Перейти до

Редирект должников на Mikrotik


Рекомендованные сообщения

Ну я настроил таким образом(осталось обучить этому Ubilling):

На микротике есть некий адресслист, назовём его Упс, и адреслист, к примеру, Окей.

 

Так вот те кто в листу Упс хотят получить доступ не к Окей, идут в лес за грибами.

Если они хотят получить не в Окей что-то по 80 порту, то они идут куда мне надо в зоне Окей.

Ну как-то так на пальцах.

 

В итоге сам микротик делает заворот трафика куда надо.

 

Позже ещё обучу его заворачивать 443...

А чому саме мікротік? У вас багато л3 сегментів на мікротіку?

Ссылка на сообщение
Поделиться на других сайтах

Доброй ночи всем. Я так и не понял из всего вышенаписанного зачем добавлять отключённых абонентов в отдельный адрес лист? Вот пример рабочего микротика с редиректами и должников в ЛК и UHW без всяких там списков.

 

firewall.png

 

mikrotik_nat.png

 

addresses.png traffic_flow.png dhcp_relay.png

 

И всё это добро раздаёт адреса с помощью DHCP-relay. Ну и экспортирует статистику по трафику. UHW-шлюз сделан на MikroTik в связи с тем, что могут быть использованы несколько сетей на одном микротике на разных интерфейсах (например, 10.0.0.0/24 на интерфейсе B - iNET-1-NW, а 10.0.1.0/24 на B - iNET-2-NW), а на биллинге собирать vlan'ы в мост и ему назначать адрес UHW - бред, в чем смысл тогда вообще делать vlan'ы? Аналогично настраиваются и дополнительные серверы доступа. Суть - минимальная (вернее, отсутствующая) необходимость залезать в биллинг через консольку, чтобы подправить адреса интерфейсов, настройки DHCP для того, чтобы добавить подсеть.

 

P.S. Бонусом даже не надо практически ничего в микротике настраивать, кроме как:

  1. Поднять интерфейс/vlan;
  2. Добавить на него 2 IP (шлюз для обычных смертных и шлюз для UHW);
  3. Добавить DHCP-relay c этого нового интерфейса на сервер с Ubilling (DHCP).

P.P.S. Никаких меток для трафика! Единственное - не заворачивает 443 порт.

 

P.P.P.S. И вот пример сгенерированного конфига DHCP для двух подсетей (вторая добавлена для наглядности вручную):

option domain-name "example.com";
one-lease-per-client true;
default-lease-time 3600;
ddns-update-style none;
max-lease-time 43200;
log-facility local7;
deny duplicates;
authoritative;

shared-network "MGMT-VLAN" {
  subnet 192.168.0.0 netmask 255.255.0.0 { }
}

shared-network "iNET-1-NW" { 
  subnet 10.0.0.0 netmask 255.255.255.0 { 
    option domain-name-servers 10.0.0.1; 
    option subnet-mask 255.255.255.0; 
    option routers 10.0.0.1; 
    include "/usr/local/etc/multinet/inet-1-nw.conf"; 
  }
  subnet 172.16.0.0 netmask 255.255.255.0 { 
    option domain-name-servers 172.16.0.1; 
    option subnet-mask 255.255.255.0; 
    option routers 172.16.0.1; 
    range 172.16.0.100 172.16.0.254; 
  } 
}

shared-network "iNET-2-NW" {
  subnet 10.0.1.0 netmask 255.255.255.0 {
    option domain-name-servers 10.0.1.1;
    option subnet-mask 255.255.255.0;
    option routers 10.0.1.1;
    include "/usr/local/etc/multinet/inet-2-nw.conf";
  }
  subnet 172.16.1.0 netmask 255.255.255.0 {
    option domain-name-servers 172.16.1.1;
    option subnet-mask 255.255.255.0;
    option routers 172.16.1.1;
    range 172.16.1.100 172.16.1.254;
  }
}
Відредаговано jcomm
Ссылка на сообщение
Поделиться на других сайтах

Опять же таки, так исторически сложилось, что нужны листы :-)

Хотя, может быть вскорее пересмотрим эту позицию :-)

Відредаговано SoulRoot
Ссылка на сообщение
Поделиться на других сайтах

 

Доброй ночи всем. Я так и не понял из всего вышенаписанного зачем добавлять отключённых абонентов в отдельный адрес лист? Вот пример рабочего микротика с редиректами и должников в ЛК и UHW без всяких там списков.

 

...

А можно для пущей наглядности:

/ip firewall export

Ну со всякими интересностями, и без всякой личной информации :-)

Ссылка на сообщение
Поделиться на других сайтах
А можно для пущей наглядности:


/ip firewall address-list
add address=10.0.0.0/8 list=NAT
add address=192.168.0.0/16 list=NAT
add address=10.0.0.2 comment=66ap0_gj2n disabled=yes list=ALLOW
add address=10.0.0.3 comment=5ap_jt9r disabled=yes list=ALLOW
add address=10.0.0.4 comment=4ap_5dto list=ALLOW
add address=10.0.0.5 comment=4ap_1m42 list=ALLOW
/ip firewall nat
add action=dst-nat chain=dstnat dst-address=!192.168.255.1 dst-port=80 \
protocol=tcp src-address=10.0.0.0/8 src-address-list=!ALLOW \
to-addresses=192.168.255.1 to-ports=80
add action=dst-nat chain=dstnat dst-address=!192.168.255.1 dst-port=80 \
protocol=tcp src-address=172.16.0.0/12 to-addresses=192.168.255.1 \
to-ports=80
add action=masquerade chain=srcnat out-interface="1 - WAN" src-address-list=NAT
add action=dst-nat chain=dstnat dst-port=21 in-interface="1 - WAN" protocol=\
tcp to-addresses=192.168.255.1 to-ports=21
add action=dst-nat chain=dstnat dst-port=22 in-interface="1 - WAN" protocol=\
tcp to-addresses=192.168.255.1 to-ports=22
add action=dst-nat chain=dstnat dst-port=53 in-interface="1 - WAN" protocol=\
tcp to-addresses=192.168.255.1 to-ports=53
add action=dst-nat chain=dstnat dst-port=53 in-interface="1 - WAN" protocol=\
udp to-addresses=192.168.255.1 to-ports=53
add action=dst-nat chain=dstnat dst-port=80 in-interface="1 - WAN" protocol=\
tcp to-addresses=192.168.255.1 to-ports=80
/ip firewall filter
add chain=forward dst-address-list=ALLOW in-interface="1 - WAN"
add chain=forward out-interface="1 - WAN" src-address-list=ALLOW
add chain=forward dst-address=192.168.0.0/16 in-interface="1 - WAN"
add chain=forward out-interface="1 - WAN" src-address=192.168.0.0/16
add chain=forward dst-address=192.168.255.1 out-interface="B - MGMT-VLAN"
add chain=forward in-interface="B - MGMT-VLAN" src-address=192.168.255.1
add action=log chain=forward disabled=yes
add action=drop chain=forward

 

Відредаговано jcomm
Ссылка на сообщение
Поделиться на других сайтах
  • 3 weeks later...

 

 

Я так и не понял из всего вышенаписанного зачем добавлять отключённых абонентов в отдельный адрес лист

Думаю, так будет быстрее работать, чем редирект по !ALLOW  (меньше нагружать Микротик): список ALLOW - большой, список DENY - маленький

Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Вхід

Уже зарегистрированы? Войдите здесь.

Войти сейчас
  • Зараз на сторінці   0 користувачів

    Немає користувачів, що переглядають цю сторінку.

  • Схожий контент

×
×
  • Створити нове...