RB750Gr3, forward in:lan out:lan

[monteg179]

Сеть 192.168.1.0
192.168.1.1 – Mikrotik RouterBOARD 750G r3, version 6.47.7
192.168.1.2 – Windows Server (dhcp, dns, ntp и т.д)
192.168.1.5 – Zyxel Keenetic Lite III, в режиме точка доступа
Десяток клиентских ПК, ноутбуки, телефоны, планшеты. Коммутатор один, совершенно неуправляемый TP-Link TL-SG1016D.
Надысь стали появляться спонтанные проблемы с подключением по wi-fi. Нашел странности в логах Mikrotik. Периодически возникают такие записи, приходят парами

Код: Выделить всё

[FWD POLICY] forward: in:eth4-lan out:eth4-lan, src-mac xx:xx:xx:xx:xx:xx, proto UDP, 192.168.1.111:43062->192.168.1.2:53, len 88
[RAW ICMP] output: in:(unknown 0) out:eth4-lan, proto ICMP (type 5, code 1), 192.168.1.1->192.168.1.111, len 116

Возникают эти записи когда начинает "глючить" wi-fi.
IP – Firewall - Filter заканчивается правилами

Код: Выделить всё

[16] chain=input action=drop log=yes log-prefix="[IN POLICY]"
[17] chain=output action=drop log=yes log-prefix="[OUT POLICY]"
[18] chain=forward action=drop log=yes log-prefix="[FWD POLICY]"

IP – Firewall – RAW начинается такими правилами

Код: Выделить всё

[3] chain=prerouting action=passthrough icmp-options=5:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[4] chain=prerouting action=passthrough icmp-options=9:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[5] chain=prerouting action=passthrough icmp-options=10:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[6] chain=prerouting action=passthrough icmp-options=13:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[7] chain=prerouting action=passthrough icmp-options=14:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[8] chain=prerouting action=passthrough icmp-options=15:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[9] chain=prerouting action=passthrough icmp-options=16:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[11] chain=prerouting action=passthrough icmp-options=17:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[12] chain=prerouting action=passthrough icmp-options=18:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[13] chain=output action=passthrough icmp-options=5:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[14] chain= output action=passthrough icmp-options=9:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[15] chain= output action=passthrough icmp-options=10:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[16] chain= output action=passthrough icmp-options=13:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[17] chain= output action=passthrough icmp-options=14:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[18] chain= output action=passthrough icmp-options=15:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[19] chain= output action=passthrough icmp-options=16:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[20] chain= output action=passthrough icmp-options=17:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp
[21] chain= output action=passthrough icmp-options=18:0-255 log=yes log-prefix="[RAW ICMP]" protocol=icmp

Собственно, вопрос не проблемах с wi-fi. Вопросы в другом
1) каким образом пакет 192.168.1.111:43062->192.168.1.2:53 попадает к роутеру (192.168.1.1)?
2) каким образом роутер этот пакет обрабатывает? Как он попадает в Forward?
3) зачем роутер шлет ICMP (type 5, code 1)

[Chupaka]

На вопросы удобнее отвечать в обратном порядке

3) зачем роутер шлет ICMP (type 5, code 1)

type 5 code 1 - это host redirect. Роутер сам офигевает от происходящего и говорит 192.168.1.111: "ты это, совсем тю-тю? у тебя ж нужный хост под боком, меня зачем привлекать? шли пакеты ему напрямую!"

2) каким образом роутер этот пакет обрабатывает? Как он попадает в Forward?

"Напрямую" из ответа на предыдущий вопрос значит, что в качестве Dst. MAC надо указывать MAC нужного хоста, а не роутера. А так роутеру, видимо, прилетает пакет для его MAC-адреса, поэтому он его принимает в обработку в IP Firewall (тут бы, конечно, заснифать пакеты и изучить предметно). Поскольку Dst. IP чужой - пакет попадает в Forward для дальнейшей пересылки, где удачно дропается.

1) каким образом пакет 192.168.1.111:43062->192.168.1.2:53 попадает к роутеру (192.168.1.1)?

Без снифа можно только гадать (у вас же нет правил в Bridge NAT?). Перепроверьте, что 1.111 получает корректную маску подсети по DHCP (не ниже /25), например...

[monteg179]

Без снифа можно только гадать (у вас же нет правил в Bridge NAT?). Перепроверьте, что 1.111 получает корректную маску подсети по DHCP (не ниже /25), например...

Bridge в Mikrotik-e вообще нет, я его убрал.
Адреса DHCP клиенты правильные получают.

Т.е. либо свитч косячит, либо Android-ы неправильные пакеты шлют. Фигня какая-то.
Либо действительно что-то с точкой доступа.
Либо Mikrotik неправильный MAC свитчу передаёт.

[monteg179]

"Напрямую" из ответа на предыдущий вопрос значит, что в качестве Dst. MAC надо указывать MAC нужного хоста, а не роутера. А так роутеру, видимо, прилетает пакет для его MAC-адреса, поэтому он его принимает в обработку в IP Firewall (тут бы, конечно, заснифать пакеты и изучить предметно). Поскольку Dst. IP чужой - пакет попадает в Forward для дальнейшей пересылки, где удачно дропается.

Да, действительно, так все и происходит. Осталось найти виновника - свитч, точка доступа или телефоны(android).

[Chupaka]

Свитч не будет менять маки в пакетах, он же неуправляемый: тут пакет либо пролетает, либо не пролетает. Телефоны получают адреса от MikroTik'а, правильно?..

[monteg179]

Телефоны получают адреса от Windows Server (192.168.1.2).

[monteg179]

Mikrotik тупо молотит трафик.

[monteg179]

Попробовал поменять адрес роутера с 192.168.1.1 на 192.168.1.254 - ситуация не изменилась.
Попробовал в Android-е включить «Персональный DNS-сервер» - ситуация не изменилась.
Т.е. Android сознательно шлет неправильные пакеты. Неправильные пакеты – dns запросы адресов такого вида
epdg.epc.mnc001.mcc250.pub.3gppnetwork.org
Посмотрел, что это такое. Оказалось VoWifi (https://cellidfinder.com/mcc-mnc)
В итоге сделал две сети –
1. доступ к локальной сети и интернет - для ноутбуков
2. только интернет – для телефонов
ЗЫ: оказалось, что VoWifi реально работает, правда не знаю на сколько это сейчас нужно