雷竞技网站microtik -搜索

cdiedrich

我没有发现任何提示在论坛或手册页，希望澄清。我有一对路由器，每个运行3个vrrp接口。相同的配置。我即将升级到7.6(从6.49.6)，以利用同步连接跟踪。我需要启用同步连接跟踪…

cdiedrich

嗯，“单次掉落规则”只是故事的一半;-)“在单次掉落规则之上允许规则”的#很可能与我的建议相同;-)我会给你一些巧克力-一旦旅行和现场活动再次成为可能，我很高兴见到你……

cdiedrich

考虑到网络中最大的数据量应该是视频流，我假设有某种类型的数据包键盘不知道如何处理，这可能会导致一些缓冲区溢出，尽管…

cdiedrich

伙计，我知道——我几乎每天都在使用NDI;-)我们在UDP单播方面有很好的经验(tcp有时会延迟)。在这种设置中，甚至两个或三个目的地也可以很好地工作。不幸的是，我没有任何使用MikroTik交换的经验(只使用它们作为路由器)，我们所有的…雷竞技网站

cdiedrich

由于您的设置非常小-您真的需要多播吗?看起来每个NDI源只连接到一个目的地。最快的办法就是单播。
除此之外，你的配置在我看来还不错。
屁股的

cdiedrich

你说的是客户，所以我猜你们提供互联网服务?你的面向客户的网络基本上只是一个L2域，你想完全阻止在这个域内发现吗?所以不仅要让你的Tik设备对他们不可见，还要让他们对彼此不可见?那就取决于……

cdiedrich

我希望我能像anav一样聪明，我欣赏并尊敬他作为一个生动的论坛成员，但我想每个人都有糟糕的一天。是的，我完全没注意到体重。\这个如何-可以通过脚本创建，基本上应该做需要的-每个租户仍然有一些行:…

cdiedrich

/ip firewall filter add chain=forward action=drop src-address=10.10.10.0/24 dst-address=10.10.11.0/24 comment=" drop B to A" add chain=forward action=drop src-address=10.10.11.0/24 dst-address=10.10.10.0/24 comment=" drop B to A"

完成了。
屁股的

cdiedrich

Winbox正在使用您计算机的DNS设置。
终端中的resolve命令使用路由器的DNS设置。
屁股的

cdiedrich

看起来像是一个私有MAC地址为00:00:5e:00:01:6F的设备(属于VRRP接口)正在做proxy-arp。
这个IP为192.168.2.3的MAC地址的回复指向一个D-Link AP。我会检查它的设置。
屁股的

cdiedrich

没有发现任何指向dhcp服务器的问题。我猜你知道你的防火墙开得很大，对吧?只是出于好奇:你的udp dst-nat规则包括端口67和/或68吗?你们1100桥的实际mac地址是多少?我在你的交换机上看到一个重复的mac地址…

cdiedrich

是的。这是你问题唯一可能的答案。不了解你的设置，没人能帮你。显然没有“让一切完美”的开关，这个开关是默认禁用的。只要打开就行了。所以请与我们分享一些信息，迷你…

cdiedrich

这真的会误导人。
要看实际的托管接口，你需要看caps管理器。
托管CAP的输出只是一个指示，如果它由CAPsMAN管理，您就不能在那里做任何事情。
屁股的

cdiedrich

好吧，你说当关闭HT时，其他实例(虚拟机?)会受到性能下降的影响——所以我的建议是在仍然启用HT的情况下。CPU亲缘性是确保分配的vcpu不在HT环境中的同一物理核心上运行的好方法。刚出柜……

cdiedrich

在cpu密集型工作负载下使用超线程并不是一个好主意。
如果还没有这样做，我会检查CPU亲和性(确保分配给CHR实例的vcpu不在相同的物理内核上)，并可能为虚拟机添加一个CPU预留，为其平均负载的125%。
祝你好运,
屁股的

cdiedrich

现在这就说得通了…
谢谢你让我大开眼界。
现在，这些命令将在调度器运行的脚本中使用—脚本将以脚本所有者的帐户运行吗?

谢谢!
屁股的

cdiedrich

标准的全公司管理帐户

cdiedrich

Dang -这发生在我身上:-)两个设备上完全相同的输出:/user ssh-keys print标志:R - RSA, D - DSA # user BITS KEY-OWNER 0 R remote 2048 user@computer /user ssh-keys priva prinn标志:R - RSA, D - DSA # user BITS KEY-OWNER 0 R remote 2048 user@computer

cdiedrich

早上好，我的目标是让两个路由器在一个脚本中使用ssh-exec相互通信。我根据这篇Wiki文章创建了一个用户和密钥。但是，当尝试从远程路由器(使用完全相同的用户和密钥配置)触发命令时，我总是收到身份验证错误，而de…

cdiedrich

你的问题有点模棱两可。您是否遇到了只有10个用户可以同时连接的问题，而您想要更多的用户，或者您想将并发vpn连接的数量限制为10个?无论哪种方式，发布你的配置的导出，我们可以找到一个方法来完成一个…

cdiedrich

让我们假设你的服务器配置在/24子网中，这个子网的0.1是他们默认的g/w，它将是这样的:

add interface=ether3 address=192.168.2.1/24 disabled=no add interface=ether4 address=192.168.3.1/24 disabled=no

cdiedrich

自5.25以来，获取工具已经改进了很多
只要看看我的6.46.7版本，现在有头字段和http方法参数(如get, put, post, delete)。看一下手动输入
可能你需要的只是路由器操作系统的升级。l雷竞技

屁股的

cdiedrich

嗯. .
CCR、CHR和Winbox运行的是哪个版本?
你试过“工具”菜单中的“遗留模式”连接吗?

屁股的

cdiedrich

所提供的信息太少，无法真正起作用。当从vm控制台检查时，您的CHR有连接吗?除了Winbox连接，它还能正常工作吗?你可以连接到web界面，但不能通过Winbox，我说对了吗?你是如何通过Winbox连接的?通过我…

cdiedrich

他的网络访问受限，但还是有可能的。
只需登录到您的十六进制的webfig和导航到Dude。
查看已经创建的网络地图是完全可以的，但仅此而已。

为此创建一个单独的用户和自定义皮肤可能是一个好主意。

屁股的

cdiedrich

检查你的子网。你的“外部”路由器将73.65/27的src地址视为本地地址b/c，它在73.0/24的范围内。
这也不适用于思科。
尝试添加一个静态路由到你的“外部”路由器，为73.64/24,gw=73.3，然后它应该工作。

屁股的

cdiedrich

我有一个类似的问题与我的一个客户相当长一段时间，行为完全相同。尝试在您的安全配置文件中将“组密码”设置为TKIP，然后再试一次。并确保您在TP-Link上使用干净的20MHz频道，理想情况下是在1,6或11上使用@erlinde…

cdiedrich

简单的解决方案:
不要将设备用于测试(更好的方法是猜测)带宽。它总是一个CPU瓶颈。
找两台电脑，把它们连接到开关上，然后在上面运行iPerf。
屁股的

cdiedrich

这太棒了!
我明天早上第一件事就是试试。
非常感谢——最简单的事情很少那么明显。

屁股的

cdiedrich

根据LTAP mini的数据表，它的最大功率为9W。
这代表5VDC下的1800mA电流。因此，一个充满电的6000毫安的移动电源在完美的条件下应该持续约3:20小时。你应该是安全的，假设2:30…2:45h现实。
屁股的

cdiedrich

不幸的是，这就是设计。最实用的方法是按IP地址过滤。
屁股的

cdiedrich

首先，需要在路由器操作系统虚拟机连接的vswitch端口组上启用混杂模式。l雷竞技由于这也会影响所有其他虚拟机，我建议在vSwitch上为这个虚拟机创建另一个端口组(具有物理适配器并具有“vm Network”端口组的虚拟机)…

cdiedrich

只要这些设备在地图上，你就可以多选这些设备，右键单击，设置，然后在那里更新密码。不要接触任何其他领域。
屁股的

cdiedrich

是的，那肯定可以。

cdiedrich

您还需要更新您的系统包。Dude包的版本不能和routerOS不同。l雷竞技最简单的方法是通过System -> Packages -> Check for updates执行正常的更新过程。这将更新所有必要的包。当然，这个平台必须…

cdiedrich

首先:您不需要任何网桥进行vpn访问。不要在黑暗中摸索，请把你的配置导出来，让我们知道你到底想要实现什么。"在子网中看不到任何东西"还是太模糊了。重读你最初的帖子，我猜你想要一个网站…

cdiedrich

不。
只需为vpn客户端创建一个独立于本地子网的专用IP池，并让它们使用这些地址。
屁股的

cdiedrich

问题不在于UDP，而在于多播
检查这篇文章由@doneware撰写还有整条线。
屁股的

cdiedrich

嗯，它实际上不是免费的，而是绑定在设备上的磁盘，并在购买设备时支付。只要你在启动时看到一个正在运行的routerOS，你就安全l雷竞技了。没有重复的成本。
屁股的

cdiedrich

大家下午好，我正试图通过连接字符串将device_property(“FirstAddress”)传递到ros_command中来创建一个自定义探针。我正在努力正确地转义双引号到连接的结果。转义与前导\我得到一个"解析错误"作为w…

cdiedrich

我自己还没有用winbox尝试过，但按照描述创建一个缩放清单文件可能值得一试在第四点．
屁股的

cdiedrich

工具->放大

cdiedrich

通常的做法是检查mac地址-最后两个字节应该足以计算出这样一个小的NIC计数。
另一种方法是将一个哑交换机连接到空网卡，看看哪个在routerOS中启动。l雷竞技

屁股的

cdiedrich

嗯…我在你的设置中没有看到任何明显的错误配置。只是用我在这里启动并运行的绑定对它进行了双重检查，我看到的唯一区别是cisco端接口的显式LACP协议分配和Tik端接口的普通第二层哈希。这是我的工作配置(…

cdiedrich

这很简单。

在两端执行此命令，先在站侧执行:

/int w60g设置[查找]密码=您的安全密码

在它们重新连接之后，流量被加密。
屁股的

cdiedrich

提供的信息很少。如果它只是一个透明桥接，则只能加密传输链路。如果您的链路运行的是802.11，那么第一步将是使用WPA2-PSK加密w/l流量。在链接的两端创建相同的安全配置文件，并在wi…

cdiedrich

问题既不是物理交换机的问题，也不是routerOS的license级别的问题。l雷竞技它在ESX中。仅在分布式交换机上支持链路聚合。这些只适用于vSphere企业许可证级别以上的用户。ESXi中的所有标准vswitch都在虚拟机的所有上行链路之间均衡虚拟机的网卡…

cdiedrich

是啊，真的很难过。由于缺乏标准化的漫游功能，在过去的两年里，我用Meraki替换了20多个地点的大约700个集中管理的ap。

cdiedrich

哈哈哈……
不。
:（

cdiedrich

我认为最好的开始是发布你的配置的导出。然后我们再深入调查。
屁股的

cdiedrich

这是非常少的信息。我猜您已经知道，理想的解决方案是将您的CCR替换为实际上具有SFP+插槽的CCR。您可以将十个地址分布在多个物理接口上，而不需要网桥。然后可以为所有接口设置到同一网关的路由…

cdiedrich

几个星期前我就遇到了这个问题，并联系了支持人员(Ticket # SUP-16818)。
他们说没有办法解决这个问题，并建议重新安装:-(
完全同意很麻烦。在可行的情况下，我们将回到基本的x86映像。
屁股的

cdiedrich

我怀疑这对连接到同一AP的两个对等端都有效。4k流分配了大量的带宽-并且您的AP必须同时接收和发送它。如果绝对没有机会至少有一端连接，我认为唯一的机会是添加一个奉献…

cdiedrich

最简单的方法是使租赁静态化。如果由于任何原因不可能，您可以通过mac地址检索活动IP

/ip dhcp-server lease get [find mac-address=00:01:02:03:04:05] address

然后用这个来调整网络监视脚本。

cdiedrich

/tool netwatch add down-script="/int pppoe-client set pppoe-out10 disabled=yes \n:delay 3s\r\ \n/int pppoe-client set pppoe-out10 disabled=no\r\ \n" host=192.168.88.10

cdiedrich

我会说这是关于你的双引号——“内部”双引号需要转义。
试试这个:

[ros_command(":put ([interface Ethernet monitor sfpplus1 once as-value]->\"sfp-vendor-part-number\")")]

cdiedrich

完全是pe1chl。对于条件转发器，我希望看到反向查找也有这种可能性。这不是不同的功能。要使反向工作在172.16.16.0/24子网中，您需要为16.16.172.in-addr.arpa配置一条NS记录。(并且路由器应该转发…

cdiedrich

完全是pe1chl。对于条件转发器，我希望看到反向查找也有这种可能性。add condition -forwarders=10.20.30.40,10.20.31.40 domains=test.com,xyz.org子网=10.20.30.0/23 add condition -forwarders=172.16.16.16子网=172.16.16.0/24,192.1…

cdiedrich

首先，请将配置导出放到代码块中，这样更容易阅读。对于你的问题，这应该解决它:##确保你的dhcp发送dns服务器和正确的网关。网关必须在同一子网内，才能实现网络可达。/ip dhcp-server网络添加地址=192.168.10.0/24网关=…

cdiedrich

您可以使用“静态网络元素”来完成此操作。
插入，右键单击，选择外观，选择图像(之前上传到Dude)，为图像选择适当的比例，选择矩形作为形状，并使用白色作为颜色。
屁股的

cdiedrich

我见过这种情况几次(count很容易是三位数)，这真的很烦人。用于发现的接口列表应该只包含面向lan的接口绑定到的网桥。没有物理接口属于同一网桥。在100%的情况下，这个问题只出现在访问p…

cdiedrich

有了VRRP，你已经拥有了你所需要的一切。VRRP可以使用任意私网，如172.16.16.0/29。物理接口地址配置为.2/30和.3/30,VRRP地址配置为.1/32。然后将您的公网IP和正确的子网掩码添加到该vrrp接口。它会跟着……

cdiedrich

我没有看到一个合适的解决方案，但我完全理解这种需求。一个有明显管理开销的不可靠的解决方案是通过默认的g/w为同一子网中的所有主机提供桥接水平和静态路由。这是在每个主机上设置的。一点也不好，一点也不……

cdiedrich

只是对于第一个-在同一子网的一个，你使用的vrrp。
其他地址可以是任意掩码，并跟随vrrp状态。

屁股的

cdiedrich

是的，这很有效。但是无论实际子网大小是多少，vrrp地址都必须是a /32。
屁股的

cdiedrich

令人遗憾的是，一个功能强大的操作系统没有处理跨网桥/vlan的多播的进程!

不，不是的。
主题是关于链路本地多播，这是它应该工作的方式。
l雷竞技routerOS实际上提供了“真正的”带PIM和组播包的组播路由。
屁股的

cdiedrich

有vpn客户端需要从本地地址空间获取IP地址。我认为有必要这样做的唯一原因是，在您的局域网中运行的服务只接受来自本地局域网的连接。因此，需要本地范围地址的不是客户机，而是正在访问的服务. ...

cdiedrich

最佳和常见的做法是为vpn客户端使用专用子网。
vpn客户端绝对没有理由位于与本地LAN相同的子网中。
屁股的

cdiedrich

一个简单的“简单队列”就可以了。在隧道的每一端，添加一个简单的队列，将本地子网作为目标，将远程子网作为“dst”，并用所需的总b/w填充“Max Limit”字段。像“60米”。再次阅读你的帖子后…

cdiedrich

这应该是相当容易的-当然，这取决于您的设置的复杂性。我强烈建议在做这件事的时候安排一个停机时间，因为你永远不知道……我会创建一个脚本，调整所有必要的设置(即IP地址接口绑定，防火墙规则与进出接口匹配器…

cdiedrich

您可以尝试使用摄像机的MAC地址作为station-bridge-clone-mac参数的station-pseudobridge-clone。
只是要100%确定:你的主路由器没有运行routerOS，对吗?l雷竞技

屁股的

cdiedrich

这是个好消息。
再进一步想想，加上GPS，它可以成为一个非常好的主时钟，甚至是一个大时钟……
它可以打开与AVB一起使用的CRS范围。

cdiedrich

不幸的是，这是事实。我已经准备好了一组脚本，可以将新的配置推送到备用capsman。第一个脚本将当前/caps-man配置导出到一个文件中。然后我准备了另一个文件，它可以完全清除当前的/caps-man配置。擦除脚本通过ftp上传为“wipecaps.a…”

cdiedrich

我还投票支持使用md5散列密码的完全用户导出。+1用于导出证书，因为它们是配置的重要组成部分。我完全同意mada3k将公钥导出。现在，对于导入过程，我希望看到一个错误处理选项，理想情况下每个配置部分都有一个错误处理选项。莱克阀门…

cdiedrich

嗯…
打开主题电子邮件的日志记录，调试并手动触发该命令。然后，您可以在日志中看到整个smtp会话。
也许你能找到问题所在的线索。
屁股的

cdiedrich

您以前配置过/tool e-mail吗?

如:

/tool邮箱地址=mail.provider.com from=dhcpalerts@provider.com密码=youremailpassword端口=465 start-tls=tls-only user=dhcpalerts@provider.com

屁股的

cdiedrich

您可以从dhcp服务器的租赁脚本触发/工具电子邮件
屁股的

cdiedrich

所以两个网络连接在同一个路由器上?如果是，并且配置是默认的，它应该自动在网络之间路由，而不需要任何用户操作。你的问题有点模棱两可，要么是语言障碍，要么是打字错误，要么是没有准确地表达出来。我把你的“不会”读成&q…

cdiedrich

我第一眼就觉得你的配置不错。在LCD打开时，RB3011上的吞吐量和数据包丢失存在问题。试着关掉液晶屏幕，看看是否有帮助。对于大量的dst-nat规则，您可以将以逗号分隔的端口聚合到每个协议的一个规则中……

cdiedrich

无论邮件地址是什么，您的管理规则都会设置路由标记。因此，像这样添加一条带有相应路由标记的路由:/ip route add dst-address=192.168.138.0/24 gateway=ether1 routing-mark=your-routing-mark-eth3-wan add dst-address=192.168.138.0/24 gateway=ether1 routing-mark=your-ro…

cdiedrich

完全可以理解的应用。我想说这将工作:/interface list add name=nodhcpports /interface list member add interface=ether3 list=nodhcpports add interface=ether4 list=nodhcpports /interface bridge filter add action=log chain=input dst-port=67-68 in-bridge=bridge1 in-interface-list=…

cdiedrich

我以前见过几次这种情况，没有定义ipsec策略和提议，但另一端已经定义了一些提议。
尝试在您的提案中将sha1添加到auth算法中。

屁股的

cdiedrich

嗯…
哪些网络绑定到哪些接口?
“局域网”地址列表的内容是什么?

通常，您只需要一个掩码规则就可以将所有内容发送到WAN。有了适当的路由，就不需要像最后一条规则所暗示的那样进行任何内部src定位。
屁股的

cdiedrich

+ 1
…一个nd a Dude server with 64bit counters, please :-)

屁股的

cdiedrich

发布核心路由器/ip防火墙NAT部分的导出。
看起来您的默认(假面)规则配置得太松散了。

屁股的

cdiedrich

这只是一个猜测，但如果脚本文件在执行期间被锁定并且因此无法删除，我不会感到惊讶。我可以想象一个解决方案:在您的配置脚本中，创建一个调度程序项，在启动时运行并删除该文件。然后，它将自己从调度程序与s…

cdiedrich

访问列表将允许您控制哪个设备连接到哪个AP，但您必须手动决定。也许你可以做一些OUI查找来确定5GHZ能力的设备或拒绝访问一段时间，看看它们是否连接到5GHZ，如果没有，然后允许2GHz ?这将是一个很好的把戏，如果我们能……

cdiedrich

如果脚本是设备上的文件，脚本的最后一行应该是

删除你的script.rsc

如果脚本在内部脚本存储库中，那么最后一行应该是

/system script remove where name=yourscriptname

屁股的

cdiedrich

在这种情况下，我建议检查这些选项:TX功率:您的w/l接口有很多功率。确保你在你的国家的监管模式下运行。这不是不可能的，你的路由器只是饱和你的客户端的射频接口。如果仍然没有，则按3dB步骤向下调整TX功率。

cdiedrich

视情况而定。基本上没有人反对使用默认范围-但是当你可能与同一子网内的其他网络互连时(例如，为你的朋友部署一个MikroTik网络，并在他们和你的网络之间建立隧道以服务他们)…雷竞技网站

cdiedrich

Vlan标签应该透明地通过非管理交换机，它应该立即工作。唯一的缺点是交换机的每个端口都将变成主干端口，并且您不能在该交换机上为其他lan创建访问端口。但是看看你描述的场景……

cdiedrich

这样的话，我也推荐unbound。

cdiedrich

在本地CAP设置中，删除发现接口并添加127.0.0.1作为CAPsMAN地址。
屁股的

cdiedrich

如果域是可预见的，我将使用L7匹配器和dst-nat实现一个基本的条件转发器。如果返回的地址都在可预见的子网中，您甚至可以添加反向查找术语:/ip firewall layer7-protocol add name= " fibusta " regexp= " fibusta.lib|[0-9]+.195.10.1…

cdiedrich

是否从CCR1的dhcp服务器获取地址?如果是，请将租约设置为静态，调整地址并让CCR2续订租约。如果它在CCR2上是静态的，首先将它添加到正确的接口(然后有。14和。1)，相应地调整两个路由器中的所有路由和对等体设置，然后删除。14 -C…

cdiedrich

看看你的图表，我只能猜测:103.88.88.13/30是ccr1和ccr2之间的传输网络，ccr2有一个指向ccr1的默认路由，103.88.88.1/29托管在ccr2上，ccr1应该能够与103.88.88.1对话。让我们假设:ccr1有103.88.88.13/30,ccr2有103.88.88.14/30…

cdiedrich

游手好闲的人。
不，这不是EoIP场景。vlan - vlan也是L2-local的。
尝试在路由中将tunnel接口设置为网关，而不是隧道的远端IP。
屁股的

cdiedrich

路由看起来正确。
我宁愿说这是一个windows防火墙的问题，默认情况下不接受来自非本地子网的传入连接。

屁股的

cdiedrich

你可以试试MobaXterm。同时登录到所有设备，然后使用Multi-Exec。你输入的每个字符都会被发送到所有会话。或者创建一个包含所有更改的。rsc脚本，然后通过FTP将其上传到所有设备，并命名为.auto。RSC -它会自动执行…

cdiedrich

在考虑这个主题一段时间后，这可能是一个(一部分)解决方案:您说您希望监视可能在vlan周围移动的驻留设备，但确实在它们移动到的vlan中获得一个地址。我读到这家伙和dhcp在同一台机器上运行…

cdiedrich

我不得不同意，小子。但是有问题的设备的密度在不断下降。我经常用成千上万的并发客户端构建临时无线网络——上一次我在k/r/v客户端遇到问题是在2017年8月(那是一个Meru/Fortinet系统)。Cl……

cdiedrich

我在7月中旬询问了支持部门是否有中期(即一年内)计划实现k/r/v漫游和频段控制。
答复是“没有精确的时间表”。
话虽如此，我目前正在用Meraki取代几个CAPsMAN网站。真是个讨厌鬼。
屁股的

cdiedrich

快速解决方案:在网桥接口上创建vlan接口。为该vlan接口配置IP地址。完成了。我的一个同事在D-Link开关上也遇到了类似的问题。可能是LLDP邻居发现导致了这个问题。禁止邻居发现(创建带有…的接口列表)

cdiedrich

WhatsApp使用端到端加密，所以你基本上是安全的。即使攻击者捕获了会话的原始数据流，他们仍然必须对其进行解密。我不会说这是不可能的，但坦率地说，在合理的劳动力、时间和技能范围内是不可能的。假设你的WiFi已经…

cdiedrich

还没有找到一个真正的圆函数，但你可能会幸运地得到这个十进制计算脚本并指定小数点。
屁股的

cdiedrich

到目前为止，配置看起来不错。在wlan1上仍然有一个活动的dhcp-client -由于您使用的是pppoe，因此不需要dhcp。我只能想到偏振和/或校准问题-检查你的信号电平，两个链上的rx电平应该非常接近，6或更多dB的不平衡是一个…

cdiedrich

你的每个问题的答案都是肯定的。
对于测试/学习/评估，您应该考虑在ESX环境中通过ova部署一个CHR实例。它没有24小时的限制，但在未经许可的状态下，吞吐量被限制在1MBps。
屁股的

cdiedrich

我觉得是发到01:00:00的CDP消息。c:CC:CC:CC。检查您的发现设置，并调整发现接口列表，使其仅为发现所需的接口。在重新阅读了这篇文章的时间和桥的数量之后(我现在假设有一座桥……

cdiedrich

乍一看，我觉得这和桥有关。在同一个物理交换芯片上有两个桥接器(包括sfp和ether1-5)。并且hw-offload仅适用于每个开关芯片的一个桥接。所以我猜你的链路本地流量是通过CPU的。看起来你并不是真的……

cdiedrich

非常简单:/ip firewall address-list add list=wan。1 address=192.168.0.2 add list=wan1地址=192.168.0.3…添加列表=广域网。2一个ddress=192.168.0.9 add list=wan.2 address=192.168.0.10 ...and so on /ip firewall nat add action=src-nat src-address-list=wan.1 to-address=add list=wan.1 addres...

cdiedrich

收到，真倒霉。现在真的很棘手，我不确定这是否可能。将所有子网的所有地址分配给路由器，给机器其他私有子网，并为每个IP地址创建netmap规则，这可能是值得尝试的。加上发夹……W……

cdiedrich

最好的方法是和你的ISP谈谈，让他给你控制你的子网，这些子网通常应该通过一个/30传输子网路由——一端是他们的路由器，另一端是你的CCR。
屁股的

cdiedrich

我能想到几个场景:1;将AP与其他AP隔离:为特定AP创建专用/30传输网络，并将这两个接口(hEX上的ether, AP上的ether1)上的ARP设置为静态。为您的所有WiFi网络配置单独的数据路径，以便管理员转发和应用…

cdiedrich

如果你的路由器有一个串行控制台，你可能会幸运地从那里访问，可能会有一个脚本让你登录并禁用你的网络监视项目。不会超过两秒钟的。
好运！
屁股的

cdiedrich

如果你没有改变数据速率，那么它应该是好的。
屁股的

cdiedrich

糟糕……对不起，我看你的帖子太快了。错误处理dhcp客户端。这可能是当ether1是WAN时的原始配置的遗产。
看起来您将设备配置为仅桥接或通过SFP获得WAN。因此，删除dhcp-client应该是安全的。
屁股的

cdiedrich

将dhcp服务器放在网桥上，而不是放在作为网桥成员的物理接口上。
屁股的

cdiedrich

将multicast-helper从'default'或'disabled'设置为'full'应该可以解决这个问题。
另外，检查是否禁用了低费率——我不止一次遇到这个问题，el-cheapo WiFi打印机只有在重新启用低费率时才能可靠地工作。
屁股的

cdiedrich

把你的配置导出来，我们可以看看——其他的都是猜测。
屁股的

cdiedrich

我猜你给这台电脑加了路由标记，对吗?你需要添加一个路由到这台电脑与它的新路由标记工作。例如:/ip route add dst-address=192.168.88.22 gateway=bridge routing-mark=myWan2-mark编辑:并且很可能(如果不是更有可能)通过该路由到vpn客户端…

cdiedrich

您应该在您的dst-nat规则中设置与特定vlan的子网匹配的src-address。
如果要覆盖更多的地址空间，最好使用地址列表。

我觉得你的职位更适合当将军。

屁股的

cdiedrich

你可能会幸运地日志解析器脚本．
如果您有很多设备，可能值得考虑集中收集所有日志。我们正在运行Graylog来收集大约200台设备的日志，在Graylog中设置警报非常容易。

屁股的

cdiedrich

…一个年代年代我gned by UniFi APs? So you have multiple dhcp servers in a single network?
第一步是禁用这些dhcp服务器。
第二步是检查网络中是否有一个或多个配置了proxy-arp的设备。我敢打赌你的局域网接口开启了proxy-arp。
屁股的

cdiedrich

最好的解决方案绝对是@sebastia提到的dot1x。当你的交换机也支持它时，你就接近100%安全了。
屁股的

cdiedrich

它看起来很像一个私有地址——172.22/16在一个私有范围172.16/12之内。
由于初始脚本是从接口提取地址，我确信您有一个私有地址，并且您的ISP正在对您的地址进行标记。
屁股的

cdiedrich

嗨-当我尝试使用这个，它似乎有另一个私人地址之间我的米克路由器和互联网。雷竞技网站它返回一个私有地址。还有别的办法吗?您可以这样获取Ip:/ tool fetch mode=http http-method=get url=http://icanhazip.com/ dst-path=myip....

cdiedrich

我想添加只使用静态dhcp租约的选项“add arp for lease”选项，并将面向lan的接口的arp模式设置为reply-only。
这至少阻止了恶意客户端访问互联网。
屁股的

cdiedrich

我明白你的观点，理解你的问题——我也在活动行业，知道嘉宾制作共享控制台的问题:-)一个可能的解决方案是带有IP绑定的热点，也就是一对一的nat，也就是“通用客户端”——你可以把任何IP地址翻译成……

cdiedrich

我希望看到面向对象的终端。

请停止离题留言，如果是你的留言请删除。
(如果发生这种情况，我会删除这个)

重读我的文章后，我完全同意。编辑。
谢谢,
屁股的

cdiedrich

完美的。
因此，与balance-rr结合绝对可以达到这个目的。
屁股的

cdiedrich

链路的另一端是什么设备?
是开关吗?或者另一个microt雷竞技网站ik路由器?

你应该完全可以使用bonding和balance-rr。不幸的是，最少的开关也能做到这一点。请注意，balance-rr可能会导致大量乱序数据包。

屁股的

cdiedrich

[移除了b/c题外]
除了上述所有功能之外，我认为一组基本的IP计算非常有用。

屁股的

cdiedrich

确定。
中的“lease-script”dhcp服务器手册．
将您的匹配器添加到leaseActIP变量中，然后触发电子邮件。

屁股的

cdiedrich

不，根桥接器不能有备份端口。它在其他桥上将端口转换为备份。我猜60GHz的链路是microtik ?雷竞技网站什么是24GHz链路?是AirFiber吗?是否启用了WDS ?在w/l链接上是否禁用了任何stp类型?我之前也遇到过类似的问题，当时S…

cdiedrich

您可以为给定的子网运行一个发现。
但这是一次运行，您可以不时地重复它，或者寻找其他解决方案(NetXMS可以提供您正在寻找的东西，因为它不断地扫描网络)。
屁股的

cdiedrich

如果桥在另一个路由器上是可复制的，那完全是你的领域。如果是这样，绝对可以添加一个多余的CAPsMAN。将两者创建为vrrp集群，并将CAPsMAN配置克隆到另一个。使您的ap连接到虚拟网络。确保你禁用了所有接入点的L2连接…

cdiedrich

/ip firewall filter add action=accept chain=forward dst-address=172.16.11.0/24 src-address=172.16.10.0/24 add action=accept chain=forward connection-state=established,related dst-address=172.16.10.0/24 src-address=172.16.11.0/24 add action=drop chain=forward connection-state=invalid,new dst-address…

cdiedrich

我最近也在研究同样的挑战。Phihong POE370U提供一个网络接口用于管理(web接口)和snmp监控。
但考虑到价格，一个不错的PoE交换机可能会更便宜。

屁股的

cdiedrich

删除过滤器和nat部分中的所有防火墙规则。从ether1中删除dhcp-client。添加ether1到bridge-local。从接口列表“WAN”中移除ether1。将ether1加入LAN接口列表。完成了。那么您的设备上仍然有一个dhcp服务器在运行。如果不需要禁用它....

cdiedrich

如你所见，我们没有进一步。
现在是时候发布你的完整配置了。

/export compact hide-sensitive

屁股的

cdiedrich

这不是一个完整的配置导出。
你是不是因为总是脱光衣服而被起诉?

cdiedrich

看在这里．
屁股的

cdiedrich

但如果我从桥上移除一个接口，我就会失去与该接口的连接。这就是为什么我总是将所有接口添加到默认桥的原因。

该接口将具有mpls连通性。

cdiedrich

LDP接口配置无效。处理步骤这些接口是从属接口吗?如果是，那么您需要添加master。是的，他们都是奴隶。我运行的是6.42.11和6.43.9版本。我所有的接口都链接到默认桥:/interface bridge port add bridge=bridge comment=defconf interface=ether2所以你可以…

cdiedrich

更不用说导出用户数据库了。

cdiedrich

所以就像我说过的两次一样，把你的配置贴出来，我们就能了解到底发生了什么。
屁股的

cdiedrich

dst-address表示服务器位于路由器后面的WAN地址。我猜是93号。地址是偏远的地方，对吗?指定src-address确实增加了一些安全层，因为只有当连接来自这个特定的地址时，才会发生dst-nat…

cdiedrich

就像阿纳夫说的，我们在黑暗中钓鱼，看不到你们的装备。
我还可以想象另外两种情况:

不同设备的pvid是否不同?
它们之间是否可以通过访问端口进行额外连接?

屁股的

cdiedrich

我打赌是你的硬件。雷竞技官网网站下载951是MipsBE，这远不是加密IPsec流量的理想选择。你可能想尝试750Gr3, 3011, 4011或CCR系列-这些提供硬件加速。雷竞技官网网站下载我个人在我的远程办公室运行一台750Gr3，它通过IPsec与我们的主办公室(CCR1036)通信，并且……

cdiedrich

这是一个很好的观点!
屁股的

cdiedrich

(c) mic雷竞技网站rotik有任何限制吗?这确实很难回答。我每年管理大约5000台个人设备(包括路由器、交换机、无线设备等)，这些设备来自MikroTik、Fortinet、Cisco、Juniper、SilverPeak、PepLink、UBNT等等。雷竞技网站

cdiedrich

尝试在DG中添加静态路由，如下所示:
224.0.1.1通过172.16.4.17

屁股的

cdiedrich

由于您说您正在使用CCR1009-8G-1S-1S+，因此了解您正在为回程和局域网端使用哪些接口非常重要。它仍然有一个交换芯片，将ether1-ether4聚合到一个1G的管道到CPU。如果两个接口都在该端口范围内，则可能是…

cdiedrich

保持您的地址空间原样。然后在路由器上安装和配置PIM:将面向dg的接口添加到PIM。将pptp客户端及其接口添加到PIM(为每个客户端创建pptp服务器绑定，可以添加这些绑定)。您的DG应该发送多播流量到您的路由器(给它sta…

cdiedrich

我想说/工具netwatch是你的朋友。它完全符合您的需求，只需填写将在这些事件上触发的向上/向下脚本。但它可能会变得棘手b/c脚本只触发一次，而不是每次目标被检查。因此，您可以添加另一个监视UPS的网络监视项目。在…

cdiedrich

你不应该。这是为IPv4多播保留的，并且会在您的路由器中可靠地弄乱事情。我在问你想发送给客户端的多播是否在这个范围内。如果是，那么在路由器上成功使用PIM的可能性就很高。这是一个很好的演示文稿……

cdiedrich

BCP或任何“真正的”第二层隧道(例如EoIP或vpls)肯定可以。是多播链路本地(224.0.0.0/24)或可路由(一切从224.0.1.0以上)?如果是后者，您当然可以在集中器上尝试PIM，并让客户端发送连接请求——这很容易……

cdiedrich

我很确定这和你松散的假面舞会规则有关。从Sonicwall到您的子网工作的b/c流量被绑定到您的路由器内部IP地址，这是您的站点所知道的。我猜通往Sonicwall的流量很可能是与你的WAN IP地址绑定的，所以流量…

cdiedrich

乍一看，我发现了两个问题:你的默认伪装规则太松散了——它会从任何地方伪装到任何地方。将本地子网添加为src-address，并将wan接口添加为out-interface。将NAT接受规则移到伪装规则之前。作为旁注:你的…

cdiedrich

如果pptp客户端是路由器而不是route - vpn计算机，您可以尝试使用BCP。
屁股的

cdiedrich

在绑定租约后触发租约脚本。
无论采用哪种方式，您都需要静态租约来将正确的选项分配给正确的客户端。
一旦您的租约是静态的，您就可以调整所有选项或选择预定义的选项集。
屁股的

cdiedrich

我不确定您的ISP是否会为VRRP接口分配那些保留的(不可更改的)MAC地址，但值得一试。如果他们不这样做，下一步就是在VRRP和物理上行接口之间使用桥接，并设置/interface bridge nat和/int…

cdiedrich

在一个接口上获取多个DHCP客户端的唯一方式是使用VRRP接口。在WAN-port中添加VRRP接口，并在该接口中添加dhcp客户端。为了使VRRP工作，接口上需要一些未使用的地址空间。例如以太网上的192.168.171.2/30,vrrp1的0.1 /32,vrid 2 192....

cdiedrich

编辑虚拟机设置->虚拟机选项-> VMware Tools ->时间，取消勾选“从主机同步客户时间”

cdiedrich

我完全不喜欢游戏，但我几乎可以肯定，这与你松散的假面舞会规则有关。该规则捕获从任何地方到任何地方的任何流量和nat。修改为缩小匹配范围:/ip firewall nat add action=masquerade chain=srcnat src-address=your.lan。空间/ 24 out-interface =王……

cdiedrich

代理可以用来拒绝对特定文件类型的访问。

没错，但仅限于http。但驱动器股份的情况并非如此。
屁股的

cdiedrich

不，不是在routerl雷竞技OS中。首先，本地网络中的操作通常不经过路由器。其次，在routerOS中没有办法通过文件扩展名来阻止传输，你需要一个高级的L7防火墙(甚至可以阻止这些内容进入你的网络)。l雷竞技最好的办法是两个集团…

cdiedrich

这在很大程度上取决于你的组织结构和你的员工应该使用什么服务。所有与云同步的东西(比如Dropbox, iCloud, Google Drive等)都是一个很好的开始——特别是当这些同步发生在后台时，没有人会真正注意到任务是……

cdiedrich

不:-)Facebook的流量并不是很高，也没有那么多的带宽消耗，因为它有很多GET请求，每个请求的传输很少。我的经验是，限制这样的网站比你从中获得的更多的劳动。限制传输量大的站点更合适，这样……

cdiedrich

在没有看到你的配置的情况下，我的第一个猜测是，你的默认srcnat/masquerade规则太松散了(即没有src-address和没有指定出接口)。此外，我可以想象你的nat接受规则对这个流量低于默认的srcnat/masquerade规则。发布您的配置导出…

cdiedrich

我同意这是另一个单点故障，但我猜硬件防火墙故障的可能性更小?雷竞技官网网站下载这是一种误解。它由相同的组件构建:电源(故障#1)，风扇(故障#2)，半导体，物理连接器，hdd / ssd等都受…

cdiedrich

如果启用了check-gateway=ping，请验证默认路由。如果不是，接口链路状态是路由器的唯一指示器。
屁股的

cdiedrich

@cdiedrich，你知道HA集群/对Fortigate和PA在这方面的行为吗?

我做到了——绝对无缝。所有连接始终保持同步。处理这些是我的日常事务…

cdiedrich

关于重复设置的需要，您是正确的，但这对每个设置都重要，而不仅仅是防火墙。一旦创建并证明良好，我认为防火墙相当静态……使用一些脚本，您可以自动复制到另一个对等点。当在它前面有一个防火墙时……

cdiedrich

上游——或者更准确地说:保存192.168.0.0网络数据的服务器。
屁股的

cdiedrich

谢谢你的提示。
我已经考虑过脚本方式，但不确定是否有更明显的东西，我可能错过了。
屁股的

cdiedrich

这取决于你的需要。需要有状态故障转移吗?你需要DPI吗?您是否需要在防火墙中收集地址，以便在ccr上做进一步的工作?需要应用程序控制吗?防火墙延迟是个问题吗?你需要先进的测井设备吗?你想要云管理吗?你……

cdiedrich

为hAP添加dns条目。
屁股的

cdiedrich

这是完全可能的。
首先将绑定接口加入vlan，然后将vrrp接口加入vlan。
或者，如果您希望一个vrrp接口成为后续整个trunk端口的主接口，则只需在绑定接口上添加一个vrrp，然后在vrrp接口上添加vlan。
完成了。
屁股的

cdiedrich

所有，我需要创建一个独立的包为我们的客户谁将巡回与经常性活动。他们的客户管理系统依赖于运行在云端某处的时间关键型数据库应用程序。由于最近场馆网络的糟糕经历和部分封锁的港口，pa…

cdiedrich

我强烈建议不要在高密度应用中使用microtik无线设备。雷竞技网站由于缺乏802.11漫游、频带控制和可调信标间隔，它们对这种部署毫无用处。最好看看UBNT、Xirrus、Meraki、Fortinet/Meru、Everest Networks(在上升的预算中)……

cdiedrich

站点B是否有通过站点a到达192.168.252.0/24的路由?
屁股的

cdiedrich

具有相同网关的多wan工作原理如这个线程．
关于产生的带宽，您将拥有多个流的700/700左右，而一个流不能大于分配给它的WAN链路。
看中的例子本手册页．

屁股的

cdiedrich

br-AP和vlan1002的IP范围10.20.0/24相同。
屁股的

cdiedrich

我敢打赌，这与Hyper-V没有配置为混杂模式有关。
屁股的

cdiedrich

如果我没记错的话，在默认配置中，管理员访问被限制为192.168.88.0/24，因此从10.0.0.0/8访问将被丢弃，并且您将看到超时。尝试在“available from”字段的IP -> Services下添加vlan100范围。为此，可以从192.168....连接

cdiedrich

嘿,鲁本,

那太好了，非常感谢。
论坛不支持DM -请通过cdiedrich (at) clairglobal.com与我联系

再次感谢,
屁股的

cdiedrich

看起来在探针中使用嵌套函数并没有像预期的那样工作。在x86实例(不是CHR)中运行Dude 6.44。6.44.1显示完全相同的行为。当在“可用”行中的函数探测中单独使用这些术语时，它们可以完美地工作:

cdiedrich

更新:
我的一个同事目前正在编写一个Python脚本，远程控制chrome，然后通过WebFig循环，我们可以访问所有相关的设备字段。
一旦我们得到了我们想要的，就会分享结果。

屁股的

cdiedrich

真倒霉，谢谢。
是时候让一个学徒来更新大约2000个设备了，每个设备有三个字段…
屁股的

cdiedrich

亲爱的所有,

是否有一种方法(通过脚本，API或任何)批量更新设备自定义字段?
我们有数千个设备的映射，需要根据MAC地址、设备名称或IP地址填写自定义字段。

任何提示都是高度赞赏的。
谢谢,
屁股的

cdiedrich

这是一个好的开始。剩下的就是增加隧道的路线了。假设192.168.1.0/24在192.168.99.1的隧道本地IP上，192.168.10.0/24在192.168.99.2的隧道本地IP上，执行如下命令:#on router 1 / IP route add dst-address=192.168.1.0/24 gateway=192.168.99.1 distance=2…

cdiedrich

IPsec手册的本部分是非常全面的，应该做你想要完成的。

由于IPsec占用大量cpu，我建议只在具有h/w加速的路由器上使用它(所有CCR系列，1100AHx4, RG750Gr3, RB3011)。

屁股的

cdiedrich

大家好，我们最近升级了我们的基础设施到思科Nexus 3548P和Catalyst 9300交换机。在更新dude maps(在CHR中运行6.44.1)时，我意识到链接图不能正确缩放:我有几个链接，从9300个twoggigabit接口链接到其他1Gig设备……

cdiedrich

我在用Cisco Catalyst 9300为wAP ac和wAP 60g设备供电时遇到了奇怪的问题。这些设备根本开不了。它们与Cisco 3560、UBNT边缘交换机和Netonix配合良好。现在，使其工作的修复真的很奇怪:我只是在AP侧插入一个被动的MTik千兆PoE注入器……

cdiedrich

您可以在rsc文件的末尾添加一个迷你脚本，该脚本将重置所有mac地址并将桥接设置为auto-mac。这将进入调度器，在启动时运行。一旦完成，脚本将从调度程序中删除自身。/system scheduler add name=resetmac on-event=":forea…"

cdiedrich

您已经创建了一个vlan接口。把它放在桥上，而不是物理端口上。然后为该vlan接口添加相应的ip地址。或者在网桥上启用vlan过滤，为这些物理接口(以太和wlan)创建所有允许的vlan及其标记端口映射。

cdiedrich

看看你在第一篇文章中的第一个屏幕截图，我想说这是一个不错的连接。您连接在VHT MCS 7，具有两个空间流和短保护间隔，从而在80MHz时获得650MBps的连接速率。记住，实际的吞吐量大约是50…65%的w/l con…

cdiedrich

提克人有路线吗?

就像

#站点B /ip路由添加距离=20 dst-address=192.168.10.0/24网关=1.1.1.1 #站点A /ip路由添加距离=20 dst-address=192.168.1.0/24网关=1.1.1.2

cdiedrich

是否指定子网掩码?
如果不是，地址是a /32，不能在任何地方通信。
它应该是这样的

/ip address add address=172.18.0.1/24 interface=vlan101

我猜你的配置是这样的

/ip address add address=172.18.0.1 interface=vlan101

而且行不通。
屁股的

搜索找到997个匹配项