Mikrotik & loop guard

[BABAH 1]

Є БС та клієнти на Mikrotik. База працює в режимі "ap bridge" (прозора).

Майже всі клієнтські антени налаштовані як "station", тобто працюють в режимі роутера (pppoe) та підєднуються до НАС.

Через дану базу включено декілька клієнтів, яким надається транспорт (окремий влан). За їхніми радіомостами є локалки. В цих локалках час від часу виникають кільця. Зазвичай виникає шторм від клієнта, який сильно навантажує базу + забиває радіоефір.

Чи є можливість виявляти таке кільце і відключати наприклад порт на клієнтському містку?

 

Приблизну схему додаю.

[l1ght 377]

на свічах у абонів різати, мікротик не вміє лупдетект.

[martin 170]

фаерволом дропай все что выше заданного ППС

Штатными средствами - никак

[l1ght 377]

фаерволом дропай все что выше заданного ППС

Штатными средствами - никак

це тре робити на базовій, але я не пам'ятаю, щоб фільтри на бріджі у мікротика могли різати ппс.

І все одно воно долетить до БС, та засре ефір.

Відредаговано 2015-01-05 16:36:25 L1ght

[martin 170]

юзай ИП фильтры на бридже

[l1ght 377]

юзай ИП фильтры на бридже

воно там л2 йде - не буде дропати.

[martin 170]

 читаем мануал по бриджам...

[l1ght 377]

 читаем мануал по бриджам...

Ткніть носом де я неправий з цього приводу?

[martin 170]

/interface bridge settings set use-ip-firewall=yes

[l1ght 377]

/interface bridge settings set use-ip-firewall=yes

Ну й далі? Брідж як "сквозняк" (л2) або він роутить (л3), є різниця?

Я шось сумніваюся, що правило на інпут(аутпут) інтерфейсу бріджа буде мати ефект. А форвардінг - подавно на л2 не запрацює.

[martin 170]

итить колотить.. ну зайди мануал почитай, хоть по микротику , хоть по пакету бридж в линуксе !! У меня ж вроде не 5 постов чтоб я ахинею писал ??..

[l1ght 377]

итить колотить.. ну зайди мануал почитай, хоть по микротику , хоть по пакету бридж в линуксе !! У меня ж вроде не 5 постов чтоб я ахинею писал ??..

use-ip-firewall (yes | no; Default: no)	Send bridged traffic to also be processed by 'IP firewall'. This does not apply to routed traffic.

Ок, це зрозуміло, я не розумію, як той фаєр обробить бріджований трафік.

По друге - взагалі фільтрувати л2 на фаєрі недобра затія, для того є л2 свічі. Фільтрувати петлю фаєрволом, замість того, що б це робити на свічах, або взагалі усувати причину петлі це взагалі хворе рішення.

[martin 170]

ну во первых у топикстартера трафик через радио - то есть махонький, то есть фильтровать можно.

во вторых - а какая разница между Л3 трафиком и бриджеваным Л2 ?? ........... даю ответ - никакой ))

 

Ну и в третьих - "хворе рішення" было гнать Л2 через радио )) , а так как это случилось, то подозреваю что бюджет маленький и выкидывать по 160уе за свич никто и не собирается.. поэтому самый простой выход имея то что имеем - либо фаервол , либо EOIP туннели, которых так горяче любит небезызвестный Saab ))

[l1ght 377]

ну во первых у топикстартера трафик через радио - то есть махонький, то есть фильтровать можно.

во вторых - а какая разница между Л3 трафиком и бриджеваным Л2 ?? ........... даю ответ - никакой ))

 

Ну и в третьих - "хворе рішення" было гнать Л2 через радио )) , а так как это случилось, то подозреваю что бюджет маленький и выкидывать по 160уе за свич никто и не собирается.. поэтому самый простой выход имея то что имеем - либо фаервол , либо EOIP туннели, которых так горяче любит небезызвестный Saab ))

Тобто ви пропонуєте фільтрувати ото, на клієнтських цпе?

І мені не ясно, де в мережі знімається таг з влану. на цпе чи далі?

[martin 170]

а зачем таг менять ??

бридж - это труба, в которой мы можем с помощью ip-firewall запретить то что нам хочется

[l1ght 377]

 

 

а зачем таг менять ??

Не змінювати, а знімати, якщо то робится на цпе, то фільтрувати тільки на них, якщо після цпе знімається (наприклад свічем), то це інша розмова. 

 

 

бридж - это труба, в которой мы можем с помощью ip-firewall запретить то что нам хочется

Суть розмови у тому, щоб вберегти БС від "шлаку". Тому не на БС же фільтрувати, а до неї.

[martin 170]

суть в том чтобы не завалить все линки ) , смотрим картинку.

Я с самого начала и говорю о фильтрации на ЦПЕ, и при чем тут тег ?? зачем он тебе ? ну если мсье хочет его снять - пожалуйста, средствами микротика можно хоть еще три тега дополнительно навесить )