+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Странная проблема с типом адреса srd/dst 'local'

Странная проблема с типом адреса srd/dst 'local', RouterOS

alphalt

Guest

02.03.2024 11:01:00

Всем привет! Я провожу тесты с настройкой домашнего роутера и, похоже, не могу заставить работать совпадение dst-address-type=local. Я просто добавляю первое правило в цепочку input вот так: chain=input action=passthrough protocol=icmp dst-address-type=local src-address-list=local-addr log=no log-prefix="". Затем делаю ping на 192.168.1.254, а счётчик не увеличивается. Адрес 192.168.1.254 назначен интерфейсу eth5. Когда смотрю трафик через torch, вижу, что ICMP-пакеты приходят с адресом назначения 192.168.1.254. Если убрать dst-address-type=local из правила, счётчик начинает расти. Интересно, что если инвертировать правило с dst-address-type=local, счётчик всё равно не увеличивается. Я толком не понимаю, в чём проблема. Всё должно быть просто, но по какой-то странной причине это не работает, как ожидается. Кстати, у меня RouterOS версии 7.14. Буду признателен, если у кого-то есть идеи, как это диагностировать.

ПОДРОБНОСТИ: Небольшое обновление. Если добавить вышеупомянутое правило с dst-address-type=local сразу, оно работает — счётчики растут. Потом меняю правило так, чтобы оно начинало блокировать пакеты — например, добавляю src-address-type=local, что явно не будет соответствовать пакетам. Затем возвращаю всё обратно, как было с dst-address-type=local, и правило перестаёт работать (по крайней мере, счётчики не растут). Чтобы всё снова заработало, приходится удалить и создать правило заново. Кстати, как я писал выше, если убрать dst-address-type=local, то работает без проблем.

ПОДРОБНОСТИ 2: У меня есть ещё одна машина с RouterOS версии 6.49.10, и описанного выше поведения там нет — этот роутер работает, как и положено. Может, это какой-то баг? Кто-нибудь может проверить на версии 7.14?

С уважением,

Lokamaya

Guest

24.03.2024 23:42:00

Я протестировал это на цепочке Mangle prerouting: dst-address-type=local или src-address-type=local. Похоже, что в prerouting известен только один — либо источник, либо назначение. Кстати, это работает на цепочке Mangle input, dst-address-type=local или src-address-type=local.

alphalt

Guest

25.03.2024 08:00:00

Спасибо, что проверили! Под «работает» вы имеете в виду, что у вас тоже такая же проблема, как и у меня — после того, как меняешь правило обратно на исходное, оно перестает работать? У меня так: если добавить только правила с dst-address-type=local, то счетчики считаются, если добавить еще и src-address-type=local — счетчики перестают считать пакеты, а если удалить правило с src-address-type=local, то всё равно не работает, даже если оно выглядит точно так же, как правило номер 1. Затем я обнаружил, что добавление src-address-type=unicast, а потом его удаление помогает вернуть исходное поведение правила, как в пункте (1). В начале марта я создал баг-репорт, но от Mikrotik так и не получил ответа. Жду. С уважением

alphalt

Guest

03.05.2024 22:48:00

Есть кто-нибудь, кто работает на ROS 7.14 или 7.15 и готов пошагово протестировать проблему, как я описал в первом письме? Очень бы оценил вашу помощь. Проблема в том, что я создал баг-репорт 3 месяца назад, и от MT так и не получил никакого ответа. Было бы здорово, если бы кто-то ещё смог воспроизвести эту проблему. Вам не нужно удалять или менять свои существующие правила. Просто добавьте новое правило для теста, поиграйтесь с address-type=local и оставьте здесь результаты. Пользователь Lokamaya уже тестировал, но это было на цепочке Mangle, и я так и не получил информацию о версии ROS или используемом железе. У меня тоже нет проблем на других устройствах с 6.x. А вот на устройстве с 7.x эта проблема есть. С уважением,

anav

Guest

03.05.2024 23:43:00

Я бы предпочёл не играть в «а что если я сделаю это или то» с конфигурацией — бессмысленно. Вместо этого лучше сразу обозначить реальность и требования:
а) определить пользователя(ей)/устройство(а) и группы пользователей/устройств, включая себя как администратора;
б) определить, какой трафик им нужно обеспечить для выполнения задач.

Конфигурация возникнет естественным образом из продуманных и детализированных требований, а сетевые схемы помогут в этом процессе.

esipoko Guest	#6 0 30.08.2024 13:03:00 У меня такая же проблема в версии 7.15.3. Dest type= local заставляет пакеты пропускаться, даже пакеты winbox!

Guntis Guest	#7 0 30.08.2024 13:08:00 Первоначальный отчёт был исправлен в релизе 7.16 - *) firewall — исправлена проблема с отменой установки src-address-type;

A9691 Guest	#8 0 12.05.2025 06:44:00 Интересно, доступен ли параметр dst-address-type до маршрутизации, в правиле mangle? Для этого хотя бы нужно было бы сделать поиск по списку адресов роутера. Вполне возможно, но если роутер является шлюзом для большого количества VLAN, то список адресов будет длинным, и его придётся обрабатывать для каждого пакета, который достигает этого правила. Я не уверен, что это так и работает. Цепочка chain=input обрабатывается после маршрутизации, и в процессе принятия решения о маршруте dst-address-type уже может быть определён. Мне это кажется логичнее. К тому же в chain=input, скорее всего, dst-address-type должен быть local, я не думаю, что он всё ещё ссылается на dst-address из prerouting.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры