• Home
  • blog
  • photos
  • projects
  • about
Menu
  • Home
  • blog
  • photos
  • projects
  • about
Админево

MikroTik - Начальная настройка

В этой статье я расскажу как быстро настроить RouterOS MikroTik для работы в “простом” варианте, который подойдет многим не большим офисам, домашней сети и т.д…

Итак, допустим имеем канал доступа к сети Internet, локальную сеть на 5-ть компьютеров, 1 из которых сервер, необходимо разрешить работу рядовым пользователям по стандартным протоколам (http, https, icq, jabber, ftp), для рабочего места системного администратора сделать полный доступ к сети, разрешить работу почтового, фтп и web сервера.

IP адреса локальной сети

  • Mikrotik – 192.168.0.1
  • PC 5 – 192.168.0.2
  • PC 4 – 192.168.0.10
  • PC 1 – 192.168.0.20
  • PC 2 – 192.168.0.21
  • PC 3 – 192.168.0.22

Провайдер может предоставлять Вам как белый так и серый ip адрес, допустим, что в нашем конкретном случае это серый адрес, где то в локальной сети провайдера.

Шаг 1. Подключимся к маршрутизатору локально на консоль, и что бы обезопасить пользователя admin от взлома отключим его, а вместо него заведем нового.

[admin@MikroTik] > use add name=mkt password=P@S#w0Rd group=full
[admin@MikroTik] > quit

заходим под новым пользователем и отключаем admin-а

[mkt@MikroTik] > user disable admin
[mkt@MikroTik] > user print
Flags: X - disabled 
#    NAME       GROUP         ADDRESS           
0 X;;; system default user
     admin      full          0.0.0.0/0         
1    mkt        full          0.0.0.0/0 

Шаг 2. Настройка интерфейсов.

Тут есть несколько способов, первый воспользоваться мастером, второй задать вручную.

Сперва попробуем настроить интерфейсы при помощи мастера. Набираем команду setup.

[mkt@MikroTik] > setup
  Setup uses Safe Mode. It means that all changes that are made during setup are
reverted in case of error, or if 
Ctrl-C is used to abort setup. To keep changes exit setup using the 'x' key.

[Safe Mode taken]
  Choose options by pressing one of the letters in the left column, before dash.
Pressing 'x' will exit current 
menu, pressing Enter key will select the entry that is marked by an '*'. You can
abort setup at any time by 
pressing Ctrl-C.
Entries marked by '+' are already configured.
Entries marked by '-' cannot be used yet.
Entries marked by 'X' cannot be used without installing additional packages.
   r - reset all router configuration
 + l - load interface driver
 + a - configure ip address and gateway
   d - setup dhcp client
 * s - setup dhcp server
   p - setup pppoe client
   t - setup pptp client
   x - exit menu
your choice [press Enter to setup dhcp server]: 

Нажимаем “a”, в появившемся меню нажимаем “a”, набираем имя первого интерфейса, указываем IP адрес.

 + a - add ip address
 + g - setup default gateway
 * x - exit menu
your choice: a
enable interface: ether1
ip address/netmask: 192.168.1.116/24
#Enabling interface
/interface enable ether1
#Adding IP address
/ip address add address=192.168.1.116/24 interface=ether1 comment="added by setup"

Это будет интерфейс провайдера. Так же указываем второй интерфейс для локальной сети и адрес для него.

 + a - add ip address
 + g - setup default gateway
 * x - exit menu
your choice: a
enable interface: ether2
ip address/netmask: 192.168.0.1/24  
#Enabling interface
/interface enable ether2
#Adding IP address
/ip address add address=192.168.0.1/24 interface=ether2 comment="added by setup"

Теперь указываем шлюз по умолчанию, выбираем клавишей “g” и вводим адрес.

your choice: g
gateway: 192.168.1.249
#Adding default route
/ip route add dst-address=0.0.0.0/0 gateway=192.168.1.249 comment="added by setup"

Выходим из второго уровня меню (клавиша “x”), и из первого (клавиша “x”), настройки ip адресов сохранены, шлюз по умолчанию прописан.

Испробуем второй вариант настройки – ручной.

Смотрим список доступных интерфесов.

[mkt@MikroTik] > interface print 
Flags: D - dynamic, X - disabled, R - running, S - slave  
#        NAME           TYPE         MTU   
0  R     ether1         ether        1500  
1  R     ether2         ether        1500

Активируем интерфейс 0, который будет подключен к провайдеру и зададим ему ip адрес.

[mkt@MikroTik] > interface enable 0 
[mkt@MikroTik] > ip address add address=192.168.1.116/24 interface=ether1  
[mkt@MikroTik] > ip address print 
Flags: X - disabled, I - invalid, D - dynamic  
#       ADDRESS                NETWORK             BROADCAST           INTERFACE
0       192.168.1.116/24       192.168.1.0         192.168.1.255       ether1 

Проделаем туже про процедуру с локальным интерфейсом.

[mkt@MikroTik] > interface enable 1 
[mkt@MikroTik] > ip address add address=192.168.0.1/24 interface=ether2 
[mkt@MikroTik] > ip address print 
Flags: X - disabled, I - invalid, D - dynamic  
#   ADDRESS               NETWORK        BROADCAST        INTERFACE
0   192.168.1.116/24      192.168.1.0    192.168.1.255    ether1
1   192.168.0.1/24        192.168.0.0    192.168.0.255    ether2  

Ну и наконец добавим шлюз по умолчанию.

[mkt@MikroTik] > ip route add gateway=192.168.1.249 
[mkt@MikroTik] > ip route print 
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip,
b - bgp, o - ospf, m - mme,  B - blackhole, U - unreachable, P - prohibit
#         DST-ADDRESS          PREF-SRC         GATEWAY            DISTANCE 
0 A S     0.0.0.0/0                             192.168.1.249 r... 1
1 ADC     192.168.0.0/24       192.168.0.1      ether2             0
2 ADC     192.168.1.0/24       192.168.1.116    ether1             0

Теперь дальнейшую настройку можно продолжить с помощью графической оболочки winbox, но коль мы начали с консоли, то пройдем весь путь до конца в консоле, а потом повторим сделанное, начиная с шага 3 в графическом интерфейсе.

Шаг 3. Настройка DNS.

[mkt@MikroTik] > ip dns set primary-dns=208.67.222.222 secondary-dns=208.67.220.220
allow-remote-requests=yes 

[mkt@MikroTik] > ip dns print 
      primary-dns: 208.67.222.222 
    secondary-dns: 208.67.220.220 
allow-remote-requests: yes 
max-udp-packet-size: 512 
       cache-size: 2048KiB 
    cache-max-ttl: 1w 
       cache-used: 5KiB

Шаг 4. Настройка доступа к сети интернет.

Сперва включаем маскардинг.

[mkt@MikroTik] > ip firewall nat add chain=srcnat action=masquerade
out-interface=!ether2

Добавляем правила для служебных пакетов.

[mkt@MikroTik] > ip firewall filter add chain=forward connection-state=invalid
action=drop comment="Drop invalid connection packets" 

[mkt@MikroTik] > ip firewall filter add chain=forward connection-state=established
action=accept comment="Allow established connections" 

[mkt@MikroTik] > ip firewall filter add chain=forward connection-state=related
action=accept comment="Allow related connections" 

[mkt@MikroTik] > ip firewall filter add chain=forward protocol=udp
action=accept comment="Allow UDP" 

[mkt@MikroTik] > ip firewall filter add chain forward protocol=icmp

action=accept comment="Allow ICMP Ping"

Дальше добавляем правила для машины PC4.

[mkt@MikroTik] > ip firewall filter add chain=forward dst-address=192.168.0.10/32
action=accept comment="Allow all for admin" 

[mkt@MikroTik] > ip firewall filter add chain=forward src-address=192.168.0.10/32
action=accept comment="Allow all for admin" 

Разрешаем работу сервера до протоколу http, smtp, pop.

[mkt@MikroTik] > ip firewall filter add chain=forward dst-address=192.168.0.2/32
protocol=tcp src-port=80 action=accept comment="Allow http for server (in)" 

[mkt@MikroTik] > ip firewall filter add chain=forward src-address=192.168.0.2/32
protocol=tcp dst-port=80 action=accept comment="Allow http for server (out)"

[mkt@MikroTik] > ip firewall filter add chain=forward dst-address=192.168.0.2/32
protocol=tcp src-port=25 action=accept comment="Allow smtp for server (in)"  

[mkt@MikroTik] > ip firewall filter add chain=forward src-address=192.168.0.2/32
protocol=tcp dst-port=25 action=accept comment="Allow smtp for server (out)"

[mkt@MikroTik] > ip firewall filter add chain=forward dst-address=192.168.0.2/32
protocol=tcp src-port=110 action=accept comment="Allow pop for server (in)"  

[mkt@MikroTik] > ip firewall filter add chain=forward src-address=192.168.0.2/32
protocol=tcp dst-port=110 action=accept comment="Allow pop for server (out)"

Таким же образом задаем правила для остальных машин, разрешая им http, https, ftp, icq, jabber.

[mkt@MikroTik] > ip firewall filter add chain=forward dst-address=192.168.0.20/32
protocol=tcp src-port=80 action=accept comment="Allow http for pc1 (in)"    

[mkt@MikroTik] > ip firewall filter add chain=forward src-address=192.168.0.20/32
protocol=tcp dst-port=80 action=accept comment="Allow http for pc1 (out)" 

[mkt@MikroTik] > ip firewall filter add chain=forward dst-address=192.168.0.20/32
protocol=tcp src-port=443 action=accept comment="Allow https for pc1 (in)"    

[mkt@MikroTik] > ip firewall filter add chain=forward src-address=192.168.0.20/32
protocol=tcp dst-port=443 action=accept comment="Allow https for pc1 (out)" 

[mkt@MikroTik] > ip firewall filter add chain=forward dst-address=192.168.0.20/32
protocol=tcp src-port=21 action=accept comment="Allow ftp for pc1 (in)"   

[mkt@MikroTik] > ip firewall filter add chain=forward src-address=192.168.0.20/32
protocol=tcp dst-port=21 action=accept comment="Allow ftp for pc1 (out)" 

[mkt@MikroTik] > ip firewall filter add chain=forward dst-address=192.168.0.20/32
protocol=tcp src-port=5190 action=accept comment="Allow icq for pc1 (in)"   

[mkt@MikroTik] > ip firewall filter add chain=forward src-address=192.168.0.20/32
protocol=tcp dst-port=5190 action=accept comment="Allow icq for pc1 (out)" 

[mkt@MikroTik] > ip firewall filter add chain=forward dst-address=192.168.0.20/32
protocol=tcp src-port=5222 action=accept comment="Allow jabber for pc1 (in)"   

[mkt@MikroTik] > ip firewall filter add chain=forward src-address=192.168.0.20/32
protocol=tcp dst-port=5222 action=accept comment="Allow jabber for pc1 (out)" 

Повторяем эти правила для каждой машины, если необходимо разрешить дополнительные порты, то шаблон написания, я думаю, понятен.

Ну и под конец запрещаем все остальное, что не разрешили выше.

[mkt@MikroTik] > ip firewall filter add chain=forward action=drop comment="Drop all"

Шаг 5. Входящие.

Теперь надо разрешить что бы входящие соединения по http, smtp и pop автоматически попадали бы на сервер.

[mkt@MikroTik] > ip firewall nat add chain=dstnat dst-address=192.168.1.116/32
protocol=tcp dst-port=80 action=dst-nat to-addresses=192.168.0.2 to-ports=80
comment="NAT for http"  

[mkt@MikroTik] > ip firewall nat add chain=dstnat dst-address=192.168.1.116/32
protocol=tcp dst-port=25 action=dst-nat to-addresses=192.168.0.2 to-ports=25
comment="NAT for smtp"  

[mkt@MikroTik] > ip firewall nat add chain=dstnat dst-address=192.168.1.116/32
protocol=tcp dst-port=110 action=dst-nat to-addresses=192.168.0.2 to-ports=110
comment="NAT for pop"

Если мы говорим про абсолютный минимум и простоту, это на этом все. Какие действия были сделаны?

  • Были включены два интерфейса ether1 и ether2.
  • Назначены ip адреса для интерфейсов.
  • Назначен шлюз по умолчанию.
  • Заданы DNS сервера.
  • Прописаны правила для машин с неограниченным доступом.
  • Прописаны правила для машин с ограниченным доступом по портам.
  • Прописаны правила преобразования сетевых адресов для доступа из вне к веб и почтовому серверам.

Теперь давайте вернемся в шагу №3 и сделаем все те же действия, но уже в графической оболочке winbox, что бы ее скачать необходимо зайти в веб интерфейс mikrotik-а, так называемый webbox, и скачать с главной страницы программку.

Запускаем, указываем адрес в локальной сети, который был назначен второму интерфейсу, имя и пароль пользователя, которого завели в самом начале.

Шаг 3. Настройка DNS.

В графическом интерфейсе все не на много сложнее чем в консоле. Выбираем в основном меню раздел IP, в нем подменю DNS.

Здесь можно завадать статически dns записи, а так же просматривать что сейчас есть в кэше. Нажимаем на кнопочку Settings и указываем адреса DNS серверов.

Шаг 4. Настройка доступа к сети интернет.

Включаем маскардинг. Основное меню IP, в подменю firewall, вкладка NAT.

Что бы добавить новую запись нажимаем на плюсик. А дальше все тоже самое, что и в консоле, на вкладке General chain=srcnat, Out interface=ether2 и ставим галочку, что означает “НЕ”, вкладка Action выбираем masquerade.

Приводить кучу одинаковых скришотов на одну и туже тему я не вижу смысла, а понять что все теже самые параметры, которые набираются в консоле на 100% совпадают с названиями в графическом интерфейсе думаю не сложно. По это я приведу несколько картинок с добавлением правил в firewall. Выбираем в основном меню раздел ip, в нем подпункт firewall, в появившемся окне выбираем вкладку Filter Rules. Для добавления нового графила нажимаем на плюсик.

Разрешаем UDP.

Разрешаем исходящие соединения с адреса 192.168.0.2 к любым адресам по порту назначения 25, используюя протокол tcp.

Разрешаем исходящие соединения с адреса 192.168.0.2 к любым адресам по порту назначения 25, используюя протокол tcp.

Шаг 5. Входящие.

Выбираем в основном меню раздел ip, в нем подпункт firewall, в появившемся окне выбираем вкладку Nat. Для добавления нового графила нажимаем на плюсик.

Перенаправляем все соединения, приходящие на внешний адрес 192.168.1.116 по протоколу tcp, 25 порт на локальный адрес 192.168.0.2 на порт 25.

По такому же принципу строятся все остальные правила.

Из описанного выше видно, что любое действие можно сделать как минимум двумя вариантами, разговаривать с MikroTik-ом с помощью текстовых команд или упражняться с мышкой в графическом интерфейсе. И у то и у другого метода есть свои плюсы и минусы, консоль работает быстрее даже на очень слабом канале, графическая оболочка вообще перед началом работы скачивает модули интерфейса к себе, а потом в процессе работы порождает очень даже не маленький трафик, с консолью определенно сложнее работать, но поняв комманды и принцип работы становится не так важно какой интерфейс используется для настройки. В дальнейшем я расскажу как уменьшить количесво правил, используя списки адресов, как ограничивать скорость на upload или download, как разделить трафик между несколькими провайдерами или даже как заставить одну машину работать одновременно с несколькими провайдерами.

Продолжение следует…

June 24, 2009
  
howto, mikrotik, router os
  
Админево
PrevPreviousApple keyboard + Windows
NextMS SQL Function SplitNext

124 Responses

  1. Анонимный says:
    October 1, 2009 at 03:51

    Отличная документация!!
    Хотелось бы еще немного узнать о Queues tree.

    Reply
  2. Анонимный says:
    October 26, 2009 at 03:51

    спасибо

    Reply
  3. Анонимный says:
    November 3, 2009 at 03:52

    добрй день, спасибо за доку, много полезного узнал.
    у нас микротик в планах должен объединять два сегмента сети (wan,lan1,lan2), хотелось бы знать, возможно ли выпускать lan1 и lan2 во внешнюю сеть, под разными белыми ip адресами, и при этом иметь возможность в каждом сегменте выдавать белые адреса отдельным компьютерам.
    если да, то подтолкните в правильную сторону.
    С Уважением, Сергей.

    Reply
    1. Sergey Lagovskiy says:
      November 5, 2009 at 03:52

      Если у тебя на интерфейсе wan несколько белых адресов, то можно, другой вопрос зачем 🙂
      Если основная задача это вывести определенную машину или ее определенный порт наружу, используя при это один из имеющихся белых адресов, то не проблема, маркируешь эти пакеты, и на основании маркеров строишь таблице маршрутизации.

      Reply
  4. Анонимный says:
    November 15, 2009 at 03:53

    Сергей, помогите, что я не правильно делаю ?
    1. добавил на внешний интерфейс(inet) еще один ip адресc(3):
    # ADDRESS NETWORK BROADCAST INTERFACE
    0 172.30.0.254/16 172.30.0.0 172.30.255.255 inet
    1 192.168.0.2/24 192.168.0.0 192.168.255.255 blocal
    2 172.31.0.253/16 172.31.0.0 172.31.255.255 alocal
    3 172.30.0.252/16 172.30.0.0 172.30.255.255 inet
    2. Сделал маркировку пакетов:
    0 chain=prerouting action=mark-routing new-routing-mark=from_server passthrough=yes
    src-address=172.31.0.254
    3. Сделал новый маршрут(0), запихнул в него маркер:
    # DST-ADDRESS PREF-SRC GATEWAY DISTANCE
    0 A S 172.30.0.0/16 172.30.0.252 inet 1
    1 A S 0.0.0.0/0 172.30.0.253 1
    2 ADC 172.30.0.0/16 172.30.0.254 inet 0
    3 ADC 172.31.0.0/16 172.31.0.253 alocal 0
    4 ADC 192.168.0.0/24 192.168.0.2 blocal 0
    в итоге с адреса 172.31.0.252 тишина в эфире.

    Reply
  5. Анонимный says:
    November 15, 2009 at 03:53

    немного ошибся с маршрутом наверное, переделал так:
    0 A S 0.0.0.0/0 172.30.0.252 172.30.0.253 1
    тот что с маркером, все равно эфекта нет.

    Reply
    1. Анонимный says:
      November 17, 2009 at 03:54

      разобрался сам =) надо было отключить маскардинг

      Reply
  6. Анонимный says:
    November 24, 2009 at 03:54

    Имеется сеть с серыми адресами и выходом через нат в интернет. Также имеется диапазон белых адресов, пока не используемых. На всех клиентов белых адресов не хватит. Скажите, как можно реализовать работу одновременно и нат, и белых адресов на одном микротике? Подключение без ВПН.

    Reply
    1. Sergey Lagovskiy says:
      November 25, 2009 at 04:01

      Смотря что Вы под этим понимаете, может распишите по подробнее

      Reply
  7. Анонимный says:
    December 1, 2009 at 04:04

    Ув.Сергей Отличный мануал, во многом помог разобратся, но есть, вопрос возможно ли для пакетов определенного порта назначить прилритет выше чтобы при загрузке канала у определенных приложений пинги не поднимались сильно?

    Reply
  8. Anton says:
    December 8, 2009 at 04:05

    Спасибо за статью. Очень помогло.
    Возник вопрос в следующем. Как можно подменить МАК адрес на одном интерфейсе!? В свойствах портп не дает изменять. Создать ВЛАН или виртуальную карту, а далее как!?

    Reply
    1. Anton says:
      December 10, 2009 at 04:05

      Вообщем отвечу сам. Подменить МАК так:
      /interface ethernet set ether_name mac-address=XX:XX:XX:XX:XX:XX

      Reply
  9. Анонимный says:
    December 27, 2009 at 04:06

    Все просто/ip firewall nat add action=src-nat chain=srcnat comment= " " disabled=no src-address=!ххх.ххх.ххх.ххх/24{здесь прописывается реальная(белая) подсеть} to-addresses=ххх.ххх.ххх.ххх{здесь то, под что маскируется(IP-на WAN порту)}

    а я делаю без NATa:
    /ip firewall nat add action=src-nat chain=srcnat comment= " " disabled=no src-address=ххх.ххх.ххх.ххх/24{здесь прописывается реальная(белая) подсеть} out_interface=WAN action=accept

    Reply
    1. Анонимный says:
      December 27, 2009 at 04:07

      но это при условии, что белые IP адреса прописаны на WAN интерфейсе и раздаются клиентам через гейт микротика

      Reply
  10. Анонимный says:
    February 4, 2010 at 04:08

    Доброго времени дня или ночи.
    У меня возник вопрос связанный с микротиком есть RB433 на нем Микротик поставил дуде как то настроил вроде все работало но через некоторое время память(диск на микротике 64мб)оказалась полной .Вопрос такой как снимать в микротике информацию с дуде и варианты как освободить мне пришлось дуде стереть а очень хочется чтоб работало.Большое спасибо за ответ надеюсь это будет интересно не только мне.

    Reply
  11. Анонимный says:
    February 6, 2010 at 04:10

    вот это я понимаю, обьяснил так обьяснил, только вот такой вопросик, хотелось бы как нить открыть порты для программы µTorrent (скачивание с торента), а то скорость скачивания маленькая, уже всё перепробывал ничего не помогает…

    Reply
    1. Анонимный says:
      February 6, 2010 at 04:11

      ещё добавлю. открыть хоть по одному порту для нескольких машин

      Reply
      1. Sergey Lagovskiy says:
        February 16, 2010 at 04:11

        В принципе я делал так:
        1 Открываем µTorrent, жмем ctrl+P, попадаем в настройки, идем в раздел Connection, смотрим какой там прописан порт для входящих соединений, на пример 23000.
        2 Идем в микротик и делаем NAT (/ip firewall nat):
        add chain=dstnat dst-address=195.100.100.25 protocol=tcp
        dst-port=23000 action=dst-nat to-addresses=192.168.1.2
        to-ports=23000
        где 195.100.100.25 это внешний (белый адрес), который назначен на входящем интерфейсе, он же "смотрит " на провайдера, а 192.168.1.2 это уже адрес машины с µTorrent

        Для других машин надо назначить другой порт.

        Reply
  12. Анонимный says:
    February 16, 2010 at 04:11

    Отличная статья, спасибо! Еще хотелось бы, если можно, такую же подробную статью по настройке подключения клиентов для вывода их в интернет через VPN (PPPoE или PPTP).

    Reply
  13. Анонимный says:
    February 17, 2010 at 04:12

    Спасибо за статью!
    Вопрос тако плана: включен nat для доступа из вне на локальный вебсервер (который с локальной сети), как сделать так чтобы на вебсервере в логах были реальные белые Ip адреса, а не один я имею ввиду IP самого микротика. Я так понимаю нужно пакеты макрировать?

    Reply
    1. Sergey Lagovskiy says:
      February 17, 2010 at 04:12

      если делается нат, то в логах отображаются реальные адреса с которых заходят на этот порт. Во всяком случае на всех моих веб (и не только веб) серверах именно так и порты на них выведены простым натом, маркировка у меня делается только для ответов, что бы они уходили в нужную сторону.

      Reply
  14. Анонимный says:
    March 15, 2010 at 04:13

    Как предоставить PC 1, PC 2, PC 3 доступ в Интернет через VPN, при этом для каждой машины назначить свой логин и пароль, скорость канала, подсчёт трафика?

    Reply
  15. Анонимный says:
    May 3, 2010 at 04:13

    Афигенная статя, большое спасибо. Тут даже такой чайник как я разобрался!

    Reply
  16. Анонимный says:
    May 9, 2010 at 04:17

    признаюсь сразу, я новичок в микротике…

    можно ли перечислить сразу несколько портов для одной машины? в одном правиле..
    чтоб не переписывать несколько раз одно и то же правило с одним IP и разными портами. например :
    ip firewall filter add chain=forward dst-address=192.168.0.20/32
    protocol=tcp src-port=80 action=accept comment= "Allow http for pc1 (in) "
    p firewall filter add chain=forward dst-address=192.168.0.20/32
    protocol=tcp src-port=443 action=accept comment= "Allow https for pc1 (in) "
    чтобы 80 и 443 и т.д объединить

    а так же "imap " использует одни порты "pop " другие. К тому же в сети может быть более 500 и более компов. Как тогда быть? этож сколько надо потратить времени чтобы банально добавить несколько портов…

    Reply
    1. Sergey Lagovskiy says:
      May 11, 2010 at 04:18

      1 Несколько портов в одном правиле сделать нельзя
      2 что бы не мучиться с перечислением всех адресов и прописыванием портов для них адреса объединяются в группы и уже создаются правила для групп

      Reply
      1. Анонимный says:
        May 11, 2010 at 04:18

        Спасибо
        пойду учиться 🙂
        Благо ваши статьи написаны доходчивым языком

        Reply
  17. xpe says:
    May 18, 2010 at 04:19

    Спасибо за статью ! А у меня вопрос в следующем:
    ip1 – wan ip
    ip2 – private ip
    когда приходят завпросы на ip1 определенного порта например 80 они через дст-нат перенаправляются на внутрненний адрес ip2, все работает. Но когда я из внутренней сети стучусь на внешний ip1 то нифига не работает, подскажите что делать

    Reply
    1. Alexandr Minzak says:
      April 23, 2014 at 04:20

      То же самое! (( К тому же сервер внутри на 81м порту.. как такое разруливать то? )

      Reply
  18. Илья says:
    May 27, 2010 at 04:20

    Спасибо за статью. Инет и сеть настроил по ней за 10 минут. Получилось пробросить порт для торрентов, но вот для ДЦ++ (провайдерский) почему-то не срабатывает.
    Ситуация следующая. Провайдер предоставляет серый ИП и дополнительно у меня есть белый для торрентов. На ван порту микротика прописываю именно серый. Правила в нате для торрентов и для ДЦ++ делаю идентично за исключением порта, но торренты работают, а ДЦ++ – нет, в смысле работает только в пассиве. При проверке в ДЦ++ клиенте доступа по портам пишет что порты закрыты поскольку проверяет по белому адресу. В случае если на ван порту указать белый адрес, то перестает работать и торрент. Что я делаю не так?

    Reply
    1. Sergey Lagovskiy says:
      May 27, 2010 at 04:20

      Все верно, так и должно быть, попробуйте сделать без использования ван-а, просто один физический интерфейс, а в адресах заведите две строчки на этот интерфейс с безым и серым адресами.

      Reply
      1. fathertrill says:
        May 27, 2010 at 04:21

        Спасибо за оперативный ответ, но к сожалению это не помогло. Имеет ли значение какой из адресов для порт указан первым? Может ли быть дело в том, что в вебинтерфейсе поставлены галочки защитить роутер и защитить сеть, которые создают правила в файерволе? Где еще можно покопать?

        Reply
  19. Анонимный says:
    May 30, 2010 at 04:21

    Доброго времени суток. У меня стоит такая задача: объединить 3 ADSL линии(PPPoE), дать с них интернет народу в локалке со статическими адресами 192.168.1.х. Зарезать народ по скорости 1024128, ограничить их желание в торренте (бо сильно модем от торрента дуреет) Получилось только поднять PPPoE на одном модеме и раздать в сеть по DHCP. Пятый день бьюсь не могу на статические IP инет пробросить. Заранее благодарен.

    Reply
    1. Sergey Lagovskiy says:
      May 30, 2010 at 04:22

      adsl-и в режим моста, получаем три ip адреса, которые смотрят по внутрь, используем их как шлюзы. Для самого микротика требуется шлюз по умолчанию, выбираем какой нибудь из трех и прописываем его. Потом делаем еще три шлюза по умолчанию, но в этих правилах добавляем условие, что оно срабатывает на пакеты, которые помечены маркерами, на пример to isp1, to isp2, to isp3.
      Дальше делим пользователей на три группы, и помечаем пакеты для/от пользователей из этих групп, на основании этих маркеров каждая группа пользователей будет пользоваться своим шлюзом, количество пользователей в этих группах зависит от возможностей канала и активности самих пользователей.
      Маршрутизация с балансировкой, когда одно правило содержит несколько шлюзов будет работать, но приведет к отрицательным последствиям для простых пользователей т.к. их запросы будут уходить то с одного канала, то с другого, а такое поведение напрочь рушит всякие авторизации, которые привязаны (в основном) к ip посетителя.

      Reply
  20. Анонимный says:
    June 5, 2010 at 04:23

    "Спасибо за статью ! А у меня вопрос в следующем:
    ip1 – wan ip
    ip2 – private ip
    когда приходят завпросы на ip1 определенного порта например 80 они через дст-нат перенаправляются на внутрненний адрес ip2, все работает. Но когда я из внутренней сети стучусь на внешний ip1 то нифига не работает, подскажите что делать "

    Прозвучал такой вопрос и остался без ответа. У меня таже проблема. Прошу помощи. Заранее спасибо.

    Reply
    1. Sergey Lagovskiy says:
      June 7, 2010 at 04:23

      А разве должно работать?
      Я для таких целей использую dns сервер микротика, в нем прописываю сервисы, которые видны снаружи, но обратиться к ним надо изнутри. На пример если нужен company.com, который привязан к моему внешнему адресу 11.22.33.44, а реально он находится в локальной сети по адресу 192.168.1.10, то достаточно сделать статическую запись, что company.com это 192.168.1.10 и тогда все, кто находится локально, пойдут сразу на локальный адрес, а те кто не локальный, пойдут туда, куда положено.
      Только тут надо учитывать, что если у Вас во внешнем dns сервере вдруг прописано, что необходимо обновлять записи с dns-а микротика, то это вызовет проблему.

      Reply
      1. Анонимный says:
        August 4, 2010 at 04:24

        а другого варианта кроме как использовать DNS нет ?

        Reply
  21. Анонимный says:
    August 20, 2010 at 04:39

    Подскажите правило для проброса широковещательного WOL пакета на IP во внутренней сети.
    Пробовал dst-nat-ить 7 и 9 порты по udp протоколу на нужный ip. В самом микротике как делать wol знаю, но не знаю как занести скрипт в шедулер. Подскажите пожалуйста.

    Reply
  22. Анонимный says:
    August 23, 2010 at 04:40

    Сергей!
    У меня модем настроен в режим route( динамический IP ). Можно ли настроить микротик 2.9.27 и как это сделать?

    Reply
    1. Sergey Lagovskiy says:
      August 25, 2010 at 04:40

      Можно, нужно включить dhcp client.

      /ip dhcp-client add interface=isp1
      /ip dhcp-client print
      Flags: X – disabled, I – invalid
      # INTERFACE USE ADD STATUS ADDRESS
      0 X isp1 yes yes
      /ip dhcp-client enable 0

      Reply
  23. Анонимный says:
    August 25, 2010 at 04:41

    Спасибо!!!!!!!!!!!!!!

    Reply
  24. Анонимный says:
    August 25, 2010 at 04:41

    Сергей! Что то не получилось – просто появился дополнительный интерфейс – инет микротик не видит.
    У меня сеть и 15 компов ( все в домене )- нужно у пользователей включать и отключать ИНЕТ.Модем настроен Route IP динамический, подключен к хабу. Микротик тоже подключен к хабу. Микротик –
    настроены 2 сетевые Lan-1ether Wan-2ether,NAT,Filter Rules.
    PS Просто раньше модем был в режиме моста.

    Reply
    1. Sergey Lagovskiy says:
      August 25, 2010 at 04:41

      Как я это от сюда вижу… Модем смотрит на провайдера, получает от него адрес в сети провайтера, второй дыркой модем смотрит в локальную сеть, точнее на микротик, тут уже назначаются любые адреса (на пример 10.5.50.1 модем, назовем локальный адрес модема, 10.5.50.2 микротик, внешний адрес) для микротика шлюзом и dns сервером становится локальный адрес модема. Дальше у же локальная сеть микротика (на пример 192.168.1.0/24) где для клиентов уже локальный микротиковский адрес (192.168.1.1) становится шлюзом и dns сервером.

      Разве не так?

      Reply
      1. Анонимный says:
        August 26, 2010 at 04:42

        Все правильно
        Теперь Микротик ИНЕТ видит.
        Проблема отключения и включения ИНЕТА у пользователей.Поможешь с настройками?.

        Reply
  25. Анонимный says:
    September 3, 2010 at 04:46

    Доброго времени суток.
    Если кто поможет, буду бесконечно благодарен.
    Вопрос вчем:
    Есть такая железяка TANDBERG (Видеоконференцсвязь(ВКС))с белым адресом 188.9.9.0 255.255.255.248
    Вопрос:
    Как ее подключить через МТ, чтобы по этому адресе другие (ВКС)могли соеденяться с ней и я четез нее по этому же адресу мог конектиться с другими (ВКС). Теле мост получается.

    Reply
  26. Анонимный says:
    October 11, 2010 at 04:47

    Сергей, доброго времени суток!
    Есть вопрос:
    Вы рекомендуете,
    > включаем маскардинг.
    > [mkt@MikroTik] > ip firewall nat add chain=srcnat action=masquerade
    out-interface=!ether2
    где (!) означает "НЕ ",
    > (я обычно делаю !local, на случай, если будет несколько внешних интерфейсов)

    вопрос: в чем отличие между вашим способом включения маскардинг и, если включить маскарадинг на каждый из внешних интерфейсов?

    причина вопроса: у меня три физ. интерфейса на каждом своя подсеть, в двух из них помимо клиентов подключены ADSL модемы в режиме BRIDGE, на МТ подняты два виртуальных PPPoE интерфейса. Необходима балансировка нагрузки и ограничение скорости для пользователей.

    Reply
    1. Sergey Lagovskiy says:
      October 11, 2010 at 04:47

      Разница в одной строчке или нескольких на каждого провайдера/внешний канал, просто экономия места и таким образом исключаешь вероятность того, что в момент добавления нового канала забудешь добавить маскардинг.

      Reply
  27. Анонимный says:
    October 30, 2010 at 04:48

    Здраствуйте, не знаю может был похожий вопрос, но ввиду своей неопытности я не понял, что это мой случай.
    У меня на клиентской стороне на микротике настроен dhcp сервер раздающий ip на пару машин. Микротик мостом по воздуху подключается к точке доступа (наностанция 2), которая в свою очередь подключена проводом к провайдеру.
    Для выхода в интернет провайдер раздает белые IP, на микротике nat настроен выход в интернет есть, но клиентские машины не видят локальную сеть провайдера. Микротиком я вижу все локальные IP, но ресурсы не доступны, какие настройки еще нужно сделать?

    Reply
    1. Sergey Lagovskiy says:
      November 1, 2010 at 04:48

      Доступна ли подсеть провайдера, если смотреть на нее с устройства, в которое входит кабель провайдера?
      Для того что бы видеть подсеть провайдера Вы в первую очередь должны пройти шлюз провайдера, можно сделать трассировку на какой нибудь из ресурсов в этой подсети и посмотреть на каком из узлов все останавливается, если это шлюз или что то после него, то стоит поговорить с провайдером, если до шлюза, то значит надо проверять свою конфигурацию.

      Reply
      1. Анонимный says:
        November 1, 2010 at 04:49

        С устройства которое подключено проводом к провайдеру посмотреть невозможно, если же подключить провод провайдера в комп напрямую, то все работает, и локальные ресурсы и интернет. Дело в том что устройство которое подключено к провайдеру только лишь транслирует сигнал по воздуху, а ppoe подключение выполняет микротик на стороне клиента. Хочу добавить, что возможно зайти на страницу статистики, которая тоже находится в подсети провайдера, но больше ни на один локальный ресурс не заходит. В винбоксе вкладка фаервол -> подключения я вижу адреса подсети провайдера. Также тулс -> ipscan выводит все адреса подсети, но ни на один локальный ресурс кроме статистики зайти через микротик не могу.

        Reply
        1. Анонимный says:
          November 1, 2010 at 04:49

          При трассировке подсети провайдера выводит адрес подсети микротика, потом внешний адрес и дальше идет превышение интервала запроса

          Reply
          1. Sergey Lagovskiy says:
            November 1, 2010 at 04:50

            Что вы понимаете под внешним адресом?
            по идее вторым должен быть шлюз, если шлюз не пускает дальше, значит надо разбираться с провайдером.

            Reply
            1. Анонимный says:
              November 1, 2010 at 04:51

              Я же написал что если подключить комп к провайдеру проводом то все нормально, видно и подсеть и интернет. Нужно что то настроить в микротике чтобы кроме интернета был доступ и к ресурсам провайдера.
              Под внешним адресом при трассировке я понимаю белый IP отличный от IPподсети провайдера. Как я понимаю мой запрос сразу уходит в интернет минуя сеть провайдера.

              Reply
  28. Анонимный says:
    December 14, 2010 at 04:51

    Сергей, подскажите пожалуйста. Есть два компа №1и №2 с IP адресами192.168.88.200 и 192.168.88.220. НА первом 1Мб/с на втором 2 Мб/с. Как сделать , что бы при выключении второго компа на первом было 2Мб/с с второго компа. Все режется с помощью simple queues.Версия микротика 3.22. Если сможете, то поподробней.

    Reply
    1. Sergey Lagovskiy says:
      December 14, 2010 at 04:52

      если скорость задается в simple queues, то не лучше ли там производить правку?

      Reply
  29. Анонимный says:
    February 10, 2011 at 04:52

    по совету друга купил микротик routeros
    всё конечно работает на ура,отличная вещичка рядом никакой dlink не стоит и.т.д.и.т.п:)
    как начинающий пользователь микротик много пока что непонято(ето первый сайт где я смог найти ответы на некоторые моменты)
    проблема вот в чём;есть провайдер который дал доступ в инет,есть 5 ip,1DNS,и маска подсети,
    15 рабочих мест…как настроить баланс каналов в Routeros 4.16,просто получаеца что 1 либо 2 канала свободные а на остальных 3 всё в ж…
    как решить такую дилему:))?????

    Reply
    1. Sergey Lagovskiy says:
      February 10, 2011 at 04:53

      5-ть независимых каналов или 5-ть адресов от одного провайдера по одному кабелю? если все идет по одному кабелю, то какой смысл делать какую то балансировку? шлюз один, кабель один…

      Reply
  30. Олег says:
    February 12, 2011 at 04:55

    Здравствуйте, Сергей!

    Хочу сказать, Ваш блог – самый информативный источник по микротикам в рунете. Без вариантов.
    Прочитал все статьи – очень понравилось.

    Возник один вопрос: Вы пишите о построении офисных и домашних сетей, и только один раз коснулись темы p2p.
    Мне кажется, большой проблемой в нагрузке на офисный канал являются торенты и прочие закачки.
    Вы сталкивались с такими проблемами?
    Можно ли посредством функционала микротика резануть торенты совсем или сделать их работу невыносимо медленной без вреда остальному трафику?

    Reply
    1. Олег says:
      February 20, 2011 at 04:56

      Приобрёл 750 для пробы и вопросы по P2P отпали – без особых усилий можно убрать вредный трафик.
      Но вот с шейпером подружиться толком не удалось.
      Буду пытать устройство далее.

      Reply
  31. Анонимный says:
    October 4, 2011 at 04:56

    Здравствуйте Сергей!
    Есть следующая проблема
    Домовая локальная сеть в которой по PPTP подключается инет. Адрес WAN домовой сети у меня
    10.4.110.252 шлюз 10.4.110.1, адрес домашней сети 192.168.0.0/24 Т.е одновременно работают 2 WAN интерфеса и один LAN и мне нужно чтобы одновременно работали и локальные ресурсы из домовой сети и интернет с PPTP . а именно: когда
    идут запросы на адреса из подсети 10.4.*.* то пакеты должны идти на шлюз 10.4.110.1 а всё остальное должно идти на динамический шлюз PPTP подключения, т.е остальное это будет сам интернет. Подскажите пожалуйста Сергей где что мне надо прописать. На данный момент у меня все запросы почемуто идут на локальный шлюз 10.4.110.1 и как разграничить пока не могу сообразить без Вашей помощи.
    Заранее огромное спасибо!

    Reply
    1. Анонимный says:
      October 23, 2011 at 04:57

      2 WAN это имеется ввиду сеть 10.4.110.* и PPTP
      а LAN это 192.168.0.0/24

      Reply
  32. Анонимный says:
    October 23, 2011 at 04:57

    Сергей добрый день!
    А можно сделать так:
    192.168.1.1- Микротик
    192.168.1.2- Шлюз
    192.168.1.3- DNS

    Reply
  33. Анонимный says:
    December 28, 2011 at 04:57

    Здравствуйте Сергей! Помогите советом, есть сеть 45 машин часть из них в домене, имеется сервер Wind 2003 serv, также имеется прокси ГЕЙТ КИППЕР установлен на винде ХР, в нём две сетевых и имеется обычный АДСЛ модем который идёт как мост само соеденение ПППОЕ поднимается на винде и через кипера раздает инет в сеть. сеть 192.168.4.0/24. Я хочу всю эту груду метала заменить на микротик 450. марш уже куплен. Посоветуйте как мне лучше и быстрей его настроить!!!! Спасибо!!! Буду благодарен если пошагово дадите совет!!! ОСНОВНАЯ цель это что бы все пользователи имели выход в инет под средством НАТ.

    Reply
  34. Анонимный says:
    January 14, 2012 at 04:58

    Добрый день Сергей.
    Нужна Ваша квалифицированная помощь. По совету друзей я приобрел MikroTik RB450G (RB/MRTG) для решения простой задачи склеить 2 инета. Не дорого и сердито.
    1. Кабельный просто WAN (автоматом через ASUS RT16N LAN + раздача Wifi для переносных устройств 8 шт.) 2. ADSL PPoE (с авторизацией через ZYXEL 660R-EE) и опять раздача Wifi и LAN через ZYXEL G460. Итог две разных сети в одной квартире. Хочется что бы MikroTik брал на себя WAN и ADSL (черезPPoE) склеивал в одну сеть, а ASUS RT16N LAN раздавался WiFi для переносных (нойтбуки, телефоны) и был хабом для дальнейших устройств (телевизоры, мультимедиа-приставки). Все должно видеть инет и сервер с его фильмами, музыкой. Сервер инет и торренты качать.
    UTP я все обвяжу, в 2000-2001 годах ставил маршрутизаторы на RED HAT, но как стало понятно из вчерашнего вечера знаний Linux уже нет. На все что меня хватило за 2 часа это имя пользователя сменить и посмотреть прошивку и установленные пакеты (да и то с вашего форума).
    MikroTik –

    1. Eth 5 – ADSL PPoE через Zyxel 660R-EE (Ростелеком)
    2. Eth 4 – WAN – (АБВ-ТВ)
    3. Eth 3 LAN local comp (моя машина administrator)
    4. Eth 2 LAN ASUS RT16N LAN +Wifi
    5. Eth 1 LAN – server WHS2011
    Ну вроде все.
    Если есть уже такая ветка в форуме просто перенаправьте. Если есть возможность написать в почту, пишите пожалуйста varnavskynv@gmail.com
    Посоветуйте как мне лучше и быстрей его настроить!!!! Спасибо!!! Буду благодарен если пошагово дадите совет!!!

    Reply
  35. Анонимный says:
    February 20, 2012 at 05:07

    Добрый день Сергей. На MikroTik RB450G (RB/MRTG) есть слот для micro sd card для чего он может быть нужен? и как подмонтировать карту в систему?

    Reply
    1. Sergey Lagovskiy says:
      February 20, 2012 at 05:07

      Хранение резервных копий, ftp, сайт для создания hot spot-a

      Reply
  36. Анонимный says:
    February 20, 2012 at 05:08

    Кстати я так и не победил два канала в один. по очереди могут работать а что бы 2 и сразу не получается затыкаются и все.

    Reply
  37. Анонимный says:
    February 24, 2012 at 05:08

    Добрый день помагите потскажите как можно зайти удалённо в в рутер микротик через вин вох заранее спосибо

    Reply
  38. Анонимный says:
    May 17, 2012 at 05:09

    Помогите пожалуйста решить проблему.

    Есть Mikrotik RB750.
    В 1 порт смотрит Интернет с RB443UH.
    На RB443UH настроена сеть 10.163.4.0/255.255.255.0
    RB443UH раздает по DHCP адреса в сети 10.163.4.0/255.255.255.0
    На RB750 настроена сеть 10.163.6.0/255.255.255.0
    RB750 раздает по DHCP адреса в сети 10.163.6.0/255.255.255.0
    Именно из-за DHCP я их настроил изначально в разных подсетях,
    но видимо я что-то упустил,потому, что домен мне перестал быть доступен,так же как и шары.

    Вопрос.
    Как гастроить так, чтобы и RB750 и подключеные к нему компы были в 4-ой сети но я ими могбы управлять (резать доступ и т.п.)?

    Reply
    1. Sergey Lagovskiy says:
      May 17, 2012 at 05:09

      А что мешало на том же 750-м задействовать один порт под одну сеть, другой под другую?
      Когда DHCP сервер настраиваешь, то говоришь же какому интерфейсу он предназначен и какой пул адресов задействовать.
      В таком варианте даже таблица маршрутизации, которая сгенерится по умолчанию будет давать доступ в обе подсети.
      Ну а в описанном варианте добавить на одно устройство шлюзом адрес другого, его назначение та подсеть. Ну и соответственно в обратную сторону на другом устройстве.

      Reply
      1. Анонимный says:
        May 17, 2012 at 05:10

        к 443 у меня доступа нет,а 750 под рукой.
        >Когда DHCP сервер настраиваешь, то говоришь же какому интерфейсу он предназначен и какой пул адресов задействовать.
        говорю,но тогда у меня будет 2 DHCP сервера и они будут конфликтовать друг с другом или я ошибаюсь?

        Reply
        1. Sergey Lagovskiy says:
          May 17, 2012 at 05:10

          нет не будут, они же будут привязаны к определенным интерфейсам и выдавать адреса только в них.

          Reply
          1. Анонимный says:
            May 17, 2012 at 05:10

            т.е.мне надо сейчас войти в Микротик, удалить DHCP сервер который выдает адреса в 6 подсеть eth2 интерфейса,создать для этого же интерфейса DHCP сервер 4 подсети и по идее Микротик у меня должен нормально работать?

            Reply
            1. Sergey Lagovskiy says:
              May 17, 2012 at 05:11

              яж предложил:
              Ну а в описанном варианте добавить на одно устройство шлюзом адрес другого, его назначение та подсеть. Ну и соответственно в обратную сторону на другом устройстве.
              Два DHCP не будут выдавать адреса из одной подсети (если только не ограничишь пул в одном и другом), точнее будут, но конфликты будут.

              Reply
              1. Анонимный says:
                May 17, 2012 at 05:12

                Поясните пожалуйста вот еще какой вопрос.
                Нужно ограничить 2 человек в вебсерфинге.
                Оному в определенное время нужно отрубить Интернет полностью а второму только к определенным ресурсам. Как это реализовать?

                Reply
                1. Sergey Lagovskiy says:
                  May 17, 2012 at 05:12

                  ip -> firewall -> filter rules
                  создаешь правило, какому адресу, что заблокировать (если все, то 0.0.0.0) на вкладке extra есть параметр time, там указываешь в какое время работает это правило.

                  Reply
                  1. Анонимный says:
                    May 17, 2012 at 05:13

                    > какому адресу – это понятно.
                    >что заблокировать – это непонятно. где это указывать?

                    Reply
                    1. Sergey Lagovskiy says:
                      May 18, 2012 at 05:13

                      если в winbox-e, то открываешь правило, на вкладке extra есть параметр time
                      если в консоле, то там есть параметр time, задается так:
                      Time ::= Start-End,Day
                      Start — 0s..23h59m59s (time interval)
                      End — 0s..23h59m59s (time interval)
                      Day ::= sat|fri|thu|wed|tue|mon|sun[,Day*]

  39. Влад says:
    May 22, 2012 at 05:14

    Познавательно. Спасибо.
    И сразу вопрос 🙂
    Имеем RB751U-2HnD. Максимальная скорость передачи данных через WiFi – 4Mb 🙁
    В целя эксперимента создал для тестового ноута идеальные условия: на точке доступа зарегистрирован исключительно он один, расстояние между Микротиком и ноутом – 1м… И все равно – максимальная скорость переписывания тестового файла около 400KB.
    Может кто-то сталкивался?…

    Reply
    1. Влад says:
      May 22, 2012 at 05:14

      P.S. Скорость подключения – 54Mb/s. Микротик для этого подключения динамически отображает Tx/Rx Rate вплоть до 26.0Mbps/54.0Mbps
      Шифрование WPA2-PSK (AES).

      Reply
  40. Анонимный says:
    June 4, 2012 at 05:15

    очень помог, спасибо тебе

    Reply
  41. Анонимный says:
    June 23, 2012 at 05:35

    Здравствуйте. Подскажите пожалуйста, имеется microtik 3 интерфейса 1 интернет 2 локальная сеть 3 соседняя сеть. Даю доступ в интернет по портам 80, 443, 25, 110 в интернет, как написано в статье. Какое правило нужно написать чтоб был доступ между локальной сетью и соседней сетью? заранее благодарен.

    Reply
  42. Анонимный says:
    June 23, 2012 at 05:35

    Здравствуйте. Можно ли "склеить " две 4мб+6мб учетки одного провайдера(PPoE) в одну 10мб при помощи РБ750 используя 1порт, не создав конфликтов в сети? Хоть вкратце. Спасибо.

    Reply
  43. rasul arslanov says:
    June 28, 2012 at 05:36

    Здравствуйте SERGEY LAGOVSKIY, если вы разбираетесь в написании скриптов могли бы вы помочь в следующем: есть удаленный офис на нем 3 провайдера и там поднят сервер pptp периодически с ними бывают проблемы, можно ли сделать так на микротике чтоб pptp-client пинговал основной канал и в случае пропадания переключался на резервный, а когда остановится основной возвращался к основному?
    у меня получился рабочий скрипт такой, но он не дработанный не могли бы вы помочь разобраться ?
    :local pingcount 5; :local hostping 10.40.87.10; :local pingresultA [ping $hostping count=$pingcoun
    t]; :if ($pingresultA > 0) do={ :put "internet connected "} else={:interface pptp-client disable pptp1; :interface pptp-client enable pptp2;}

    Reply
    1. Sergey Lagovskiy says:
      June 28, 2012 at 05:36

      Не надо так пинговать, в микротике же есть мониторинг и действие при up и down.
      Искать в /tool/netwatch.
      Я делал так (на два канала):
      Выбираю два внешних адреса с хорошей стабильной работой, на пример public dns от google.
      В таблице маршрутизации добавляю два маршрута, если назначение первый адрес, то отправить на шлюз первого провайдера, если назначение второй, то отправить на шлюз второго.
      Дальше в netwatch делаю мониторинг за этими адресами и в событиях пишу команды на добавление или удаление маршрута по умолчанию в зависимости от того какой провайдер перестает работать.
      Так что можете попробовать модифицировать эту идею под вашу реальность.

      Reply
      1. rasul arslanov says:
        June 28, 2012 at 05:37

        спасибо, буду копать в этом направлении

        Reply
  44. rasul arslanov says:
    August 4, 2012 at 05:37

    Здравствуйте SERGEY LAGOVSKIY, возможно ли в mikrotik ограничивать пользователей интернет через NAT по МБ (выделить 100Мб в день, на пример) без биллинга? если есть такая возможность подскажите пожалуйста в каком направлении копать, найти в гугле у меня не получилось, заранее спасибо за ответ.

    Reply
    1. Sergey Lagovskiy says:
      August 6, 2012 at 05:38

      Копать в сторону queue и скриптов, создаешь правило, в счетчиках которого будет фиксироваться трафик, скриптом, запускаемым по таймеру, получаешь данные с этих счетчиков и дальше уже принимаешь решение на отключение или зарезания скорости до нуля.

      Reply
      1. rasul arslanov says:
        August 6, 2012 at 05:38

        спасибо

        Reply
  45. Анонимный says:
    August 15, 2012 at 05:39

    Доброго времени суток всем Добрым и Отзывчим людям!
    Да простят меня админы форума за этот отчаянный крик души.Помогите настроить роутер: Microtik RouterBoard 493G,
    За взаимную МАТЕРИАЛЬНУЮ помощь с моей стороны,
    для компенсации ваших титанических усилий и затраченного времени.

    Необходимо реализовать следующую конфигурацию:

    1.) Настроить 2 разных интернет соединения.
    a.) ISP1 проводной интернет – имеет выделенный ip.
    b.) ISP2 usb модем Yota LTE – имеет выделенный ip. ( Роутер имеет usb порт )
    причем пытался подключить по этой статье http://mikrotik.ru/forum/viewtopic.php?f=11&t=1371
    но ничего не получилось выдает ( no such item .. ) Если вдруг так и не получиться подключить
    совместными усилиями то как вариант Yota модем воткну в ноут а из него ISP2 (провод)

    2.) Организовать резервную балансировку интернет канала в случае падения основного ,
    для всех периферийных устройств находящихся в сети Lan, по одноименной повести
    легендарного человека: http://mikrotik.axiom-pro.ru/scripts/balancerv1.php
    а именно:
    a.) 2 Сервера RDP имеют Основной Канал ISP2 ( usb модем Yota LTE) – Резерв ISP 1 ( провод ).
    b.) 2 IP телефона имеют Основной Канал ISP1 (проводной интернет ) – Резерв ISP 2 ( usb Yota LTE)

    3.) Дать доступ к 2-ум серверам RDP (radmin) с обоих внешних IP ( isp 1 и isp 2 )
    по мотивам того же всем нам хорошего известного человека легенды 🙂
    http://mikrotik.axiom-pro.ru/scripts/balancerv1.php

    Мои Контакты
    Skype: euazimut
    ICQ: 617712138
    E-mail: EuroTrusts@Gmail.com

    Reply
  46. Анонимный says:
    June 10, 2013 at 05:41

    Скажите пожалуйста, после замены adsl модема dlink на mikrotik+adsl модем в мосту
    перестала отправялться почта с сервера
    прием почты работает после приписания проброса портов

    /ip firewall nat
    add action=dst-nat chain=dstnat comment=Mail disabled=no dst-address=
    IPвнешний dst-port=25 protocol=tcp to-addresses=Ipсервера
    to-ports=25

    а вот отправки нет
    с mailсервер в интернет выходит через микротик

    что хоть это может быть, куда копать????
    уже вторые сутки бьюсь и все в пустую

    Reply
    1. Sergey Lagovskiy says:
      October 11, 2013 at 05:41

      Вроде все верно, если
      – модем действительно в режиме моста (100% nat порт-в-порт)
      – у адреса почтового сервера есть доступ на отправку по 25-у порту
      – внешний адрес в nat правиле совпадает с адресом на интерфейсе, глядящем на модем.

      напиши, чем все кончится 😉

      Reply
      1. Анонимный says:
        October 11, 2013 at 05:42

        все оказалось банально до простоты, провайдер закрыл 25 порт

        Reply
  47. Павел Москвичёв says:
    December 19, 2013 at 05:43

    Очень нужна помощь, вопрос здесь уже был, но ответа нет.
    Есть сайт на хостинге. Есть сервер за NATом в офисе. Сервер стриммит видео на сайт. Так вот видео доступно всем, кроме тех, кто находится в той же локальной сети что и стрим-сервер. Т.е. изнутри нельзя обратиться на свой же внешний IP. Как сделать доступными ресурсы изнутри по внешнему IP?

    Reply
    1. Sergey Lagovskiy says:
      December 19, 2013 at 05:43

      Зачем по внешнему IP?
      Сервер у тебя локально, добавь статическую запсь в DNS, что video.server.com это, допустим, 192.168.1.200 и все будет нормально, для локальной сети будет использоваться локальный адрес, для внешней, будет внешний.

      Reply
      1. Павел Москвичёв says:
        December 19, 2013 at 05:44

        Дело в том, что не сайт находится на локальном сервере, а только стрим видео. Т.е. на странице сайта есть окошко в котором стриммится видео. Вот в этом окошке то и прописан внешник локального сервере. Сайт весь отображается, но видео нет =)

        Reply
  48. DarkRevenger says:
    January 31, 2014 at 05:46

    Настроил всё как здесь, только вот странный момент
    ip route print показывает
    0 AS – для первого правайдера
    1 S – для второго провайдера
    3 ADC – первый провайдер
    4 ADC – второй провайдер
    5 ADC – сеть
    Как активировать маршрут 1 ?
    Пинг например через первого провайдера выдает нормальный
    Пинг через второго провайдера работает странно:
    1. если первый провайдер включен то timeout
    2. если первый провайдер выключен то после каждого запроса выдает redirect host

    Reply
  49. Анонимный says:
    May 12, 2014 at 05:46

    Добрый день. на микротике не могу настроить чтоб доступа из вне вообще не было , чтоб даже пинг не проходил. как это реализовать и куда лезть в настройках, подскажите пожалуйста.

    Reply
  50. Анонимный says:
    July 28, 2015 at 05:47

    Добрый день.
    Не получается настроить nat в адрес туннеля.
    mikrotik 2011
    os 6.30.2
    есть подключение к провайдеру, поверх него туннель, на туннеле есть ip адрес. В туннель написан маршрут.
    Внизу есть две сети lan. С одной из них нужно настроить nat в адрес туннеля.
    Беру правило для nat в интернет, копирую, меняю входящий и исходящий интерфейсы на соответствующие, но не работает.
    Подскажите методы диагностики места проблемы или особенности туннельного интерфейса при осуществлении nat/

    Reply

Leave a Reply to xpe Cancel reply

Your email address will not be published. Required fields are marked *

Notepads

  • Админево
  • Разработка
  • Фотография
  • Электроника
  • Разное
Menu
  • Админево
  • Разработка
  • Фотография
  • Электроника
  • Разное

Tags

Tags
antiquities 6 aquarium 1 csharp 1 dos 6 hardware 1 howto 16 linux 1 mikrotik 14 ms sql 2 netflow 1 norton commander 2 router os 14 sql 2 virtualbox 6 мудрость 1

Links

  •   i’m on facebook
  •   my photos on flickr
  •   my code on github
  •   write me email
  •   headhunt me
Menu
  •   i’m on facebook
  •   my photos on flickr
  •   my code on github
  •   write me email
  •   headhunt me
Яндекс.Метрика
Sergey Lagovskiy © 2009-2020  Οδύσσεια 0.5