Запрос на новую функцию: Браузер в Winbox.

Суть в чём: мы присваиваем всему сетевому оборудованию приватные IP-адреса (192.168.xxx.xxx). Значит, если я вне своей сети, я не могу получить доступ к этому оборудованию без VPN в свою сеть. Иногда нам нужно быстро внести какие-то изменения в сеть, и было бы здорово иметь инструмент, чтобы делать это с любого ПК с доступом в интернет. Я могу быть на островах Тонга… просто скачал Windox и вуаля! мгновенный веб-интерфейс к моей внутренней сети! #networking #troubleshooting #remoteaccess

Я могу использовать pptp-сервер в MT, чтобы подключаться к одному из моих множества MT из любой точки интернета. Тогда мой ноутбук будет иметь приватный, фиксированный IP для доступа к внутренним сетевым серверам и устройствам. pptp + proxy arp также удобен на MT для настройки шлюзов по умолчанию или некорректно настроенных устройств в удаленных сетях, где «присутствие» необходимо.

Можно настроить переадресацию портов — с правилом брандмауэра, чтобы заблокировать определенные IP-адреса, или просто включить NAT, пока работаешь над этим и так далее. А я делаю еще шаг дальше: использую port-knock на своих устройствах, который сохраняет мой текущий WAN IP в списке адресов, которым разрешен доступ к правилам NAT для доступа к беспроводному оборудованию за Mikrotik. Работает просто отлично. И тогда я могу просто просматривать все через это.

Эх, печаль., Ручные функции убрали в последней версии Winbox.

bpwl, можешь добавить пару схем к своей идее? Я не уверен, что ты делаешь и зачем, но звучит интересно. Ты предлагаешь, чтобы пользователи подключались к роутеру по безопасному протоколу, вроде WireGuard, а потом делал что-то хитрое???

@anav. Да, я люблю делиться. Но это несколько специфично для моего стиля работы. Основная концепция — управление удаленными сетями из дома (очень далеко). Устройство сетевого монитора, назовём его MA (агент мониторинга), подключено через свой WAN к сети, которую нужно мониторить. MA видит сеть как свою WAN-сторону (с NAT и FW), у него также может быть другое WAN-интернет-соединение через другие сети для out-of-band управления и/или отказоустойчивости. MA располагается настолько глубоко в отслеживаемой сети, насколько это возможно, потому что это даёт ему наибольшую видимость этой сети (обычные настройки брандмауэра). Этот MA, следовательно, недоступен извне, это было бы серьезным риском, в любом случае он сам использует балансировку нагрузки, а публичные мобильные и спутниковые сети не дают входящего доступа. MA настраивает туннель к интернет-доступному VPN-хабу. Из этого хаба, или с устройства, туннелирующего к этому хабу, можно выполнять задачи управления. Например, MA — это hEX с DUDE, VPN-хаб — это hAP Lite дома, а mAP Lite используется для доступа во время путешествий. Обычно план адресов хорошо определен. И маршруты можно настроить с мобильного mAP Lite и VPN-хаба к нужному MA (для всех отслеживаемых удалённых сетей). Хитрости не нужны. Маршруты нужны только в одном направлении, поскольку маскирование используется во всех соединениях управления (mAP к хабу, хаб к MA, MA к удалённой сети). Все пакеты в удалённой сети рассматриваются как исходящие от MA с правильным локальным IP-адресом. Всё работает, никаких странных трюков не используется. Но иногда маршруты определены неверно. Диапазоны IP-адресов перекрываются или требуется доступ к соседней сети без маршрутизированного IP-доступа. Или есть новая подсеть, которая перекрывается или просто является временной подсетью (типичный 192.168.88.0/24 после сброса MT-устройства). Таким образом, маршрут mAP-хаб-MA не сработает. MA достижим, но целевая подсеть обычно не проходит через этот маршрут. Нам нужно несколько шагов, чтобы туда добраться. Telnet и SSH не проблема с MT, поскольку инструмент Telnet/SSH работает на MA. Браузер другой: если вы нажимаете на него как на инструмент в сетевой карте DUDE, запустится локальный браузер ПК. То же самое для WinBox. На ПК, а не на MA. Путь от ПК к месту назначения разорван. Путь от ПК к MA в порядке, как и путь от MA к месту назначения (или может быть сделан). Таким образом, требуется использование ПК в качестве исходного адреса с удалённым IP-адресом места назначения. Это одна из функций Webproxy: просмотр от имени ПК. Исходный адрес ПК с этим (недоступным) удалённым адресом назначения будет работать с браузером-прокси, установленным на MA. WinBox похожая история, но другая техника. Использование MA в качестве сервера RoMon предоставит WinBox доступ ко всем ROS-устройствам, доступным через RoMon. В качестве иллюстрации: старая и устаревшая диаграмма с mAP, резервным hAP (хаб) и hEX (MA). Wi-Fi RoMon сегодня — 60+ MT-устройств, и это только один из сайтов. (hex-mAP SSTP обычно не работает, поскольку домашняя Wi-Fi-сеть не выполняет необходимой переадресации портов, путь тогда автоматически проходит через один из hAP (хабов))

SSH-клиенты умеют делать переадресацию портов. Можно использовать динамическую переадресацию портов, а затем настроить свой локальный браузер на использование этого порта для SOCKS.

На самом деле, Winbox всё-таки имеет встроенный веб-браузер — кнопка "руководство".

Но ты же запускаешь Winbox на компьютере с Windows. А там и так свой браузер уже есть.