BlackVS

Кстати да - меня вначале на игровой сайт кинул %) Потом вообще куда-то налево пытался перенаправить... И сертификат криво прикрутили - типа сертификат есть, а по факту можно считать, что нету %)))

А гугл отменили чтоль - http://vedekon.com/ua/tarif ?

2 шт. заберу, если есть еще

10 уе + пересылка винта + время и никакой гарантии на положительный результат ... новый ключ может дешевле оказаться. Поспрашивайте на форуме - у народа после курсов/мумов часто лишние лицензии л4 остаются.

Тоже был в такой ситуации когда-то. Пробовал powerline (в то время tp-link AV200). Слабо пробивало в виду особенности проводки. Смотреть видео по сети нельзя было - постоянно дропало. В конце концов аккуратно провел витую с разводкой в ключевые места. а оттуда уже вайфаем раздача. Так что если есть возможность - нужно сперва взять-попробовать powerline. Устроит качество связи - оставить, не устроит - таки тянуть. Из "бесшовного" - на работе стоит UniFi, 3 точки, настроил и забыл. AC/LR пробивает на улицу до курилки с 6-го этажа (но там почти прямая видимость). Дома микротиковский капсман, больше бодаться/настравать приходится. Но тоже - если один раз правильно настроить, то "настроил и забыл".

https://wiki.mikrotik.com/wiki/Manual:Load_balancing_multiple_same_subnet_links Единственное, вместо ECMP я бы выбрал PCC.

Трафик считается в память, поэтому перезагрузка его сбрасывает. Варианты - либо IP/Traffic flow + внешний netflow сервер, либо, если достаточно грубо считать, писать скрипт, который, периодически будет скидывать прирост текущего трафика в файл.

Исправлюсь. Спецэффекты при ECMP (там периодически может сбрасываться ECMP cache. Из-за чего не факт, что в следующий раз для того же клиента будет выбран тот же гейт). А вот в случае PCC этого уже нет - для того же набора src/dst (IP:port) должен выбираться тот же гейт. В случае NAT походу тот же принцип. PS: я у себя через маркировку + src-nat раскидываю по разным каналам/адресам, но у меня нагрузка совсем не та, что у провайдеров %). 40 челоевк в офисе это не пару тысяч.

Я так понял имеется в виду: 291.5. Не можуть бути платниками єдиного податку першої – третьої груп: 291.5.1. суб'єкти господарювання (юридичні особи та фізичні особи — підприємці), які здійснюють: ... 8) діяльність з надання послуг пошти (крім кур'єрської діяльності) та зв'язку (крім діяльності, що не підлягає ліцензуванню); Мне казалось (может склероз), для послуг з надання доступу Інтренет лицензирование убрали? Или отстал от реалий? А по поводу ставок - походу бардак он и есть брадак - если местные не установили ставку, то налоговая не знает, какую ставку применять (раньше, давным давно - применялась максимально возможная, сейчас для 2-й группы типа минимальная, но она не установлена законом). Более подробно о бардаке нашел тут - https://epodatok.com.ua/ua/article/7682 Потому просто отказывает. Им так проще. Как вариант - найти местный совет, где эта ставка установлена и там зарегистрироваться... Тоже спорный момент, правда - регистрация не по месту проживания...

http://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Reference=228519&SearchOrder=4

Интересное решение, но, к сожалению, не для случая DHCP.

С VRRP лично не игрался, увы. Я просто думал, что R2 тоже микротик. Может уже спрашивали - а почему провайдер просто не может выдать на один и тот же мак сразу несколько серых-белых ип? Тогда просто пронатили б.... PS: есть пара свободных железок, попробую собрать тестовый стенд и поиграться с VRRP.

>>3. еоип вообще не курил ни разу... Это типа бриджа (ethernet туннель) для разнесенных сетей.

Ну вообще-то международный мужской день - 19 ноября А завтра День защитника Defender’s Day), День украинского казачества и Покрова Так что с праздником, с праздником и еще раз с праздником !!! И трижды спасибо ибо трудности перевода - это последнее, чем стоит забивать голову ps: к глубочайшему сожалению далеко не все Men’s are Defender’s.

Virtual Ethernet немного не для этого. Народ извратился через VRRP, чтобы повесить несколько DHCP клиентов на один wan порт без лишних шнурков-свичей. https://forum.mikrotik.com/viewtopic.php?f=2&t=93517&hilit=It%27s+definitely+not+a+proper+solution И похоже - ничего лучше не смогли придумать, хот я и давно было: https://forum.mikrotik.com/viewtopic.php?t=60453 А так - либо свич спереди и несколько портов в свич, либо бридж на роутере, в который опять несколько ethernet портов. О, а если EOIP туннель Lan R1 - Wan R2 и в бридж с wan R1... https://wiki.mikrotik.com/wiki/Manual:Interface/EoIP По идее получится то же самое, что wan2 и Wan1 в одном бридже?

То есть получается провайдер должен быть в одном l2 сегменте с интерфейсом, к которому прибит белый ип?

Вопрос, как отнесется провайдер к тому, если маки для серого и белого будут отличаться? Если никак - то трафик, идущий с клиентского, просто отправляете как есть в pppoe провайдера (скорее всего он и так уйдет ибо обычно включен deafult route в pppoe клиенте, только тогда маскарадинг отключить именно для этого трафика). а входящий трафик из pppoe провайдера на белый ип - форвардните на клиентский pppoe (обычный роут). Если разные маки нежелательны %) - тогда второй вопрос - клиент хочет физически у себя иметь белый или же выходить в инет через белый ип? Не одно и то же. Если второе - белый ип прописываете у себя, дальше пара правил dst-nat/src-nat.

Я имел в виду, кому принадлежат маки, те, которые "два разные" (каким интерфейсам-бриджам в каком роутере), которые прилетают в ответах на ARP запросы?

«двух разных МАС» - оба от R1, с wan и lan интерфейсов?

1. Я так понимаю, напрямую к провайдеру подключить R2 нет физической возможности? 2. Почему просто на R1 не выпускать весь трафик с R2 через второй ип (routes rules или маркировку пакетов)?

Порт то такое. Выведя rdp наружу tls+нормальное шифрование включили? Обычно народ это забывает делать...

А Вы как сделали? Как перенапправляете на прокси? dst-nat? Тогда поставьте перед этим правилом разрешающие (accept) правила для серверов в Германии (ну или все "белые" сервера в отдельный список и одно разрешающее правило). ПС: Вы напрямую rdp вывели наружу????

У нее потолок 20М для aes-128 так как програмное шифрование.Если из микротиков - смотрите в сторону тех, где аппаратное. https://wiki.mikrotik.com/wiki/Manual:IP/IPsec Из дешево-сердито rb750gr3 . Но у меня эта железка с самой первой прошивкой нормально не разогналась - положил на полку и забыл. https://www.mikrotik-club.in.ua/2016/10/26/rb750gr3-pptp-openvpn-perfomance-tests/ Прошло больше года - надо будет снять, обновить и проверить 400M - это микротик тестировал свой девайс по udp, aes-128, пакеты 1400 байт без всяких натов и правил.

дикие дропы однако (95%)... А если без ипсек - дропы пропадают? У знакомого есть 2011 с впн, но там gre+ipsec - вроде как не жаловался, нормально на офис линк работает. Mangle mss попробуйте поставить - https://forum.mikrotik.com/viewtopic.php?t=65733 ps: имею в виду, что у Вас возможно пакеты больше 1500 идут при аплоаде.

так всегда было на этот случай существуют всевозможные хостинги, облачные решения, терминальные сервера и т.д. никакой компрометирующей или иной информации, попадание которой в третьи руки критично, на пользовательских компах быть не должно вообще нигде и никак Да? Я согласен в том, что компрометирующая не должна быть на рабочих пк (ни с чьей инициативы), а вот рабочая информация... тонкий клиент, песочница, включаем параною и вперед... Но, к примеру, наши проекты не позволяют их в терминалах разрабатывать, более того разрабатываемый продукт не может полноценно работать в виртуальной среде. Кроме того, при разработке определенных проектов у определенных заказчиков вполне определенные требования к процессу разработки вообще, и к безопасности в частности. Поэтому принимаются другие меры защиты. В том числе и административные. Одно другому не мешает. А взаимодополняет. ПС: согласен, много оффтопа %) ППС: блокировкой социальных сетей не страдаю. Скриншоты экранов тоже не делаем.