Mikrotik - pre zaciatocnikov

[shiro]

Dnes som zistil jeden zadrhel. Moj konfig:
orange fibernet -> huawei konvertor/router (192.168.100.2) -> mikrotik RB951G-2HnD (192.168.2.1)
Mikrotik berie internet z huaweia a je nastaveny ako "bezbridge", kde kazdy interface ma svoju IP, atd., ako sme to robili tuna, ak pamatate
viewtopic.php?f=12&t=114534

No lenze, teraz sa potrebujem dostat do toho huaweia na ipcke 192.168.100.2 a vobec ho nevidim. Je mozne nejak mikrotik nastavit, aby som huawei videl? Pretoze asi mi tam daco chyba...zeby routing? huawei s jeho ipckou 192.168.100.2 pingam. Ale nedostanem sa do jeho webconfigu - stranka nenajdena.

pc mam nastavene na statickej ipcke
ip:192.168.2.2
maska: 255.255.255.0 (ked som skusal zmenit na 255.255.0.0, tak som huawei ani nepingol)
brana: 192.168.2.1
dns: 192.168.2.1

Prihadzujem nejake vypisy nastaveni:

Kód: Vybrať všetko

[admin@MikroTik] > interface print 
Flags: D - dynamic, X - disabled, R - running, S - slave 
 #     NAME                                TYPE       ACTUAL-MTU L2MTU  MAX-L2MTU MAC-ADDRESS      
 0  R  ether1-gw                           ether            1500  1598       4074 D4:CA:6D:CC:71:1A
 1  R  ether2 - hlavne pc                  ether            1500  1598       4074 D4:CA:6D:CC:71:1B
 2  RS ether3 - HTPC                       ether            1500  1598       4074 D4:CA:6D:CC:71:1C
 3     ether4                              ether            1500  1598       4074 D4:CA:6D:CC:71:1D
 4     ether5                              ether            1500  1598       4074 D4:CA:6D:CC:71:1E
 5  R  wlan1                               wlan             1500  1600       2290 D4:CA:6D:CC:71:1F
 

Kód: Vybrať všetko

[admin@MikroTik] > ip dhcp print
Flags: X - disabled, I - invalid 
 #   NAME                        INTERFACE                       RELAY           ADDRESS-POOL                       LEASE-TI
 0   DHCP pre WiFi               wlan1                                           Pool pre WiFi                      1d      
 1   DHCP pre ether2             ether2 - hlavne pc                              dhcp                               1d      
 2 I ;;; DHCP server can not run on slave interface!
     DHCP pre ether3             ether3 - HTPC                                   Pool pre ether3                    1d      
 3 I DHCP pre ether4             ether4                                          Pool pre ether4                    1d      
 4 I DHCP pre ether5             ether5                                          Pool pre ether5                    1d 

Kód: Vybrať všetko

[admin@MikroTik] > ip arp print   
Flags: X - disabled, I - invalid, H - DHCP, D - dynamic, P - published, C - complete 
 #    ADDRESS         MAC-ADDRESS       INTERFACE                                                                           
 0 DC 192.168.2.2     FC:AA:14:01:9F:43 ether2 - hlavne pc                                                                  
 1 DC 192.168.100.1   F8:98:B9:29:26:CD ether1-gw                                                                           
 2 D  192.168.2.4                       ether2 - hlavne pc                                                                  
 3 DC 192.168.50.253  2C:F0:EE:74:68:2F wlan1                                                                               
 4 DC 192.168.50.4    E4:E4:AB:6B:EE:9F wlan1 

Kód: Vybrať všetko

[admin@MikroTik] > ip firewall filter print
Flags: X - disabled, I - invalid, D - dynamic 
 0  D ;;; special dummy rule to show fasttrack counters
      chain=forward action=passthrough 

 1    ;;; Windows file sharing
      chain=forward action=accept protocol=tcp dst-port=445 log=no log-prefix="" 

 2    ;;; NetBIOS UDP
      chain=forward action=accept protocol=udp dst-port=135-139 log=no log-prefix="" 

 3    ;;; defconf: accept established,related
      chain=forward action=accept connection-state=established,related log=no log-prefix="" 

 4    ;;; NetBIOS TCP
      chain=forward action=accept protocol=tcp dst-port=135-139 log=no log-prefix="" 

 5    ;;; defconf: fasttrack
      chain=forward action=fasttrack-connection connection-state=established,related log=no log-prefix="" 

 6    ;;; defconf: drop invalid
      chain=forward action=drop connection-state=invalid log=no log-prefix="" 

 7    ;;; defconf:  drop all from WAN not DSTNATed
      chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=ether1-gw log=no log-prefix="

 8    chain=input action=accept protocol=icmp log=no log-prefix="" 

 9    chain=input action=accept connection-state=established log=no log-prefix="" 

10    chain=input action=accept connection-state=related log=no log-prefix="" 

11    chain=input action=drop in-interface=ether1-gw log=no log-prefix=""

Kód: Vybrať všetko

[admin@MikroTik] > ip firewall nat print
Flags: X - disabled, I - invalid, D - dynamic 
 0    ;;; defconf: masquerade
      chain=srcnat action=masquerade out-interface=ether1-gw log=no log-prefix="" 

 1    ;;; TCP port forward pre torrent
      chain=dstnat action=dst-nat to-addresses=192.168.2.2 to-ports=6114 protocol=tcp dst-address=192.168.100.0/24 dst-port=6114 log=no 
      log-prefix="" 

 2    ;;; UDP port forward pre torrent
      chain=dstnat action=dst-nat to-addresses=192.168.2.2 to-ports=6114 protocol=udp dst-address=192.168.100.0/24 dst-port=6114 log=no 
      log-prefix="" 

 3    ;;; TCP port forward pre eMule - default port 4661
      chain=dstnat action=dst-nat to-addresses=192.168.2.2 to-ports=4661 protocol=tcp dst-address=192.168.100.0/24 log=no log-prefix="" 

 4    ;;; UDP port forward pre eMule - default port 4661
      chain=dstnat action=dst-nat to-addresses=192.168.2.2 to-ports=4661 protocol=udp dst-address=192.168.100.0/24 log=no log-prefix=""

[16cmfan]

To je divne lebo ked ho pingas malo by ti to ist... cize zadas ipcku do prehliadaca a ono ti nic nevypluje ? A pingas na konventor z PC alebo MikoTiku ? Este nam tu hod: /ip route print

[shiro]

Pingam ho z pc, normalne cez cmd
prehliadac sa chova ako ked web neexistuje - stranka sa neda najst.

Kód: Vybrať všetko

[admin@MikroTik] > ip route print
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, 
B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          192.168.100.1             1
 1 ADC  192.168.2.0/24     192.168.2.1     ether2 - hlavne pc        0
 2 ADC  192.168.3.0/24     192.168.3.1     ether2 - hlavne pc        0
 3  DC  192.168.4.0/24     192.168.4.1     ether4                  255
 4  DC  192.168.5.0/24     192.168.5.1     ether5                  255
 5 ADC  192.168.50.0/24    192.168.50.1    wlan1                     0
 6 ADC  192.168.100.0/24   192.168.100.2   ether1-gw                 0

[16cmfan]

neni jeho gw s koncovkou .1 a nie .2?

[shiro]

skusal som pingy aj pristup v prehliadaci pre 192.168.100.1 aj 192.168.100.2 - pri oboch je to rovnake. pingam ich, ale na webrozhranie toho huawei konvertora/routra sa nedostanem - stranka nenajdena.
Tuna je screen z quickset okna, vidno tam gateway a ipcku

[mp3turbo]

velmi casto sa stava ze tieto prďáky maju povoleny pristup na svoj management len z "lokalnej" siete, v tomto pripade to bude 192.168.100.x
nemala by to byt vec routingu na huawei inak by ti ani pingy nesli.

skus urobit takuto vec na mikrotiku :

/ip firewall nat
print
add action=src-nat dst-address=192.168.100.1/32 to-address=192.168.100.2 place-before=0

pripadne ak to nepojde tak
/ip firewall nat add action=masquerade dst-address=192.168.100.1/32 place-before=0



pisem to z hlavy, princip je takyto : "ak ide packet na 192.168.100.1, zmen v nom source adresu tak, aby vyzeral ze pochadza zo mna, z mikrotiku"
len neviem ci sa tam da pouzit maškaráda

place-before=0 zabezpeci ze toto pravidlo sa zapise na uplny zaciatok vsetkych NAT pravidiel - taketo spravanie moze byt nechcene z titulu prehladnosti, usporiadania a podobne, takze ho zaradis kam bude treba ak bude treba.

[shiro]

Skusal som oba prikazy, po ich zadani sa ma to spytalo ze aky chain mam pouzit. Dal som tam srcnat, nic to nerobilo, tak som chcel skusit dat dstnat, ale to vypisalo hlasku, ze dstnat tam byt nemoze.

Orange vie ten huawei nastavit do L2 modu, kedy sa z neho stane priechodzie zariadenie (ako router v bridge mode) a tym padom sa neda dostat do webkonfigu...ale to by potom nemal ani IPcku, nie? Pretoze ma matie to, ze IPcku pingnem, ale webkonfig mi nezobrazi. Alebo je to nejaka ta hovadina ze to caka pristup z rovnakej podsiete.

Este zistujem u orange, ze ci ho nahodou nemam v tom L2 mode. Lebo viem ze dakedy som o tom rozmyslal, ale uz neviem ci som to daval prepinat...uvidime co napisu.

AK to nebude tym L2 modom, tak dalsia moznost by bolo prehadzat vsetko na 100vkovu podsiet...IPcky 192.168.100.xxx miesto terajsich 192.168.2.xxx

[Odar]

Ak je to v tom, tak podobne to mam riesene pre WDMyCloud, na ktory mozem pristupit len v ramci podsiete

Kód: Vybrať všetko

 /ip firewall nat>
 2    ;;; Pristup z konkretnej IP na WDMyCloud cez web interface z inej podsiete
      chain=srcnat action=src-nat to-addresses=192.168.2.1 
      src-address=192.168.10.63 dst-address=192.168.2.51 out-interface-list=all 
      log=no log-prefix="" 

WD bezi na 192.168.2.51, pristupujem z 192.168.10.63 (wifi interface).

Default ho Orange do L2 nedavaju. Ja som o to musel ziadat.

[shiro]

cize ked sa potrebujem dostat z pc s ipckou 192.168.2.2 na ten huawei, ktory ma ipcku 192.168.100.1, tak to bude vyzerat spravne takto?

Kód: Vybrať všetko

add chain=srcnat action=src-nat to-addresses=192.168.100.1 src-address=192.168.2.2 dst-address=192.168.100.1 out-interface-list=all

...lebo nic sa nezmenilo, ani po takomto nastaveni. Skusim to este vsetko restartnut ...restart nezabral.

[mp3turbo]

pouzil si zlu to-address. Pravidlom si povedal ze ked nejaky traffic odchadza z mikrotiku cez interface ktory je v liste "all" {mas taky list ?} a ide na destination adresu 192.168.100.1 zo zdrojovej adresy 192.168.2.2, ma v nom spravit vymenu tejto zdrojovej adresy a nahradit ju adresou 192.168.100.1

ja by som ten out-interface odtial uplne vymazal, nie je treba pretoze pouzivas dostatocne mnozstvo inych "qualifierov" na identifikovanie. No a potom sa zamysli nad tym Huawejom - dojde mu paket v ktorom mikrotik spravil vymenu adresy a ksichti sa to, ako keby huaweju s adresou 192.168.100.1 doslo nieco z adresy 192.168.100.1...

z toho by bol jelen kazdy to nemoze fungovat. Ked uz, v to-address nastav 192.168.100.2 (ak mas dvojku na mikrotiku).

Cink cele chyba teraz pozeram : ty mas na MIKROTIKU 192.168.100.1 [!!] a na Chujaweji mas 192.168.100.2
Takze ked pouzivame dst-address=192.168.100.1 tak hovorime o trafficu NA MIKROTIK, nie na Hujawej !

Ja som si nejako neuvedomil tie cisla, az teraz pozeram lepsie do vypisu konfigu z mikrotiku. Takze :
/ip firewall nat add chain=srcnat action=src-nat to-addresses=192.168.100.1 src-address=192.168.2.2 dst-address=192.168.100.2
vsetok traffic ktory ide na adresu 192.168.100.2 zo zdrojovej adresy 192.168.2.2 preonač tak akokeby isiel z adresy 192.168.100.1

[Chris]

lede project ste niekto skusali ? su to odidenci z openwrt a ponukaju pravidelny update https://lede-project.org/

[shiro]

pouzil si zlu to-address. Pravidlom si povedal ze....atd

vravim ze som do toho blbec ten list ma vobec nenapadol.
Este vcera som to riesil "analogovo" tj. prehodil som kabel do huaweia a na pc si nastavil stovkovu ipcku...a pustilo ma. Takze to bolo v tom pristupe zo stejnej podsiete, co sa dnes potvrdilo

Ten command funguje, diky moc. Tieto forwardingy kadejake nikdy poriadne nechapem

[Odar]

Otazka je, ci ma zmysel kupovat MikroTik a pchat tam potom alternativny soft. U ineho zeleza, kde je ten soft okresany na kost nepoviem, ale v pripade RouterOS moc zmysel nevidim.

[Chris]

preco potom na fore je xyz tutorialov ako dat openwrt do mikrotiku?

[16cmfan]

Pretoze nevedia robit v ROS alebo sa im proste nepaci (alebo vie nieco, co nevie ROS) .... inak chvalabohu ze sme na to prisli ohladom toho konvertora, na sekundu mi napadol NAT ale nie v takom rozsahu ako mptrojke, hlavne ze to fici uz