Router

[mp3turbo]

hello, ja som toto prespal - neviem ako funguju hentie virtualne SSIDcka na radiach lebo to nepouzivam. Tipol by som si ze nevytvaraju samostatne logicke interfejsy wifi1, wifi2, wifi3... cize v takom pripade nebude mozne spravit to ako si napisal "ether5 a wifi3 do jednej siete".

V kazdom pripade by ma ale zaujimalo preco stale tvrdosijne a neochvejne trvate na prepajani totalne rozlicnych veci do jednej sprostej hromady. Velmi by ma zaujimal dovod preco nemozes mat klientov popripajanych na tie rozlicne SSIDcka a jednoducho routovat pakety z jednej logickej siete do druhej. Na tom routingu sa absolutne nic nenastavuje a nerobi, akurat sa zbavis kvanta problemov ktore sa mi fakt nechce prechadzat do detailu kedze uz trenujem aby som o polnoci bol triezvy a mohol trenovat znovu

to aby sa dane siete medzi sebou nevideli sa predsa nadherne robi prachsprostym firewallom teda na urovni TCP/IP paketov, ktore sa vobec nestaraju o porty alebo SSIDcka alebo siete alebo cokolvek ine.

Rovnomerne rozdelenie rychlosti do vsetkych sieti resp. skor by som povedal medzi vsetkych zucastnenych, kedze ja nerad rozlisujem podla sieti : jasnacka da sa to. Jedno male varovanie : ked budes mat na kabli pripojene PC ktore bude vytvarat, drzat a prevadzkovat 5.000 tcp/ip spojeni pretoze tam pobezi BitTorrent a potom budes chciet nejakeho nestastnika s mobilnym telefonom pripojenym na konci zahrady (cize so slabuckym signalom, s uplne inou charakteristikou priepustnosti a latencii, predovsetkym "nestalou") mat rovnako kvalitne rychlostne otentovaného - vidis ani sa neviem vyjadrit - tak toto proste nepojde len tak jednoducho. Alebo este inak : ked budes chciet mat perfektny ping, zase je problem ze spustis na jednom PC hru ktora ma tri aktivne spojenia a proti tebe sa biju tisicky paketov z toho torrentoveho stroja brata ktory taha thebesthorsep0rninthew0rld.mkv a zaroven ho zdiela s dvesto postihnutymi z celeho sveta...

chapes... daju sa tam robit nejake veci ale zazraky na pockanie uplne nie. A to nie je problem Mikrotiku to je prieser TCP/IP platformy ako takej.

[Odar]

Vytvori sa samostatny logicky interface, ktoremu vies priradit samostatny Security Profile aj Pool na priradovanie IP adries.

Ja to mam takto:

Kód: Vybrať všetko

 8     ;;; 2,4 GHz Guest
       name="wlan3" type="wlan" mtu=1500 actual-mtu=1500 l2mtu=1600 max-l2mtu=2290 mac-address=xxxx fast-path=yes 
       last-link-down-time=dec/30/2016 11:24:07 last-link-up-time=dec/29/2016 18:07:41 link-downs=14 

 9     ;;; 5 GHz Guest
       name="wlan4" type="wlan" mtu=1500 actual-mtu=1500 l2mtu=1600 max-l2mtu=2290 mac-address=xxxx fast-path=yes 
       last-link-down-time=dec/16/2016 20:56:49 last-link-up-time=dec/16/2016 20:53:38 link-downs=2 

Adresy asi takto

Kód: Vybrať všetko

[admin@MikroTik] /ip> address print detail 
Flags: X - disabled, I - invalid, D - dynamic 
 0   address=192.168.2.1/24 network=192.168.2.0 interface=ether2 actual-interface=ether2 

 1 XI address=192.168.3.1/24 network=192.168.3.0 interface=ether3 actual-interface=ether3 

 2   address=192.168.4.1/24 network=192.168.4.0 interface=ether4 actual-interface=ether4 

 3   address=192.168.5.1/24 network=192.168.5.0 interface=ether5 actual-interface=ether5 

 4   address=192.168.10.1/24 network=192.168.10.0 interface=wlan1 actual-interface=wlan1 

 5   address=192.168.11.1/24 network=192.168.11.0 interface=wlan2 actual-interface=wlan2 

 6 D address=x.x.x.x/24 network=x.x.x.x interface=ether1 actual-interface=ether1 

 7   address=10.0.2.1/24 network=10.0.2.0 interface=wlan3 actual-interface=wlan3 

 8   address=10.0.5.1/24 network=10.0.5.0 interface=wlan4 actual-interface=wlan4 

Cize 192.168.x.y/24 mam vsetky svoje a 10.0.m.n./24 mam pre navstevy.

Nasledne vo Firewall pravidlo

Kód: Vybrať všetko

11    ;;; Guest Wifi siete nemaju pristup do mojich sieti
      chain=forward action=reject reject-with=icmp-admin-prohibited src-address=10.0.0.0/16 dst-address=192.168.0.0/16 out-interface=!ether1 
      log=yes log-prefix="Firewall_guest: " 

Ktore pri pokuse o komunikaciu z 10.0.0.0 do 192.168.0.0 zamedzi pristup.

[mp3turbo]

no super, takze pre tych strasne bojazlivych sa potom da spravit bridge na etherX a wifiY a je problem vymalovany well nie je z hladiska security o ktory tu tiez islo, ale ved dobre.

Aby som nezabudol : aj tych wirelesskovych klientov samozrejme vies oddelit, aj keby boli na jednej jedinej TCP/IP sieti. Staci vypnut default-forwarding vo vlastnostiach radia a vymalovane.

[jesus1992]

Aj ked uz velmi neskoro sa ozívam kedze som sa nakoniec s tym mikrotikom pohral asi pred pol rokom a nastavil si ho presne podla svojich predstav.... tak predsa len sem pisem ze sa mi to podarilo a hlavne som stastny lebo od vtedy co som ho nastavil do teraz som ho nemusel ani raz restartovat a ani neviem o tom ze existuje a verim ze to aj takto ostane... uprimne som velmi milo prekvapeny aj silou WiFi... a ten interface pre zakladne nastavenia je viac ako user friendly a pre pokrocilejsie nastavenia ked clovek hlada na internete tak to taktiez zvladne takze dakujem za vsetky rady