http://mikrotik.moscow Новое в теме 2.9 Точка доступа - динамические правила брандмауэра ломают статические. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 13:13:52 -0400 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Спасибо за ответ, Normis. Попробую это и посмотрю, что получится. Моя первая реакция на это решение в том, что нам придется добавлять отдельное правило для каждого устройства (чтобы добавить в список обхода), но если это сделает то, что нужно, мы будем рады. Напишу снова, как попробуем это на живой сети.
13.03.2006 17:38:00, jarosoup.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261026 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261026 Mon, 13 Mar 2006 17:38:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Опять приходится переписывать свою проблему… Никто не дает ответ или возможности разобраться → сейчас коротко объясню свою конфигурацию и проблемы → использую Cisco роутер для frame-relay и для предоставления доступа публичным адресам. Использую Mikrotik для домашних пользователей (приватные адреса) и для контроля скорости публичных адресов (через очередь). Есть 3 LAN порта на MT: LAN 1 > исходящий интерфейс (подключен к Cisco роутеру), LAN 2 > входящий интерфейс для пользователей с приватными адресами (они выходят в сеть через LAN 1 как один публичный адрес), LAN 3 > входящий интерфейс для пользователей с публичными адресами (они выходят в сеть через LAN 1 как они есть). Весь трафик приходит в один коммутатор и идет на MT с двумя кабелями в LAN2 и LAN3. В версии 2.8.28 все работало хорошо… но в 2.9.14 у меня следующие проблемы: половина публичных адресов перестала работать ??? Hotspot принимает их в hosts и переводит в приватные адреса, которые тоже не работают !!! Некоторые пользователи с приватными адресами… Я сделал правила файрвола, которые блокируют весь трафик публичных адресов на LAN2 и весь трафик с приватных адресов на LAN3… Но в ARP-таблице я вижу некоторые (несколько) приватных адресов, а также в hotspot/hosts я вижу некоторые публичные адреса… Зачем я вообще поставил Hotspot server и всё это на LAN2, если он берет адреса с LAN3?.. Любой ответ будет хорошим ответом…
13.03.2006 16:56:00, milance.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261025 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261025 Mon, 13 Mar 2006 16:56:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Правила брандмауэра динамических точек доступа защищают только клиентов точек доступа. Обошедшие стороной устройства этим правилам не соответствуют. Все точки доступа внутри точки доступа необходимо настроить как обошедшие стороной хосты, чтобы обеспечить им полный доступ извне. Кто-нибудь хочет мониторить обычного клиента точки доступа? Не проблема — просто добавьте IP вашего SNMP-сервера в список “/ip hotspot walled-garden ip”. Есть ли какие-то случаи, которые я здесь не затронул?
13.03.2006 09:30:00, normis.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261024 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261024 Mon, 13 Mar 2006 09:30:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Посмотри, сколько раз запустился этот джоб… если 0 — значит, он еще ни разу не запустился. (с момента последней перезагрузки). Сэм.
10.03.2006 16:29:00, changeip.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261023 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261023 Fri, 10 Mar 2006 16:29:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Может, проверять время безотказной работы системы (то есть срабатывать, если оно меньше 60 секунд)?
10.03.2006 04:49:00, jarosoup.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261022 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261022 Fri, 10 Mar 2006 04:49:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Предположим, пойдем по пути со скриптом… Следующий вопрос, который закрался в мою голову, это как заставить его запускаться ПРИ КАЖДОЙ перезагрузке? Есть ли способ определить, что СИСТЕМА перезагрузилась, и чтобы скрипт запускался, как AUTOEXEC.BAT?
10.03.2006 01:55:00, fivenetwork.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261021 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261021 Fri, 10 Mar 2006 01:55:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Попробую убрать их и написать свои правила… Это должно решить проблему… Не думаю, что это сработает… Если ты удалишь эти правила, то при следующей перезагрузке они все вернутся. Наверное, можно попробовать использовать скрипт, чтобы он вручную удалял их… хотя, все равно не кажется правильным решением.
09.03.2006 16:30:00, jarosoup.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261020 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261020 Thu, 09 Mar 2006 16:30:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
В чём смысл? Ты МОЖЕШЬ запускать скрипт один раз после каждой перезагрузки. Так что просто добавь скрипт туда, и всё должно быть готово. В чём суть, я потратил кучу времени за последние 2 года, разбираясь с модулем Hotspot (с версии 2.7), а Mikrotik отказывался исправлять последний баг в ветке 2.8, потому что наконец-то вышла 2.9 (хотя они знали об этом и имели золотой файл поддержки, доказывающий, в чём проблема). Я наконец-то начал переводить наши Hotspot 2.8 на 2.9, и тут выяснилось, что есть серьёзная проблема с дизайном, которая ломает функциональность того, что у нас есть в поле (проблема с динамическим файрволом). Поведение правил динамического файрвола кажется странным… может быть, это только мне кажется, но вставлять правила динамического файрвола в начало списка - плохая идея. Да, скрипт это решит в некоторой степени, но, на мой взгляд, это не решение. В целом, мы довольны тем, что делает Mikrotik, и хотим продолжать использовать их для Hotspot - мы уж точно приобрели достаточно лицензий, чтобы показать нашу приверженность этому продукту. Было бы неплохо, если бы Mikrotik хотя бы ответили на этот вопрос - было бы неплохо, если бы они хотя бы сообщили о планах изменения этого поведения.
09.03.2006 16:28:00, jarosoup.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261019 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261019 Thu, 09 Mar 2006 16:28:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Да, Кристиан, думаю, ты прав… Попробую написать скрипт сегодня вечером. Потому что обнаружил, что динамические правила прыжков, сделанные Hotspot, не подходят для моей конфигурации (они ловят все интерфейсы со всеми адресами). Попытаюсь удалить их и написать свои правила… Это должно решить проблему. С наилучшими пожеланиями.
09.03.2006 12:50:00, milance.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261018 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261018 Thu, 09 Mar 2006 12:50:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
В чём смысл? Ты МОЖЕШЬ запускать скрипт один раз после каждой перезагрузки. Так что добавь скрипт туда, и, должно быть, всё будет в порядке. И если ты отключаешь/включаешь точку доступа вручную (что опять вызывает проблему), ты можешь просто запустить скрипт вручную, верно? С наилучшими пожеланиями, Кристиан Мейс.
09.03.2006 08:34:00, cmit.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261017 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261017 Thu, 09 Mar 2006 08:34:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Привет! Этот костыль в скрипте — полная халтура. Если нагрузка на процессор не очень большая, то можно запускать его каждые 5 минут, или даже каждую минуту.
09.03.2006 02:06:00, fivenetwork.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261016 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261016 Thu, 09 Mar 2006 02:06:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Да, запуск скрипта сработает. Легче просто войти в систему сразу после перезагрузки и переставить правила, если это запланированная перезагрузка и мы подключены к сети для этого. Наша самая большая проблема в том, что мы отслеживаем состояние "в сети/не в сети" и опрашиваем SNMP более чем с 40 устройств, стоящих за этим. Когда порядок правил меняется после перезагрузки, мы получаем почти 100 оповещений о том, что всё отключено, а затем ещё раз, когда мы переставляем правила, о том, что всё снова в сети. У нас есть несколько других сетей с меньшим количеством устройств, но с той же проблемой. Возможно, чтобы помочь Mikrotik, я предлагаю, чтобы динамические правила не вставлялись в начало списка, а вставлялись в конец, после всех статических правил. В идеале, расположение (как перед, так и после) статических правил должно оставаться прежним — например, точка доступа знает, где они существовали в списке. Но редко нам нужно размещать правила брандмауэра после динамических правил точки доступа. То, что динамические правила всегда будут находиться внизу списка, подошло бы нам на данный момент.
08.03.2006 17:16:00, jarosoup.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261015 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261015 Wed, 08 Mar 2006 17:16:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
И рискнуть, что это не будет работать целый час, пока не выполнится скрипт? Не могли бы мы определить, когда происходит "это" (ну, сами знаете что), и запустить скрипт в этот самый момент?
08.03.2006 16:47:00, dot-bot.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261014 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261014 Wed, 08 Mar 2006 16:47:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Кто-то сказал мне, что нужно не использовать пул. И я тоже пробовал со статическими адресами… Результат всегда один и тот же = тупой Динамический Hotspot Rule… Лучший вопрос к поддержке Mikrotik: как отключить эти правила, я напишу свои…
08.03.2006 15:53:00, milance.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261013 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261013 Wed, 08 Mar 2006 15:53:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Нет, это последняя версия! Mikrotik Support, что думаете, в чем проблема? С уважением,
08.03.2006 15:34:00, maroon.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261012 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261012 Wed, 08 Mar 2006 15:34:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Я тестирую 2.9.14??? Есть ли какая-нибудь более новая версия???
08.03.2006 15:02:00, milance.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261011 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261011 Wed, 08 Mar 2006 15:02:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Та же проблема. Счётчики статических правил показывают ерунду… всегда 0. Мне кажется, это баг. Попробуйте последнюю версию Mikrotik…
08.03.2006 13:03:00, maroon.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261010 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261010 Wed, 08 Mar 2006 13:03:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Ну, можно как-то обойти это… напиши скрипт, чтобы перенести статичное правило в начало таблицы, и настроить его запуск каждый час. Это временное решение, но поможет, пока MT не придумает нормальный фикс.
08.03.2006 03:56:00, fivenetwork.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261009 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261009 Wed, 08 Mar 2006 03:56:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
И ещё у меня та же проблема с новой версией Mikrotik 2.9.x. Я могу писать правила сколько угодно, а Mikrotik всё равно делает как будто это правила динамического Hotspot... Кто знает решение этой проблемы???
07.03.2006 08:44:00, milance.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261008 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261008 Tue, 07 Mar 2006 08:44:00 -0500 RouterOS 2.9 Точка доступа - динамические правила брандмауэра ломают статические. RouterOS в форуме RouterOS.
Я уже задавал этот вопрос здесь и службе поддержки, но ответа (или понимания) проблемы так и нет. Когда вы создаете Hotspot и активируете его, создаются динамические правила брандмауэра. Если добавить новое статичное правило, например, правило dst-nat, которое перенаправляет порт на внутреннее устройство, всё работает нормально до перезагрузки роутера. После перезагрузки (или если вы отключаете и снова включаете Hotspot) динамические правила брандмауэра для Hotspot становятся первыми в списке, поэтому ваши статические правила никогда не выполняются, поскольку правила Hotspot срабатывают первыми (и, в конечном итоге, блокируют запрос перенаправления порта от внутреннего устройства). Обратите внимание, что это не о том, чтобы обходить IP-адреса пользователей из Hotspot. Это правила перенаправления nat для внешних запросов к внутренним устройствам. Например, у меня есть AP bridge внутри сети Hotspot, и я хочу удалённо подключиться к нему по SSH. Если я создаю правило destination-nat, которое принимает dst-port 12345 и nat-to 192.168.1.10 port 22, то я настраиваю мой локальный SSH-клиент на подключение к IP-адресу Hotspot, порт 12345. У кого-нибудь возникало такое? Есть ли что-то, что я могу сделать, чтобы разрешить прохождение целой кучи статических правил dst-nat к внутренним устройствам без того, чтобы правила брандмауэра Hotspot ломали всю нашу внешнюю сеть мониторинга? Во всех версиях 2.8 порядок правил брандмауэра никогда не менялся. Почему это происходит в 2.9?
07.03.2006 06:48:00, jarosoup.]]> http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261007 http://mikrotik.moscow/forum/forum57/66995-2.9-tochka-dostupa-_-dinamicheskie-pravila-brandmauera-lomayut-staticheskie./message261007 Tue, 07 Mar 2006 06:48:00 -0500 RouterOS