Mikrotik RouterOS - configuratii diverse, tricks, etc - Page 20

#343
Bx-ul

Posted 18 April 2023 - 22:03

Junior Member

Grup: Members
Posts: 176
Înscris: 04.01.2009

Eu sunt de parere ca ai putea imbunatatii poate un pic semnalul, dar e prea mult de "joaca / testat" si se poate sa iti consume prea mult timp, iar neintelegand foarte bine ce faci o sa ai mai multe frustrari si chiar daca o sa ajungi la un rezultat un pic mai bun, probabil tot nu o sa fie suficient.

Canalele alea de comunicatie folosite, gen 2422 MHz nu se seteaza din QucikSet-ul postat, deci nu modifica acolo si nu da save; ala e doar pentru o prima configurare, apoi uiti de ecranul ala (exceptie ca sa vezi colorat puterea semnalului la cei conectati atunci pe Wifi), deci nu e rau ca ai atasat poza aia. Semnalul este mai bun cand este albastru spre verde, valori sub 70 db de regula sau pana in 72-75 db ca sa nu ai probleme, ce e peste 80 poate avea pierderi de semnal serioase sau deconectari (rosu).

Sfatul meu, in fct de marimea casei, pune 1-2 AP-uri de-alea; pune unul pe perete exterior spre camera aia si vezi daca a rezolvat problema, apoi vezi daca mai ai nevoie si de al doilea. Poti lua si alt model (poate unul care sa aiba si 5 GHz ca sa il poti folosi si apoi), pe tine te intereseaza cu putere cat mai mare si sa fie pozitionat cat mai pe exteriorul casei spre camera respectiva.
Ce e interesant e ca acel router este unul cu un semnal chiar puternic, deci un SOHO oarecare probabil va avea si el oarecare probleme banuiesc. Posibil sa iti trebuiasca un AP si daca schimbi routerul, sau direct un mesh cu 2 sateliti, acum, depinde de fiecare ce vrea.

Daca vreunul din colegi are o alta parere - @cralin poate?

Nota: e bine ca ai facut update pe canlalul de 6.49.7, router OS 7 inca nu e "perfect" si nu are o versiune "long-term", ramai pe canalul de update "long-term", nu pe "stable" ca nu e pt device-ul ala.

Attached Files

Signal.png 3.48K 7 downloads

Edited by Bx-ul, 18 April 2023 - 22:10.

Back to top

#344
camsonat

Posted 18 April 2023 - 22:26

Senior Member

Grup: Senior Members
Posts: 4,195
Înscris: 09.01.2008

Casa nu e mare si in interior nu sunt probleme. Sau nu mai sunt dupa update router. Camera cu necazuri e dupa un perete de caramida la 20m distanta. Posibil ca problema sa fi aparut odata cu aparitia unui router nou prin zona.
Am inca un motiv sa urez multi ani de puscarie celor care autorizat blocuri intre case. De fostul tandem primar-arhitect sef s-a lipit "urarea".
Am mai invatat ceva zilele astea. Multumesc!

Back to top

#345
cralin

Posted 18 April 2023 - 23:49

Member

Grup: Members
Posts: 667
Înscris: 18.09.2020

Presupun ca, virgula, clientul ala cu semnal rosu din screenshot este camera wireless care ti se deconecteaza (si din cind in cind nu iti vine stream-ul video) si este dupa un perete de caramida cam la 20m de router.

Ma gindesc ca router-ul il ai in casa. Camera respectiva este camera pentru exterior (outdoor) si este montata afara ?
De cind ai conectat-o, si a mers bine, si pina azi a crescut vegetatie (pomi, boscheti, vie, trandafiri, liliac, etc.) sau alte obstacole fizice intre camera wireless si router ?

Edited by cralin, 18 April 2023 - 23:54.

Back to top

#346
camsonat

Posted 19 April 2023 - 00:10

Senior Member

Grup: Senior Members
Posts: 4,195
Înscris: 09.01.2008

Nu, clientul cu rosu era suspect si prin urmare am schimbat parola wifi. Am facut un recensamant si ala era agatat din vecini probabil. Nu dau acces nimanui in retea dar cine stie. Camera e cea cu 135 la coada, e de exterior, am montat-o de 3 ani si nu s-a interpus nimic intre ea si router in toti anii astia.

Back to top

#347
Bx-ul

Posted 19 April 2023 - 00:20

Junior Member

Grup: Members
Posts: 176
Înscris: 04.01.2009

Esti sigur ca nu e vreun IoT de care ai uitat cumva? Device-ul pare a fi un IoT si nu un PC sau smartphone. Ai ceva prin curte / garaj de care ai uitat?
L.E. In poza aia se vad MAC-urile, primele 6 caractere din MAC iti zic producatorul placii de retea, in cazul tau este un producator specializat pe IoT-uri se pare, de-aia intreb de IoT-uri uitate la numaratoare.

Edited by Bx-ul, 19 April 2023 - 00:25.

Back to top

#348
KyKyKyKy

Posted 19 April 2023 - 01:27

Guru Member

Grup: Senior Members
Posts: 23,194
Înscris: 18.04.2008

kretzu77, on 18 aprilie 2023 - 12:18, said:

Cand ai timp, pui si tu undeva pas cu pas, ca la maimute, tot procesul si toate setarile, te rog?

bun
pentru început certificatele:

/certificate add name="Home CA" common-name="Home CA" key-size=4096 days-valid=7300 key-usage=key-cert-sign,crl-sign
/certificate sign "Home CA"

/certificate add name="Home server" common-name="Home server" subject-alt-name="DNS:(și aici adaugi DDNS)" key-size=4096 days-valid=3650 key-usage=tls-server
/certificate sign "Home server" ca="Home CA"

sau dacă ai IP static:

/certificate add name="Home server" common-name="Home server" subject-alt-name="IP:(și aici adaugi IP)" key-size=4096 days-valid=3650 key-usage=tls-server
/certificate sign "Home server" ca="Home CA"

/certificate add name="Home client1" common-name="Home client1" key-size=4096 days-valid=3650 key-usage=tls-client
/certificate sign "Home client1" ca="Home CA"
/certificate export-certificate "Home client1" file-name="Home client1" type=pkcs12 export-passphrase=1234567890

numele se pot schimba pentru gestionare sau adăuga certificate suplimentare pentru clienți.
Acea parolă se reține pentru mai târziu.

și acum server-ul
Pool:

/ip pool add name=IKEv2 ranges=192.168.100.0/24

Firewall:
1. porturile și mutată desupra regulii: „action=drop rule in INPUT”

/ip firewall filter add action=accept chain=input comment="Allow IPSEC/IKE2 connections" dst-port=500,4500 protocol=udp

2. IPsec policy și trebuie să fie deasupra regulii cu fasttrack:

/ip firewall filter add action=accept chain=forward comment="Accept in ipsec policy" ipsec-policy=in,ipsec
/ip firewall filter add action=accept chain=forward comment="Accept out ipsec policy" ipsec-policy=out,ipsec

3. opțional, regula care permite comunicarea cu LAN-ul, fără a umbla la altele:

/ip firewall nat add action=masquerade chain=srcnat comment="Masquerade VPN traffic so devices see connections made from router IP" src-address=192.168.100.0/24

4. pentru a nu da rateuri pe unele servere din cauza MSS-ului ce vine fragmentat din interiorul VPN-ului:

/ip firewall mangle add action=change-mss chain=forward comment="Fix MSS for VPN server" new-mss=1360 passthrough=yes protocol=tcp src-address=192.168.100.0/24 tcp-flags=syn tcp-mss=!0-1360
/ip firewall mangle add action=change-mss chain=forward comment="Fix MSS for VPN server" dst-address=192.168.100.0/24 new-mss=1360 passthrough=yes protocol=tcp tcp-flags=syn tcp-mss=!0-1360

și acum setările IKEv2:

/ip ipsec mode-config add address-pool=vpn name=IKEv2
/ip ipsec policy group add name=IKEv2
/ip ipsec profile add dh-group=ecp256,modp4096,modp2048,modp1024 enc-algorithm=aes-256,aes-128,3des name=IKEv2 prf-algorithm=sha1
/ip ipsec peer add exchange-mode=ike2 name=IKEv2 passive=yes profile=IKEv2
/ip ipsec proposal add auth-algorithms=sha256,sha1 enc-algorithms=chacha20poly1305,aes-256-cbc,aes-128-cbc name=IKEv2 pfs-group=none
/ip ipsec identity add auth-method=digital-signature certificate="Home server" comment="Home client1" generate-policy=port-strict match-by=certificate mode-config=IKEv2 peer=vpn policy-template-group=IKEv2 remote-certificate="Home client1"
/ip ipsec policy add comment=IKEv2 group=IKEv2 proposal=IKEv2 template=yes

Acum vine partea interesantă.
Pentru Android avem așa:
1. Descărcăm fișierul .p12 pe telefon sau calculator și ulterior îl transferăm pe telefon.
2. Deschidem fișierul de pe telefon, îl instalăm selectând Certificat VPN.
3. Deschidem setările VPN și notăm:
Nume: nu contează, poate fi orice
Tip: IKEv2/IPsec RSA
Adresă Server: DDNS-ul sau IP (depinde cum s-au făcut certificatele)
Identificator IPsec: Neutilizat
Certificat IPsec: Home Client sau ce nume a fost pus certificatului
Certificat CA IPsec: Home Client sau ce nume a fost pus certificatului
Certificat server IPsec: Primit de la server

Salvare și test.
De preferat testul să fie pe o rețea diferită, gen rețeaua mobilă. Dacă în LAN este un server este cel mai bun test. Eu am testat cu server-ele FTP din LAN și a mers fără probleme. Chiar am făcut un server HTTP de transfer pe telefon pe care l-am putut accesa de pe laptop.

Dacă acestea merg, urmează Windows:
Având fișierul p.12 descărcat în Windows îl deschidem.
Selectăm Local Machine (Computer Local), next, next, parola de mai sus, bifăm Mark this key as exportable (Marchează această cheie ca exportabilă), next, selectăm Place all certificates in the following store și alegem Personal, next, finish.
Acum cerificatul este în sistem, dar cum își dă seama Windows când trebuie să-l folosească? Acum îl învățăm.

În Windows Search scriem Certificat, apoi ne apare Gestionare Certificate Computer (Manage computer certificates) pe care îl deschidem. Vom avea dosarul Personal (pe care dăm click), apoi Certificates. Acolo vor fi două certificate. lăsăm deschis acel dosar și căutăm pe sub dosarul Personal, un alt dosar numit Trusted Root Certification Authorities (Autorități rădăcină de certificare de încredere), apoi în cel va fi un dosar Certificates
Vom muta certificatul Home CA (sau CA sau certificatul ce aparține serverului de tip „CA”) din Personal/Certificates în dosarul Trusted Root Certification Authorities/Certificates folosind mouse-ul (drag and drop).
Bun, acum certificatul se află printre cele folosite de Windows în diverse procese. Dar cum ne va folosi asta?

După ce am mutat certificatul, dăm dreapta cick pe el, mergem la All Tasks (Toate activitățile), apoi pe Export. Next, selectăm opțiunea cu DER, next, selectăm o locație (eu am folosit dosarul de la Intel din C:/Intel Posted Image

), apoi selectăm finish.
Locația nu trebuie să fie prea grea sau cine știe unde pusă.

Bun, avem un certificat exportat, dar de ce? Windows are un VPN IKEv2 făcut cu două mâini stângi ce trebuie dat mură-n gură, așa că vom folosi Windows Search și vom deschide Power Shell și vom scrie:

Add-VpnConnection `
-Name MikroTik_IKEv2 `
-ServerAddress DDNS sau IP `
-TunnelType IKEv2 `
-AuthenticationMethod MachineCertificate `
-EncryptionLevel maximum `
-MachineCertificateIssuerFilter 'locație_fișier\nume_certificat.cer'

lovim enter, iar dacă nu apar erori, înseamnă că e gata.
Facem teste și vedem cum merge.

Back to top

#349
fabian23

Posted 19 April 2023 - 08:28

Active Member

Grup: Members
Posts: 1,608
Înscris: 06.03.2005

KyKyKyKy, on 19 aprilie 2023 - 01:27, said:

bun
pentru început certificatele:

/certificate add name="Home CA" common-name="Home CA" key-size=4096 days-valid=7300 key-usage=key-cert-sign,crl-sign
/certificate sign "Home CA"

La nivel de amator/material didactic merge dar in productie nu semnezi certificatele clientului cu root CA. Daca ajunge in mainile gresite ai compromis securitatea.

1) PKI-ul este: root CA -> intermediate CA -> client certificate.

2) Chiar ai nevoie de masca pe 24 de biti pentru clienti?

Edited by Ravy, 19 April 2023 - 08:53.

Back to top

#350
KyKyKyKy

Posted 19 April 2023 - 09:24

Guru Member

Grup: Senior Members
Posts: 23,194
Înscris: 18.04.2008

Nu.
Dar pe acel pool mai fac niște teste și las un pool întreg.

Back to top

#351
camsonat

Posted 19 April 2023 - 10:06

Senior Member

Grup: Senior Members
Posts: 4,195
Înscris: 09.01.2008

Bx-ul, on 19 aprilie 2023 - 00:20, said:

Esti sigur ca nu e vreun IoT de care ai uitat cumva? Device-ul pare a fi un IoT si nu un PC sau smartphone. Ai ceva prin curte / garaj de care ai uitat?
L.E. In poza aia se vad MAC-urile, primele 6 caractere din MAC iti zic producatorul placii de retea, in cazul tau este un producator specializat pe IoT-uri se pare, de-aia intreb de IoT-uri uitate la numaratoare.

Da, era un telefon vechi pe care deseneaza cea mica. Eram cam obosit si pana nu am facut o lista cu ip si mac nu le-am dat de cap.

Back to top

#352
marchand

Posted 19 April 2023 - 10:31

Member

Grup: Members
Posts: 725
Înscris: 26.06.2008

KyKyKyKy, on 19 aprilie 2023 - 01:27, said:

3. opțional, regula care permite comunicarea cu LAN-ul, f�r� a umbla la altele:

/ip firewall nat add action=masquerade chain=srcnat comment="Masquerade VPN traffic so devices see connections made from router IP" src-address=192.168.100.0/24

Regula 3 putin probabil sa faca ce zice in descriere ca face .

Back to top

#353
KyKyKyKy

Posted 19 April 2023 - 12:35

Guru Member

Grup: Senior Members
Posts: 23,194
Înscris: 18.04.2008

Am făcut o probă pe LAN uitându-mă dacă se modifică numărul de pachete când accesez LAN-ul și se modifică.
Ar mai fi și aia cu drop all not coming from LAN, dar acolo am văzut că sunt păreri împărțite.

Back to top

#354
marchand

Posted 19 April 2023 - 13:18

Member

Grup: Members
Posts: 725
Înscris: 26.06.2008

[b]Masquerade[/b]
Firewall NAT action=masquerade is unique subversion of action=srcnat, it was designed for specific use in
situations when public IP can randomly change, for example DHCP-server changes it, or PPPoE tunnel after disconnect gets different IP, in short - when public IP is dynamic.

Regula respectiva da acces internet utilizatorilor care au ip-ul in subnetul 192.168.100.0/24 .

Edited by marchand, 19 April 2023 - 13:19.

Back to top

#355
Bx-ul

Posted 19 April 2023 - 14:52

Junior Member

Grup: Members
Posts: 176
Înscris: 04.01.2009

camsonat, on 19 aprilie 2023 - 10:06, said:

....i pana nu am facut o lista cu ip si mac nu le-am dat de cap.

Vezi ca telefoanele pot avea MAC dinamic, adica nu e mereu acelasi, asadar sa nu cauti mereu (peste o luna) MAC-ul ala pe telefonul respectiv si sa crezi ca ai incurcat device-urile daca nu il gasesti, asta e just as info.

Back to top

#356
ogo

Posted 19 April 2023 - 15:55

Senior Member

Grup: Senior Members
Posts: 4,537
Înscris: 07.03.2006

/offtopic
se poate seta sa dai block la private random mac

adica la:

x2:xx:xx:xx:xx:xx
x6:xx:xx:xx:xx:xx
xA:xx:xx:xx:xx:xx
xE:xx:xx:xx:xx:xx

cum e rfc1918 pt ipv4 asa e si Locally Administered Address Ranges

si tot ce vine asa via wifi pleaca pe un vlan fara internet si cu un captive portal sa "rupa" ochii cu un motiv de genul: ca din motive de securitate accesul nu este permis - please disable private wi-fi address
da' nu stiu cum e asta la mikrotik

Back to top

#357
kretzu77

Posted 19 April 2023 - 17:20

Custom title

Grup: Senior Members
Posts: 17,443
Înscris: 06.06.2006

KyKyKyKy, on 19 aprilie 2023 - 01:27, said:

/certificate add name="Home server" common-name="Home server" subject-alt-name="DNS:(și aici adaugi DDNS)" key-size=4096 days-valid=3650 key-usage=tls-server

Merg mai multe adrese aici? Adica mai multe dns-uri, gen subject-alt-name=DNS:ddns1.com,DNS:ddns2.com,DNS:ddns3.com?

Multam

Back to top

#358
Bx-ul

Posted 20 April 2023 - 00:22

Junior Member

Grup: Members
Posts: 176
Înscris: 04.01.2009

ogo, on 19 aprilie 2023 - 15:55, said:

/offtopic
se poate seta sa dai block la private random mac Posted Image

adica la:

x2:xx:xx:xx:xx:xx
x6:xx:xx:xx:xx:xx
xA:xx:xx:xx:xx:xx
xE:xx:xx:xx:xx:xx

cum e rfc1918 pt ipv4 asa e si Locally Administered Address Ranges

si tot ce vine asa via wifi pleaca pe un vlan fara internet si cu un captive portal sa "rupa" ochii cu un motiv de genul: ca din motive de securitate accesul nu este permis - please disable private wi-fi address
da' nu stiu cum e asta la mikrotik Posted Image

din ce stiu se poate doar pentru hotspot dar poate nu stiu bine, eu mi-am trecut userii pe "use device MAC",totusi, m-ai facut curios daca si cum se face asta pe Tik
Avand in in vedere ca 2 / 4 / 6 / A / E sunt singurele elemente comune, si ca poti avea (sigur vei avea) acelasi manufacturer pentru doua device-uri nu poti face o logica bazata pe fabricant pentru ca poti ajunge sa detectezi un device A ca fiind B si sa ii aloci IP-ul lui B in loc de A, daca B nu e in retea (de exemplu).

Citind ce zici tu mi-ai amintit ca fix asta zicea cineva si la ei pe forum, vezi posturile #12 si #17 de aici https://forum.mikrot...ic.php?t=168682
Daca stii raspunsul la intrebarea ta, pe Tik (adica daca ti-l aduci aminte), ne luminezi si pe noi cu un dram din experienta ta? - Preferabil o modalitate prin care sa nu ramana userul fara net. Incercasem ceva la un moment dat dar am ramas fara net pe un telefon si am pus pe device mac pocitania ca aveam treaba.

Back to top

#359
fabian23

Posted 20 April 2023 - 08:43

Active Member

Grup: Members
Posts: 1,608
Înscris: 06.03.2005

kretzu77, on 19 aprilie 2023 - 17:20, said:

Merg mai multe adrese aici? Adica mai multe dns-uri, gen subject-alt-name=DNS:ddns1.com,DNS:ddns2.com,DNS:ddns3.com?

Multam

Da, SAN-ul securizeaza multiple FQDN-uri.

Te sfatuiesc sa citesti documentatia x509 altfel o sa o dai in bara de tot.

Edited by Ravy, 20 April 2023 - 09:13.

Back to top

#360
kretzu77

Posted 25 April 2023 - 00:43

Custom title

Grup: Senior Members
Posts: 17,443
Înscris: 06.06.2006

KyKyKyKy, on 19 aprilie 2023 - 01:27, said:

și acum setările IKEv2:

/ip ipsec mode-config add address-pool=vpn name=IKEv2
/ip ipsec policy group add name=IKEv2
/ip ipsec profile add dh-group=ecp256,modp4096,modp2048,modp1024 enc-algorithm=aes-256,aes-128,3des name=IKEv2 prf-algorithm=sha1
/ip ipsec peer add exchange-mode=ike2 name=IKEv2 passive=yes profile=IKEv2
/ip ipsec proposal add auth-algorithms=sha256,sha1 enc-algorithms=chacha20poly1305,aes-256-cbc,aes-128-cbc name=IKEv2 pfs-group=none
/ip ipsec identity add auth-method=digital-signature certificate="Home server" comment="Home client1" generate-policy=port-strict match-by=certificate mode-config=IKEv2 peer=vpn policy-template-group=IKEv2 remote-certificate="Home client1"
/ip ipsec policy add comment=IKEv2 group=IKEv2 proposal=IKEv2 template=yes

fix la prima linie de mai sus imi da eroare "input does not match any value of address-pool"

Edited by kretzu77, 25 April 2023 - 00:43.

Back to top

Anunturi

Chirurgia spinală minim invazivă

Chirurgia spinală minim invazivă oferă pacienților oportunitatea unui tratament eficient, permițându-le o recuperare ultra rapidă și nu în ultimul rând minimizând leziunile induse chirurgical.

Echipa noastră utilizează un spectru larg de tehnici minim invazive, din care enumerăm câteva: endoscopia cu variantele ei (transnazală, transtoracică, transmusculară, etc), microscopul operator, abordurile trans tubulare și nu în ultimul rând infiltrațiile la toate nivelurile coloanei vertebrale.

www.neurohope.ro

Mikrotik RouterOS - configuratii diverse, tricks, etc

#343 Bx-ul Posted 18 April 2023 - 22:03

Attached Files

#344 camsonat Posted 18 April 2023 - 22:26

#345 cralin Posted 18 April 2023 - 23:49

#346 camsonat Posted 19 April 2023 - 00:10

#347 Bx-ul Posted 19 April 2023 - 00:20

#348 KyKyKyKy Posted 19 April 2023 - 01:27

#349 fabian23 Posted 19 April 2023 - 08:28

#350 KyKyKyKy Posted 19 April 2023 - 09:24

#351 camsonat Posted 19 April 2023 - 10:06

#352 marchand Posted 19 April 2023 - 10:31

#353 KyKyKyKy Posted 19 April 2023 - 12:35

#354 marchand Posted 19 April 2023 - 13:18

#355 Bx-ul Posted 19 April 2023 - 14:52

#356 ogo Posted 19 April 2023 - 15:55

#357 kretzu77 Posted 19 April 2023 - 17:20

#358 Bx-ul Posted 20 April 2023 - 00:22

#359 fabian23 Posted 20 April 2023 - 08:43

#360 kretzu77 Posted 25 April 2023 - 00:43

Anunturi

▶ 0 user(s) are reading this topic

Sign In

#343
Bx-ul

Posted 18 April 2023 - 22:03

#344
camsonat

Posted 18 April 2023 - 22:26

#345
cralin

Posted 18 April 2023 - 23:49

#346
camsonat

Posted 19 April 2023 - 00:10

#347
Bx-ul

Posted 19 April 2023 - 00:20

#348
KyKyKyKy

Posted 19 April 2023 - 01:27

#349
fabian23

Posted 19 April 2023 - 08:28

#350
KyKyKyKy

Posted 19 April 2023 - 09:24

#351
camsonat

Posted 19 April 2023 - 10:06

#352
marchand

Posted 19 April 2023 - 10:31

#353
KyKyKyKy

Posted 19 April 2023 - 12:35

#354
marchand

Posted 19 April 2023 - 13:18

#355
Bx-ul

Posted 19 April 2023 - 14:52

#356
ogo

Posted 19 April 2023 - 15:55

#357
kretzu77

Posted 19 April 2023 - 17:20

#358
Bx-ul

Posted 20 April 2023 - 00:22

#359
fabian23

Posted 20 April 2023 - 08:43

#360
kretzu77

Posted 25 April 2023 - 00:43