Jump to content

SUBIECTE NOI
« 1 / 5 »
RSS
La multi ani @fiuny!

Ghiocei - nu mai infloresc

Laowa 10mm F/2.8 pentru FF

Daca imi fac casa cu fosa, cat co...
 Navigatie Octavia 3

Cum obtin reducere la Bolt? Sau e...

Garantie reciclabile, monopolizata?

Suport auto biciclete
 A murit Vasile Diba 1954-2024

A postat pe tiktok o varianta cu ...

Sfat curațare TEI

Shell script pentru 3 update-uri ...
 Pareri plita cu inductie cu hota ...

"Incident" in mall

Credit si avans cu plata cash - l...

alternativa pentru artelac night ...
 

Mikrotik RouterOS - configuratii diverse, tricks, etc

* * * * * 3 votes
  • Please log in to reply
429 replies to this topic

#343
Bx-ul

Bx-ul

    Junior Member

  • Grup: Members
  • Posts: 176
  • Înscris: 04.01.2009
Eu sunt de parere ca ai putea imbunatatii poate un pic semnalul, dar e prea mult de "joaca / testat" si se poate sa iti consume prea mult timp, iar neintelegand foarte bine ce faci o sa ai mai multe frustrari si chiar daca o sa ajungi la un rezultat un pic mai bun, probabil tot nu o sa fie suficient.

Canalele alea de comunicatie folosite, gen 2422 MHz nu se seteaza din QucikSet-ul postat, deci nu modifica acolo si nu da save; ala e doar pentru o prima configurare, apoi uiti de ecranul ala (exceptie ca sa vezi colorat puterea semnalului la cei conectati atunci pe Wifi), deci nu e rau ca ai atasat poza aia. Semnalul este mai bun cand este albastru spre verde, valori sub 70 db de regula sau pana in 72-75 db ca sa nu ai probleme, ce e peste 80 poate avea pierderi de semnal serioase sau deconectari (rosu).

Sfatul meu, in fct de marimea casei, pune 1-2 AP-uri de-alea; pune unul pe perete exterior spre camera aia si vezi daca a rezolvat problema, apoi vezi daca mai ai nevoie si de al doilea. Poti lua si alt model (poate unul care sa aiba si 5 GHz ca sa il poti folosi si apoi), pe tine te intereseaza cu putere cat mai mare si sa fie pozitionat cat mai pe exteriorul casei spre camera respectiva.
Ce e interesant e ca acel router este unul cu un semnal chiar puternic, deci un SOHO oarecare probabil va avea si el oarecare probleme banuiesc. Posibil sa iti trebuiasca un AP si daca schimbi routerul, sau direct un mesh cu 2 sateliti, acum, depinde de fiecare ce vrea.

Daca vreunul din colegi are o alta parere - @cralin poate?

Nota: e bine ca ai facut update pe canlalul de 6.49.7, router OS 7 inca nu e "perfect" si nu are o versiune "long-term", ramai pe canalul de update "long-term", nu pe "stable" ca nu e pt device-ul ala.

Attached Files


Edited by Bx-ul, 18 April 2023 - 22:10.


#344
camsonat

camsonat

    Senior Member

  • Grup: Senior Members
  • Posts: 4,078
  • Înscris: 09.01.2008
Casa nu e mare si in interior nu sunt probleme. Sau nu mai sunt dupa update router. Camera cu necazuri e dupa un perete de caramida la 20m distanta. Posibil ca problema sa fi aparut odata cu aparitia unui router nou prin zona.
Am inca un motiv sa urez multi ani de puscarie celor care autorizat blocuri intre case. De fostul tandem primar-arhitect sef s-a lipit "urarea".
Am mai invatat ceva zilele astea. Multumesc!

#345
cralin

cralin

    Member

  • Grup: Members
  • Posts: 608
  • Înscris: 18.09.2020
Presupun ca, virgula, clientul ala cu semnal rosu din screenshot este camera wireless care ti se deconecteaza (si din cind in cind nu iti vine stream-ul video) si este dupa un perete de caramida cam la 20m de router.


Ma gindesc ca router-ul il ai in casa. Camera respectiva este camera pentru exterior (outdoor) si este montata afara ?
De cind ai conectat-o, si a mers bine, si pina azi a crescut vegetatie (pomi, boscheti, vie, trandafiri, liliac, etc.) sau alte obstacole fizice intre camera wireless si router ?

Edited by cralin, 18 April 2023 - 23:54.


#346
camsonat

camsonat

    Senior Member

  • Grup: Senior Members
  • Posts: 4,078
  • Înscris: 09.01.2008
Nu, clientul cu rosu era suspect si prin urmare am schimbat parola wifi. Am facut un recensamant si ala era agatat din vecini probabil. Nu dau acces nimanui in retea dar cine stie. Camera e cea cu 135 la coada, e de exterior, am montat-o de 3 ani si nu s-a interpus nimic intre ea si router in toti anii astia.

#347
Bx-ul

Bx-ul

    Junior Member

  • Grup: Members
  • Posts: 176
  • Înscris: 04.01.2009
Esti sigur ca nu e vreun IoT de care ai uitat cumva? Device-ul pare a fi un IoT si nu un PC sau smartphone. Ai ceva prin curte / garaj de care ai uitat?
L.E. In poza aia se vad MAC-urile, primele 6 caractere din MAC iti zic producatorul placii de retea, in cazul tau este un producator specializat pe IoT-uri se pare, de-aia intreb de IoT-uri uitate la numaratoare.

Edited by Bx-ul, 19 April 2023 - 00:25.


#348
KyKyKyKy

KyKyKyKy

    Guru Member

  • Grup: Senior Members
  • Posts: 23,125
  • Înscris: 18.04.2008

View Postkretzu77, on 18 aprilie 2023 - 12:18, said:

Cand ai timp, pui si tu undeva pas cu pas, ca la maimute, tot procesul si toate setarile, te rog?
bun
pentru început certificatele:
/certificate add name="Home CA" common-name="Home CA" key-size=4096 days-valid=7300 key-usage=key-cert-sign,crl-sign
/certificate sign "Home CA"

/certificate add name="Home server" common-name="Home server" subject-alt-name="DNS:(și aici adaugi DDNS)" key-size=4096 days-valid=3650 key-usage=tls-server
/certificate sign "Home server" ca="Home CA"

sau dacă ai IP static:

/certificate add name="Home server" common-name="Home server" subject-alt-name="IP:(și aici adaugi IP)" key-size=4096 days-valid=3650 key-usage=tls-server
/certificate sign "Home server" ca="Home CA"


/certificate add name="Home client1" common-name="Home client1" key-size=4096 days-valid=3650 key-usage=tls-client
/certificate sign "Home client1" ca="Home CA"
/certificate export-certificate "Home client1" file-name="Home client1" type=pkcs12 export-passphrase=1234567890

numele se pot schimba pentru gestionare sau adăuga certificate suplimentare pentru clienți.
Acea parolă se reține pentru mai târziu.

și acum server-ul
Pool:
/ip pool add name=IKEv2 ranges=192.168.100.0/24
Firewall:
1. porturile și mutată desupra regulii: „action=drop rule in INPUT”
/ip firewall filter add action=accept chain=input comment="Allow IPSEC/IKE2 connections" dst-port=500,4500 protocol=udp


2. IPsec policy și trebuie să fie deasupra regulii cu fasttrack:
/ip firewall filter add action=accept chain=forward comment="Accept in ipsec policy" ipsec-policy=in,ipsec
/ip firewall filter add action=accept chain=forward comment="Accept out ipsec policy" ipsec-policy=out,ipsec

3. opțional, regula care permite comunicarea cu LAN-ul, fără a umbla la altele:
/ip firewall nat add action=masquerade chain=srcnat comment="Masquerade VPN traffic so devices see connections made from router IP" src-address=192.168.100.0/24

4. pentru a nu da rateuri pe unele servere din cauza MSS-ului ce vine fragmentat din interiorul VPN-ului:
/ip firewall mangle add action=change-mss chain=forward comment="Fix MSS for VPN server" new-mss=1360 passthrough=yes protocol=tcp src-address=192.168.100.0/24 tcp-flags=syn tcp-mss=!0-1360
/ip firewall mangle add action=change-mss chain=forward comment="Fix MSS for VPN server" dst-address=192.168.100.0/24 new-mss=1360 passthrough=yes protocol=tcp tcp-flags=syn tcp-mss=!0-1360


și acum setările IKEv2:
/ip ipsec mode-config add address-pool=vpn name=IKEv2
/ip ipsec policy group add name=IKEv2
/ip ipsec profile add dh-group=ecp256,modp4096,modp2048,modp1024 enc-algorithm=aes-256,aes-128,3des name=IKEv2 prf-algorithm=sha1
/ip ipsec peer add exchange-mode=ike2 name=IKEv2 passive=yes profile=IKEv2
/ip ipsec proposal add auth-algorithms=sha256,sha1 enc-algorithms=chacha20poly1305,aes-256-cbc,aes-128-cbc name=IKEv2 pfs-group=none
/ip ipsec identity add auth-method=digital-signature certificate="Home server" comment="Home client1" generate-policy=port-strict match-by=certificate mode-config=IKEv2 peer=vpn policy-template-group=IKEv2 remote-certificate="Home client1"
/ip ipsec policy add comment=IKEv2 group=IKEv2 proposal=IKEv2 template=yes


Acum vine partea interesantă.
Pentru Android avem așa:
1. Descărcăm fișierul .p12 pe telefon sau calculator și ulterior îl transferăm pe telefon.
2. Deschidem fișierul de pe telefon, îl instalăm selectând Certificat VPN.
3. Deschidem setările VPN și notăm:
Nume: nu contează, poate fi orice
Tip: IKEv2/IPsec RSA
Adresă Server: DDNS-ul sau IP (depinde cum s-au făcut certificatele)
Identificator IPsec: Neutilizat
Certificat IPsec: Home Client sau ce nume a fost pus certificatului
Certificat CA IPsec: Home Client sau ce nume a fost pus certificatului
Certificat server IPsec: Primit de la server

Salvare și test.
De preferat testul să fie pe o rețea diferită, gen rețeaua mobilă. Dacă în LAN este un server este cel mai bun test. Eu am testat cu server-ele FTP din LAN și a mers fără probleme. Chiar am făcut un server HTTP de transfer pe telefon pe care l-am putut accesa de pe laptop.

Dacă acestea merg, urmează Windows:
Având fișierul p.12 descărcat în Windows îl deschidem.
Selectăm Local Machine (Computer Local), next, next, parola de mai sus, bifăm Mark this key as exportable (Marchează această cheie ca exportabilă), next, selectăm Place all certificates in the following store și alegem Personal, next, finish.
Acum cerificatul este în sistem, dar cum își dă seama Windows când trebuie să-l folosească? Acum îl învățăm.

În Windows Search scriem Certificat, apoi ne apare Gestionare Certificate Computer (Manage computer certificates) pe care îl deschidem. Vom avea dosarul Personal (pe care dăm click), apoi Certificates. Acolo vor fi două certificate. lăsăm deschis acel dosar și căutăm pe sub dosarul Personal, un alt dosar numit Trusted Root Certification Authorities (Autorități rădăcină de certificare de încredere), apoi în cel va fi un dosar Certificates
Vom muta certificatul Home CA (sau CA sau certificatul ce aparține serverului de tip „CA”) din Personal/Certificates în dosarul Trusted Root Certification Authorities/Certificates folosind mouse-ul (drag and drop).
Bun, acum certificatul se află printre cele folosite de Windows în diverse procese. Dar cum ne va folosi asta?

După ce am mutat certificatul, dăm dreapta cick pe el, mergem la All Tasks (Toate activitățile), apoi pe Export. Next, selectăm opțiunea cu DER, next, selectăm o locație (eu am folosit dosarul de la Intel din C:/Intel Posted Image), apoi selectăm finish.
Locația nu trebuie să fie prea grea sau cine știe unde pusă.

Bun, avem un certificat exportat, dar de ce? Windows are un VPN IKEv2 făcut cu două mâini stângi ce trebuie dat mură-n gură, așa că vom folosi Windows Search și vom deschide Power Shell și vom scrie:
Add-VpnConnection `
-Name MikroTik_IKEv2 `
-ServerAddress DDNS sau IP `
-TunnelType IKEv2 `
-AuthenticationMethod MachineCertificate `
-EncryptionLevel maximum `
-MachineCertificateIssuerFilter 'locație_fișier\nume_certificat.cer'


lovim enter, iar dacă nu apar erori, înseamnă că e gata.
Facem teste și vedem cum merge.

#349
fabian23

fabian23

    Active Member

  • Grup: Members
  • Posts: 1,581
  • Înscris: 06.03.2005

View PostKyKyKyKy, on 19 aprilie 2023 - 01:27, said:

bun
pentru început certificatele:
/certificate add name="Home CA" common-name="Home CA" key-size=4096 days-valid=7300 key-usage=key-cert-sign,crl-sign
/certificate sign "Home CA"


La nivel de amator/material didactic merge dar in productie nu semnezi certificatele clientului cu root CA. Daca ajunge in mainile gresite ai compromis securitatea.

1) PKI-ul este: root CA -> intermediate CA -> client certificate.

2) Chiar ai nevoie de masca pe 24 de biti pentru clienti?

Edited by Ravy, 19 April 2023 - 08:53.


#350
KyKyKyKy

KyKyKyKy

    Guru Member

  • Grup: Senior Members
  • Posts: 23,125
  • Înscris: 18.04.2008
Nu.
Dar pe acel pool mai fac niște teste și las un pool întreg.

#351
camsonat

camsonat

    Senior Member

  • Grup: Senior Members
  • Posts: 4,078
  • Înscris: 09.01.2008

View PostBx-ul, on 19 aprilie 2023 - 00:20, said:

Esti sigur ca nu e vreun IoT de care ai uitat cumva? Device-ul pare a fi un IoT si nu un PC sau smartphone. Ai ceva prin curte / garaj de care ai uitat?
L.E. In poza aia se vad MAC-urile, primele 6 caractere din MAC iti zic producatorul placii de retea, in cazul tau este un producator specializat pe IoT-uri se pare, de-aia intreb de IoT-uri uitate la numaratoare.
Da, era un telefon vechi pe care deseneaza cea mica. Eram cam obosit si pana nu am facut o lista cu ip si mac nu le-am dat de cap.

#352
marchand

marchand

    Member

  • Grup: Members
  • Posts: 711
  • Înscris: 26.06.2008

View PostKyKyKyKy, on 19 aprilie 2023 - 01:27, said:

3. opțional, regula care permite comunicarea cu LAN-ul, fără a umbla la altele:
/ip firewall nat add action=masquerade chain=srcnat comment="Masquerade VPN traffic so devices see connections made from router IP" src-address=192.168.100.0/24


Regula 3 putin probabil sa faca ce zice in descriere ca face .

#353
KyKyKyKy

KyKyKyKy

    Guru Member

  • Grup: Senior Members
  • Posts: 23,125
  • Înscris: 18.04.2008
Am făcut o probă pe LAN uitându-mă dacă se modifică numărul de pachete când accesez LAN-ul și se modifică.
Ar mai fi și aia cu drop all not coming from LAN, dar acolo am văzut că sunt păreri împărțite.

#354
marchand

marchand

    Member

  • Grup: Members
  • Posts: 711
  • Înscris: 26.06.2008
[b]Masquerade[/b]
Firewall NAT action=masquerade is unique subversion of action=srcnat, it was designed for specific use in
situations when public IP can randomly change, for example DHCP-server changes it, or PPPoE tunnel after disconnect gets different IP, in short - when public IP is dynamic.


Regula respectiva da acces internet utilizatorilor care au ip-ul in subnetul 192.168.100.0/24 .

Edited by marchand, 19 April 2023 - 13:19.


#355
Bx-ul

Bx-ul

    Junior Member

  • Grup: Members
  • Posts: 176
  • Înscris: 04.01.2009

View Postcamsonat, on 19 aprilie 2023 - 10:06, said:

....i pana nu am facut o lista cu ip si mac nu le-am dat de cap.

Vezi ca telefoanele pot avea MAC dinamic, adica nu e mereu acelasi, asadar sa nu cauti mereu (peste o luna) MAC-ul ala pe telefonul respectiv si sa crezi ca ai incurcat device-urile daca nu il gasesti, asta e just as info.

#356
ogo

ogo

    Senior Member

  • Grup: Senior Members
  • Posts: 4,489
  • Înscris: 07.03.2006
/offtopic
se poate seta sa dai block la private random mac :)
adica la:
  • x2:xx:xx:xx:xx:xx
  • x6:xx:xx:xx:xx:xx
  • xA:xx:xx:xx:xx:xx
  • xE:xx:xx:xx:xx:xx
cum e rfc1918 pt ipv4 asa e si  Locally Administered Address Ranges

si tot ce vine asa via wifi pleaca pe un vlan fara internet si cu un captive portal sa "rupa" ochii cu un motiv de genul: ca din motive de securitate accesul nu este permis - please disable private wi-fi address
da' nu stiu cum e asta la mikrotik :D

#357
kretzu77

kretzu77

    Custom title

  • Grup: Senior Members
  • Posts: 17,225
  • Înscris: 06.06.2006

View PostKyKyKyKy, on 19 aprilie 2023 - 01:27, said:

/certificate add name="Home server" common-name="Home server" subject-alt-name="DNS:(și aici adaugi DDNS)" key-size=4096 days-valid=3650 key-usage=tls-server

Merg mai multe adrese aici? Adica mai multe dns-uri, gen subject-alt-name=DNS:ddns1.com,DNS:ddns2.com,DNS:ddns3.com?

Multam

#358
Bx-ul

Bx-ul

    Junior Member

  • Grup: Members
  • Posts: 176
  • Înscris: 04.01.2009

View Postogo, on 19 aprilie 2023 - 15:55, said:

/offtopic
se poate seta sa dai block la private random mac Posted Image
adica la:
  • x2:xx:xx:xx:xx:xx
  • x6:xx:xx:xx:xx:xx
  • xA:xx:xx:xx:xx:xx
  • xE:xx:xx:xx:xx:xx
cum e rfc1918 pt ipv4 asa e si  Locally Administered Address Ranges

si tot ce vine asa via wifi pleaca pe un vlan fara internet si cu un captive portal sa "rupa" ochii cu un motiv de genul: ca din motive de securitate accesul nu este permis - please disable private wi-fi address
da' nu stiu cum e asta la mikrotik Posted Image


din ce stiu se poate doar pentru hotspot dar poate nu stiu bine, eu mi-am trecut userii pe "use device MAC",totusi, m-ai facut curios daca si cum se face asta pe Tik
Avand in in vedere ca 2 / 4 / 6 / A / E sunt singurele elemente comune, si ca poti avea (sigur vei avea) acelasi manufacturer pentru doua device-uri nu poti face o logica bazata pe fabricant pentru ca poti ajunge sa detectezi un device A ca fiind B si sa ii aloci IP-ul lui B in loc de A, daca B nu e in retea (de exemplu).

Citind ce zici tu mi-ai amintit ca fix asta zicea cineva si la ei pe forum, vezi posturile #12 si #17 de aici https://forum.mikrot...ic.php?t=168682
Daca stii raspunsul la intrebarea ta, pe Tik (adica daca ti-l aduci aminte), ne luminezi si pe noi cu un dram din experienta ta? - Preferabil o modalitate prin care sa nu ramana userul fara net. Incercasem ceva la un moment dat dar am ramas fara net pe un telefon si am pus pe device mac pocitania ca aveam treaba.

#359
fabian23

fabian23

    Active Member

  • Grup: Members
  • Posts: 1,581
  • Înscris: 06.03.2005

View Postkretzu77, on 19 aprilie 2023 - 17:20, said:

Merg mai multe adrese aici? Adica mai multe dns-uri, gen subject-alt-name=DNS:ddns1.com,DNS:ddns2.com,DNS:ddns3.com?

Multam
Da, SAN-ul securizeaza multiple FQDN-uri.

Te sfatuiesc sa citesti documentatia x509 altfel o sa o dai in bara de tot.

Edited by Ravy, 20 April 2023 - 09:13.


#360
kretzu77

kretzu77

    Custom title

  • Grup: Senior Members
  • Posts: 17,225
  • Înscris: 06.06.2006

View PostKyKyKyKy, on 19 aprilie 2023 - 01:27, said:

și acum setările IKEv2:
/ip ipsec mode-config add address-pool=vpn name=IKEv2
/ip ipsec policy group add name=IKEv2
/ip ipsec profile add dh-group=ecp256,modp4096,modp2048,modp1024 enc-algorithm=aes-256,aes-128,3des name=IKEv2 prf-algorithm=sha1
/ip ipsec peer add exchange-mode=ike2 name=IKEv2 passive=yes profile=IKEv2
/ip ipsec proposal add auth-algorithms=sha256,sha1 enc-algorithms=chacha20poly1305,aes-256-cbc,aes-128-cbc name=IKEv2 pfs-group=none
/ip ipsec identity add auth-method=digital-signature certificate="Home server" comment="Home client1" generate-policy=port-strict match-by=certificate mode-config=IKEv2 peer=vpn policy-template-group=IKEv2 remote-certificate="Home client1"
/ip ipsec policy add comment=IKEv2 group=IKEv2 proposal=IKEv2 template=yes


fix la prima linie de mai sus imi da eroare "input does not match any value of address-pool"

Edited by kretzu77, 25 April 2023 - 00:43.


Anunturi

Chirurgia spinală minim invazivă Chirurgia spinală minim invazivă

Chirurgia spinală minim invazivă oferă pacienților oportunitatea unui tratament eficient, permițându-le o recuperare ultra rapidă și nu în ultimul rând minimizând leziunile induse chirurgical.

Echipa noastră utilizează un spectru larg de tehnici minim invazive, din care enumerăm câteva: endoscopia cu variantele ei (transnazală, transtoracică, transmusculară, etc), microscopul operator, abordurile trans tubulare și nu în ultimul rând infiltrațiile la toate nivelurile coloanei vertebrale.

www.neurohope.ro

0 user(s) are reading this topic

0 members, 0 guests, 0 anonymous users

Forumul Softpedia foloseste "cookies" pentru a imbunatati experienta utilizatorilor Accept
Pentru detalii si optiuni legate de cookies si datele personale, consultati Politica de utilizare cookies si Politica de confidentialitate