Mikrotik_Делимся опытом, помогаем друг другу

[Valentin.net 1]

Есть, конечно, подозрение на корявость киевстар. Уж слишком много адресов вываливается на внешнем интерфейсе

[xakep7 6]

  В 11.04.2018 в 18:48, Kiano сказав:

Уверен, режте запросы из вне на локальный днс и всё

Expand  

Смысл? Если можно просто отключить ответ на запросы извне локалки через данную функцию? Загрузки от этого будет меньше чем резать через фаер.

[Kiano 616]

  В 11.04.2018 в 18:50, xakep7 сказав:

Смысл? Если можно просто отключить ответ на запросы извне локалки через данную функцию? Загрузки от этого будет меньше чем резать через фаер.

Expand  

А абонам давать внешний днс? Не есть гуд, каждый запрос на днс - новая запись в нате

[xakep7 6]

  В 11.04.2018 в 18:51, Kiano сказав:

А абонам давать внешний днс? Не есть гуд, каждый запрос на днс - новая запись в нате

Expand  

Эта фитча влияет только на ответы через внешний интерфейс. На локалку она не влияет, на сколько я помню.

[Kiano 616]

  В 11.04.2018 в 18:50, Valentin.net сказав:

Есть, конечно, подозрение на корявость киевстар. Уж слишком много адресов вываливается на внешнем интерфейсе

Expand  

А это натупили с трансляцией арпа, но не при чем в вашем случае. Забейте в арп запись для вашего шлюза, а на wan интерфейсе для арпа сделайте reply only

[Valentin.net 1]

Так, дропнул 53

[Kiano 616]

  В 11.04.2018 в 18:53, xakep7 сказав:

Эта фитча влияет только на ответы через внешний интерфейс. На локалку она не влияет, на сколько я помню.

Expand  

Влияет, для него всё есть remote, только если железка сама юзает днс, то локальные

  В 11.04.2018 в 18:54, Valentin.net сказав:

Так, дропнул 53

Expand  

Скрин в студию

[xakep7 6]

  В 11.04.2018 в 18:55, Kiano сказав:

Влияет, для него всё есть remote, только если железка сама юзает днс, то локальные

Expand  

Да, так и есть. Раньше работало так, сейчас уже поменяли видимо.

Тогда верно, только лочить внешние запросы через фаер на порт.

[Valentin.net 1]

вроде того?

или протокол udp?

[xakep7 6]

  В 11.04.2018 в 19:00, Valentin.net сказав:

вроде того?

или протокол udp?

Expand  

В основном udp, ну а вообще оба.

https://www.securitylab.ru/blog/personal/aodugin/296669.php

Відредаговано 2018-04-11 19:03:46 xakep7

[Valentin.net 1]

Эмм. Туплю. Еще одно правило сделать для второго протокола?

[xakep7 6]

  В 11.04.2018 в 19:03, Valentin.net сказав:

Эмм. Туплю. Еще одно правило сделать для второго протокола?

Expand  

По идее да.

[Valentin.net 1]

Спасибо за ссылку. Прочитаю

Да, по tcp правило ничего не ловит, а по udp пошло резать трафик

[Kiano 616]

  В 11.04.2018 в 19:00, Valentin.net сказав:

вроде того?

или протокол udp?

Expand  

Только удп

И форвард тоже сделайте

  В 11.04.2018 в 18:59, xakep7 сказав:

Да, так и есть. Раньше работало так, сейчас уже поменяли видимо.

Тогда верно, только лочить внешние запросы через фаер на порт.

Expand  

На микротике с версии 3.х

Никогда так не было)) он не знает где внешний, а где внутренний

[Valentin.net 1]

форвард на какой интерфейс?

[xakep7 6]

  В 11.04.2018 в 19:08, Kiano сказав:

На микротике с версии 3.х

Никогда так не было)) он не знает где внешний, а где внутренний

Expand  

На 6-ой ветке работало. Но видимо из-за DHCP/PPPoE

[Kiano 616]

  В 11.04.2018 в 19:11, Valentin.net сказав:

форвард на какой интерфейс?

Expand  

Тоже самое, только чейн форвард

[mixtery 123]

  В 11.04.2018 в 18:54, Kiano сказав:

А это натупили с трансляцией арпа, но не при чем в вашем случае. Забейте в арп запись для вашего шлюза, а на wan интерфейсе для арпа сделайте reply only

Expand  

Это не затупили, а proxy-arp у провайдера
на микроте роутить дефолт надо не в интерфейс а в айпишник шлюза

[Kiano 616]

  В 11.04.2018 в 19:50, mixtery сказав:

Это не затупили, а proxy-arp у провайдера
на микроте роутить дефолт надо не в интерфейс а в айпишник шлюза

Expand  

ээм... я до этого и не додумался бы. Если в интерфейс, то оно работать в итоге хотя бы будет?

[mixtery 123]

  В 12.04.2018 в 04:14, Kiano сказав:

ээм... я до этого и не додумался бы. Если в интерфейс, то оно работать в итоге хотя бы будет?

Expand  

 

[Kiano 616]

  В 12.04.2018 в 05:38, mixtery сказав:

 

Expand  

Да я понял. Просто первый случай совсем не логичный

[mixtery 123]

  В 12.04.2018 в 05:39, Kiano сказав:

Да я понял. Просто первый случай совсем не логичный

Expand  

Логичный, не логичный, а когда к вам на микрот прилетает dhcp, куда дефолт роутится?  в айпишник или интерфейс?

А там именно киевстаровский броадкаст на внешники, недоглядел. 

Собственно, киевстар, внешники. ЧЯДНТ?

Відредаговано 2018-04-12 05:42:20 mixtery
UPD

[Kiano 616]

  В 12.04.2018 в 05:40, mixtery сказав:

Логичный, не логичный, а когда к вам на микрот прилетает dhcp, куда дефолт роутится?  в айпишник или интерфейс?

А там именно киевстаровский броадкаст на внешники, недоглядел. 

Собственно, киевстар, внешники. ЧЯДНТ?

Expand  

 

 

не понимаю, как это у вас получилось

[Dimkers 1 606]

-

Відредаговано 2018-04-12 07:00:53 Dimkers

[Kiano 616]

  В 12.04.2018 в 07:00, Dimkers сказав:

-

Expand  

а я успел увидеть)

я не пойму, в каких сценариях роутит в интерфейс? никогда с таким не сталкивался