» MikroTik RouterOS

Ребята, кто сталкивался с dns-update у сабжа. у меня два интерфейса в инет. хочу каждому присвоить доменное имя, для доступа из вне. но как я не разбирался, немогу вкурить как его настроить на работу с changeip.com. Есть у кого то наработки по этому поводу?

в аську аффтору вопроса уже ответил, сейчас для потомков оставлю след на форуме: http://wiki.mikrotik.com/wiki/Dynamic_DNS_Update_Script_for_ChangeIP.com

Если у человека два одновременных канала, то так просто не получится. Нужно отталкиваться не от default gateway, а это уже значительно сложнее, как по мне. Для меня этот вопрос остался открытым. т.к. не сильно требовалось, но, когда-то хотелось, только каналов было 5, т.е. нужно было регистрировать 5 dns имен

Demon
ну, он просто ручками вбил имена интерфейсов =)

Цитата:

# Define User Variables
:global ddnsuser "CHANGEIPUSERID"
:global ddnspass "CHANGEIPPASSWORD"
:global ddnshost "FREEHOSTNAME.TOUPDATE.TLD"

# Define Global Variables
:global ddnsip
:global ddnslastip
:if ([ :typeof $ddnslastip ] = nil ) do={ :global ddnslastip "0" }

:global ddnsinterface
:global ddnssystem ("mt-" . [/system package get system version] )

# Define Local Variables
:local int

# Loop thru interfaces and look for ones containing
# default gateways without routing-marks
:foreach int in=[/ip route find dst-address=0.0.0.0/0 active=yes ] do={
:if ([:typeof [/ip route get $int routing-mark ]] != str ) do={
:global ddnsinterface [/ip route get $int interface]
}
}

# Grab the current IP address on that interface.
:global ddnsip [ /ip address get [/ip address find interface=$ddnsinterface ] address ]

# Did we get an IP address to compare?
:if ([ :typeof $ddnsip ] = nil ) do={
:log info ("DDNS: No ip address present on " . $ddnsinterface . ", please check.")
} else={

:if ($ddnsip != $ddnslastip) do={

:log info "DDNS: Sending UPDATE!"
:log info [ ut [/tool dns-update name=$ddnshost address=[:pick $ddnsip 0 [:find $ddnsip "/"] ] key-name=$ddnsuser key=$ddnspass ] ]
:global ddnslastip $ddnsip

} else={
:log info "DDNS: No update required."
}

}

# End of script

на версии 3,27 скрипт обновляет параметры днс, но срабатывает каждый раз(если запустить буквально через пол минуты), хотя недолжен. кто может протестировать?

Нужен совет с вашей точки зрения.
Хочу сбалансировать два канала в микротике 3.х. Просто указав два шлюза - такой вариант не катит, т.к. будут отваливаться аська и онлайн игры. Поэтому надо промаркировать соединения. Делаю так(пример взят с одного сайта http://local.com.ua/forum/index.php?showtopic=14050):

chain=prerouting action=mark-connection new-connection-mark=route1
passthrough=no connection-state=new src-address=10.10.1.0/16 nth=2,1

chain=prerouting action=mark-routing new-routing-mark=route1
passthrough=yes src-address=10.10.1.0/16 connection-mark=route1

chain=prerouting action=mark-connection new-connection-mark=route2
passthrough=yes connection-state=new src-address=10.10.1.0/16

chain=prerouting action=mark-routing new-routing-mark=route2
passthrough=yes src-address=10.10.1.0/16 connection-mark=route2

и шлюзы

add dst-address=0.0.0.0/0 gateway=192.168.1.1 scope=255 target-scope=10 routing-mark=route1
add dst-address=0.0.0.0/0 gateway=192.168.2.1 scope=255 target-scope=10 routing-mark=route2
add dst-address=0.0.0.0/0 gateway=192.168.1.1 scope=255 target-scope=10

Вот тут и возникли вопросы:
1.Правильно ли использовать для пометки соединений NTH, ведь отваливается возможность check-gateway на шлюзах?
2. И почему указывается connection-state=new - а остальные типы соединений или это будет избыточным правилом?
3. Может еще подскажите пару способов для балансировки кроме random,nth и src-address?

Цитата:

1.Правильно ли использовать для пометки соединений NTH, ведь отваливается возможность check-gateway на шлюзах?

почему? не отваливается... просто надо добавить в каждую таблицу ещё один роут на другой интерфейс с бОльшей метрикой


Цитата:

2. И почему указывается connection-state=new - а остальные типы соединений или это будет избыточным правилом?

потому что метка соединения, если она не изменяется другими правилами, сохраняется всё время жизни соединения, что нам и надо - отметили маркой нужного канала - и только через этот канал пускаем


Цитата:

3. Может еще подскажите пару способов для балансировки кроме random,nth и src-address?

PCC - устраняет отваливание аськи и игр в ECMP
http://forum.mikrotik.com/viewtopic.php?f=2&t=31415

Chupaka
Спасибо за ссылку щас буду пробовать.

Еще вопрос, по Файерволу в МТ.

Накатал такое правило:


Код:
0 chain=input action=reject reject-with=icmp-admin-prohibited protocol=tcp
dst-address=195.230.xxx.xxx dst-port=22

Цитата:

Накатал такое правило:


Код:
0 chain=input action=reject reject-with=icmp-admin-prohibited protocol=tcp
dst-address=195.230.xxx.xxx dst-port=22

Я всеравно захожу по ssh по внешнему IP. Почему??

не знаю, у меня режектит )) а с какой стороны заходишь? я вообще предпочитаю указывать не адрес, а интерфейс - мол, все input из инета - режект, открыт только пинг максимум

Добавлено:

Цитата:

Может кто знает, а не существует ли какой-нибуть npk пакет для МТ, который позволяет шариться по фаловой системе в МТ.

а смонтировать диск в линухе не судьба? =)

при инстале 3.20 выбераю все пакеты а ставит только некоторые, нужный пакет ррр не ставит, и не знаю даже чтои делать, подскажите а...

fredikjnet
пакеты с *-test не ставь и все поставится.

Chupaka

Ну я со своей сети захожу на SSH МТ на внешний адрес. В соединениях так и висит что на внешний зашел. Странно очень Попробую интерфейс указать как ты говоришь. Только проверить не получится..


Цитата:

а смонтировать диск в линухе не судьба? =)

Ну судьба просто так придется роутер останавливать.. а у меня люди через него сидят. Ладно попробую в vmware покалупать, если удастся конфиги поправить то и на своем сделаю.

Добавлено:
Chupaka

Скрипт по ссылке на вбивание IP адресов в адрес-лист из файла отлично работает! Спасибо!
Даже менять ничего не пришлось ну кроме адреса сервера и названий файлов ^^

А как можно решить вопрос с DNS сервером, т.е. можно ли создать полнофункциональный DNS сервер, с возможностью прописывания разных зон и т.д.?

Neym
спс все получилось ))

Demon
можна, ip->DNS

fredikjnet

На сколько я понял, там выполняются только функции форвандинга dns запросов и прописание статических хостов и все. А у меня три провайдера, у всех трех есть свои внутренние ресурсы, которые прописаны только на их DNS серверах, и как это все прикрутить, что бы то все работало у моих локальных клиентов я не знаю

Demon http://routing.explode.gr/node/129 правда тольео на 2.9.х BIND

Sandorik

Спасибо, но у меня стоит 3,20, и уйти на версию 2,9 я не могу

Помогите плиз настроить микротик для раздачи на торенте качать качаю, а раздовать не могу пишет что проблеммы с сетевыми настройками???

Цитата:

пакеты с *-test не ставь и все поставится.

правдэ?..

Цитата:

[admin@MikroTik] > system package print
Flags: X - disabled
# NAME VERSION SCHEDULED
0 system 3.27
1 ppp 3.27
2 ipv6 3.27
3 calea 3.27
4 advanced-tools 3.27
5 routing-test 3.27
6 security 3.27

Chupaka

Если ставить к примеру routing-test и routing, вместе, то ни один пакет вообще не поставится из перечисленных. У них разные зависимости. У меня такое было.. поначалу

Добавлено:
Demon

форварди DNS провайдеров, кто тебе мешает? Или пропиши статистически адреса их сервисов у себя в МТ.

Neym
хм... насколько помню, routing-test просто отключится после установки... проверить?

shumaher85

Ты наверно за NAT'ом сидишь. Пробрось порт своего bit-torrent клиента у себя на роутере (если у тебя внешний ip есть, пусть даже динамический иначе тряси провайдера чтобы пробросил.).

Добавлено:
Еще один вопрос по скриптингу в МТ.

Нужно следуещее:

При поключении абонента по pptp чтобы в mangle поднимались правила up/down с меткой покетов именем клиента, далее чтобы генерировались правила в queue tree.

Соответственно при отключении клиента, чтобы правила с mangle и queue tree удалялись/деактивировались.

Проблема в следующем. Во-первых я так понял невозможно запускать скрипт on-event/по событию, при подключении абонента, соответственно скрипт должен проверять не подключился ли новый клиент каждую секунду, а значит должен иметь БД подключенных абонентов и проверять по нему или уалять записи из него.

Во-вторых как найти правило из списка mangle соответсвующее этому абоненту чтобы удалить его при отключении, т.к. правила там идут в перемешку с динамическими и по номеру не вариант.

RADIUS не подключен, нужно сделать все исключительно средствами МТ.

Добавлено:
Да и обязательно сначала метить соединения, а потом пакеты в этом соединении, или можно сразу пометить пакеты, к примеру все пакеты с in-interface=<pptp_user1> пометить user1-in и все пакеты out-interface=<pptp_user1> пометить user1-out ??

Neym
в профиле pptp указать Address List - в него будут добавляться адреса клиентов при подключении. их и маркировать. а в Queue Tree использовать всего две очереди типа PCQ

Chupaka
Не совсем понял твою мысль. Можно поподробней?

Да и столкнулся с еще одной проблемой в шейпере.

Накатал пару правил, но что-то не работают они как надо.

Вот mangle:


Код:
[vesper@IPSec-GW] /ip firewall mangle> print detail
Flags: X - disabled, I - invalid, D - dynamic
0 chain=prerouting action=mark-connection new-connection-mark=tornado-out
passthrough=yes src-address=10.10.0.13 dst-address-list=od-ix

1 chain=prerouting action=mark-packet new-packet-mark=tornado-out
passthrough=no connection-mark=tornado-out

2 chain=prerouting action=mark-connection new-connection-mark=tornado-in
passthrough=yes dst-address=10.10.0.13 src-address-list=od-ix

3 chain=prerouting action=mark-packet new-packet-mark=tornado-in
passthrough=no connection-mark=tornado-in

Здравствуйте!

Появилась с недавних пор частая ошибка в логе хочу разобраться:

jul/22 22:11:38 pptp,info TCP connection established from 10.4.145.38
jul/22 22:11:38 pptp,ppp,info <pptp-0>: waiting for call...
jul/22 22:11:38 pptp,ppp,info <pptp-0>: authenticated
jul/22 22:11:39 pptp,ppp,info <pptp-0>: connected
jul/22 22:11:39 pptp,ppp,info,account igor logged in, 172.16.1.14
jul/22 22:11:39 pptp,ppp,error could not add address: already have such address (6)
jul/22 22:11:39 pptp,ppp,info,account igor logged out, 1 108 120 6 9
jul/22 22:11:39 pptp,ppp,info <pptp-igor-1>: terminating... - could not add address: already ha
ve such address (6)
jul/22 22:11:39 pptp,ppp,info <pptp-igor-1>: disconnected

Юзеры подключаються к тику по VPN все было отлично пол года никто ничего не трогал, теперь часто при подключении юзера пишет ошибку что "такой" IP уже занят (т.е. якобы данный юзер уже подключен) и рвет соединение. IP адреса у всех статические и НЕ повторяются. Человеку достаточно несколько раз попытаться зайти и тик его обычно на 3-5 раз пускает. Причем на других пользователях эта ошибка может вообще не проявляться... Потом долгое время опять все работает нормально потом опять появляется у конкретных пользователей на протяжении недели, в общем зависимости никакой нет и проявляется на разных пользователях.

Данная ошибка проявлялась и на версии 3.16 и на 3.20 и на 3.23 одинаково. Появилась сама по себе никакие настройки в тике не менялись.


Кто, что может подсказать по этому поводу?

Neym
На сколько я знаю, при форвандинге если получент ответ от первичного сервера (даже отрицательный), то запрос на вторичный не идет. А мне нужно, что бы при отрицательном ответе запрос шел на второй dns, а потом может и на третий. А прописывать статически адреса чужих ресурсов, да это работает. но это не правильно, хотя бы потому, что я не знаю всех их ресурсов

Neym
самое главное заблуждение при составлении вышеприведённых правил: connection - существо на самом деле двунаправленное. то есть "chain=prerouting action=mark-connection new-connection-mark=tornado-out passthrough=yes src-address=10.10.0.13 dst-address-list=od-ix" метит соединение, по которому пакетики бегают уже в обе стороны: как от клиента к серверу, так и обратно. соответственно, src-address можно убрать, а метку заменить на просто "tornado"

дальше как раз наоборот: когда помечаем пакеты коннекшена "tornado", то для пакетов с src-address=10.10.0.13 ставим метку "tornado-out", а для dst-address=10.10.0.13 - соответственно "tornado-in". после этого всё должно заработать

Добавлено:
Demon
RouterOS - это операционка маршрутизатора, а не name-сервера, етц. их DNS-сервер - ультрабазовый, для кэширования одного провайдера. никаких зон, всё по минимуму

2 конторы, 1 инет

Суть такая: есть 2 конторы для одного провайдера. У каждой по своему ип-адресу. есть 1 канал "весом" 1МБ. В Микротике 4 карты.
Задача: Контору 1 пустить в инет полностью (трафик режется у них у самих) на скорости 512, а вторую контору уже делить и рулить на микротике.

Пояснения: сделать то можно, просто хочу узнать пожелания какие можете сказать.

Проблемы:
1. Можно ли управляя скоростью через Queue регулировать канал который бриджем зацеплен?
2. И вообще можно ли так: 1-я контора юзает инет через бридж, но микротик урезает скорость до 512 (через бридж чтобы в нате не прописывать порты, т.к. у них у самих все настроено), 2-ю контору полностью рулить через нат и скорость резать в тех же queue?

larin58

Обрати внимание на эту строчку:


Цитата:

jul/22 22:11:39 pptp,ppp,error could not add address: already have such address (6)

Это значит что при подключении абонента у тебя ему присваивается уже существующий ип-адресс. Из-за чего конфликт. Или введи всем абонентам ип-адресс вручную, статистически или создай adress-pool
Например так:

Код:
[vesper@IPSec-GW] /ip pool> add name="pptp-pool" ranges=172.16.0.2-172.16.0.254

Graf_Vurdalak
1. можно. в третьей версии только /interface bridge settings set use-ip-firewall=yes поставить
2. тоже не вижу трудностей. главное пакеты правильные помечать, не напутать =) тогда получится, что на бридже висит внешний адрес и первая контора (а-ля роутер воткнут в свитч вместе с линком провайдера и первой конторой, которая ходит (полу)прозрачно (через наше ограничение 512к) к провайдеру), а с интерфейса бриджа на интерфейс роутера, к которому подключена вторая контора, мы и будем маршрутизацией заниматься

Chupaka

Всеравно, tornado-in трафик идет, а tornado-out пустая очередь. хотя пакеты метяться на out.
и уже и in и out одинаково метил tornado а пакеты по ним уже соответственно *-in и *-out.

Да и еще. Мне нужно разделить траффик на адресс-лист od-ix и с него -до 50Мбит и отдельно внешку.

Как мне в таком случае, я что-то совсем запутался в этих правилах

и еще непонятно с prerouting, postrouting и forward. Где-то на вики нашел что на in нужно ставить prerouting на out - postrouting. Да и непонятно с галочкой passthrough.

Черт голову сломает с этим шейпером.. И нигде нету элементарного шаблона для queue tree.