Рубрика: Mikrotik

mikrotik / winbox packet sniffer / wireshark

Автор записи Автор: Evgeny Yakovlev
Дата записи 2023/07/19

https://www.wireshark.org/

0. Первым делом открываем Wireshark, выбираем интерфейс, на котором хотим “сниффить”  
и устанавливаем следующий фильтр:

udp port 37008

1. А теперь самое интересное – подключаемся к MikroTik’у через WinBox, переходим в раздел Tools далее Packet Sniffer и настраиваем Streaming

Полезное для wireshark:

Включить отображение Packet Datagram
Edit -> Preference -> Layout
Выбрать вторую и в панелях выставить:
Pane 1: Packet list
Pane 2: Packet Details
Pane 3: Packet Diagram

Не забудьте включить Show Field Value в окошке Packet Datagram для отображения данных из пакета на картинке справа:)

Mikrotik

Mikrotik / vlan / винегрет из vlan

Автор записи Автор: Evgeny Yakovlev
Дата записи 2022/02/10

Ссылки:

https://wiki.mikrotik.com/wiki/Manual:Bridge_VLAN_Table
https://help.mikrotik.com/docs/display/ROS/VLAN




 



Настройка VLAN в MikroTik, trunk и access порты

https://habr.com/ru/post/578126/
https://deps.ua/knowegable-base-ru/primery-tehnicheskih-reshenij/9154.html
https://lanmarket.ua/stats/bazovye-osnovy-nastroyki-vlan-v-routeros-na-oborudovanii-mikrotik-vlan-dlya-chaynikov-segmentatsiya/
https://bozza.ru/art-353.html

Несколько вариантов настройки vlan \ винегрет

0. В интерфейсах
И на интерфейсы навешивать vlan

1. В бриджах

2. В настройках switch чипа

access \ untagged port \ cнемаем vlan tag \ конечные устройства ничего не знают tag


0. Создаем бридж
/interface bridge
add name=bridge1 vlan-filtering=yes

1. Создаем vlan на порту, pvid 50
/interface vlan
add interface=bridge1 name=bridge1.50 vlan-id=50

2. Добавляем порт в бридж и устанавливаем ему vlan, pvid=50
/interface bridge port
add bridge=bridge1 interface=ether2 pvid=50

3. Настраиваем поведение vlan на Access port
/interface bridge vlan
add bridge=bridge1 tagged=bridge1 untagged=ether2 vlan-ids=50

4. Далее настраиваем IP \DHCP \ DNS \ default route \ romon
/ip pool
add name=dhcp_pool1 ranges=192.168.50.2-192.168.50.254
/ip dhcp-server
add address-pool=dhcp_pool1 disabled=no interface=bridge1.50 name=dhcp2
/ip address
add address=192.168.50.1/24 interface=bridge1.50 network=192.168.50.0
/ip dhcp-server network
add address=192.168.50.0/24 gateway=192.168.50.1
/ip dns
set servers=8.8.8.8
/ip route
add distance=1 gateway=172.16.5.10
/tool romon
set enabled=yes

Первый роутер:Trunk port \ Tagged port \ тег не снимаем \ конечное устройство должно уметь в tag


Продолжаем настройку
0. Создаем бридж bridge1.100
/interface vlan
add interface=bridge1 name=bridge1.100 vlan-id=100

1. Включаем тегирование на портах
/interface bridge vlan
add bridge=bridge1 tagged=bridge1,ether3,ether4 untagged=ether2 vlan-ids=50
add bridge=bridge1 tagged=bridge1,ether3,ether4 vlan-ids=100

2. Не забываем добавить порты в бридж
/interface bridge port
add bridge=bridge1 interface=ether3
add bridge=bridge1 interface=ether4


3. Добавляем ip для bridge1.100
/ip address
add address=192.168.100.1/24 interface=bridge1.100 network=192.168.100.0

4. Далее настраиваем IP \ DHCP для bridge1.100
/ip pool
add name=dhcp_pool2 ranges=192.168.100.2-192.168.100.254
/ip dhcp-server
add address-pool=dhcp_pool2 disabled=no interface=bridge1.100 name=dhcp3
/ip dhcp-server network
add address=192.168.100.0/24 gateway=192.168.100.1

Второй роутер: Trunk port \ Tagged port \ тег не снимаем \ конечное устройство должно уметь в tag

0. Первым делом включаем фильтрацию vlan
/interface bridge
add ingress-filtering=no name=bridge1 vlan-filtering=yes

1. Создаем интерфейсы vlan 50 \ 100
/interface vlan
add interface=bridge1 name=bridge1.50 vlan-id=50
add interface=bridge1 name=bridge100 vlan-id=100

2.Добовляем порты в бридж и настраиваем access на портах ether3 \ ether4
/interface bridge port
add bridge=bridge1 ingress-filtering=no interface=ether1
add bridge=bridge1 ingress-filtering=no interface=ether2
add bridge=bridge1 ingress-filtering=no interface=ether3 pvid=50
add bridge=bridge1 ingress-filtering=no interface=ether4 pvid=100

3. Настраиваем vlan Trank и Access
/interface bridge vlan
add bridge=bridge1 tagged=bridge1,ether1 untagged=ether3 vlan-ids=50
add bridge=bridge1 tagged=bridge1,ether1 untagged=ether4 vlan-ids=100

4. Для проверки включи dhcp-clietn
/ip dhcp-client
add interface=bridge1
add interface=bridge1.50
add interface=bridge100

Romo позволяет подключится через другой mikrotik
/tool romon
set enabled=yes

Третий роутер: Trunk port \ Tagged port \ тег не снимаем \ конечное устройство должно уметь в tag

Тут все аналогично второму роутеру

/interface bridge
add ingress-filtering=no name=bridge1 vlan-filtering=yes

/interface vlan
add interface=bridge1 name=bridge1.50 vlan-id=50
add interface=bridge1 name=bridge1.100 vlan-id=100

/interface bridge port
add bridge=bridge1 interface=ether1
add bridge=bridge1 interface=ether2
add bridge=bridge1 interface=ether3 pvid=50
add bridge=bridge1 interface=ether4 pvid=100

/interface bridge vlan
add bridge=bridge1 tagged=bridge1,ether1 untagged=ether3 vlan-ids=50
add bridge=bridge1 tagged=bridge1,ether1,bridge1.100 untagged=ether4 vlan-ids=100

/ip dhcp-client
add interface=bridge1
add interface=bridge1.100
add interface=bridge1.50

/tool romon
set enabled=yes

Mikrotik

Mikrotik / socks 5 / proxy / dante

Автор записи Автор: Evgeny Yakovlev
Дата записи 2022/01/20

info:

Начиная с прошивки 6.47 на канале stable маршрутизаторы(роутеры) MikroTik начали поддерживать долгожданную функцию proxy сервера Socks5

Настройка:

0. Активация Socks5:
IP -> Socks

1. Создание учётной записи для Socks5:
IP -> Socks -> Users

2. Ограничения
IP ->  Socks -> Access
В этом разделе можно определять правила access и deny, создавая некоторые ограничения для использования Socks.

3. Так же для работы прокси необходимо разрешить port в input
IP -> Firewall

4. Для клиента не обходимо будет настроить браузер "Proxy -> Manual Proxy -> Socks5".

Настройка в консоли:

/ip socks
set enabled=yes port=24572 version=5
/ip socks users
add name=YO_USER_NAME password=YO_PASSWORD

Dante docker

docker pull dijedodol/simple-socks5-server
docker run -it --rm -p 1080:1080 -e 'SSS_USERNAME=your_username' -e 'SSS_PASSWORD=your_password' dijedodol/simple-socks5-server

Dante свой велосипед на debian \ ubuntu

0. Ставим пакеты:
apt-get update
apt-get upgrade
apt-get install build-essential libwrap0-dev libpam0g-dev libkrb5-dev libsasl2-dev
apt-get install libwrap0 libwrap0-dev
apt-get install gcc make
apt-get install cron

1. Качаем dante
cd /opt
wget https://www.inet.no/dante/files/dante-1.4.1.tar.gz
tar -xvf dante-1.4.1.tar.gz
cd dante-1.4.1

2. Ставим
mkdir /home/dante
./configure --prefix=/home/dante
make
make install

3. Создаем конфиг
vim  /home/dante/danted.conf
----------------------------
logoutput: syslog /var/log/danted.log
internal: eth0 port = 1080
external: eth0
 
socksmethod: username
user.privileged: root
user.unprivileged: nobody
 
client pass {
    from: 0.0.0.0/0 to: 0.0.0.0/0
    log: error
}
 
socks pass {
    from: 0.0.0.0/0 to: 0.0.0.0/0
    command: connect
    log: error
    method: username
}
----------------------------

4. Пример настройки автозапуска (Лучше рассмотреть запуск через systemd)
# нам нужно удостовериться, что сервис запустится при перезагрузке
crontab -e
# вставьте в crontab
SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=your_email@some_mail.com
# запуск сервера как демона
/home/dante/sbin/sockd -f /home/dante/danted.conf -D

5.  Создаем пользователя для socks proxy
sudo useradd --shell /usr/sbin/nologin -m sockduser && sudo passwd sockduser


6. Пример простого firewall ufw на ubuntu (В принципе можно настроить iptables)
# - Инструкция - # https://wiki.dieg.info/socks
sudo apt install ufw
sudo ufw status
sudo ufw allow ssh
sudo ufw allow proto tcp from any to any port 1080
sudo ufw status numbered
sudo ufw enable

Mikrotik Конспект

mikrotik / mail / backup / send message

Автор записи Автор: Evgeny Yakovlev
Дата записи 2020/10/24

mail основные параметры

/tool e-mail

address - IPv4/v6 адрес, SMTP сервера

from - имя или название почтового ящика, который будет показан получателю

password - пароль, который используется для аутентификации на SMTP сервере. 
В этом случае аутентификации не будет шифроваться. Для включения шифрования можно использовать функцию start-tls

port - порт SMTP сервера, по умолчанию 25

start-tls - может принимать значения no, yes и tls-only - разрешает только TLS шифрования без поддержки SSL

user - имя пользователя, которое будет использоваться для аутентификации на SMTP сервере.

e-mail sender / параметры отправки

/tool e-mail send

body - тело письма

cc - данный параметр позволяет поставить в копию дополнительных получателей

file - позволяет добавлять один или несколько файлов во вложении к письму

from - название или почтовый адрес, который будет показан как отправитель. 
Если ничего не указано, то будет взят from, который указывался при настройке сервера SMTP

password - пароль, который используется для аутентификации на SMTP сервере. 
Если ничего не указано, то будет взят password, который указывался при настройке сервера SMTP


port - порт SMTP сервера. 
Если ничего не указано, то будет взят port, который указывался при настройке сервера

server - адрес SMTP сервера. Если не указано, то используется параметр сервера, указанный при настройке

start-tls - использовать ли TLS шифрование

subject - тема письма

to - адрес получателя, которому предназначено письмо

user - имя пользователя, для аутентификации на сервере. 
Если не указано, то будет использоваться user из настроек сервера.

gmail настройка

Заходим в Tools -> Email.

Вводим адрес smtp сервера Gmail:
173.194.69.108

Port:
587

Start TLS:
yes

From:
ваша mail@gmail.com

User:
ваша почта (до знака @)

Password:
ваш пароль

Настройка почты в командной строке mikrotik:

!!! Без шифрования
/tool e-mail set server=192.168.1.34 set port=25 from=”mnmikrotik@mndomain.ru”

!!! Есть шифрование TLS (gmail)
/tool e-mail set address= 192.168.1.34
set port=587 
set from=mail@gmail.com
set user= "ваша почта (до знака @)"
set password= "ваш пароль"


!!! Проверка 
send to=mnadmin@mndomain.ru subject="HW!" body="Hello World!" start-tls=yes

NetWatch Пример с отправкой уведомления

На кладке Host заполняем:
Host - ip адрес которые будет пинговать
interval - через какае время утилита будет отсылать пакеты (по умолчанию 1 минута)
timeout - в течении которого времени должен прийти ответ (по умолчанию 1000 мс - 1 сек)

На вкладке Up прописываем скипт, который будет выполняться при появлении линка:
tool e-mail send to=mail@gmail.com  subject="Тема письма" body="Текст письма"

На вкладке Down прописываем скрипт который будет выполняться при обрыве линка:
tool e-mail send to=mail@gmail.com  subject="Тема письма" body="Текст письма"

Send backup to mail


Скрипт, который будет делать бэкап конфигурации роутера:
/export file=export /tool e-mail send to="mail@gmail.com"subject="$[/system identity get name] export" \ body="$[/system clock get date] configuration file" file=export.rsc

Скрипт на выгрузку конфигурации в планировщик:
/system scheduler add on-event="export-send" start-time=00:00:00 interval=24

Теперь каждый день нам на почту mail@gmail.com будет приходить свежая выгрузка резервной копии конфигурации нашего роутера.

Mikrotik

mikrotik watchdog / NetWatch / перезагрузка при проблемах / auto / reboot / restart / enable / disable / interface

Автор записи Автор: Evgeny Yakovlev
Дата записи 2020/10/24

NetWatch, перезапуск интерфейса в случи недоступности шлюза

Tool → NetWatch
NetWatch - умеет очень многое делать с интерфейсами.
Халявный VPN работает не всегда стабильно, в мое случае это пропадал шлюз 1.0.0.1.
Подключение не рвется, но доступ к веб ресурсам  работающим через vpn пропадает.
Решение банальное, пингуем шлюз 1.0.0.1 раз в 5 мин, если шлюз не доступен, 
перезапускам vpn-client public-vpn-119.opengw.net.
 


При down public-vpn-84.opengw.net:
interface l2tp-client disable public-vpn-84.opengw.net;
delay 2;
interface l2tp-client enable public-vpn-84.opengw.net;


В консоле: 
/tool netwatch
add down-script="interface l2tp-client disable public-vpn-119.opengw.net;\r\
    \ndelay 2;\r\
    \ninterface l2tp-client enable public-vpn-119.opengw.net;\r\
    \n" host=1.0.0.1 interval=5m

Встроенный WatchDog, перезагрузка устройства

Заходим в System -> Watchdog

Watchdog Timer ставим галочку для активации функции.
Watch Address — IP адрес, который будем пинговать, рекомендуется ставить адрес шлюза провайдера
Ping Start After Boot — интервал времени через который устройство будет пинговать IP адрес

Если требуется отправить уведомление о сбое на почту, заполняем следующие поля:
!!! Tools -> Email нужно предварительно настроить
Send Email To — почта на которую отправить уведомление
Send Email From — Email адрес отправителя. 
Send SMTP Server — SMTP сервер.



!!! На картинке ниже, каждый час наше устройство будет пинговать 8.8.8.8, как только они будут недоступны, MikroTik перезагрузится.

Mikrotik

mikrotik маркировка трафика / обход блокировки / vpn клиент

Автор записи Автор: Evgeny Yakovlev
Дата записи 2020/02/09

ссылки

https://habr.com/ru/post/467471/ - статья с картинками, "Душевный Mikrotik против бездушного РКН и такого же провайдера"
https://habr.com/ru/post/359268/
Простой обход блокировки сайтов Ростелекомом на маршрутизаторе MikroTik

https://weblance.com.ua/317-obhod-blokirovki-saytov-so-storony-provaydera-na-mikrotik-routeros.html
https://lantorg.com/article/nastrojka-vpn-cherez-mikrotik-pptp-i-pppoe
https://habr.com/ru/post/413049/ - Настройка BGP для обхода блокировок, версия 3, без VPS
https://habr.com/ru/post/435070/ - Введение в Layer 3 Firewall MikroTik

https://www.vpngate.net/en/ - дофига всякого VPN
https://www.softether.org/ - программа для VPN благодаря которой появился ресурс такой как www.vpngate.net

https://www.youtube.com/watch?v=7TNrETiNKAc - про скрипы на микротик

Создаем адрес лист с нужным доменами:

/ip firewall address-list
add address=rutracker.org list=site_block_provider
add address=nnmclub.to list=site_block_provider
add address=pi-hole.net list=site_block_provider
add address=loveread.ec list=site_block_provider

Пример настройки vpn клиента

https://www.vpngate.net/en/ - дофига всякого VPN

/ppp profile
add name=public-vpn use-encryption=yes use-ipv6=no

/interface l2tp-client
add allow=mschap2 connect-to=public-vpn-119.opengw.net disabled=no ipsec-secret=vpn name=public-vpn-119.opengw.net password=vpn profile=public-vpn use-ipsec=yes user=vpn

Настройка MANGALE, маркируем трафик для сайтов из листа site_block_provider , из сети 192.168.0.0/24(наша локалка)

/ip firewall mangle
add action=mark-routing chain=prerouting dst-address-list=site_block_provider new-routing-mark=site_block_provider passthrough=yes src-address=192.168.0.0/24

Настройка NAT

/ip firewall nat
add action=masquerade chain=srcnat comment="PUBLIC VPN" out-interface=public-vpn-119.opengw.net

Маршрут для помеченных site_block_provider маршрутов

/ip route
add distance=1 gateway=public-vpn-119.opengw.net routing-mark=site_block_provider

Немого firewall

/ip firewall filter
add action=accept chain=input comment="Allow icpm" protocol=icmp
add action=accept chain=input comment="Allow input lan  control" dst-port=8291 in-interface=LAN protocol=tcp
add action=accept chain=input comment="Allow  established, releated" connection-state=established,related

add action=drop chain=input comment="Public VPN input DROP" in-interface=public-vpn-119.opengw.net

add action=drop chain=input comment=HEAD_INVALID connection-state=invalid log-prefix=invalif
add action=drop chain=input comment="Drop input" in-interface=WAN log-prefix=_DROP_INPUT

add action=accept chain=forward comment="ALLOW VPN PUBLIC TO LAN" dst-port=80,443 in-interface=LAN out-interface=public-vpn-119.opengw.net protocol=tcp

add action=accept chain=forward comment="Allow established, releated" connection-state=established,related
add action=drop chain=forward comment="Deny Forward" connection-nat-state="" in-interface=GW log=yes log-prefix=_DROP_FORWARD

Костыль или решение проблемы с подключением к ресурсам:

Халявный VPN работает не всегда стабильно, в мое случае это пропадал шлюз 1.0.0.1.
Подключение не рвется, но доступ к веб ресурсам  работающим через vpn пропадает.
Решение банальное, пингуем шлюз 1.0.0.1 раз в 5 мин, если шлюз не доступен, 
перезапускам vpn-client public-vpn-119.opengw.net.


/tool netwatch
add down-script="interface l2tp-client disable public-vpn-119.opengw.net;\r\
    \ndelay 2;\r\
    \ninterface l2tp-client enable public-vpn-119.opengw.net;\r\
    \n" host=1.0.0.1 interval=5m

Mikrotik

mikrotik / linux / rsyslog / zabbix / log

Автор записи Автор: Evgeny Yakovlev
Дата записи 2019/12/15

Ссылка

https://it.oneweb.pro/%D0%B1%D0%BB%D0%BE%D0%B3/zabbix-rsyslog-mikrotik/

Хотелка смотреть логи в zabbix:

mikrotik:
Настраиваем отправку логов на сервер с rsyslog

rsyslog:
module(load="imudp")  - модуль для приема логов по udp.
input(type="imudp" port="514") –udp порт который бут слушать наш rsyslog.
if $fromhost-ip contains '192.168.155.16' then /var/log/mikrotik.log

zabbix:
Имя элемента данных (называем его по имени клиента).
Тип Zabbix агент (активный) это обязательно.
Ключ - log[/var/log/mikrotik.log,,,100,skip,,] – указываем путь к файлу который будем мониторить и считывать с него данные.
Тим информации – Журнал лог.

Mikrotik

mikrotik firewall nat src/dst l2/l3 mac/ip

Автор записи Автор: Evgeny Yakovlev
Дата записи 2019/03/20

mikrotik

1. Замена IP (SRC/DST)

Используется NAT (src-nat/dst-nat/masquerade) или mangle:

src-nat / masquerade → для подмены исходящего IP-адреса
dst-nat → для подмены назначения (редирект трафика)
mangle → для тонкой настройки (маркировка пакетов, изменение параметров)

Пример смены SRC IP:
/ip firewall nat add chain=srcnat action=src-nat to-addresses=192.168.1.100 out-interface=ether1

Пример смены DST IP:
/ip firewall nat add chain=dstnat action=dst-nat to-addresses=192.168.1.200 protocol=tcp dst-port=80

2. Замена MAC-адреса (SRC/DST)

Для этого используется Bridge Filter:
src-mac-address → подмена отправителя
dst-mac-address → подмена получателя

Пример смены SRC MAC:
/interface bridge filter add chain=forward action=set-src-mac-address new-src-mac-address=00:11:22:33:44:55

Пример смены DST MAC:
/interface bridge filter add chain=forward action=set-dst-mac-address new-dst-mac-address=66:77:88:99:AA:BB

Но важный момент:
MikroTik не предназначен для полного L2 NAT (подмены MAC + IP глобально), но в рамках моста (bridge) можно менять MAC.

linux

Подмена исходящего IP (SRC IP):
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 192.168.1.100

Это заменит исходящий IP на 192.168.1.100 для пакетов, выходящих через eth0.
Если у тебя динамический IP, лучше использовать MASQUERADE:
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Подмена назначения (DST IP):
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.200


Замена MAC-адресов (SRC/DST):
Подмена MAC-адреса источника (SRC MAC):
ebtables -t nat -A POSTROUTING -o eth0 -j snat --to-src 00:11:22:33:44:55

Подмена MAC-адреса назначения (DST MAC):
ebtables -t nat -A PREROUTING -i eth0 -j dnat --to-dst 66:77:88:99:AA:BB

Mikrotik

Mikrotik reset

Автор записи Автор: Evgeny Yakovlev
Дата записи 2018/12/25

Как сбросить настройки Микротик к заводским ?

С помощью кнопки reset:

1. Отключить питание на устройстве Микротик
2. Зажмите кнопку RESET,  например при помощи спички.
Не рекомендуется использовать твердые и металлические предметы чтобы не повредить кнопку.
Если вы все- таки повредите кнопку RESET, то практически у всех устройств Микротик есть специальные контакты для сброса конфигурации, 
замыкание которых  любым металлическим предметом, например отверткой, 
аналогично нажатию кнопки RESET.
3. Удерживая кнопку RESET в нажатом состоянии,  включите питание маршрутизатора Микротик.
4. Удерживайте кнопку RESET нажатой примерно 10 секунд- пока не начнет мигать светодиодный индикатор ACT.
5. После этого отпустите кнопку RESET и дождитесь восстановления первоначальной конфигурации и перезагрузки маршрутизатора Mikrotik (занимает примерно минуту).

Восстановление оборудования на базе RouterOS MikroTik с помощью инструмента Netinstall:

Подготовка
0. Прошивки, winbox, NetInstall скачиваем с официального сайта http://www.mikrotik.com/download
Распаковываем netinstall, прошивку копируем в папку к netinstall
1. На время обновления отключить все имеющиеся у вас средства мониторинга и защиты (антивирусы, брандмауэр).
Подключить микротик к пк.
2. Назначить сетевому интерфейсу вашего ПК адрес 192.168.88.2 маска 255.255.255.0
3. Запускаем winbox и убеждаемся что устройства mikrotik не видно

Прошивка
0. Запустите Netinstall с правами администратор и в Net Booting - укажите IP адрес 192.168.88.1
1. Нажав и удерживая кнопку Reset, включите маршрутизатор.
Удерживайте кнопку до тех пор, пока индикатор ACT не начнет и не закончит моргать ((примерно секунд 20) ждем когда появится микротик).
После того, как вы отпустили кнопку, в поле Routers/Drivers утилиты Netinstall должен
появиться ваш маршрутизатор (если не появился, подождите несколько секунд).
2. После того, как нужное вам устройство появилось, щелкните на него мышкой и
выберите для него необходимую прошивку (в поле From: необходимо указать путь до папки с прошивкой).
Если устройство в списке не появилось, попробуйте сделать все заново.
Может рано отпустили ресет или переждали.
В тяжелых случаях поможет только СЦ.
3. Когда прошивка загрузится кнопка install станет reboot. Жмем reboot.
4. Запускаем winbox -> neighbors -> в списке выберем наш микротик по MAC (ip 0.0.0.0)
Настраиваем по вкусу. default login:admin default password:нету

Mikrotik

Mikrotik блокировка сайтов с помощью layer7

Автор записи Автор: Evgeny Yakovlev
Дата записи 2018/12/24

Источники:

http://it-pages.ru/mikrotik-blokirovka-sajjtov-s-pomoshhyu-layer7-na-mikrotik-routeros.html

Создаем правила:

/ip firewall layer7-protocol
add name=social regexp="^.+(vk.com|vkontakte|odnoklassniki|odnoklasniki|facebook|fall-in-love|loveplanet|my.mail.ru).*\$"
/ip firewall filter
add action=drop chain=forward comment="Block_social" layer7-protocol=social src-address-list=CU_BLOCK_SOCIAL
Теперь у пользователь которые находятся в листе CU_BLOCK_SOCIAL не будут открываться сайты социальных сетей ,в том числе через анонимайзеры.

Mikrotik

Mikrotik + wds

Автор записи Автор: Evgeny Yakovlev
Дата записи 2018/12/23

ссылки:

https://social.technet.microsoft.com/Forums/windowsserver/en-US/2423a8dd-787b-4a11-a6a6-ee62b6c4a6ae/windows-deployment-services-and-mikrotik?forum=winserversetup
https://community.spiceworks.com/topic/455323-pxe-works-sometimes-wds-2012
ошибка: no response from windows deployment services server
ошибка: 0xc0000001
ошибка: 0x7f8d8101

настройка mikrotik:

1) DHCP Server -> Options

pxeclient
-------------------------
Name:pxeclient
Code:67
Value:'boot\x86\wdsnbp.com'
------------------------

wds
------------------------
Name:wds
Code:66
Value:'IP_address_WDS_SERVER'
------------------------

2) DHCP Server -> Network
Выбираем dhcp-network
------------------------
Address: IP_NETWORK_MASK (пример 192.168.1.0/24)
Gateway: IP_GW (пример 192.168.1.1)
Netmask: Mask (пример 24)
Next Server: IP_WDS (пример 192.168.1.240)
DHCP Option: wds (из списка выбираем wds)

Дополнительно к mikrotik:

Options:
-----------------------
name: GMT Offset 
code: 2
value: '14400'
-----------------------
name: boofile
code: 67
value:'wdsnbp.com'
-----------------------
name: WDS TFTP Server
code: 66
value: IP_ADDRESS
-----------------------

DHCP-server:
-----------------------
boot_file_name: boot\x86\wdsnbp.com
next_server: IP_ADDRESS
------------------------


Option set
------------------------
GMT Offset
bootfile
WDS TFTP Server
------------------------

настройка wds:

!!!Рекомендуется устанавливать standalone
0) Начальная настройка проста Next...Выбор каталога...Next...
1) пкм -> сервер свойства -> 
2) Отклик PXE
x - Отвечает всем клиентским компьютерам 
3) Загрузка
Известные клиенты:
x - Всегда продолжить PXE-загрузку
Неизвестные клиенты:
x - Всегда продолжить PXE-загрузку
4) TFTP 
Максимальный размер блока:
1024
Расширение для изменения размера окна:
x - Включить расширение для изменения размера окна
5) Сеть
x - получить динамические порты от Winsock
6) Многоадресная рассылка
Ip-адрес многоадресной рассылки:
x - Использовать адреса из следующего диапазона
Параметры переноса:
x - Поддерживать одинаковую скорость для всех клиентов
7) Дополнительно
x - разрешить службам развертывания Windows динамически
обнаруживать допустимые серверы доменов (рекомендуется)

образы:

образ установки - образы установки (добавляются файлом disk:\source\install.wim)
образ загрузки - (добавляются файлом disk:\source\boot.wim) 
образ загрузки -> образ захвата \ образ записи - добавляется на основе обора загрузки (ПКМ->создать) 
Драйверы - сюда добавляем драйверы, после их можно добавить в любой образ

Решение при проблеме с загрузкой клиентов:

1.  Останавливаем службу WDS (Windows Deployment Services)
2.  В каталоге D:\RemoteInstall\Mgmt переименовываем Mgmt в Mgtm1
3.  Создаем каталог Mgtm
4.  Запускам WDS

Level number	0 (Trial mode)	1 (Free Demo)	3 (WISP CPE)	4 (WISP)	5 (WISP)	6 (Controller)
Price	no key	registration required	volume only	$45	$95	$250
Initial Config Support	—	—	—	15 days	30 days	30 days
Wireless AP	24h trial	—	—	yes	yes	yes
Wireless Client and Bridge	24h trial	—	yes	yes	yes	yes
RIP, OSPF, BGP protocols	24h trial	—	yes(*)	yes	yes	yes
EoIP tunnels	24h trial	1	unlimited	unlimited	unlimited	unlimited
PPPoE tunnels	24h trial	1	200	200	500	unlimited
PPTP tunnels	24h trial	1	200	200	500	unlimited
L2TP tunnels	24h trial	1	200	200	500	unlimited
OVPN tunnels	24h trial	1	200	200	unlimited	unlimited
VLAN interfaces	24h trial	1	unlimited	unlimited	unlimited	unlimited
HotSpot active users	24h trial	1	1	200	500	unlimited
RADIUS client	24h trial	—	yes	yes	yes	yes
Queues	24h trial	1	unlimited	unlimited	unlimited	unlimited
Web proxy	24h trial	—	yes	yes	yes	yes
User manager active sessions	24h trial	1	10	20	50	Unlimited
Number of KVM guests	none	1	Unlimited	Unlimited	Unlimited	Unlimited