RB750Gr3, forward in:lan out:lan

Базовая функциональность RouterOS
monteg179
Сообщения: 7
Зарегистрирован: 17 окт 2020, 18:10

RB750Gr3, forward in:lan out:lan

Сообщение monteg179 »

Сеть 192.168.1.0
192.168.1.1 – Mikrotik RouterBOARD 750G r3, version 6.47.7
192.168.1.2 – Windows Server (dhcp, dns, ntp и т.д)
192.168.1.5 – Zyxel Keenetic Lite III, в режиме точка доступа
Десяток клиентских ПК, ноутбуки, телефоны, планшеты. Коммутатор один, совершенно неуправляемый TP-Link TL-SG1016D.
Надысь стали появляться спонтанные проблемы с подключением по wi-fi. Нашел странности в логах Mikrotik. Периодически возникают такие записи, приходят парами

Код: Выделить всё

[FWD POLICY] forward: in:eth4-lan out:eth4-lan, src-mac xx:xx:xx:xx:xx:xx, proto UDP, 192.168.1.111:43062->192.168.1.2:53, len 88
[RAW ICMP] output: in:(unknown 0) out:eth4-lan, proto ICMP (type 5, code 1), 192.168.1.1->192.168.1.111, len 116
Возникают эти записи когда начинает "глючить" wi-fi.
IP – Firewall - Filter заканчивается правилами

Код: Выделить всё

[16] chain=input action=drop log=yes log-prefix="[IN POLICY]"
[17] chain=output action=drop log=yes log-prefix="[OUT POLICY]"
[18] chain=forward action=drop log=yes log-prefix="[FWD POLICY]"
IP – Firewall – RAW начинается такими правилами

Код: Выделить всё

[3] chain=prerouting action=passthrough icmp-options=5:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[4] chain=prerouting action=passthrough icmp-options=9:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[5] chain=prerouting action=passthrough icmp-options=10:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[6] chain=prerouting action=passthrough icmp-options=13:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[7] chain=prerouting action=passthrough icmp-options=14:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[8] chain=prerouting action=passthrough icmp-options=15:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[9] chain=prerouting action=passthrough icmp-options=16:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[11] chain=prerouting action=passthrough icmp-options=17:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[12] chain=prerouting action=passthrough icmp-options=18:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[13] chain=output action=passthrough icmp-options=5:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[14] chain= output action=passthrough icmp-options=9:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[15] chain= output action=passthrough icmp-options=10:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[16] chain= output action=passthrough icmp-options=13:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[17] chain= output action=passthrough icmp-options=14:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[18] chain= output action=passthrough icmp-options=15:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[19] chain= output action=passthrough icmp-options=16:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[20] chain= output action=passthrough icmp-options=17:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[21] chain= output action=passthrough icmp-options=18:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
Собственно, вопрос не проблемах с wi-fi. Вопросы в другом
1) каким образом пакет 192.168.1.111:43062->192.168.1.2:53 попадает к роутеру (192.168.1.1)?
2) каким образом роутер этот пакет обрабатывает? Как он попадает в Forward?
3) зачем роутер шлет ICMP (type 5, code 1)
Аватара пользователя
Chupaka
Сообщения: 2961
Зарегистрирован: 29 фев 2016, 15:26
Откуда: Минск

Re: RB750Gr3, forward in:lan out:lan

Сообщение Chupaka »

На вопросы удобнее отвечать в обратном порядке :)
monteg179 писал(а): 03 дек 2020, 13:12 3) зачем роутер шлет ICMP (type 5, code 1)
type 5 code 1 - это host redirect. Роутер сам офигевает от происходящего и говорит 192.168.1.111: "ты это, совсем тю-тю? у тебя ж нужный хост под боком, меня зачем привлекать? шли пакеты ему напрямую!"
monteg179 писал(а): 03 дек 2020, 13:12 2) каким образом роутер этот пакет обрабатывает? Как он попадает в Forward?
"Напрямую" из ответа на предыдущий вопрос значит, что в качестве Dst. MAC надо указывать MAC нужного хоста, а не роутера. А так роутеру, видимо, прилетает пакет для его MAC-адреса, поэтому он его принимает в обработку в IP Firewall (тут бы, конечно, заснифать пакеты и изучить предметно). Поскольку Dst. IP чужой - пакет попадает в Forward для дальнейшей пересылки, где удачно дропается.
monteg179 писал(а): 03 дек 2020, 13:12 1) каким образом пакет 192.168.1.111:43062->192.168.1.2:53 попадает к роутеру (192.168.1.1)?
Без снифа можно только гадать (у вас же нет правил в Bridge NAT?). Перепроверьте, что 1.111 получает корректную маску подсети по DHCP (не ниже /25), например...
monteg179
Сообщения: 7
Зарегистрирован: 17 окт 2020, 18:10

Re: RB750Gr3, forward in:lan out:lan

Сообщение monteg179 »

Chupaka писал(а): 03 дек 2020, 15:20 Без снифа можно только гадать (у вас же нет правил в Bridge NAT?). Перепроверьте, что 1.111 получает корректную маску подсети по DHCP (не ниже /25), например...
Bridge в Mikrotik-e вообще нет, я его убрал.
Адреса DHCP клиенты правильные получают.

Т.е. либо свитч косячит, либо Android-ы неправильные пакеты шлют. Фигня какая-то.
Либо действительно что-то с точкой доступа.
Либо Mikrotik неправильный MAC свитчу передаёт.
monteg179
Сообщения: 7
Зарегистрирован: 17 окт 2020, 18:10

Re: RB750Gr3, forward in:lan out:lan

Сообщение monteg179 »

Chupaka писал(а): 03 дек 2020, 15:20 "Напрямую" из ответа на предыдущий вопрос значит, что в качестве Dst. MAC надо указывать MAC нужного хоста, а не роутера. А так роутеру, видимо, прилетает пакет для его MAC-адреса, поэтому он его принимает в обработку в IP Firewall (тут бы, конечно, заснифать пакеты и изучить предметно). Поскольку Dst. IP чужой - пакет попадает в Forward для дальнейшей пересылки, где удачно дропается.
Да, действительно, так все и происходит. Осталось найти виновника - свитч, точка доступа или телефоны(android).
Аватара пользователя
Chupaka
Сообщения: 2961
Зарегистрирован: 29 фев 2016, 15:26
Откуда: Минск

Re: RB750Gr3, forward in:lan out:lan

Сообщение Chupaka »

Свитч не будет менять маки в пакетах, он же неуправляемый: тут пакет либо пролетает, либо не пролетает. Телефоны получают адреса от MikroTik'а, правильно?..
monteg179
Сообщения: 7
Зарегистрирован: 17 окт 2020, 18:10

Re: RB750Gr3, forward in:lan out:lan

Сообщение monteg179 »

Телефоны получают адреса от Windows Server (192.168.1.2).
monteg179
Сообщения: 7
Зарегистрирован: 17 окт 2020, 18:10

Re: RB750Gr3, forward in:lan out:lan

Сообщение monteg179 »

Mikrotik тупо молотит трафик.
monteg179
Сообщения: 7
Зарегистрирован: 17 окт 2020, 18:10

Re: RB750Gr3, forward in:lan out:lan

Сообщение monteg179 »

Попробовал поменять адрес роутера с 192.168.1.1 на 192.168.1.254 - ситуация не изменилась.
Попробовал в Android-е включить «Персональный DNS-сервер» - ситуация не изменилась.
Т.е. Android сознательно шлет неправильные пакеты. Неправильные пакеты – dns запросы адресов такого вида
epdg.epc.mnc001.mcc250.pub.3gppnetwork.org
Посмотрел, что это такое. Оказалось VoWifi (https://cellidfinder.com/mcc-mnc)
В итоге сделал две сети –
1. доступ к локальной сети и интернет - для ноутбуков
2. только интернет – для телефонов
ЗЫ: оказалось, что VoWifi реально работает, правда не знаю на сколько это сейчас нужно