MikroTik - zrusenie bridge (default SOHO settings)

[16cmfan]

Turbo ? Budem miesat hrusky s orechmi ked spomeniem hairpin nat? Ma to suvis ? Viem ze sa tak da cez verejku pristupovat na lokal zariadenia....

[shiro]

No...
hlavne pc ma staticku ipcku 192.168.2.2
htpc ma pridelenu ip cez dhcp 192.168.3.2

...preco sa neviem z hl. pc dostat na htpc cez windows zadanim \\192.168.3.2 alebo jeho hostname do prieskumnika? tu ipcku pingam, ale to je tak vsetko
dava mi to tie klasicke windows hlasky ze nieje pristup, ze mozno nemam prava alebo ze specified logon session not exist, it may be already been terminated

htpc bezi na libreelec linux distre, ktore sa do siete hlasi cez sambu a sharuje vsetko automaticky, fuguje to hned po zapnuti.
ako som presiel na bezbridge miktoritk, tak to nejde a netusim co sa deje.

co s tym?

[mp3turbo]

>> to tam mam uz v defaulte a ked ho chcem pingnut cez meno "router" tak pise ze nemoze najst host

pozor na to ci na klientovi mas nastavene DNS na mikrotik, ci je DNS povoleny, ci nie je firewallovany (telnet mikrotik 53). Pozor na DNS suffix na klientovi !





>> ako som presiel na bezbridge miktoritk, tak to nejde a netusim co sa deje.

tipol by som si firewall pravidla. Sem s nimi a nenajdeme tam povoleny Microsoft SMB sharing teda porty co to je 135-139, 445. Ked spravis telnet 192.168.3.2 135 (a potom namiesto 135 aj 137, 139, 445) tak ti neprejdu. Filozofia "co nie je povolene je zakazane" lebo tam niekde budes mat drop pravidla.






>> Turbo ? Budem miesat hrusky s orechmi ked spomeniem hairpin nat? Viem ze sa tak da cez verejku pristupovat na lokal zariadenia....

isteze sa da, hairpin som dnes pocul prvykrat. Pride mi to ako obycajny destination nat : http://wiki.mikrotik.com/wiki/Hairpin_NAT
prvy obrazok navrchu, router ma akoze verejnu adresu 1.1.1.1, za nim je schovana vnutorna siet 192.168.1.x

Jednoduche pravidlo :
/ip firewall nat add chain=dstnat dst-address=1.1.1.1 action=dst-nat to-address=192.168.1.2

cize vsetko co ide na verejnu adresu 1.1.1.1 prehod na server vo vnutornej sieti ktory ma adresu 192.168.1.2. Vsetky porty. Vsetko. Vsimni si ze som z toho mikrotik prikladu vyhodil dst-port=80 a protocol=tcp

Mozes limitovat napriklad pouzitim portov:
/ip firewall nat add chain=dstnat dst-address=1.1.1.1 protocol=tcp dst-port=80 action=dst-nat to-address=192.168.1.2
v takomto pripade len to co pride na verejnu adresu Mikrotiku na port 80 protokolom TCP prehodime na vnutorny server. Mozes takto hostovat nejake hry, ak sa napriklad treba pripojit na port 43876 tak len zmenis cislo.

Mozes robit kombinaciu, napriklad co pride na verejny port 33456 prehodit na vnutorny port 45678 :
/ip firewall nat add chain=dstnat dst-address=1.1.1.1 dst-port=33456 action=dst-nat to-address=192.168.1.2 to-port=45678

moznosti je tam vela... a je to jednoduche a proste funkcne.

[Odar]

shiro --> Skus vypnut Win firewall. Spravalo sa mi to podobne.

[mp3turbo]

a to samozrejme tiez. Som nejak automaticky povazoval ze toto je vypnute respektive dovolene.

Poznamka : ked zastavis Windows Firewall sluzbu, nie je to dost. Zakaz ju a rebootni windows.
Poznamka cislo 2 : ked toto spravis na dialku na nejakej masine, s najvacsou pravdepodobnostou ta vykopne z Terminal Services a hotovo. Bacha.

[shiro]

>> to tam mam uz v defaulte a ked ho chcem pingnut cez meno "router" tak pise ze nemoze najst host

pozor na to ci na klientovi mas nastavene DNS na mikrotik, ci je DNS povoleny, ci nie je firewallovany (telnet mikrotik 53). Pozor na DNS suffix na klientovi !

DNS by si malo htpc chytit 192.168.3.1 z DHCP, kedze to dostane ipcku 192.168.3.2 a je teda v "trojkovom" subnete, nie?
ale ocekujem. To je len tak povedle, aj ked tam poleziem mimo DNS, cisto cez IPcku, tak mi to nevadi.

>> ako som presiel na bezbridge miktoritk, tak to nejde a netusim co sa deje.

tipol by som si firewall pravidla. Sem s nimi a nenajdeme tam povoleny Microsoft SMB sharing teda porty co to je 135-139, 445. Ked spravis telnet 192.168.3.2 135 (a potom namiesto 135 aj 137, 139, 445) tak ti neprejdu. Filozofia "co nie je povolene je zakazane" lebo tam niekde budes mat drop pravidla.

S firewallom som od resetu mikrotiku a jeho nastavenie na bezbridge nic nerobil, takze su tam len zakladne pravidla vytvorene routerOS-om samotnym. Ano, nic okolo SMB sharingu tam nieje, co som pozeral.
Co som googlil, tak mi to bud najde ako sharovat do siete usb disk pichnuty do routru cez jeho SMB, co je daco ine.
Alebo ze kvoli tomu ako windows a netbios funguje, tak aby som videl htpc z hlavneho pc, musia byt na rovnakom subnete.
Este ma napadlo...nastavim netmasku na pc a htpc na 255.255.0.0 a mali by sa vidiet, nie?

//update - alebo staci do firewallu zadat toto pre povolenie portu 135-139 (netbios) a 445 pre win. share?
Remove any rules that drop NetBIOS traffic (TCP/UDP 135-139). Enter the following two rules in your forward chain above any "drop all incoming" rules..

Kód: Vybrať všetko

/ip firewall filter
add chain=forward protocol=tcp dst-port=445 action=accept comment="Windows file sharing" disabled=no

add chain=forward protocol=udp dst-port=135-139 action=accept comment="NetBIOS UDP" disabled=no 
add chain=forward protocol=tcp dst-port=135-139 action=accept comment="NetBIOS TCP" disabled=no 

Vecer ked dojdem domov, dam ti sem vypis z firewallu.

[mp3turbo]

s tymi maskami nic nerob lebo nastane taky hokej ze Dynamo Moskva je šuviks.

Ano, tie pravidla ktore si teraz napisal by mali zabezpecit funkcnost. Tak ako je napisane a ako zdravy rozum kaze, treba ich umiestnit PRED pravidla ktore dany traffic zakazu.

[shiro]

dik za info, otestujem vecer

[shiro]

Tu je vypis firewall rules:

Kód: Vybrať všetko

 /ip firewall filter> print
Flags: X - disabled, I - invalid, D - dynamic 
 0  D ;;; special dummy rule to show fasttrack counters
      chain=forward 

 1    ;;; Windows file sharing
      chain=forward action=accept protocol=tcp dst-port=445 log=no log-prefix="" 

 2    ;;; NetBIOS UDP
      chain=forward action=accept protocol=udp dst-port=135-139 log=no log-prefix="" 

 3    ;;; defconf: accept established,related
      chain=forward action=accept connection-state=established,related log=no log-prefix="" 

 4    ;;; NetBIOS TCP
      chain=forward action=accept protocol=tcp dst-port=135-139 log=no log-prefix="" 

 5    ;;; defconf: fasttrack
      chain=forward action=fasttrack-connection connection-state=established,related log=no log-prefix="" 

 6    ;;; defconf: drop invalid
      chain=forward action=drop connection-state=invalid log=no log-prefix="" 

 7    ;;; defconf:  drop all from WAN not DSTNATed
      chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=ether1-gw log=no log-prefix="" 

 8    chain=input action=accept protocol=icmp log=no log-prefix="" 

 9    chain=input action=accept connection-state=established log=no log-prefix="" 

10    chain=input action=accept connection-state=related log=no log-prefix="" 

11    chain=input action=drop in-interface=ether1-gw log=no log-prefix=""

...hentie fasttrack veci netusim co su, predtym som to tam nemal v defaulte pri v5.26 ani si nepametam ze by to tam dakedy bolo...nejaka nova vec novsieho routerOS?

...ale aj tak sa nedostanem na htpc. htpc chyta ipcku z dhcp mikrotiku 192.168.3.2, hlavne pc ma pevne nastavenu 192.168.2.2
Ked zadam do adresneho riadku v windows exploreri ipcku htpc tak ako som to robil doteraz, dostanem vzdy hlasku

so ziadnymi nastavneiami v htpc ci hlavnom pc som nehybal
v hlavnom pc mam este eset smart security, no jeho vypnutim sa nic nezmenilo.
v pripade htpc ani nemam velmi ako.
libreelec ktory tam bezi je minimalisticky linux OS co nema ani plochu, max. konzolu. a bezi tam len KODI a potrebne sluzby v pozadi.
menil som max. pevnu ipcku alebo prepol na dhcp ako je teraz.
restart htpc nepomaha.

Jedina moznost ako v tom linux distre v htpc volaco konfigurovat je cez putty. Ked sa tam lognem na porte 22 tak sa tam normalne dostanem
Cize ked pusti SSH na porte 22, preco to nepusti aj ine porty?

Davam aspon vypis nastavenia siete v htpc:

Kód: Vybrať všetko

LibreELEC (official) Version: 7.0.2
Mediacenter:~ # ifconfig eth0
eth0      Link encap:Ethernet  HWaddr D0:50:99:1C:BD:80
          inet addr:192.168.3.2  Bcast:192.168.3.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:178 errors:0 dropped:0 overruns:0 frame:0
          TX packets:571 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:141919 (138.5 KiB)  TX bytes:107074 (104.5 KiB)

Este som to teraz pozeral tak gateway je 192.168.3.1 aj DNS je 192.168.3.1

Davam este vypis z ip-adress:

Kód: Vybrať všetko

/ip address> print
Flags: X - disabled, I - invalid, D - dynamic 
 #   ADDRESS            NETWORK         INTERFACE                                                                                     
 0 I ;;; defconf
     192.168.88.1/24    192.168.88.0    *7                                                                                            
 1 D 192.168.100.2/24   192.168.100.0   ether1-gw                                                                                     
 2   192.168.3.1/24     192.168.3.0     ether3 - HTPC                                                                                 
 3   192.168.4.1/24     192.168.4.0     ether4                                                                                        
 4   192.168.5.1/24     192.168.5.0     ether5                                                                                        
 5   192.168.50.1/24    192.168.50.0    wlan1                                                                                         
 6   192.168.2.1/24     192.168.2.0     ether2 - hlavne pc   

dhcp networky:

Kód: Vybrať všetko

 /ip dhcp-server network> print
 # ADDRESS            GATEWAY         DNS-SERVER      WINS-SERVER     DOMAIN                                                          
 0 192.168.2.0/24     192.168.2.1     192.168.2.1    
 1 192.168.3.0/24     192.168.3.1     192.168.3.1    
 2 192.168.4.0/24     192.168.4.1     192.168.4.1    
 3 192.168.5.0/24     192.168.5.1     192.168.5.1    
 4 192.168.50.0/24    192.168.50.1    192.168.50.1   

nastavenie DNS:

Kód: Vybrať všetko

/ip dns> print
                servers: 
        dynamic-servers: 192.168.100.1
  allow-remote-requests: yes
    max-udp-packet-size: 4096
   query-server-timeout: 2s
    query-total-timeout: 10s
             cache-size: 2048KiB
          cache-max-ttl: 1w
             cache-used: 79KiB

192.168.100.1 je orange konvertor huawei z ktoreho si mikrotik chyta WAN IP

a este routy:

Kód: Vybrať všetko

/ip route> print
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, 
B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          192.168.100.1             1
 1 ADC  192.168.2.0/24     192.168.2.1     ether2 - hlavne pc        0
 2 ADC  192.168.3.0/24     192.168.3.1     ether3 - HTPC             0
 3  DC  192.168.4.0/24     192.168.4.1     ether4                  255
 4  DC  192.168.5.0/24     192.168.5.1     ether5                  255
 5 ADC  192.168.50.0/24    192.168.50.1    wlan1                     0
 6 ADC  192.168.100.0/24   192.168.100.2   ether1-gw                 

[mp3turbo]

firewall pravidla sa mi vidia v poriadku, zrejme sa jedna o nastavenie IPTABLES (teda firewallu) na tej HTPC potvore.
SSH pusti aj z inych sieti lebo je to standard na remote management, Microsoft sharing nie.

skus z tvojho pocitaca telnet 192.168.3.2 135 (135 je cislo portu, budes po jednom menit az do 139 a potom 445). Ak ti poziadavka na spojenie prejde, firewally su vsade otvorene a komunikacia funguje. Ak sa telnet nespoji na druhu stranu, mas to zavrete. Avsak nie na Mikrotiku (overenie cez "netstat -ano" na hlavnom PC, spustat treba z administratorskeho modu cmd.exe cize prikazoveho riadku. V prislusnom riadku kde bude vypisana komunikacia na 192.168.3.2 nesmie byt napisane SYN_SENT pretoze to by znamenalo ze sa len poslala poziadavka a neprisla odpoved = firewall, routing alebo akakolvek ina cirkusiada v sietovej komunikacii).

[shiro]

Dik za info. prave som to otestoval.
pri telnetnuti na porty 135-139 dostanem hlasku ze sa to nevie pripojit a v netstate je iba SYN_SENT ako si pisal

Kód: Vybrať všetko

PS C:\WINDOWS\system32> telnet 192.168.3.2 137
Connecting To 192.168.3.2...Could not open connection to the host, on port 137: Connect failed

pri telnetnuti na port 445 mam v telnete iba prazdnu obrazovku s blik. kurzorom, nic to nepise. spojenie v netstate hlasi ako ESTABLISHED
Na druhej strane, netusim ci linux v htpc vobec podporuje telnetovanie, vravim je to max. osekane distro. Cize telnetu mozno len nema co v htpc odpovedat.

Nasiel som si tutorial na iptables, telnetol som sa na htpc a vypis rules v iptables je len takyto, nic viac:

Kód: Vybrať všetko

Mediacenter:~ # iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

No tu sa uz pohybujem vo veciach kde vobec neviem co robim. Akurat viem ze v linuxe tieto veci existuju ale to je tak vsetko. Nerad by som to rozbabral
Ako som pisal ta libreelec distribucia, ktora bezi na htpc je minimalisticky linux s par servicami a bezi tam KODI - sw pre prehravanie filmov, hudby, atd.
Hned po instale tam bezi samba a funguje sharovanie adresarov na to urcenych do LAN.
Nic som nikde nemenil pri prechode na bezbridge v mikrotiku, ziadne nastavovacky firewallu, iptables v pc ci htpc, nic. Takze tiez nechapem co to ma za problem. A preco zrovna port 22 cez ktory sa pripajam s putty ide, a ostatok sa tvari ze nie.

Vidim preto problem niekde v nastaveni mikrotiku - routy, firewall rules? Alebo mozno by sa mala preNATovat ipcka htpc do dvojkoveho subnetu, aby sa to s hlavnym pc videlo napriamo...netusim. Pretoze sa menilo len fungovanie mikrotiku na bezbridge, nic ine okrem ipciek hlavneho pc a htpc som neprestavoval. Slo to predtym, musi to ist aj teraz, nieje dovod aby to zrazu nejaky frewall v pc ci htpc blokoval. Navyse, podla infa na nete, htpc ziadny firewall ani nema.

[16cmfan]

Tam ti bezi DLNA ? Daco sa mi mari s nastavenim routovania pre multicast.. neviem proste niekde som to cital tusim, mozno len trepem...

// UPnP mas zaple ?

// Server je nastaveny tak, aby prijmal poziadavky aj z inych subnetov ? Lebo chapes, v Bridge sa to tam vsetko gulasovalo v jednom chlieve ziadny routing, ziadne pokrocile featurky...

[tomaash]

Shiro, aky mas Mikrotik? Asi to ma HW switch, ked nastavujes master a slave porty? Mas toho viac pripojeneho na tych portoch, okrem pc, nas a telky, co si tu skorsie spominal? Ak ano, co, kolko? Preco sa to nema na sieti medzi sebou "vidiet"?

Podla mna tu zbytocne riesite nejaky routing.

[shiro]

16cmfan -> ziadne dlna nebezi nikde, nepouzivam to.
upnp v mikrotiku je off. v htpc netusim, nikdy som to neriesil, nezapinal, nevypinal.

tomaash -> je to RB951G-2HnD
na kazdom porte/interfaci je len jedno zariadenie. ether2 (192.168.2.2) je hlavne pc, ether3 (192.168.3.2) je htpc

[tomaash]

Tak si nastav eth2 ako master, eth3 ako slave (pripadne aj eth4 ako slave, atd.) Jeden dhcp scope na mastri, resp tak aby to na mikrotiku slo. Budes to mat v jednej IP sieti a bude to fungovat ako normalny switch a na tvojom RB951G-2HnD dokonca hardwarovo.
Wlan chapem, ze nemusis chciet bridgovat a mozes chciet firewallovat, stade ti moze do siete prist bordel. Na drotenytch portoch mas ale zariadenia, ktore poznas a su tvoje a nema prakticky vyznam ich izolovat do vlastnych sieti. Zjavne ti to robi len problemy.