom
Samozrejme dakde do firmy, kde je treba riesit aj bezpecnost, ano, s tym suhlasim. Doma mam v LAN poriadok, ziadne porno exotiny.

Ono ohladom DNS na mikrotiku...ako to vlastne funguje? pochybujem ze MT (mikrotiku) ma vlastny dns server, cize dns poziadavky to pusti von do netu a tam sa resolvuju? Vlastne netusim ako na MT spravit dns, aj ked mam ipcku MT zadanu ako dns vo windows. toto som nikdy nejak neriesil, tak neviem ako to funguje. Je lepsie mat dns u seba doma na MT?

Ako sa budu chovat pravidla vo firewalle po odstraneni bridge? tipujem ze ich bude treba editnut.

[Hexaris]

Zas to htp ... bridge zly nie je, cele je to len o tom kde a ako sa bude pouzivat. Ani mne htp hlava neberie, starsim ludom vsak moze vyhovovat. Nezapocitavam kvalitu vyrobku aby bolo jasno.

Mikrotik dns je recursor cache nic viac. Hlavne na public ip zakaz pristup z vonku na 53 port, inak u ISP sa bude abuse mail sklonovat vo vsetkych padoch. Inak vseobecne bude lepsie si nastavit nejake normalne DNS, ci uz ISP, nejake free public ...

[16cmfan]

V prilohe moj FW a FW na bridge.

[mp3turbo]

>> Ono ohladom DNS na mikrotiku...ako to vlastne funguje? pochybujem ze MT (mikrotiku) ma vlastny dns server, cize dns poziadavky
>> to pusti von do netu a tam sa resolvuju? Vlastne netusim ako na MT spravit dns, aj ked mam ipcku MT zadanu ako dns vo windows.
>> toto som nikdy nejak neriesil, tak neviem ako to funguje. Je lepsie mat dns u seba doma na MT?

Mikrotik funguje uplne rovnako ako vsetky ostatne platformy ; ma v sebe zabudovany DNS server (preto mozes pouzit Mikrotik IPcku v konfiguracii tvojich klientov, PC, notebookov, telefonov) a zaroven ma nastaveny tzv. forwarder cize nadradeny DNS Server ktoreho sa pyta ked nieco nevie rozlisit.

Princip prace DNS je zlahka mimo tuto temu, ale velmi strucne hierarchia : ked nieco viem rozsifrovat sam tak to urobim (napriklad lokalne adresy 192.168.60.2 moze byt mojnajpornovatejsi.notebook.v.pracovni) a ked nieco neviem tak sa opytam toho DNSka nadomnou (=provider) ktory vie. A ked ten provider nevie (pretoze samozrejme nema u seba komplet cely svet, takze 99.999999% nevie) tak sa opyta zase toho nad sebou atd, az sa dostaneme na tzv. root dns servery. Ostatne dostudujes na internete.


16cm ventilator : pravidla mas relativne dobre, avsak redundantne. Od dvanastky do dvadsattrojky mozes vsetko vymazat, pretoze to pokryvaju posledne dve pravidla cislo 24, 25 [teraz by som musel pospekulovat nad tym forwardingom = routingom medzi 192.168.xx.yy sietkami] Nie je ziadny problem tak ako to mas, len pri vyssom trafficu zbytocna zataz procesoru.

[16cmfan]

16cm ventilator : pravidla mas relativne dobre, avsak redundantne. Od dvanastky do dvadsattrojky mozes vsetko vymazat, pretoze to pokryvaju posledne dve pravidla cislo 24, 25 [teraz by som musel pospekulovat nad tym forwardingom = routingom medzi 192.168.xx.yy sietkami] Nie je ziadny problem tak ako to mas, len pri vyssom trafficu zbytocna zataz procesoru.

Ahoj, teraz som si narychlo urobil

virtual AP 192.168.2.0/24
Hnusny bridž (nemal som cas) 192.168.88.0/24

ked som pravidlo nemal veselo som pingoval z NB do telefonu na Virtualke... ked som ho zapol, uz som sa nedopingoval

[mp3turbo]

pravda, lebo som zlahka rozmyslal (a neviem preco) nad pravidlom 24 - mas tam napisane ze vstupny interface musi byt ETHER1 na to, aby sa akykolvek traffic prechadzajuci cez Mikrotik (forward) zahodil. Cize, co je do toho momentu povolene je povolene, pravidlo 24 zahodi vsetko co by chcelo ist Z ether1 do hociktorej siete a doteraz povolene nebolo.

Cize, keby pravidlo 24 znelo chain=forward action=drop a nebol by tam definovany in-interface=ether1, spravilo by to vec ktoru som popisal. Zakazalo by trafficu z jednej tcp/ip siete behat do druhej. Pouzitim toho ether1 si vlastne "zalimitoval" alebo "obmedzil" rozsah tomu pravidlu, cize nezahadzuje tak vela veci ako by mohlo zahadzovat. V pravidle 23 vidim "drop forward" akurat ze podla popisu TIPUJEM ZE NEVIDIM INVALID, cize to pravidlo tak ako je zobrazene je nekompletne. Holt, preto mam rad commandlajnu. Winbox som v zivote nepouzil.

Ja vsetky veci robim sposobom : zahodit uplne vsetko, a potom po jednej pridavam co ma byt povolene. Tak sa mi nestane ze niekedy v buducnosti pridam dalsi interface, alebo siet, alebo virtualne radio alebo cokolvek, a zabudnem resp. nemyslim na nasledky co sa tyka firewallingu a bezpecnosti. Holt, deformacia.

Presne ako som napisal, musel by som pospekuloval nad tym firewallingom a toto je dovod. Velmi rychlo som to prebehol ocami. Inak plati co som povedal az dokial sa nenajde dalsia chyba

[16cmfan]

Pockaj, tu mas vypis ako sa patri, konzolovy!

Kód: Vybrať všetko

1    chain=forward action=accept connection-state=established 
      in-interface=ether1 

 2    chain=forward action=accept connection-state=related in-interface=ether1 

 3    chain=forward action=accept connection-state=established,related log=no 
      log-prefix="" 

 4    ;;; PINGUJESE ZIJES!
      chain=input action=accept protocol=icmp log=no log-prefix="" 

 5    chain=input action=accept connection-state=established 

 6    chain=input action=accept connection-state=related 

 7    ;;; VZDIALENY PRISTUP Z WINBOXu
      chain=input action=accept protocol=tcp dst-port=8291 log=no log-prefix="" 

 8    ;;; POVOLIT PPTP na port 1723
      chain=input action=accept protocol=tcp dst-port=1723 log=no log-prefix="" 

 9    ;;; POVOLIT PPTP na protocole 47
      chain=input action=accept protocol=gre log=no log-prefix="" 

10    ;;; POVOLIT NESTASTNIKOM DNS cez TCP
      chain=input action=accept protocol=tcp src-address=192.168.60.0/24 
      dst-port=53 log=no log-prefix="" 

11    ;;; POVOLIT NESTASTNIKOM DNS cez UDP
      chain=input action=accept protocol=udp src-address=192.168.60.0/24 
      dst-port=53 log=no log-prefix="" 

12    ;;; BLOKUJ VSETKY POZIADAVKY NA MOJE DNS Z VONKU (tcp)
      chain=input action=drop connection-state=new protocol=tcp 
      in-interface=ether1 dst-port=53 log=no log-prefix="" 

13    ;;; BLOKUJ VSETKY POZIADAVKY NA MOJE DNS Z VONKU (udp)
      chain=input action=drop connection-state=new protocol=udp 
      in-interface=ether1 dst-port=53 log=no log-prefix="" 

14    ;;; ZAKAZ WEB Z VONKU
      chain=input action=drop protocol=tcp in-interface=ether1 dst-port=80 
      log=no log-prefix="" 

15    ;;; UKAZAT PROSTREDNICKEK PRI POKUSE O LOGIN NA MIKROTICEK
      chain=input action=drop src-address=192.168.60.0/24 log=no log-prefix="" 

16    chain=input action=drop protocol=tcp src-address=192.168.60.0/24 
      dst-port=8291 log=no log-prefix="" 

17    ;;; SUKROMIE JE CENNE
      chain=forward action=reject reject-with=icmp-admin-prohibited 
      src-address=192.168.60.0/24 dst-address=192.168.2.0/24 log=no 
      log-prefix="" 

18    chain=forward action=reject reject-with=icmp-admin-prohibited 
      src-address=192.168.60.0/24 dst-address=192.168.3.0/24 log=no 
      log-prefix="" 

19    chain=forward action=reject reject-with=icmp-admin-prohibited 
      src-address=192.168.60.0/24 dst-address=192.168.4.0/24 log=no 
      log-prefix="" 

20    chain=forward action=reject reject-with=icmp-admin-prohibited 
      src-address=192.168.60.0/24 dst-address=192.168.5.0/24 log=no 
      log-prefix="" 

21    chain=forward action=reject reject-with=icmp-network-unreachable 
      src-address=192.168.60.0/24 dst-address=192.168.24.0/24 log=no 
      log-prefix="" 

22    chain=forward action=reject reject-with=icmp-admin-prohibited 
      src-address=192.168.60.0/24 dst-address=192.168.50.0/24 log=no 
      log-prefix="" 

23    ;;; defconf: drop invalid
      chain=forward action=drop connection-state=invalid log=no log-prefix="" 

24    ;;; defconf:  drop all from WAN not DSTNATed
      chain=forward action=drop connection-state=new 
      connection-nat-state=!dstnat in-interface=ether1 log=no log-prefix="" 

25    chain=input action=drop in-interface=ether1 log=no log-prefix="" 

[mp3turbo]

no ved vravim, v pravidle 23 je hned vidiet ze je tam kvalifikator CONNECTION-STATE=invalid, co na tom prisprostastom grafickom obrazku nie je