Неизвестная запись в System/Scheduler

Автоматизация при помощи встроенного скриптового языка и RouterOS API
Аватара пользователя
r136a8
Сообщения: 164
Зарегистрирован: 04 дек 2017, 00:01

Re: Неизвестная запись в System/Scheduler

Сообщение r136a8 » 04 фев 2019, 13:11

Мне нужен извне только PPTP ну и интернет :)
Как дропнуть все остальное?

А то, что мы закрыли все порты кроме тех, что нужны для PPTP. это не то что Вы имеете ввиду (разрешить то, что нужно, а затем дропнуть вообще всё (независимо от интерфейсов и другого).

Аватара пользователя
Chupaka
Сообщения: 2094
Зарегистрирован: 29 фев 2016, 15:26
Откуда: Минск
Контактная информация:

Re: Неизвестная запись в System/Scheduler

Сообщение Chupaka » 04 фев 2019, 13:50

r136a8 писал(а):
04 фев 2019, 13:11
Как дропнуть все остальное?

Код: Выделить всё

/ip firewall filter add chain=input action=drop
r136a8 писал(а):
04 фев 2019, 13:11
А то, что мы закрыли все порты кроме тех, что нужны для PPTP. это не то что Вы имеете ввиду (разрешить то, что нужно, а затем дропнуть вообще всё (независимо от интерфейсов и другого).
Нет. У вас сейчас настроено:
1) Разрешить через ether1 подключение по PPTP, остальное с ether1 дропнуть
2) Разрешить через ether9 подключение по PPTP, остальное с ether9 дропнуть
3) Всё остальное по умолчанию разрешено

Под третий пункт попадает как ваша локалка, так и ваш PPTP. И любой другой интерфейс, который может быть задействован в будущем под WAN.

Аватара пользователя
r136a8
Сообщения: 164
Зарегистрирован: 04 дек 2017, 00:01

Re: Неизвестная запись в System/Scheduler

Сообщение r136a8 » 04 фев 2019, 13:57

Мне получается нужно разместить это правила самим последним?

Код: Выделить всё

/ip firewall filter add chain=input action=drop
Все таки запутался. Если на wan ether1 и ether9 разрешено только PPTP а все остальное дропнуть то зачем делать что то еще так как остается только локалка?

Из того что прочитал вот тут о стандартных правилх Firewall https://weblance.com.ua/365-posledstviy ... nosti.html я сделал вот так:

Код: Выделить всё

/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related" \
    connection-state=established,related
add action=accept chain=forward in-interface=bridge1-NET-V out-interface=\
    bridge2-NET-E
add action=accept chain=forward in-interface=bridge2-NET-E out-interface=\
    bridge1-NET-V
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=\
    ether9-WAN-E protocol=tcp
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=\
    ether1-WAN-V protocol=tcp
add action=accept chain=input comment="Open PPTP" in-interface=ether1-WAN-V \
    protocol=gre
add action=accept chain=input comment="Open PPTP" in-interface=ether9-WAN-E \
    protocol=gre
add action=drop chain=input comment="defconf: drop all from WAN" \
    in-interface=ether1-WAN-V
add action=drop chain=input comment="defconf: drop all from WAN" \
    in-interface=ether9-WAN-E
add action=accept chain=input comment="Allow PING (ICMP)" protocol=icmp
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
    connection-state=established,related
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface=ether1-WAN-V
add action=drop chain=forward comment=\
    "defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface=ether9-WAN-E
https://prnt.sc/mh3vyn
Правильно ли я сделал, проверьте пожалуйста правильность и очередность выполняемых правил.

Также после внесения изменений по ether9-WAN-E очень сильно упала скорость по кабелю. Нарузки на роутер нет.
Методом исключения (выключения всех и поочередно включением правил) выяснил, что скорость режет вот это правило (на данный момент я его отключил).

Код: Выделить всё

add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
    connection-state=established,related
Спасибо

Аватара пользователя
Chupaka
Сообщения: 2094
Зарегистрирован: 29 фев 2016, 15:26
Откуда: Минск
Контактная информация:

Re: Неизвестная запись в System/Scheduler

Сообщение Chupaka » 06 фев 2019, 17:23

У вас три дырки в Интернет (ether1, ether9 и PPTP). По умолчанию всё разрешено, но две из них (ether1 и ether9) вы заткнули. Угадайте, почему третья дырка осталась открытой. Спойлер: потому что вы не добавили то правило, которое я вам дал.

Аватара пользователя
r136a8
Сообщения: 164
Зарегистрирован: 04 дек 2017, 00:01

Re: Неизвестная запись в System/Scheduler

Сообщение r136a8 » 06 фев 2019, 17:49

Chupaka писал(а):
06 фев 2019, 17:23
У вас три дырки в Интернет (ether1, ether9 и PPTP). По умолчанию всё разрешено, но две из них (ether1 и ether9) вы заткнули. Угадайте, почему третья дырка осталась открытой. Спойлер: потому что вы не добавили то правило, которое я вам дал.
Вот так, есть значение полследовательность всех этих правел? В такой последовательности и внесении вашего последнего правила из спойлера что вы мне давали, в бридже ether9-WAN-E пропадает интернет!
В ether1-WAN-V интернет есть!

Код: Выделить всё

/ip firewall filter
add action=accept chain=input comment="Allow PING (ICMP)" protocol=icmp
add action=accept chain=input comment="defconf: accept established,related" \
    connection-state=established,related
add action=reject chain=forward in-interface=bridge1-NET-V out-interface=\
    bridge2-NET-E reject-with=icmp-network-unreachable
add action=reject chain=forward in-interface=bridge2-NET-E out-interface=\
    bridge1-NET-V reject-with=icmp-network-unreachable
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=\
    ether9-WAN-E protocol=tcp
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=\
    ether1-WAN-V protocol=tcp
add action=accept chain=input comment="Open PPTP" in-interface=ether1-WAN-V \
    protocol=gre
add action=accept chain=input comment="Open PPTP" in-interface=ether9-WAN-E \
    protocol=gre
add action=drop chain=input comment="defconf: drop all from WAN" \
    in-interface=ether1-WAN-V
add action=drop chain=input comment="defconf: drop all from WAN" \
    in-interface=ether9-WAN-E
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related disabled=yes
add action=accept chain=forward comment="defconf: accept established,related" \
    connection-state=established,related disabled=yes
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface=ether1-WAN-V
add action=drop chain=forward comment=\
    "defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface=ether9-WAN-E
add action=drop chain=input
Это 2 правила можно удалить?

Код: Выделить всё

add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
    connection-state=established,related

https://prnt.sc/mhgdkx

Аватара пользователя
Sir_Prikol
Сообщения: 290
Зарегистрирован: 14 апр 2018, 15:21
Откуда: СССР
Контактная информация:

Re: Неизвестная запись в System/Scheduler

Сообщение Sir_Prikol » 06 фев 2019, 17:53

Фасттрак - убирает прохождение пакетов внутри сети из обработки процессором, что разгружает сам рутер и увеличивает скорость внутри сети

Правила в фаерволе ВСЕГДА имеют значение по очерёдности.
Дома:
Uplink - RB3011UiAS (2-ISP(ethernet)белый IP),RB SXT LTE 3-7 (резерв yota (белый IP),Wireless Wire Dish (RBLHGG-60adkit) Uplink белый IP.
2 x RB2011UiAS-2HnD, 2 x RBmAP2nD, 1 x RBwAPG-5HacT2HnD
Хочу uplink - RB1100AHx4 или CCR1036-12G-4S

Аватара пользователя
r136a8
Сообщения: 164
Зарегистрирован: 04 дек 2017, 00:01

Re: Неизвестная запись в System/Scheduler

Сообщение r136a8 » 06 фев 2019, 18:08

Sir_Prikol писал(а):
06 фев 2019, 17:53
Фасттрак - убирает прохождение пакетов внутри сети из обработки процессором, что разгружает сам рутер и увеличивает скорость внутри сети

Правила в файрволле ВСЕГДА имеют значение по очерёдности.
Подскажите пожалуйста правильность расположения правил согласно моему листу правил.
А почему же в другой моей сети bridge2-NET-E пропадает интернет при добавлении вот этого правила

Код: Выделить всё

/ip firewall filter add chain=input action=drop
А относительно Фасттрак при активировании этих правил у меня очень падает скорость интернета. По bridge2-NET-E с 75Mb до 2 MB, по bridge1-NET-V с 170Mb до 60 Mb

Код: Выделить всё

add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
    connection-state=established,related
Последний раз редактировалось r136a8 06 фев 2019, 18:13, всего редактировалось 3 раза.

Аватара пользователя
Chupaka
Сообщения: 2094
Зарегистрирован: 29 фев 2016, 15:26
Откуда: Минск
Контактная информация:

Re: Неизвестная запись в System/Scheduler

Сообщение Chupaka » 06 фев 2019, 18:10

"Пропадает Интернет" - это что значит? Юзеры ходят в Интернет через chain=forward, и то, что вы блокируете chain=input, вообще не должно влиять на хождение пакетов пользователей в Интернет.

Другое дело, что доступ из локалки к роутеру при необходимости бы оставить (например, если роутер является DNS-сервером для пользователей)

Аватара пользователя
r136a8
Сообщения: 164
Зарегистрирован: 04 дек 2017, 00:01

Re: Неизвестная запись в System/Scheduler

Сообщение r136a8 » 06 фев 2019, 18:16

Chupaka писал(а):
06 фев 2019, 18:10
"Пропадает Интернет" - это что значит? Юзеры ходят в Интернет через chain=forward, и то, что вы блокируете chain=input, вообще не должно влиять на хождение пакетов пользователей в Интернет.

Другое дело, что доступ из локалки к роутеру при необходимости бы оставить (например, если роутер является DNS-сервером для пользователей)
При активировании этого правила, выхода в интернет нет только на bridge2-NET-E на bridge1-NET-V все хорошо.
Отшибка Chrome
https://prnt.sc/mhgv1h

Доступ из локалки bridge2-NET-E к роутеро по winbox есть, и к сетевым дискам NAS также.

Очередность моих правил правильная?
Вот эти два я не включаю по причине сильного падения скорости интернета.

Код: Выделить всё

add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
    connection-state=established,related

Аватара пользователя
Sir_Prikol
Сообщения: 290
Зарегистрирован: 14 апр 2018, 15:21
Откуда: СССР
Контактная информация:

Re: Неизвестная запись в System/Scheduler

Сообщение Sir_Prikol » 06 фев 2019, 18:45

r136a8 писал(а):
06 фев 2019, 18:08
Sir_Prikol писал(а):
06 фев 2019, 17:53
Фасттрак - убирает прохождение пакетов внутри сети из обработки процессором, что разгружает сам рутер и увеличивает скорость внутри сети

Правила в файрволле ВСЕГДА имеют значение по очерёдности.
Подскажите пожалуйста правильность расположения правил согласно моему листу правил.
А почему же в другой моей сети bridge2-NET-E пропадает интернет при добавлении вот этого правила

Код: Выделить всё

/ip firewall filter add chain=input action=drop
А относительно Фасттрак при активировании этих правил у меня очень падает скорость интернета. По bridge2-NET-E с 75Mb до 2 MB, по bridge1-NET-V с 170Mb до 60 Mb

Код: Выделить всё

add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
    connection-state=established,related
Если вы имеете ввиду свой лист правил:

Код: Выделить всё

/ip firewall filter
add action=accept chain=input comment="Allow PING (ICMP)" protocol=icmp
add action=accept chain=input comment="defconf: accept established,related" connection-state=established,related
add action=reject chain=forward in-interface=bridge1-NET-V out-interface=bridge2-NET-E reject-with=icmp-network-unreachable
add action=reject chain=forward in-interface=bridge2-NET-E out-interface=bridge1-NET-V reject-with=icmp-network-unreachable
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=ether9-WAN-E protocol=tcp
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=ether1-WAN-V protocol=tcp
add action=accept chain=input comment="Open PPTP" in-interface=ether1-WAN-V protocol=gre
add action=accept chain=input comment="Open PPTP" in-interface=ether9-WAN-E protocol=gre
add action=drop chain=input comment="defconf: drop all from WAN" in-interface=ether1-WAN-V
add action=drop chain=input comment="defconf: drop all from WAN" in-interface=ether9-WAN-E
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related disabled=yes
add action=accept chain=forward comment="defconf: accept established,related" connection-state=established,related disabled=yes
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface=ether1-WAN-V
add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface=ether9-WAN-E
add action=drop chain=input
то в нём я вообще не вижу PPTP интерфейса, я вижу только порт для PPTP, но никак не сам интерфейс
Читаем внимательно что написал мой коллега, и тогда правила будут более/менее в порядке
Дома:
Uplink - RB3011UiAS (2-ISP(ethernet)белый IP),RB SXT LTE 3-7 (резерв yota (белый IP),Wireless Wire Dish (RBLHGG-60adkit) Uplink белый IP.
2 x RB2011UiAS-2HnD, 2 x RBmAP2nD, 1 x RBwAPG-5HacT2HnD
Хочу uplink - RB1100AHx4 или CCR1036-12G-4S

Ответить