MikroTik - zrusenie bridge (default SOHO settings)

[StarySkeptik]

Zdravím,

ďakujem za info. Zmiatol ma text:
;;; UKAZAT PROSTREDNICKEK PRI POKUSE O LOGIN NA MIKROTICEK

Žiadny prostredníček sa nekoná, lebo login je povolený pravidlom 7.
Chápem to dobre?

Vďaka.

[Odar]

Hi.

Tak dalsi problem, na ktory som natrafil a pre mna je zasadny. Ked si dam stahovat cosi z webu z HTPC, ktore bezi na 192.168.2.50 a dam to ukladat priamo na WDMYCLOUD, ktory bezi na inej podsieti 192.168.4.50, tak to stahuje katastrofalne pomaly. Ked to dam ukladat priamo na HDD v HTPC, tak to stahuje normalne. Cize ma nejaky problem s komunikaciou medzi tymi podsietami.

Pokusne som vyrazil aj tie pravidla z ip firewall nat, ktore mi umoznuju pristupit z inej podsiete na WDMYCOUD cez web interface. Nepomohlo. Je tam niekde inde problem.

Co je divne, ked to iste urobim z notebooku, cez wifi, ktory bezi na 192.168.10.52, tak to ide OK. Takze tam bude problem medzi ether2 a ether4. Uz vcera, ked som si pustil na HTPC film z WDMYCLOUD, zdalo sa mi to pri posuvani nejake pomale.

Zacina to byt nad moje sily.

EDIT:
Aj kopirovanie z WDMYCLOUD do HTPC je nejake pomale. Skusal som 2 GB subor a po chvili to padlo na 7 MB/s. Co je katastrofa.

[mp3turbo]

Skeptik : pravidlo 7 neznamena "login" do Mikrotiku - pretoze login si moze niekto vylozit ako prihlasenie cez telnet alebo SSH. Je jasne ze pravidlo cislo 7 povoluje len a vyhradne len pristup na Winbox. Nic ine. Jasne, mozeme povedat ze Winboxom sa prihlasis do Mikrotiku, len takato terminologia proste nie je bezna v sietovom/serverovom prostredi.

Odar : na ktorom fyzickom interfejsi je 192.168.2.50 a na ktorom je WD 192.168.4.50 ?

Mame tu Mikrotik ktory cez wifi ide na WDCloud v pohode a cez nieco ine ide zle. Cize minimalne dva interfejsy, Wifi a WD (etherX) su v poriadku. Potom tu zrejme mame nejaky iny interface, volajme ho etherY, kde je obesene 192.168.2.50 a ten uz zrejme robi problemy.

7MB/s je ocakavana rychlost na 100Mbit ethernete. Mas gigabitovy mikrotik ? Mas v poriadku vsetky gigabitove kable a VSETKO medzi koncovymi bodmi je gigabit a funguje spravne ? Bezia vsetky interfejsy mikrotiku na gigabite ? Nemas procesor na 100% (/system resource monitor, vypisuje zataz CPU a pamate) pocas toho kopirovania ? Nemas nejake pravidla obmedzujuce rychlost napriklad v /queue simple ? Naslepo by som doporucil zmenit duplex nastavenie na interfejsi, standartne byva automatika, niektore slabsie sietovky to nemaju radi - na doske castokrat integrovany Realtek 8168 ci co to bolo a potom 9111. Ozaj, to ma privadza na myslienku ovladacov, ak mas na sietovke drajvre "z Windowsu" tak rozhodne updatnut od vyrobcu z internetu.

[16cmfan]

TURBO: cize je to ok ten prostrednik? Ja ked pridem domov vsetko pretestujem a dam vediet

[Odar]

ether1 --> WAN (internet, kablovy modem)
ether2 --> 192.168.2.50 (siet je 192.168.2.0/24) --> HTPC
ether4 --> 192.168.4.50 (siet je 192.168.4.0/24) --> WDMYCLOUD

Najstavenia interface som nemenil. Tie bezia na 1 Gbit. Ked som to mal vcera s bridge-om, tak som dal hravo 70 MB/s, co je u mna normalka. CPU som kontroloval, flaka sa na 4 %.

EDIT:
Vyriesene. Bolo to tou Simple Queue. Pouzival som to na limitovanie upload v povodnej konfiguracii. Len som mechanicky prepisal IPcku, ale neuvedomil som si, ze tym teraz po novom obmedzim aj upload v ramci siete.

Problem je, ze na noc davam uploadovat obcas cosi na Youtube. Ale mam slaby UP a potom mi uplne lahne linka - nemozem poriadne ani pozerat web. Tak som obmedzoval na 1 IPcke upload a download mi siel na ostatnych zariadeniach OK. V bridge mi to ale nelimitovalo upload v ramci siete (neviem preco, nevyznam sa). Teraz, ked je to oddelene, tak to limituje.

Otazka je, ako teraz spravit obmedzenie rychlosti na Youtube, aby mi to nelimitovalo aj rychlost v ramci siete. Mozno nejaky rule do firewall.

V kazdom pripade vdaka za nakopnutie. Vobec som si neuvedomil, ze by ta Simple Queue mohla toto sposobit.

[shiro]

No cize...som sa s tym pohral.
Momentalne bezim,
- zrusil som bridge,
- vytvoril DHCP pooly pre interfacy
- kazdemu interfacu som pridelil rozsah 192.168.x.1 az 255 (docasne), cize ether3 ma 192.168.3.1 az 255, ether4 ma 192.168.4.1 az 255 atd.
- v DHCP - zalozka networks som vytvoril adresy podla navodov v PDFku a tuna v topiku ako robil Odar
- na ether1 som nesahal, tam mam orange konvertor, aby som si neodstrihol net

Prva sranda - v quickset okne som mal odjakziva (neviem preco ale neriesil som ) nastavene vlavo hore ze je to WISP AP, miesto Home AP, co je asi vhodnejsie. Ako som to prestavil, tak bum, nedostal som sa do routra ani cez MAC, vkuse to stalo na tom malo login okienku s priebehom stahovania pluginov, ktore ukaze ked mu treba daco downloadnut z routra...alebo v tom dalsom ze "logging in" ...akurat ze to by tam bol aj hodinu, keby som to nechal.
musel som reset....resp. jeho restart, pretoze nic nezmazalo, aj ked som sa o reset snazil.
Po restarte bolo vypnute wifi, co som zapol nazad. tiez to vytvorilo bridge. ten som potom zase mazol prec.

Teraz som v stave ze v okne quickset som to dal nazad na WISP AP
zapnute DHCP a jeho rozsah nastaveni na 192.168.2.1 az 2.255
zapnute NAT

NAT som ponechal zapnute. Pretoze na WAN mam IPcku 192.168.100.1 a siet za mikrotikom je 192.168.xxx.yyy (podla interfacu)

A tomuto teda nechapem - pc mam pichnute v ether2, cize pool 192.168.2.xxx
Pc som nastavil pevnu ip 192.168.2.2
Preco si mikrotik zmenil svoju vlastnu ipcku na 192.168.5.1, co je rozsah poolu pre ether5 ?
Potom mi tam ether5 pool svieti cerveno v okne DHCP server
Navyse, IPcka mikrotiku nejde ani zmenit nazad, ak to v Quickset prepisem na 2.1, po stlaceni APPLY sa to vrati nazad na 5.1
Najdolezitejsia vec z tohoto: Ako zmenim ipcku mikrotiku na taku aku chcem? Chcel by som ho mat v 192.168.2.xxx sieti, nech sa na neho mozem logovat aj cez IPcku
Ci sa tam teraz budem muset logovat uz len cez MAC? Ale to sa mi zda ako hlupost.

Tretia sranda - co s DNS? v IP-DNS som si pridal DNSka googla, takisto aj v DHCP server-networks
No ked nastavim ako DNS IPcku mikrotiku, tak to nefunguje. Musim v pc nastavit DNS googla aby to slo. Alebo to tak ma byt?
Doteraz som mal branu aj dns ipcku mikrotiku. Pravdepod. je to tym, ze mikrotik ma ipcku 192.168.5.1, kdezto moje pc ma 192.168.2.1, maska je 255.255.255.0, ako aj bola.

[shiro]

Este pridavam vypisy - v routes mam z nejakeho dovodu vytvorenu routu na 5.1 (pricom 5.1 je ipcka mikrotiku ktoru neviem zmenit)
192.168.100.1 je ipcka orange konvertora
ani tej prvej route s cislom 0 nechapem...

Kód: Vybrať všetko

 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          192.168.100.1             1
 1 ADC  192.168.2.0/24     192.168.2.1     ether2 - Hlavne PC        0
 2 ADC  192.168.3.0/24     192.168.3.1     ether3 - HTPC             0
 3  DC  192.168.4.0/24     192.168.4.1     ether4                  255
 4 ADC  192.168.5.0/24     192.168.5.1     ether2 - Hlavne PC        0
 5 ADC  192.168.50.0/24    192.168.50.1    wlan1                     0
 6 ADC  192.168.100.0/24   192.168.100.2   ether1-gw - Ora...        0

DHCP server

Kód: Vybrať všetko

 #   NAME                            INTERFACE                          RELAY           ADDRESS-POOL                          LEASE-TIME ADD-ARP
 0 X DHCP pre WiFi                   wlan1                                              Pool pre WiFi DHCP                    1w3d      
 1   DHCP pre ether2                 ether2 - Hlavne PC                                 Pool pre ether2                       1w3d      
 2   DHCP pre ether3                 ether3 - HTPC                                      Pool pre ether3                       1w3d      
 3   DHCP pre ether4                 ether4                                             Pool pre ether4                       1w3d      
 4 I DHCP pre ether5                 ether5                                             Pool pre ether5                       1w3d     

DHCP networky

Kód: Vybrať všetko

 # ADDRESS            GATEWAY         DNS-SERVER      WINS-SERVER     DOMAIN                                                                    
 0 192.168.2.0/24     192.168.2.1     192.168.2.1    
 1 192.168.3.0/24     192.168.3.1     192.168.3.1    
 2 192.168.4.0/24     192.168.4.1     192.168.4.1    
 3 192.168.5.0/24     192.168.5.1     192.168.5.1    
 4 192.168.50.0/24    192.168.50.1    8.8.8.8        
                                      8.8.4.4        
 5 ;;; default configuration
   192.168.88.0/24    192.168.88.1    192.168.88.1   

DHCP pooly:

Kód: Vybrať všetko

 # NAME                                                                                                          RANGES                         
 0 Pool pre WiFi DHCP                                                                                            192.168.50.1-192.168.50.10     
 1 Pool pre ether2                                                                                               192.168.2.1-192.168.2.254      
 2 Pool pre ether3                                                                                               192.168.3.1-192.168.3.254      
 3 Pool pre ether4                                                                                               192.168.4.1-192.168.4.254      
 4 Pool pre ether5                                                                                               192.168.5.1-192.168.5.254    

[Odar]

Mne sa podarilo vyriesit aj tu Simple Queue. Doplnil som tam parameter dst a teraz mi upload obmedzuje iba cez internet (napr. browser), ale v ramci vnutornej siete nie (kopirovanie suborov bezi OK).

> queue simple print detail
Flags: X - disabled, I - invalid, D - dynamic
0 name="HTPC upload limit" target=192.168.2.50/32 dst=ether1-gateway parent=none packet-marks="" priority=8/8
queue=default-small/default-small limit-at=0/0 max-limit=1750k/0 burst-limit=0/0 burst-threshold=0/0 burst-time=0s/0s
bucket-size=0.1/0.1

Kedysi som to riesil aplikaciou NetLimiter. Ale ked to dokaze priamo router, prislo mi to takto krajsie.

shiro --> Ja sa teraz dostanem do routera cez kazdu IP adresu brany. Takze ty by si sa mal vzdy dostat do routera, ked zadas ktorukolvek z IP adries do winbox-u.

Kód: Vybrať všetko

192.168.2.1
192.168.3.1
192.168.4.1
192.168.5.1
192.168.50.1

[shiro]

Nefunguje a netusim preco.
Uz som prisiel na to ako zmenit ipcku na 2.1 z 5.1 (mal som najskor chybu v poole, dal som ho od 2.2) a potom uz sla ipcka 2.1 nastavit.
Ale aj predtym sa to chovalo rovnako. Dam pripajat cez winbox a caka to na tom downloadovacom okienku. Najprv skusa port 8291 potom port 80 a nakoniec s konci hlaskou ze router neodpovedal na porte 80. Ale tu ipcku routera na ktoru sa snazim pripojit normalne pingujem.

Jedine mi to funguje cez MAC adresu.

Doteraz som pouzival netmasku 255.255.255.0 na vsetkych zariadeniach doma. Bude nutne teraz pouzivat 255.255.0.0 ?

...a netusim preco mi vzdy svieti v dhcp serveroch vytvoreny server pre ether5 na cerveno. nikde tam neni chyba, aj pool ma prideleny, ipcku routra som uz zmenil, takze nema 5.1 ale 2.1....opravim to, vytvorim server nanovo, relognem sa do winboxu a opat je to cervene.

Predtym som nastavil masku na mikrotiku na 255.255.0.0 Teraz som ju chcel zmenit nazad, som to prestavil ale aj po reboote routera je tam zase 255.255.0.0 (quickset okno). Akoby si router nejake veci nepametal ci blbol...ktovie. Doteraz som nemal s nim ziaden problem.

Pokial necham nastavene na pc a htpc masku 255.255.255.0, tak sa do htpc neviem dostat. Windows hlasi take tie klasicke hlasky ze nema pristup a mam ceknut prava, ze session bola terminovana, atd...pritom som rebootol jedno aj druhe aj router. takze by nikde nemalo nic visiet.

No...tak tu mate zopar mojich stavnatych problemov, mozete riesit Som vravel ze na to nechcem sahat.

[mp3turbo]

jejda chlapciska uz na vas nestiham odpovedat ale kukni ako ste sa zlepsili, veci ktore pre dvomi dnami boli madarska dedina su dnes len take slabe pohranicie !

Nie, masku nemen. Zrejme mas zapnuty niektory alebo vsetky etherX interfejsy na DHCP [lebo to takto davaju default] a preto si to berie IPcku samo zo seba lebo to mas nejako mozno zbridgeovane [mame dalsie nove slovo]. Na kazdom ethernet interfejsi vypnem DHCP a nastavim adresu napevno :

/ip address add address=192.168.2.1/24 interface=ether5
/ip dhcp-client dofrasa nepamatam si z hlavy ze co proste vypnut, hnus zloba mor cele zle ako bridge a trojvalce

Shiro : ze ti to nefunguje cez IP adresu, neviem ake mas firewally. Skus sa telnetnut z tvojej masiny na port 80 a 8291, ak to nepojde tak mas niekde po ceste firewall.





>> Otazka je, ako teraz spravit obmedzenie rychlosti na Youtube, aby mi to nelimitovalo aj rychlost v ramci siete.
>> Mne sa podarilo vyriesit aj tu Simple Queue. Doplnil som tam parameter dst a teraz mi upload obmedzuje iba cez internet (napr. browser)
>> ale v ramci vnutornej siete nie (kopirovanie suborov bezi OK).

vyborne. Jedna poznamka : pravidlom teraz limitujes akykolvek traffic ktory odchadza cez interface ether1. V tomto konkretnom usporiadani je to ok a robi to co potrebujes, avsak ked zmenis siet a nieco ine pripojis cez ether1, bude znovu problem. Co by som spravil ja ? Namiesto dst-interface=ether1 co si pouzil by som natrepal nieco taketo : dst-address=!192.168.0.0/16 tato vecicka hovori ze uz nech ide traffic cez akykolvek interface, ak ide "NIE DO" SIETE 192.168.x.y (pretoze /16 je v tzv.CIDR zapise maska 255.255.0.0 cize v tomto konkretnom pripade VSETKY adresy 192.168.*.*) ... to robi ten vykricnik. Negacia.

Keby bolo pisane dst-address=192.168.0.0/16 tak tento klasifikator vyhmata "ak traffic ide do sieti 192.168.x.y"... kedze je tam vykricnik tak je to negovane, cize ked traffic NEJDE do sieti 192.168.x.y. Povedane po finsky, tymto sposobom dosiahnem obmedzenie rychlosti len ak traffic NEJDE do vnutornych sieti. Este poznamka,

Poznamka prekladatela : kedze to 192.168.x.x je sialene velky rozsah, rozhodne by som na to isiel s niecim vhodnejsim pre infrastrukturu ktoru pouzivam. Toto uz je vyssia matematika, pouzil by som masku /21 co je po slovensky maska siete 255.255.248.0 pretoze definicia siete 192.168.0.0/21 znamena rozsah IP adries 192.168.0.1 az 192.168.7.254. Preco je to tak ucia na Cisco academy, ja len strucne vetou : kedze v tretom cisle (tretom oktete) chyba do plneho poctu 8 (vieme ze mame 256 max na kazde cislo a tretie mame 248), mozem pouzit OSEM cisel v 192.168.x.x rozsahu a zacinam dole od nuly, takze 192.168.0.x ; 192.168.1.x ; 192.168.2.x atd az 192.168.7.x vratane. Hovorim toto uz je vyssia matematika tzv. subnetovania a supernetovania, krajania alebo spajania sieti do inych celkov. Zapisem si cisla binarne, viem co je XOR, okamzite vidim.

Podobnym sposobom definicia 192.168.0.0/22 cize maska 255.255.252.0 znamena rozsah adries 192.168.0.1 az 192.168.3.255 pretoze prvemu a druhemu cislu v maske chyba doplna (do 256ky) len jednicka cize v pouzitelnych adresach sa nic nemeni pretoze tam moze byt iba jedno jedine cislo a teda to ktore tam je, v tretom cisle chyba STYRI (256-252) takze v tretom cisle (oktete) adries sa mozu vymenit STYRI cisla... 192.168.0.x ; 192.168.1.x ; 192.168.2.x a 192.168.3.x su presne STYRI. Kedze posledne cislo masky je nula, na poslednom cisle IP adresy moze byt cokolvek, kazda z 256 moznosti takze od nula do 255.


Naspak k cudnej semantike : pouzivaju ju mnohe switche, napriklad Cisco, Brocade, Delly atd. Ked chcem vypnut port, napisem v konfiguracii portu "shutdown". Ked chcem ZAPNUT port, napisem "no shutdown". Velice roztomile. Najprv to bolo ze ebe vam uz uplne, potom je to proste uz len roztomile. Rovnako ako sa niekedy v roku 1841 pomylil nejaky alkoholik ked pisal SMTP prikazy, tak do svojho softu namiesto HELO nacmaral EHLO. Joj a odvteddy mame SMTP EHLO... ze sa helo pise s dvomi L mi tiez netreba hovorit. Proste taketo veci zivot prinasa.

[16cmfan]

Turbo raz knihu napisat, memoare. Mudre to slova!

[shiro]

doteraz som sa s tym hral, dokonca som ho resetol do defaultu, tento krat uspesne...no co to potom zacalo robit ha kktiny doslova...som to restorol nazad do povodneho konfigu lebo dnes uz nemam nervy.

mi to proste zase nastavilo svoju ipcku z poolu pre wifi co som si spravil a neslo to zmenit nazad, proste dam apply a ono sa to prepise na povodnu...bez nejakej hlasky, clovek nevie co robi zle...kks programatorov prefackam
potom mi to spravilo novy pool akoby a zacala zase wifina v dhcp byt cervena, lebo nemala pool ci adresses ci co, uz mam z toho gulas.
skratka si to modifikuje a berie veci miesto toho aby si to vytvorilo nove a nesahalo na to co spravim.

potrebujem proste na zaciatok: ako nastavim stopercentne a funkcne ipcku routera taku aku chcem

mam teda robit dhcp a pooly na interfacy ci nie? predtym sa pisalo ze hej, teraz turbo pise ze ee...tak co?
ci staci len pool na wifinu?

pri testoch som mal vypnuty eset smart security, ktoreho mam ako fw a antivir okrem pravidiel v mikrotiku. nemam nic ine ako fw.

[16cmfan]

Puuul na kazfy inteefeeejsbuk.... Definovat ku kazdemu rozhraniu. Tutok vyssie som hadzal screeny kuk a vies. Prazenicu je tazsie spravit ako toto

[mp3turbo]

>> potrebujem proste na zaciatok: ako nastavim stopercentne a funkcne ipcku routera taku aku chcem

tak ako pisem hore :
/ip address add address=192.168.2.1/24 interface=ether5
potom normalne ukoncit sucasnu session, pripojit sa na 192.168.2.1 a pokracovat odtial.

Ano, samostatny pool na kazdy interface ak to nechces mat bridgeovane Ci mas robit DHCP a pooly samozrejme zavisi na tvojej sieti, odpoved je ano.

[shiro]

Okej, tak sa s tym este asi pozabavam dnes vecer.

1. Ked nastavim nejakemu interfacu jeho ipcku, napr. na ether2 dam ze ma 192.168.2.1, tak ked tam pripojim pc, ktoremu nastavim ipcku 192.168.2.2 alebo inu z rozsahu 2.2 az 2.254, tak to normalne pojde? Zahrnuje nastavena ipcka na interfaci cely rozsah danej siete tj. 192.168.2.2 az 192.168.2.254
alebo to treba riesit poolom a DHCP? Lebo myslim ze ked nastavim na ether2 jeho ipcku 192.168.2.1, tak hocico ine s inou ipckou ako je nastavena tam nebude fungovat. je to tak alebo nie? Teraz soms a docital ze je mozne pridelit viacero ipcok jednemu interfacu. je toto jedina cesta ako nastavit na interface ether2 ipcku routra 192.168.2.1 a zaroven tam mat aj pripojene pc s ipckou 192.168.2.2 ?

2. DHCP a pool treba vytvarat na danom interfaci iba ked je moznost, ze sa do daneho interfacu pripoji daco s konfig. nastavenou na automatiku (DHCP) ?

4. ked viem ze na danom interfaci bude zapojene zariadenie s pevne nastavenou ipckou, staci mat na dany interface iba pridelenu ipcku?
napr. ether3 = 192.168.3.1, zariadenie do neho zapojene bude mat hocico z rozsahu 192.168.3.2 az 192.168.3.254

Posledne ked som skusal, tak som bol pichnuty v ether2, cize ip rozsah bol 192.168.2.1 az 254...aby som vedel nastavit ipcku routra na 192.168.2.1, tak musi byt ip rosah nastaveny tak, aby nejaka ipcka na toto bola volna, ze?, cize pokial chcem aby router mal 192.168.2.1, tak musim mat pool pre dhcp na ether2 zacinajuci od 192.168.2.2 a vyssie, ze? a 192.168.2.1 bude ipcka routra, aby sa nemlatila s poolom

Ak uvazujem spravne, tak:
Cize sa lognem cez MAC na router, povytvaram adresy, pooly, dhcp servery a dhcp networks na vsetky interface...a az potom odmazat bridge? alebo kedy, nieze sa zase odseknem od routera