Ошибка при преобразовании направленной трансляции в физическую трансляцию

Directed Broadcast возможен в Router OS, но только для helper-адреса, а не для обычного широковещательного адреса подсети. То есть, например, использовать 192.168.0.255/24 как широковещательный адрес подсети не выйдет. Чтобы включить directed broadcast, вам нужно выбрать свободный IP-адрес в целевой сети и сопоставить с ним Ethernet-широковещательный адрес (FF:FF:FF:FF:FF:FF). Это можно сделать с помощью статических ARP-записей в Router OS.

На Cisco-роутерах с версии IOS 10.0 (1993 год) это делается простой командой "ip directed-broadcast". Команда выглядит так:  
ip directed-broadcast [access-list-number] | [extended access-list-number]
Подробности тут: http://www.cisco.com/en/US/docs/ios/12_3/ipaddr/command/reference/ip1_i1g.html#wp1081245

Mikrotik утверждают, что это уязвимость в безопасности. Я с ними не согласен. Просто они не хотят реализовывать эту функцию, потому что в Linux её нет, и для этого потребовалось бы менять ядро Linux, на что у них нет времени.

Вот почему я считаю, что они ошибаются:  
- Cisco имеет эту команду в IOS уже много лет, насколько мне известно, Cisco-роутеры надёжны.  
- На всех интерфейсах роутера по умолчанию directed broadcast выключен.  
- Можно использовать фильтры, чтобы ограничить широковещательные рассылки.

Мне кажется, что Mikrotik не очень заинтересованы делать Router OS по-настоящему профессиональным продуктом. Если функция не востребована у большинства клиентов и её реализация требует серьёзных усилий (например, что-то, чего нет в Linux), они просто не возьмутся за это. Ту же позицию мы видим у Mikrotik и по поводу сложных функций MPLS и IPv6, которые требуют профессиональные пользователи и провайдеры.

Это не дыра в безопасности уже много лет: с версии Cisco IOS 12.0 (2003 год) «ip directed broadcast» по умолчанию выключен. Да, мы можем использовать ARP-отображение на широковещательный адрес, но это не работает на адресе широковещательной подсети. Попробуйте сами — увидите, что придётся использовать другой адрес. В системах Linux адрес подсети всегда остаётся неиспользованным. Он мог бы использоваться как обычный адрес… не правда ли?

Я вовсе не шучу. Мне очень нравится оборудование Routerboard и Router OS, но я терпеть не могу, когда говорят, что что-то сделать нельзя из-за "дыру в безопасности". В любом программном обеспечении полно таких дыр — и в Linux, и в Router OS, а уж в системах Microsoft из-за их огромной сложности их традиционно ещё больше. Но это уже другая история. Так что, пожалуйста, перестаньте говорить «это дыра в безопасности», когда просто не хотите что-то делать. История Router OS показывает, что вы ошибались в этом: возьмём, к примеру, SSH-туннели. Сначала вы не хотели их внедрять в Router OS, но под давлением опытных пользователей сделали это несколько месяцев назад.

Mikrotik, моя цель — не быть агрессивным или негативно настроенным к вам, но я не понимаю (и знаю, что многие пользователи здесь разделяют мою точку зрения), почему вы не прислушиваетесь чуть больше к своим клиентам или не спрашиваете их мнение перед принятием решений. Особенно когда речь идет о таких важных решениях, как удаление функционала, например SSH-форвардинга или IPv6 поверх PPPoE.

Вот что вы сказали про SSH Forwarding (опубликовано: чт, 06 авг 2009, 7:46, автор Normis):  
«Эта функция была отключена, потому что представляла угрозу безопасности для тех, кто не знал о ней. Сейчас мы создаём новый SSH-пакет, где эта функция будет встроена и настраиваема (то есть вы сможете включить её, если захотите).»

Mikrotik, вам стоит быть чуть менее параноидальными и сосредоточиться на программировании. Если что-то, не нужное новичкам, потенциально может создать дыру в безопасности, пожалуйста, отключайте это через консольный переключатель, но дайте опытным администраторам возможность включить функцию. И, может быть, стоит спросить пользователей на форуме, что они думают, прежде чем делать важные и обрезающие возможности изменения.

Пользователи быстро сообщат вам, если что-то недостаточно безопасно, ведь среди них сотни продвинутых и экспертов. У вас всего несколько программистов Mikrotik. Они не могут обладать глобальным пониманием и уровнем знаний вашей пользовательской базы, даже если они лучшие программисты в мире.

Что касается SSH forwarding — администраторы не могли пользоваться им с версии RouterOS 3.25 и до версии 5.0 beta. Это очень долгий период... Это сделал многих пользователей недовольными длительное время просто потому, что вы (в одиночку) решили, что SSH forwarding не безопасен.

Для справки, вот тема про SSH forwarding: http://forum.mikrotik.com/t/v3-27-bug-ssh-port-forwarding-is-not-working/30121/1

А вот жалоба одного пользователя:  
«Кто-нибудь знает, вернулась ли функциональность SSH port forwarding в новых версиях RouterOS? Сейчас март 2010, а официального — или даже неофициального — ответа нет. Похоже, инженерный состав Mikrotik на самом деле не занимается администрированием живых сетей. С другой стороны, затягивать больше года исправление проблемы, которая возникла из-за недостатка знаний, недопустимо. Да ладно! Это всего лишь изменение #define в .config файле. Надеюсь, в последующих версиях не появится сообщения типа “ip packet forwarding failed: administratively prohibited: wee wee”. Ведь, в конце концов, пересылка пакетов между сетями может действительно вызывать проблемы с безопасностью.»