arrawan

Ну, у вас два маршрута по умолчанию, причём более предпочтителен тот, что задан для доступа в ethernet-интерфейс. Галку add default route в свойствах l2tp-соединения взвели? Метрики в dhcp-клиенте и l2tp-клиенте проверили?

Здравствуйте.

Для разгрузки основного интернет-канала было решено часть пользователей в тестовом режиме пересадить на другого провайдера, был приобретён Mikrotik RB750GL.
Настройки сети следующие:
— основная подсеть 192.168.62.0/24, шлюз — 192.168.62.1 — её трогать нельзя, всё настроено и работает, изменения в конфигурации крайне нежелательны,
— WAN роутера второго провайдера — статические IP, маска, шлюз, DNS,
— тестовая подсеть, где будет стоять RB750GL — 192.168.65.0/24,

Подскажите, пожалуйста, конфигурацию, где тестовая подсеть (65) будет пользоваться доступом в Сеть альтернативного провайдера, подключенного к RB750GL, и иметь полный доступ к основной подсети (62). Основной сети иметь доступ к второму провайдеру не нужно.
Прочёл часть FAQ, и часть документации, но, к сожалению, доходит до меня лучше всего "реверс инжинирингом": мне нужно взять рабочую конфигу, разобрать её - тогда я пойму, как это работает А пока каким-то образом добился того, что на микротике не восстанавливается даже конфигурация по-умолчанию (подсеть 192.168.88.0/24, DHCP сервер, маршруты и т.д.) - после Reset Configuration ни у одного порта нет адреса, в WinBox IP роуетра определяется, как 0.0.0.0
Простите, если вопрос банальный, но, честно, тупняк замучал, ничего в голову не идёт. С подобным оборудованием сталкиваюсь в первый раз, хочу его понять. Спасибо заранее.

YujiTFD
и иметь полный доступ к основной подсети (62).

Что означает "полный доступ"? Имею в виду, нужно ли будет видеть компьютеры в "Сетевом окружении"?
Ещё вопрос: свой собственный DNS-сервер у вас есть?

Добавление от 02.06.2013 15:57:

YujiTFD
осле Reset Configuration ни у одного порта нет адреса, в WinBox IP роуетра определяется, как 0.0.0.0

В комстроке наберите /sys reset-conf default=yes. Однако, лучше вам так не делать: там заморочек хватает, в дефолтной конфигурации-то - вы их задолбаетесь разбирать.

Пока же, чтобы хоть что-то дать, предположу, что в сетевое окружение вам не надо, а свой DNS-сервер у вас таки есть. Тогда:
1. отвязываем один интерфейс маршрутизатора от его мастер-порта (/int eth set ether5-slave-local master-port=none)
2. переименовываем интерфейсы так, чтобы было понятно (/int eth set ether5-slave-local name=ether5)
3. присваиваем этому интерфейсу адрес вашей основной сети(/ip add add add=192.168.62.250/24 disa=no int=ether5)
4. присваиваем остальным интерфейсам адрес новой сети (/ip add add add=192.168.65.1/24 disa=no int=ether2-master-local)
5. рисуем правило трансляции (/ip fire nat add chain=srcnat src-add=192.168.65.0/24 out-int=ether1-gateway action=masq)
6. на маршрутизаторе, который раздаёт интернет основной сети, указывайте маршрут до второй сети. Например, так: ip route add dest=192.168.65.0/24 gate=192.168.62.250

Джамаль
Что означает "полный доступ"? Имею в виду, нужно ли будет видеть компьютеры в "Сетевом окружении"?
В идеале - да, но первая подсеть обслуживается сервером на FreeBSD, настроенном в бородатые времена, я за него точно не возьмусь, а денег на спеца (и тем более - не миграцию) не выделят, это просто однозначно. Говорю это к тому, что сетевое окружение там и сейчас работает так себе. Сейчас на большинстве компьютеров пути до сервера прописаны шорткатами: находим в сети нужный узел, заходим на его сетевую шару, делаем ссылку на эту шару на рабочем столе; этот вариант работников устраивает.

Ещё вопрос: свой собственный DNS-сервер у вас есть?
Нет, все запросы обрабатываются DNS провайдера. Но сразу вопрос: в уже работающей сети (сервер - FreeBSD) тоже придётся настраивать маршруты, без этого - никак?

YujiTFD, а почему вы не хотите завести два провайдера на один роутер-микротик? Он это умеет.
http://slagovskiy.blogspot.com/2009/08/miktotik.html
http://slagovskiy.blogspot.com/2009/08/miktotik_17.html
Просто половину пускать на одного провайдера, а вторую на второго. Зачем городить все эти заморочки с двумя сетями и т.д?
Ну или если не хотите париться с роутингом на микротике - банально просто разные шлюзы указывать в настройках клиентов? Зачем вообще в разные сети выводить? Вы же только канал разгрузить хотите.

YujiTFD
Но сразу вопрос: в уже работающей сети (сервер - FreeBSD) тоже придётся настраивать маршруты, без этого - никак?

Либо на маршрутизаторе, раздающем интернет, либо на каждом клиенте прописать такой маршрут. Обязательно

подскажите как сгенерив кучку сертификатов для пользователей пускать их в WiFi mikrotik-a БЕЗ сторонних серверов ?

erazel
YujiTFD, а почему вы не хотите завести два провайдера на один роутер-микротик? Он это умеет.
В принципе, этот вариант тоже годится, он даже проще, чем то, что предложил я. Единственная возможная проблема - настройки сети текущего сервера с FreeBSD; завтра посмотрю и решу, возможен ли такой вариант.

Джамаль, я понял, спасибо. Сетевое окружение всё-таки нужно хотя бы в варианте ссылок на шары на рабочих столах. Почему я просил дефолтную конфигурацию - там уже ether1 работает WAN'ом, а на ether2-5 DHCP сервер раздаёт адреса и роутит в ether1. Попробую сегодня разобрать эту конфигурацию: проблема была в том, чтобы до неё "достучаться"

P.S. Как бы по-идиотски это не звучало, но мопед в данном случае вообще не мой, я пытаюсь консультировать по мере сил, поэтому и возникают такие заморочки.

YujiTFD, еще вопрос - какая ширина каналов у провайдера и сколько клиентов? Просто интересен тот момент сможет ли ваш микротик это все переварить, что бы знать что конкретно советовать.

erazel, точных цифр основного канала не скажу, но его скорость ограничена ADSL-соединением (<=8Mbps в теории), на нём сидят все работники, примерно 30 человек. Второй канал ~10Mbps и пока пустой: кабель был заведён в конференц-зал для других нужд, решили задействовать.

YujiTFD
Сетевое окружение всё-таки нужно хотя бы в варианте ссылок на шары на рабочих столах

Тогда ссылки на шары либо по IP-адресам делать, либо поднимать DNS-сервер

Добавление от 03.06.2013 08:01:

YujiTFD
проблема была в том, чтобы до неё "достучаться"

Дык, винбоксом по МАС-адресу. IP-адрес для этого не нужен совсем

Добавление от 03.06.2013 08:07:

YujiTFD

Если нужен доступ только из новой сети в старую, но не наоборот, то всё упрощается: маршруты добавлять не требуется, а можно поднять трансляцию одной командой

Джамаль
Дык, винбоксом по МАС-адресу. IP-адрес для этого не нужен совсем
Достучаться не до самого устройства, а конктерно до дефолтной конфигурации: она должна восстанавливать настройки портов и всего прочего, но не восстанавливает, устройство имеет IP 0.0.0.0, отсутстие всех маршрутов, серверов и т.д.

Тогда ссылки на шары либо по IP-адресам делать
Устроит.

Если нужен доступ только из новой сети в старую, но не наоборот, то всё упрощается: маршруты добавлять не требуется, а можно поднять трансляцию одной командой
Старой сети доступ в новую нужен только в режиме движения пакетов: чтобы пакеты из новой сети, направленные в старую (доступ к файловому серверу, например, или другому компьютеру в старой сети) возвращались к источнику запроса, ну и обратный вариант (доступ из старой к компьютерам новой). Ваша команда (/sys reset-conf default=yes) возвращает "expected end of command (line 1 column 17)"

Ну дык после ресета оно спрашивает хотите ли вы востановить дефолтную конфигурацию или начасть с чистой. Может вы не тот вариант выбрали при первом включении после ресета?
Да и уперлась вам эта дефолтная конфигурация? Ее поднять дело 10 минут
http://www.youtube.com/feed/UC2xypXTjXw38H6sVY5XYUTQ -вот по этих видео можно все настроить за 20 минут(по 5 минут на урок ).


Кстати вот пробовал вам писать, но Джамаль опередил, так что я пост удалил был, что бы вас не путать. Но сейчас я решил что этого всего хватит для поднятия аналогичной дефолтной конфигурации. Хотя вроде бы Джамаль все уже описал , но "повторение мать учения". В общем если после поста Джамаля стало ясно то просто не обращайте внимания

YujiTFD:
Подскажите, пожалуйста, конфигурацию, где тестовая подсеть (65) будет пользоваться доступом в Сеть альтернативного провайдера, подключенного к RB750GL, и иметь полный доступ к основной подсети (62). Основной сети иметь доступ к второму провайдеру не нужно.

код выделить копировать

1	/ip address add address=10.0.0.1/24 interface=ether1

добавляем на первый езернет адрес выданый нам провайдером

код выделить копировать

1	add address=192.168.65.1/24 disabled=no interface=ether2 network=192.168.65.0

на второй езернет заводим нашу вторую сеть

код выделить копировать

1	add address=192.168.162.254/24 disabled=no interface=ether3 network=192.168.162.0

заводим адрес из первой сети, для того что бы оно могло объеденить сети.
Дальше идем в пункт винбокса BRIDGE и создаем новый бридж. Дальше идем в закладку PORTS и красным плюсом добавляем в наш бридж второй и третий езернеты. Это для того что бы сети видели друг друга. Можно банально ethernet2 обявить мастерпортом для ethernet3(будет как будто подключены в один свич) но тогда мы теряем в случае чего возможность пропускать трафик между сетями через файрвол и управлять им - например зарезать DHCP между сетями .

код выделить копировать

1	ip firewall nat

2	add action=masquerade chain=srcnat out-interface=ethernet1

маскарадим все что выходит на ВАН порт.

YujiTFD
ну и обратный вариант (доступ из старой к компьютерам новой).

Вот это я и подразумеваю под связью в обратную сторону. Если инициатор будет в старой сети, то трансляцией не отделаетесь, нужны маршруты


Ваша команда (/sys reset-conf default=yes) возвращает "expected end of command (line 1 column 17)"

Хм.... секунду.... а, вот чего: /sys reset-conf no=no

Добавление от 03.06.2013 10:37:

erazel
Дальше идем в пункт винбокса BRIDGE и создаем новый бридж

Более скоростной вариант - назначить мастер-порт

из офиса2 видно обе подсети. офис1 видит офис2, офис3 видит офис2.

из офиса3 не видно офиса1.
в офисе 1 в маршрутах прописал что подсетка 192.168.1.1 доступна через впн канал (который соединяет её со вторым офисом)
tracert 192.168.1.1

1 <1 мс <1 мс <1 мс 192.168.10.1
2 5 ms 6 ms 6 ms 10.0.0.2
3 * * * Превышен интервал ожидания для запроса.

дальше ничего не происходит, куда копать?
схемка прикреплена
http://www.imageup.ru/img210/1352646/sxema.jpg (866x332, 24.2Kb)

NewLive

Какие маршруты на клиентских машинах в первом и третьем офисах?

в первом RB1100AHx2
во втором CCR1016-12G
в третьем RB2011L

маршруты
первый
192.168.1.0/24 gv-vpn (впн ко второму офису)
192.168.0.0/24 gv-vpn (впн ко второму офису) этот маршрут проходит


на третьем
192.168.0.0/24 gv-vpn (впн ко второму офису) этот маршрут проходит
192.168.10.0/24 gv-vpn (впн ко второму офису)

маршрут на клиентской машине не имеет значения, с самого микротика traceroute так же не доходит.
изменил схему
http://www.imageup.ru/img210/1352779/sxema.jpg (866x332, 29.9Kb)

192.168.0.1
vpn office1
interface local adress 10.0.0.6 remote adress 10.0.0.7

vpn office3
interface local adress 10.0.0.3 remote adress 10.0.0.2

192.18.1.1
vpn office2
interface local adress 10.0.0.2 remote adress 10.0.0.3

192.168.10.1

vpn office2
interface local adress 10.0.0.7 remote adress 10.0.0.6



теперь
из офиса с сетью 192.168.1.0/24 traceroute до 192.168.10.1

# ADDRESS RT1 RT2 RT3 STATUS
1 10.0.0.3 6ms 8ms 8ms
2 0.0.0.0 0ms 0ms 0ms
3 0.0.0.0 0ms 0ms 0ms

из офиса с сетью 192.168.10.0/24 traceroute до 192.168.1.1

tool traceroute 192.168.1.1
# ADDRESS RT1 RT2 RT3 STATUS
1 10.0.0.6 10ms 6ms 9ms
2 0.0.0.0 0ms 0ms 0ms

останавливается на интерфейсе туннеля во втором офисе. фаервол отключен.
по прежнему из офиса2 видны офис1 и офис3, офис 1 и офис 3 видят офис 2.
офис 1 и офис 2 друг друга не наблюдают. трасерт обрывается на интерфейсе туннеля второго офиса,

Исправлено: NewLive, 03.06.2013 13:40

Да, с этим согласен, это быстрее, но как я писал выше, при бридже мы имеем возможность файрволом обрабатывать трафик при потребности(например я забил layer7 определения всякой нечести типа троянов и червей, помогает на ранней стадии определить источники заразы). Что лучше использовать решать уже в каждом отдельном случае. Все зависит от мощности "железяки" и количества клиентов.

Подскажите, на Microtik можно поднять IPSec VPN (для подключения смартфонов Nokia)?

Есть вопрос по анализу трафика. Есть ли более просты аналоги wireshark с большим юзерфрендли подходом? Грубо говоря хочеться увидеть кто, куда, когда лазил и что качал. Тоесть что бы производило разбор пакетов и сбор окончательной информации на более высоком уровне(какое приложение, что слало и т.д.). А то вайршарком смотреть это все, тоже что Джоконду попиксельно рассматривать

erazel
Есть ли более просты аналоги wireshark с большим юзерфрендли подходом?

CommView, например. Но платный, и к микротику не знаю подключится ли


какое приложение

Этого не сможет ни один снифер, если он не локально запущен или если не поставлен специальный агент, как у ISA

Добавление от 04.06.2013 22:16:

Andrii Z

А как связаны нокиевские смарты с IPSec VPN? Так-то его можно поднять, но при чём тут смартфоны?

erazel
Грубо говоря хочеться увидеть кто, куда, когда лазил и что качал.
NetFlow Analyser и сбор статистики по NetFlow. Еще вариант Accounting прикрутить.

Да оно не обязательно что бы подключался, всегда можно и файл подготовленый микротиком софтине скормить, микротик ведь умеет снифить в файл.
Мне не нужно там супер-детального разбора, наоборот - что-то попроще, что бы просто собирало информацию со всех пакетов в одно удобочитаемое представление (вот что бы с "пикселей" собирало "Джоконду" ).

Добавление от 05.06.2013 09:15:

Пробовал когда-то, но что-то не осилил я, не захотел нормально подхватывать микротик, а в статье Лаговского(собствено после которой я и решил ковырнуть NetFlow Analyser) описывалась более старая версия с другим интерфейсом и настройками. Да и безплатная версия только 1 интерфейс принимает, так что сбился я с той идеи тогда.
Но всеравно спасибо за совет, может все же попробую обуздать эту софтину.

erazel
вот что бы с "пикселей" собирало "Джоконду"

Там есть разбор сессии. Можно и скачанный файл оттуда вынуть

erazel
безплатная версия только 1 интерфейс принимает
Не один, а два.
Да и одного в принципе достаточно. Повесил на LAN и пусть считает что там и куда через него прошло.

с моим вопросом никто не сможет оказать помощь?