Сервер на Микротик с нуля..., Помощь в настройке сервера с нуля... Опции

[mikrik]

Добрый день!

Стандартная ситуация, имеется ADSL модем, две сетевые карты, и машина Пень III, - как это железо превратить в полноценный надежный роутер?

Итак, имею:
ADSL модем - 192.168.1.1;
Сетевая карта к модему - 192.168.1.2;
Сетевая карта в локальную сеть - 192.168.2.1;
VPN - 10.10.10.0;

Что сделал:
Присвоил IP-ки всем интерфейсам, поднял VPN, создал юзера.
Добавил gateway на IP ADSL модема: "ip route add gateway=192.168.1.1";
Добавил в свойствах NAT правило: "ip firewall nat add chain=srchat action=masquerade out-interface=!ether1";

Что мне делать дальше?
Помогите мне это все разрулить.

[mikrik]

Если можно, то по шагам кто-нибудь может написать что мне делать, а я буду думать как!
Если что, поспрашиваю.

[Zhelezaka]

Модем настроен как роут?

[mikrik]

Модем настроен как роут? - да.

Забыл одно, написать цель...:
Нужно раздавать интернет пользователям через VPN.

[Zhelezaka]

Делаешь профиль:
name="default" local-address=10.10.10.1 use-compression=no
use-vj-compression=no use-encryption=no only-one=default
change-tcp-mss=yes dns-server=192.168.2.1

роут:
A S 0.0.0.0/0 r 192.168.1.1 ether2

фильтр в фаерволе:
chain=forward src-address=0.0.0.0 dst-address=0.0.0.0 action=accept

(хотя правил там для защиты должно быть больше)

Кажется все

[mikrik]

Спасибо, буду пробовать.

Профиль на VPN я смотрел, их по уммолчанию два: default и default-encription.

Правила для фаервола я видел, их много..., но за них не берусь пока не отстрою, в конце поставлю что надо.

[dolphinik1]

На этом форуме нет компетентных людей по микротику и отрицать это-значит впаривать своё дилетантство под видом профессионализма....

[mikrik]

Уважаемый dolphinik1, а в чем собственно дело то?

Мне нужна помощь, хочу попробовать настроить роутер на Микротик, получиться, заработает - а какой итог еще нужен?

Я задал вопрос, мне ответили, подсказали...
Заработает, значит информация достоверна, и человек давший информацию - знающий человек – в последствии с меня пиво, а нет, не заработает, буду думать дальше, искать как вы выразились "профессионала".

Вы таковым не являетесь?

Zhelezaka, спасибо за быструю помощь, настроил по вашему описанию, проверить пока не могу, проблемы с Calisto - вылетел с режима роутера, сбрасывал, перенастраивал - какой-то баг(.

Как разберусь с модемом, отпишусь.

[Zhelezaka]

mikrik Обращайтесь, всегда пожайлуста. Чем смогу помогу. А не знаем так с удовольствием покапаюсь сам

Если зарабоатет, тогда отпишу чего еще можно настроить дальше.

[mikrik]

Zhelezaka

С модемом полный хана, завтра несу к провайдеру, а так, взял у соседа Зюхель, 5 секунд и все готово!)

Итак, интернет через МикроТик заработал, только не через ВПН, а через локальню сетевую карту роутера. Сделал как было мне подсказано выше, как исправить положение?

А также мне нужно динамически делить скорость, это вроде называется Queues, как правильно в моем случае для юзеров ВПН создать такое правило?

[mikrik]

Вот еще, пока тебя нет, сам тут кое-что присмотрел:

На счет ВПН сервера, у меня настройка выглядит так:

name="default" local-address=10.10.10.1 use-compression=no
use-vj-compression=no use-encryption=no only-one=default
change-tcp-mss=yes dns-server=192.168.2.1

видел похожее вот так:

1 name="vpn" local-address=1.1.1.254 use-compression=default
use-vj-compression=default use-encryption=yes only-one=no
change-tcp-mss=default dns-server=217.26.ххх.х,217.26.ххх.х

как видно у него на ВПН ДНС сервера прописаны провайдера, а у меня ДНС прописан внутренним локальным?!

[Zhelezaka]

А это настройки ДНС провайдера. Да, а у тебя ДНС имеено твой роутер.

По поводу распределения скорости вот статья http://xdrv.ru/content/view/541/53/

Почитай там вроде все понятно. Если что-то не поймешь - спрашивай.

"Итак, интернет через МикроТик заработал, только не через ВПН..."

А как сделать иммено то, что ты хочешь описано вот в этой статье http://xdrv.ru/content/view/62/53/1/1/

Если тут не понятно будет - спрашивай.

P.S. тебе надо настроить PPTP подключение.

[xxx]

Все сделал по мануалу динамического шейпера, вот что имею:
Пользователи получают инет по VPN, создал правила, но скорость не делиться при 2-х подключениях пополам, что не так?

[Master@HomeLan] queue interface> print
# INTERFACE QUEUE
0 Local ethernet-default
1 Internet ethernet-default
2 <pptp-Ivan> default
3 <pptp-Master> default
[Master@HomeLan] queue interface>

[Master@HomeLan] ip firewall mangle> print
Flags: X - disabled, I - invalid, D - dynamic
0 chain=forward src-address=10.10.10.0/24 dst-address=192.168.1.0/24
action=mark-connection new-connection-mark=users-con-up passthrough=no

1 chain=forward connection-mark=users-con-up action=mark-packet
new-packet-mark=users-up passthrough=no

2 chain=forward src-address=192.168.1.0/24 dst-address=10.10.10.0/24
action=mark-connection new-connection-mark=user-con-down passthrough=no

3 chain=forward connection-mark=user-con-down action=mark-packet
new-packet-mark=users-down passthrough=no
[Master@HomeLan] ip firewall mangle>

[Master@HomeLan] queue type> print
0 name="default" kind=pfifo pfifo-limit=50

1 name="ethernet-default" kind=pfifo pfifo-limit=50

2 name="wireless-default" kind=sfq sfq-perturb=5 sfq-allot=1514

3 name="synchronous-default" kind=red red-limit=60 red-min-threshold=10
red-max-threshold=50 red-burst=20 red-avg-packet=1000

4 name="hotspot-default" kind=sfq sfq-perturb=5 sfq-allot=1514

5 name="pcq-download" kind=pcq pcq-rate=0 pcq-limit=50
pcq-classifier=dst-address pcq-total-limit=2000

6 name="pcq-upload" kind=pcq pcq-rate=0 pcq-limit=50
pcq-classifier=src-address pcq-total-limit=2000

7 name="default-small" kind=pfifo pfifo-limit=10
[Master@HomeLan] queue type>


[Master@HomeLan] queue tree> print
Flags: X - disabled, I - invalid
0 name="Download" parent=Local packet-mark="" limit-at=0 queue=default
priority=8 max-limit=512000 burst-limit=0 burst-threshold=0
burst-time=10s

1 name="queue1" parent=Download packet-mark=users-down limit-at=0
queue=pcq-download priority=8 max-limit=0 burst-limit=0
burst-threshold=0 burst-time=0s

2 name="Upload" parent=Internet packet-mark="" limit-at=0 queue=default
priority=8 max-limit=128000 burst-limit=0 burst-threshold=0
burst-time=10s

3 name="queue2" parent=Upload packet-mark=users-up limit-at=0
queue=pcq-upload priority=8 max-limit=0 burst-limit=0 burst-threshold=0
burst-time=0s
[Master@HomeLan] queue tree>

это пост мой, mikrik - чето проблемы с паролем.

[x3x]

Не могу хоть убей настроить динамический шейпер, вот что на мой взляд не так:

Настраиваю динамический шейпер по мануалу ничего не выходит...
На мой взгляд у меня 2-е проблемы:
1. В мангле при маркировании соединения не могу правильно прицепиться к внешнему интерфейсу, т.к. не знаю IP провайдера. А на привязку к IP карты ничего путного не выходит (.

Вот что максимум здесь получилось:

[Admin@HomeLan] ip firewall mangle> print
Flags: X - disabled, I - invalid, D - dynamic
0 chain=forward dst-address=10.10.10.0/24 action=mark-connection
new-connection-mark=users-connection-up passthrough=yes

1 chain=forward connection-mark=users-connection-up action=mark-packet
new-packet-mark=users-packets-up passthrough=yes

2 chain=forward src-address=10.10.10.0/24 action=mark-connection
new-connection-mark=users-connection-down passthrough=yes

3 chain=forward connection-mark=users-connection-down action=mark-packet
new-packet-mark=users-packets-down passthrough=yes

Отмечу, что при указании конкретного IP назначения, например IP этого форума, все работает как надо...

2. При создания очередей в Queue tree в списке интерфейсов нет нужного мне VPN сервера, есть только pptp соединения подключенных пользователей вида <pptp-User> и т.д.

Разьясни пожалуйста тупому: что? где? и как нужно делать?

[Zhelezaka]

мм... значится запускаешь с пуске-выполнить - cmd
вводишь команду tracert www.ya.ru -d тебе выдастся такая вот табличка:

tracert www.ya.ru -d

Tracing route to ya.ru [87.250.251.8]
over a maximum of 30 hops:

1 8 ms 13 ms 13 ms 10.10.20.1
2 * * * Request timed out.
3 33 ms 34 ms 71 ms 213.184.225.12
4 35 ms 39 ms 40 ms 213.184.225.16
5 41 ms 86 ms 40 ms 86.57.252.17
6 45 ms 53 ms 52 ms 193.232.248.117
7 203 ms 96 ms 93 ms 84.204.190.61
8 79 ms 69 ms 67 ms 84.204.188.53
9 77 ms 68 ms 80 ms 193.232.244.93
10 71 ms 78 ms 79 ms 213.180.210.167
11 76 ms 79 ms 66 ms 87.250.251.8

Trace complete.

В моем случае адреса провайдера вот эти - 213.184.225.12 и 213.184.225.16, у тебя будут свои....
А первый адрес 10.10.20.1 - это локальный адрес обращение к ppp profile default.

Да, на почту я тебе выслал новый твой пароль, а с этой ошибкой разберемся в ближайшее время.

P.S. У себя тоже попробую, отпишу потом. Ну а ты тогда сообщи получилось ли у тебя.

[x3x]

Спасибо что быстро ответил, значит вот:

C:\>tracert www.ya.ru -d

Трассировка маршрута к ya.ru [87.250.251.8]
с максимальным числом прыжков 30:

1 2 ms 3 ms <1 мс 10.10.10.0
2 * * * Превышен интервал ожидания для запроса.
3 46 ms 35 ms 30 ms 195.5.5.12
4 * * * Превышен интервал ожидания для запроса.
5 * * * Превышен интервал ожидания для запроса.
6 * * * Превышен интервал ожидания для запроса.
7 * * * Превышен интервал ожидания для запроса.
8 69 ms 108 ms 69 ms 213.248.103.181
9 116 ms 188 ms 99 ms 80.91.251.154
10 116 ms 158 ms 124 ms 80.91.251.144
11 134 ms 98 ms 123 ms 213.248.66.6
12 * 180 ms 99 ms 213.248.97.94
13 119 ms 152 ms 140 ms 193.10.252.150
14 128 ms 125 ms 180 ms 193.232.80.209
15 131 ms 132 ms 147 ms 193.232.80.78
16 * * * Превышен интервал ожидания для запроса.
17 * * * Превышен интервал ожидания для запроса.
18 156 ms 135 ms 178 ms 213.180.201.222
19 131 ms 131 ms 150 ms 87.250.243.81
20 134 ms 136 ms 151 ms 87.250.251.8

Трассировка завершена.

Пробую делать на 195.5.5.12

Из трассировки видно, какой у нас галимый провайдер(((.

P.S. Завтра попробую зайти под mikrik.
Также неработает кнопка быстрый ответ.

[x3x]

Вроде не работает.(

Оставил старое правило маркировки, создал новое - отличие есть в прохождении пакетов, т.е. в первом случае пакетов проходит больше, чем на 195.5.5.12

Хотя, может в первом случае проходят и лишние пакеты, подскажи где правильно?

[mikrik]

Привет Zhelezaka, жду твоей помощи, а ты не отвечаешь(.

Так как же мне быть? Судя из трассировки прицепиться я могу только на 195.5.5.12, хотя на мой взляд пакеты по этому направлению маркируються не точно, т.е. как бы не совсем тот траффик который мне нужен.

Предложи что нибудь?!

Еще несколько вопросов:
1. Как можно ограничить количество потоков загрузки клиента в интернет? т.е. чтобы юзер качал максимум в 4 потока!
2. До скольки карт можно повесить на Пень III чтобы машина на Микротике нормально работала?
(Просто планнирую испольховать до 4-х сетевых карт).

[Zhelezaka]

Привет извени, что не отвечал весьма занят был.

Ну начнем попорядку.
1) Насчет пароля - ошибку нашли, исправили.
2) насчет ограничить - http://forum.xdrv.ru/index.php?showtopic=33&st=640
вот тут поднята тема была
3) "Быстрый Ответ" работает (сам им всегда пользуюсь)
4) я думаю 4-е сетевухи запросто потянет (3-и точно тянет )
5) Я выскажу предположения потом попробуешь и расскажешь как у тебя там получилось, как только появится время я попробую у себя.

Так вот попробуй может поменть вместо 10.10.10.0 поставить 10.10.10.1 и прицепится к нему, а еще попробуй промаркировать айпи твоего модема.

P.S. Честно скажу такое еще не делал, но как только будет время покапаюсь.
Если чего получится, отпиши.

[mikrik]

Главное что ответил, нормально все... я ж всегда жду помощи!

Сначала ответы:
1. Ошибки исправили - спасибо, а то уже и почтовые ящики в настройках перекапывал, думал с ними проблемы...
2. Мда, нехорошо как-то получилось..., надо впредь по внимательнее самому тут все перечитать, может 80% вопросов и отпадет..., хотя нет - я таком блин придумаю!))))
3. Когда пытался написать – не работал..., теперь работает!))
4. Ну надо все-таки пробовать, т.к. вроде где-то я краем уха слышал, что 2-3 работают нормально, а вот более..., по прерываниям проблемсы...
5. IP модема маркировал, нифека(((, т.е. инет все юзаем а пакеты не промаркировуются...
На счет 10.10.10.0 и 10.10.10.1 – не особо чет вижу разницу.., но попробую...

Теперь вопросы, у мну их козырных полные карманы)) :
1. Как можно отключить страницу микротика, например ту что на 192.168.1.1? Ну или попросту заменить ее на другую? И вообще можно ли с ней такое сделать?
2. У меня в фаерволе базовые настройки, т.е. дроп разных подсетей с 192.168.*.* и не только, а так же чето разрешать, чето нет.
А я хочу конкретно, подскажи, чтобы сеть нормально функционировала какие порты надо открыть? а все остальные понятно дропить?
Пробовал по мануалу портов Микротика, открываю только то что в нем и сеть плохо начинает работать, что-то упускаю..., подскажи.
3. Достаточно ли для Ослика Emule просто открыть порт например на клиенте 10.10.10.2? Или нужно перебрасывать порт?
Хотя просто открытие порта - работает.