Редирект должников на Mikrotik

[l1ght 377]

Ну я настроил таким образом(осталось обучить этому Ubilling):

На микротике есть некий адресслист, назовём его Упс, и адреслист, к примеру, Окей.

 

Так вот те кто в листу Упс хотят получить доступ не к Окей, идут в лес за грибами.

Если они хотят получить не в Окей что-то по 80 порту, то они идут куда мне надо в зоне Окей.

Ну как-то так на пальцах.

 

В итоге сам микротик делает заворот трафика куда надо.

 

Позже ещё обучу его заворачивать 443...

А чому саме мікротік? У вас багато л3 сегментів на мікротіку?

[SoulRoot 0]

Ну у нас НАС микротик :-)

[l1ght 377]

Ну у нас НАС микротик :-)

тобто "так історично склалось" ?

[jcomm 6]

Доброй ночи всем. Я так и не понял из всего вышенаписанного зачем добавлять отключённых абонентов в отдельный адрес лист? Вот пример рабочего микротика с редиректами и должников в ЛК и UHW без всяких там списков.

 

 

 

  

 

И всё это добро раздаёт адреса с помощью DHCP-relay. Ну и экспортирует статистику по трафику. UHW-шлюз сделан на MikroTik в связи с тем, что могут быть использованы несколько сетей на одном микротике на разных интерфейсах (например, 10.0.0.0/24 на интерфейсе B - iNET-1-NW, а 10.0.1.0/24 на B - iNET-2-NW), а на биллинге собирать vlan'ы в мост и ему назначать адрес UHW - бред, в чем смысл тогда вообще делать vlan'ы? Аналогично настраиваются и дополнительные серверы доступа. Суть - минимальная (вернее, отсутствующая) необходимость залезать в биллинг через консольку, чтобы подправить адреса интерфейсов, настройки DHCP для того, чтобы добавить подсеть.

 

P.S. Бонусом даже не надо практически ничего в микротике настраивать, кроме как:

1. Поднять интерфейс/vlan;
2. Добавить на него 2 IP (шлюз для обычных смертных и шлюз для UHW);
3. Добавить DHCP-relay c этого нового интерфейса на сервер с Ubilling (DHCP).

P.P.S. Никаких меток для трафика! Единственное - не заворачивает 443 порт.

 

P.P.P.S. И вот пример сгенерированного конфига DHCP для двух подсетей (вторая добавлена для наглядности вручную):

option domain-name "example.com";
one-lease-per-client true;
default-lease-time 3600;
ddns-update-style none;
max-lease-time 43200;
log-facility local7;
deny duplicates;
authoritative;

shared-network "MGMT-VLAN" {
  subnet 192.168.0.0 netmask 255.255.0.0 { }
}

shared-network "iNET-1-NW" { 
  subnet 10.0.0.0 netmask 255.255.255.0 { 
    option domain-name-servers 10.0.0.1; 
    option subnet-mask 255.255.255.0; 
    option routers 10.0.0.1; 
    include "/usr/local/etc/multinet/inet-1-nw.conf"; 
  }
  subnet 172.16.0.0 netmask 255.255.255.0 { 
    option domain-name-servers 172.16.0.1; 
    option subnet-mask 255.255.255.0; 
    option routers 172.16.0.1; 
    range 172.16.0.100 172.16.0.254; 
  } 
}

shared-network "iNET-2-NW" {
  subnet 10.0.1.0 netmask 255.255.255.0 {
    option domain-name-servers 10.0.1.1;
    option subnet-mask 255.255.255.0;
    option routers 10.0.1.1;
    include "/usr/local/etc/multinet/inet-2-nw.conf";
  }
  subnet 172.16.1.0 netmask 255.255.255.0 {
    option domain-name-servers 172.16.1.1;
    option subnet-mask 255.255.255.0;
    option routers 172.16.1.1;
    range 172.16.1.100 172.16.1.254;
  }
}

Відредаговано 2015-01-28 00:08:08 jcomm

[SoulRoot 0]

Опять же таки, так исторически сложилось, что нужны листы :-)

Хотя, может быть вскорее пересмотрим эту позицию :-)

Відредаговано 2015-01-28 06:16:27 SoulRoot

[SoulRoot 0]

 

Доброй ночи всем. Я так и не понял из всего вышенаписанного зачем добавлять отключённых абонентов в отдельный адрес лист? Вот пример рабочего микротика с редиректами и должников в ЛК и UHW без всяких там списков.

 

...

А можно для пущей наглядности:

/ip firewall export

Ну со всякими интересностями, и без всякой личной информации :-)

[jcomm 6]

А можно для пущей наглядности:

/ip firewall address-list

add address=10.0.0.0/8 list=NAT

add address=192.168.0.0/16 list=NAT

add address=10.0.0.2 comment=66ap0_gj2n disabled=yes list=ALLOW

add address=10.0.0.3 comment=5ap_jt9r disabled=yes list=ALLOW

add address=10.0.0.4 comment=4ap_5dto list=ALLOW

add address=10.0.0.5 comment=4ap_1m42 list=ALLOW

/ip firewall nat

add action=dst-nat chain=dstnat dst-address=!192.168.255.1 dst-port=80 \

    protocol=tcp src-address=10.0.0.0/8 src-address-list=!ALLOW \

    to-addresses=192.168.255.1 to-ports=80

add action=dst-nat chain=dstnat dst-address=!192.168.255.1 dst-port=80 \

    protocol=tcp src-address=172.16.0.0/12 to-addresses=192.168.255.1 \

    to-ports=80

add action=masquerade chain=srcnat out-interface="1 - WAN" src-address-list=NAT

add action=dst-nat chain=dstnat dst-port=21 in-interface="1 - WAN" protocol=\

    tcp to-addresses=192.168.255.1 to-ports=21

add action=dst-nat chain=dstnat dst-port=22 in-interface="1 - WAN" protocol=\

    tcp to-addresses=192.168.255.1 to-ports=22

add action=dst-nat chain=dstnat dst-port=53 in-interface="1 - WAN" protocol=\

    tcp to-addresses=192.168.255.1 to-ports=53

add action=dst-nat chain=dstnat dst-port=53 in-interface="1 - WAN" protocol=\

    udp to-addresses=192.168.255.1 to-ports=53

add action=dst-nat chain=dstnat dst-port=80 in-interface="1 - WAN" protocol=\

    tcp to-addresses=192.168.255.1 to-ports=80

/ip firewall filter

add chain=forward dst-address-list=ALLOW in-interface="1 - WAN"

add chain=forward out-interface="1 - WAN" src-address-list=ALLOW

add chain=forward dst-address=192.168.0.0/16 in-interface="1 - WAN"

add chain=forward out-interface="1 - WAN" src-address=192.168.0.0/16

add chain=forward dst-address=192.168.255.1 out-interface="B - MGMT-VLAN"

add chain=forward in-interface="B - MGMT-VLAN" src-address=192.168.255.1

add action=log chain=forward disabled=yes

add action=drop chain=forward

 

Відредаговано 2015-01-28 22:26:53 jcomm

[mac 0]

 

 

Я так и не понял из всего вышенаписанного зачем добавлять отключённых абонентов в отдельный адрес лист

Думаю, так будет быстрее работать, чем редирект по !ALLOW  (меньше нагружать Микротик): список ALLOW - большой, список DENY - маленький