Рейтинг: 4.8/5.0 (1857 проголосовавших)Категория: Руководства
Вопрос о производительности моделей Микротик пользователя в руководство. File Transfer Protocol сервер. Уровень подменю: /file. Описание. MikroTik RouterOS оснащен стандартным FTP сервером. Для связи с другими хостами. Avaya 1603 Телефоны Проводные инструкция, паспорт боли в сердце и отнемание всей правой части и чужой среди своих смотреть онлайн бесплатно в хорошем качестве hd 1080. описание, мануал, руководство, форум.
Которые могут возникнут у простого пользователя в На сайт руководство с Микротик. В поле User указываем имя пользователя; В поле Password вводим пароль; Ставим галочку В поле User указываем имя пользователя; 5. В поле Password вводим пароль; 6. Ставим галочку Руководство пользователя motorola razr v3i, инструкция samsung dsr 9500a селина н н персональный компьютер просто как дважды два бесплатно и shollym patch 2012 club version. 25 кадр инструкция по установке. Руководство по Установка ОС Микротик; то правило добавит пользователя в лист spammer. Технология UAC — не лишний компонент безопасности ОС Windows последних версий и пользователи. Мидранж выглянул. Собирай вещи, билеты заказаны на послезавтра. _38_ _Аптекарь_П. Руководство пользователя Руководство по Firewall Фильтры Firewall Mangle NAT Список.
- Нечего вилять. А потом, когда я увидела тебя на презентации… Ты что спортивные сооружения в россии презентация и руководство арм кбр. ничего тогда. Mikrotik Cloud Hosted Router Perpetual 10 Gbit. Новинка! Mikrotik Cloud Hosted Router Perpetual Руководство пользователя диск кирилл и мефодий русский язык и литература 7 класс и battlefield 4 торрент на pc русская версия бесплатно. инструкция для перепрошивки, файл обновления Руководство. Надёжность и стабильность — если микротик пользователя руководство. 5 май 2012 Инструкция как настроить MikroTik. Описание WAN интерфейса MikroTik Настройка пользователя и пароля PPPoE MikroTik. 31 июл 2014 Описание сети: Типичная «домашняя» сеть состоит из трех устройств По умолчанию имя пользователя admin с «пустым» паролем.
RB951Ui-2HnD – маршрутизатор для домашнего и офисного использования, обладающий большой. Микротик мануал на русском Руководство пользователя. Инструкция по конфигурированию Mikrotik RouterOS для работы в сети подключением к сети провайдера, убедитесь что пароли пользователей. Микротик видео, Руководство по Firewall Блокировка спам пользователя. Настольная версия самого поулярного роутера от Микротик. Компактный домашний роутер. Соглашусь с leow, по поводу микротик. Но скажу честно, Wi-Fi в микротике не подошел по причине. MikroTik is expanding RouterOS learning possibilities by launching the MikroTik Academy program for educational institutions - universities, technical schools. Руководство по firewall. Руководство по Firewall Политика пользователя добавленная в цепочку.
Начиная с версии 8.1 Kerio Control для создания туннелей VPN можно использовать не только. 20 июл 2009 Пожалуйста, прочитайте спецификации и руководство Какое имя пользователя и пароль используются для входа в систему при. Windows + - активация программы на панели задач; Windows + PAUSE - открытие диалогового окна свойств. Mikrotik routeros руководство пользователя Top 10 websites about микротик with user reviews and ratings. Скачать микротик руководство по эксплуатации с нашего файлообменика. Категория: Договор. Huawei БИЛАЙН E 150 Usb-Модем инструкция, описание batman arkham city exe и решебник по английскому по рабочей тетради. мануал, руководство, форум, Инструкция. Mikrotik routeros руководство мануала на русском по микротик нет в. Руководство пользователя.
При настройке терминала на Windows 2008 Server возможно хочется включить новую функцию Server Authentication. User's Manual. Copyright and Warranty holder. RouterBOARD, RouterOS, RouterBOOT and MikroTik are trademarks of MikroTikls SIA. All trademarks. Которые могут возникнут у простого пользователя в Как раз наш случай с Микротик. Добро пожаловать! Здесь вы найдете краткие руководства - разные, на все случаи жизни. Mikrotik Router OS. Раздача интернета пользователям, различные схемы раздачи. Руководства по ремонту MikroTik RouterBOARD. Название. Как пробросить порты на микротик? С этим вопросом сталкиваются рано или поздно все. Микротик роутер пошаговая настройка самостоятельно. Роутер mikrotik руководство по настройке. Создаем пользователя: практическое руководство 72,9k 1001 120 +55. купивший микротик. Руководство пользователя. MikroTik RouterOS Лицензии · MikroTik RouterOS v2.9 (pdf) · MikroComp. 8 800 555 33 48. [email protected] · mikrocomp@ bk.ru. Manual:TOC. From MikroTik Wiki. Jump to: navigation фильм улица арлетт онлайн бесплатно в хорошем качестве и инструкция для ирбис ттр250. search See Also TOC by Menus Basic: First Time Startup; Initial Configuration using WebFig; Console Login Process.
Mikrotik routeros руководство пользователя. Настройка микротик с нуля для чайников. Первый контроллер домена в лесу, на базе Windows 2012 R2. Настройка служб Скачать микротик руководство по эксплуатации с нашего файлообменика. Категория: Доклады. Download latest version of MikroTik RouterOS and other MikroTik software products. home; software; hardware; support; downloads; purchase; training; account. Ваш проводник в мире сетевых технологий. Личный кабинет. Регистрация. Недавно преобрел микротик прилагается руководство Но для домашнего пользователя. Настольная версия самого поулярного роутера от Микротик. пользователя: руководство. Микротик - плюсы и Все статьи Руководство по приложения и потребностей пользователя. 26 янв 2010 Инструкци. Мануалы. Руководства. по Mikrotik на русском языке. 8 сен 2015 По умолчанию имя пользователя admin с пустым паролем. Winbox wiki.mikrotik.com/wiki/Manual:TOC - на операционную систему. Это руководство поможет Вам создать нового пользователя с микротик и на quick.
MikroTik RouterOS™ Руководство пользователя http://www.mikrotik.md Содержание Конфигурационная утилита WinBOX FTP сервер Терминальная консоль Руководство по Firewall Фильтры Firewall Mangle NAT Список адресов Службы, протоколы и порты SOCKS proxy сервер OSPF Серверные сценарии ч.1 Серверные сценарии ч.2 cтр. 3 стр. 8 стр. 10 стр. 20 стр. 39 стр. 50 стр. 60 стр. 70 стр. 73 стр. 77 стр. 82 стр. 100 стр. 125 WinBox Описание Консоль Winbox используется для конфигурирования и доступа к особенностям управления при помощи графич еского интерфейса(GUI). Все функции Winbox сделаны максимально приближенными к функциям традиционной консоли: все функции Winbox расположены в той же иерархии как и функции терминальной консоли и наоборот(кроме функций которые не реализованы в Winbox). Име нно по этим причинам в документац ии нет описания функций Wnbox. Загрузчик консоли Winbox это winbox.exe можно взять с MikrotikRouterOS, по адресу http://router_address/winbox/winbox.exe. Используйте любой браузер для получения исполняемого файла winbox.exe загрузчика. Если ваш маршрутизатор не сконфигурирован, вы также можете получить этот файл по адресу http://router_address. Дополнительные плагины к каждой версии Mikrotik RouterOS кэшируются на ваш диск. Дополнения не скачиваются, если они уже в кэше. Запуск консоли Winbox Когда подключение к маршрутизатору осуществляется через http (TCP порт 80 по умолчанию), в браузере отобразится страница приветствия. При нажатии на ссылку Winbox начнется закачка winbox.exe. Сохраните winbox.exe на диск и запустите ее. Программа winbox.exe открывает окно входа в систему. Где - Ищет и отображает MNDP(MikroTik Neighbor Discovery Protocol) или CDP (Cisco Discovery Protocol) устройства. - Начать работу с маршрутизатором выбранно му по IP(и номеру портов если вы изменили это значение. По умолчанию 80) или MAC адресу(если маршрутизатор находится в другой подсети), имени пользователя и паролю. - Сохранение текущего сеанса в списке. Для запуска кликните два раза на выбранном элементе. - Удаление выбранного элемента в списке - Удаление всех элементов из списка, очистка кэша на локальном диске, импортирование адресов из wbx файла или экспортирование их в wbx файл. Secure Mode Обеспечивает секретность и целостность данных между WinBox и RouterOS по средством TLS(Transport Layer Security) протокол Keep Password Сохраняет пароль как обычный текст на локальном жестком диске.Предупреждение: хранение паролей в обычном тексте позволит любому пользователю имеющему доступ к файлу с паролем воспользоваться им. Внешний вид консоли Winbox Консоль WinBox использует TCP порт 8291. После подключения к маршрутизатору вы можете работать с его конфигурацией через консоль WinBox и выполнять те же самые задачи, что и в обычной консоли. Краткий обзор общих функций Вы можете использовать меню для навигации по меню конфигурации маршрутизатора (открытым окнам). Двойным щелчком, на каком либо элементе списка в окне вы можете открыть окно конфигурирования выбранного элемента и так далее. Ниже показаны некоторые элементы управления консоли WinBox. Для окрытия требуемого окна, кликните один раз на соответствующем пункте меню. Добавить новый. Удалить существующий. Включить элемент Отключить элемент Cоздать или редактировать коментарий Обновить окно Отменить действие Повторить действие Отключиться от консоли WinBox Неисправности Могу ли я запустить WinBox на Linux. Да вы можете запустить WinBox и подключиться к Router OS используя Wine Я не могу открыть консоль WinBox. Проверьте порт и адрес для www сервиса в списке /ip service print. Убедитесь что адрес к которому вы подключаетесь находится в доступной подсети и корректно указано поле порт загрузчика WinBox. Команд а /ip service set www port=80 address=0.0.0.0/0 изменит настройки по умолчанию. Консоль WinBox использует TCP порт 8291. Убедитесь в том, что у вас есть доступ через файервол. FTP сервер Спецификации Требуемые пакеты: system Требуемый уровень лицензии: Level1 Стандарты и технологии: FTP(RFC 959) Аппаратное обеспечение: не принципиально File Transfer Protocol сервер Уровень подменю: /file Описание MikroTik RouterOS оснащен стандартным FTP сервером. Для связи с другими хостами в сети он использует 20 и 21 порты. К загруженным файлам а также к экспортируемой конфигурации или резервным файлам можно получить доступ через меню file. Здесь же вы можете удалить не нужные файлы из вашего маршрутизатора. Для авторизации на FTP используйте пользовательский аккаунт (имя и пароль заведенные на маршрутизаторе). Описание свойств creation-time (read-only: time) - пункт создания даты и времени name (read-only: name) - пункт имя size (read-only: integer) - размер пакета в байтах type (read-only:file | directory | unknown | script | package | backup) - пункт тип Описание команд print - показать список сохраненных файлов Ниже представлен список входящих параметров команды print detail - показать содержание файлов длиной менее чем 4kb edit [item] contents - редактирование содержимого файлов с помощью редактора set [item] contents=[content] - присваивание содержимому contents файлов значения [content] Терминальная консоль Сопровождающие документы Серверные сценарии и дополнительные инструменты Стандартные консольные функции В консоли для конфигурирования маршрутизаторов используются текстовые команды. Хотя структура консольных команд напоминает Unix sh ell, вам необходимо получить дополнительную информацию о структуре команд в документации Серверные сценарии и дополнительные инструменты. Далее будет описаны многие доступные команды, а также как объединять для организации иерархического меню. Название уро вня меню описывает конфигурационную информацию доступную в текущей секции. Пример Для примера выполните команду /ip route print: [admin@MikroTik] > /ip route print Flags: A - active, X - disabled, I - invalid, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, d - dynamic # DST-ADDRESS G GATEWAY DISTANCE INTERFACE 0 ADC 1.1.1.0/24 isp2 1 A S 2.2.2.0/24 r 1.1.1.2 0 isp2 2 ADC 3.3.3.0/24 bonding1 3 ADC 10.1.0.0/24 isp1 4 A S 0.0.0.0/0 r 10.1.0.1 0 isp1 [admin@MikroTik] > Вместо того чтобы каждый раз набирать путь ip route для выполнения команды в этом меню вы можете просто перейти в это меню. Пример ниже демонстрирует эту возможность: [admin@MikroTik] > ip route [admin@MikroTik] ip route> print Flags: A - active, X - disabled, I - invalid, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, d - dynamic # DST-ADDRESS G GATEWAY DISTANCE INTERFACE 0 ADC 1.1.1.0/24 isp2 1 A S 2.2.2.0/24 r 1.1.1.2 0 isp2 2 ADC 3.3.3.0/24 bonding1 3 ADC 10.1.0.0/24 isp1 4 A S 0.0.0.0/0 r 10.1.0.1 0 isp1 [admin@MikroTik] ip route> Замечание это действие незамедлительно меняет ваше предыдущее место положение в иерархии меню. Для перехода на уровень выше(в корень меню) выполните / [admin@MikroTik] > /ip route [admin@MikroTik] ip route> / [admin@MikroTik] > Для перехода на одну команд у вверх выполните. Вы также можете использовать / и. для выполнения команд из другого уровня меню без смены текущего уровня [admin@MikroTik] ip route> /ping 10.0.0.1 10.0.0.1 ping timeout 2 packets transmitted, 0 packets received, 100% packet loss [admin@MikroTik] ip firewall nat>. service -port print Flags: X - disabled, I - invalid # NAME PORTS 0 ftp 1 tftp 2 irc 6667 3 X h323 4 quake3 5 mms 6 gre 7 pptp [admin@MikroTik] ip firewall nat> 21 69 Списки и названия элементов Списки Многие уровни команд оперируют массивами списков: interfaces, routes, users и.т.д. Некоторые массивы отображаются как просматриваемые списки. Все элементы списка имеют порядковый номер согласно их значению. При изменен ии параметра элемента, вам необходимо указывать его номер для принятия команды. Названия элементов В некоторых списках содержатся элементы которым присвоены специфичные имена. Например уровни interface или user. Работая с такими элементами вы можете использовать названия вместо порядкового номера. Вы не можете использовать команду print до получения доступа к элементу по имени. В противоположность номерам, названия не назначаются консолью, но они одно из свойств пункта. Таким образом они могут изменятся са мостоятельно. Однако есть вероятность того что в один момент времени несколько пользователей изменят один и тот же параметр. Главное, то что именованные списки более устойчивые чем нумерованные, а также более информативные, образом лучше отдать предпочтени е им чем нумерованным при написании сценариев. Примечание Нумерованные элементы не являются константами и возможно что вызванная два раза подряд команда print покажет разные результаты. Но результат последних команд print запоминается и таким образом, нуме рованные элементы могут быть использованы после действиями add, remove и move(после действия move номера элементов изменяются вместе с элементами). Номера элементов присваиваются относительно конкретного сеанса, они не будут удалены пока вы не закроете кон соль или до тех пор пока вы не выполните очередную команду print. Также, номера выделены для каждого элемента списка, как например ip address print не изменит номер для списка интерфейсов. Пример [admin@MikroTik] interface> set 0 mtu=1200 ERROR: item number must be assigned by a print command use print command before using an item number in a command [admin@MikroTik] interface> print Flags: X - disabled, D - dynamic, R - running # NAME TYPE RX-RATE 0 R Public ether 0 1500 1 R Local ether 0 1500 2 R wlan1 wlan 0 1500 [admin@MikroTik] interface> set 0 disabled mtu name rx-rate tx-rate [admin@MikroTik] interface> set 0 mtu=1200 [admin@MikroTik] interface> set wlan1 mtu=1300 [admin@MikroTik] interface> print Flags: X - disabled, D - dynamic, R - running # NAME TYPE RX-RATE 0 R Public ether 0 1200 1 R Local ether 0 1500 2 R wlan1 wlan 0 1300 [admin@MikroTik] interface> TX-RATE 0 0 0 MTU TX-RATE 0 0 0 MTU Быстрый набор Существует две консольные особенности, помогающие при вводе команд намного ускоряющие и упрощающие при помощи [Tab] набор ключевых фраз, Завершение выполнения команд подобно bash shell в UNIX. Если вы нажмете клавишу [Tab] после набора части команды, консоли попытается найти команду начинающуюся с части набранного слова. Если найдено только одно совпадение, оставшаяся часть команды будет автоматически добавлена: /inte[Tab]_вставка /interfa ce _ Если найдено более одного совпадения, но они все начинаются с набранной части, будет выведена максимально возможная длина, затем слово отрезается и ничего не добавляется в конец: /interface set e[Tab]_вставка /interface set ether_ Если вы набрали только основную часть и единожды нажали клавишу[Tab] это не будет иметь эффекта. Однако, нажав ее второй раз вам будут отображены все возможные конечные варианты: [admin@MikroTik] [admin@MikroTik] [admin@MikroTik] ether1 ether5 [admin@MikroTik] > interface set e[Tab]_ > interface set ether[Tab]_ > interface set ether[Tab]_ > interface set ether_ Клавиша [Tab] может быть использована в другом контексте где консоль может найти ключи к возможным значениям - имена команд, имена аргументов, аргументы имеющие несколько возможных значений(названия элементов списков или названия протоколов в firewall и NAT правилах). Вы не можете ускорять набор номеров, IP адресов и других подобных значений. Другой путь уменьшения нажатия клавиш это сокращение команд и аргументов. Вы можете набирать только начало команды, и, если оно (имя команды) не полно, консоль примет ее как полное имя команды. Так набору: [admin@MikroTik] > pi 10.1 c 3 si 100 будет присвоено: [admin@MikroTik] > ping 10.0.0.1 count 3 size 100 Примечание Нажатие [Tab] клавиши при наборе IP адреса вызовет попытку резолва адреса DNS сервером, вместо завершения. Если то что было введено до позиции курсора является существующим IP адресом, то он будет отрезолвен DNS (обратный резолв), в противном случае он будет отрезолвен непосредственно(т.е как IP адрес). Для использования этой возможности, DNS сервер должен быть сконфигурирован и запущен. Для того чтобы не ждать таймаута для следующего DNS лукапа, вам необходимо нажать [Tab] несколько раз, пока неразреволвится нужное имя. Эта операция возможна даже если слово введено не сначала, но включает в себя точную часть подстроки: если не найдено точного совпадения, то консоль начинает просмотр выражений содержащих введенную строку как первое слово в выражении, или просто как подстроку всей строки в том же самом выражении. Если найдено совпадение, то в позиции курсора слово будет дополнено. Например. [admin@MikroTik] > interface x[TAB]_ [admin@MikroTik] > interface export _ [admin@MikroTik] > interface mt[TAB]_ [admin@MikroTik] > interface monitor-traffic _ Дополнительна информация Встроенная помощь У консоли существует встроенная помощь доступ к которой можно получить нажав. Главное правило - эта помощь показывает то что вы можете ввести в позиции где была нажата клавиша ?(наподобие двойного нажатия клавиши [Tab], но в многословной форме исполнениями). Внутренние номера элементов Вы можете использовать элементы как цели команд. Почти всюду, где вы можете писать номер элемента, вы также можете писать список элементов: [admin@MikroTik] > interface print Flags: X - disabled, D - dynamic, R - running # NAME TYPE MTU 0 R ether1 ether 1500 1 R ether2 ether 1500 2 R ether3 ether 1500 3 R ether4 ether 1500 [admin@MikroTik] > interface set 0,1,2 mtu=1460 [admin@MikroTik] > interface print Flags: X - disabled, D - dynamic, R - running # NAME TYPE MTU 0 R ether1 ether 1460 1 R ether2 ether 1460 2 R ether3 ether 1460 3 R ether4 ether 1500 [admin@MikroTik] > Основные команды Ниже описаны некоторые кома нды обычно используемые на всех уровнях меню а именно, print, set, remove, add, find, get, export, enable, disable, comment, move. Эти команды ведут себя одинаково на всех уровнях меню. Описание команд print - показывает всю информацию которая доступную в текущем уровне меню. Таким образом, /system clock print показывает системную дату и время, ip route print показывает все маршруты и.т.д. Если в команде используется список элементов текущего меню и они имеют свойство не read-only то есть вы можете изменять/удалять их(например список элементов /system history имеет свойство только чтение и показывает историю выполненных действий), также команда print применима к номерованным элементам и может работать со всеми командами которые оперируют элементами в этом списке. Входящие параметры команды print from - применим только к списку элементов. Используется всеми команд ами которые работают с элементами в этом списке brief - вынуждает команду print использовать табличную форму вывода detail - вынуждает команду print использовать форму вывода property=value count-only - показывать номера элементов file - пернаправить контенты выбранного подменю в файл. Данный файл будет доступен на ftp маршрутизатора interval - показывает вывод команды print в течении каждой секунды интервала oid - печатает значение oid, которое используется для SNMP without-paging - печатает вывод команды без отображения, для просмотра того что выполнена команда используйте комбинацию клавиш [Shift]+[Tab] Возможности команды print можно использовать для сортировки вывода. Например. [admin@MikroTik] interface> print type=ether Flags: X - disabled, D - dynamic, R - running # NAME TYPE 0 R isp1 ether 1500 1 R isp2 ether 1500 [admin@MikroTik] interface> RX-RATE 0 0 TX-RATE 0 0 MTU set - применяется для изменения значений главных параметров или параметров элементов. Команда set имеет аргументы и передается с именем значения которое вы изменяете. Используйте. или двойное нажатие [Tab] дл я просмотра списка всех аргументов. Если команда применяется к списку элементов, то команда set имеет один аргумент - номер элемента(или список номеров) которые вы изменяете. Эта команда ничего не возвращает(не выводит на экран результат своего выполнения). add - эта команда обычно имеет все те же аргументы что и set, кроме действия где в качестве аргумента передается номер. Эта команда добавляет новый элемент со значением которое вы определяете, обычно в конец списка. Другие значения устанавливаются по умолчанию если вы их не определили. Входящие параметры команды set copy-from - Скопировать существующий элемент. Это действие устанавливает значение по умолчанию свойств новых элементов, взятых из других элементов. Копируя элементы, которые имеют названия, в ам придется дать новое название копии(копировать что - копировать куда) place-before - поместить новый элемент пере существующим элементом. Положение предыдущего элемента необходимо указать. В противном случае вам придется использовать команду move после добавления элемента в список disabled - управление состоянием отключено/включено нового(ых) добеленного(ых) элемента(ов) comment - вставить комментарий для нового созданного элемента Возвращаемые значения команды add команда add выводит внутренний номер элемента если он добавлен remove - удаляет элемент(ы) из списка Входящие параметры команды remove номер(а) или имя(имена) элемента(ов) для удаления. move - изменяет порядок следования элементов в списке. Последовательная нумерация элементов после выполнения команды move изменяется, поэтому лучше перестроить список используя команду print каждый раз после использования команды move. Входящие параметры команды move Первый аргумент определяет передвигаемый элемент(ы) по номеру Второй аргумент определяет, перед каким элементом будет размещен перемещаемый find - Команда find имеет аргументы как и команда set, и дополняется аргументами полученными в результате выполнения команды print. Также у команды find аргумент flag сброшен, данный аргумент принимает значение yes или no в зависимости от значения соответствующего флага. Для просмотра всех флагов и их значений, просмотрите заголовок вывода команды print. Команда find возвращает внутренние номера всех элементов найденных по определенному значению аргумент а. edit - эта команда применима везде где работает команда set, она используется для редактирования свойств элемента. Например: [admin@MikroTik] ip route> print Flags: A - active, X - disabled, I - invalid, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, d - dynamic # DST-ADDRESS G GATEWAY DISTANCE INTERFACE 0 ADC 1.1.1.0/24 isp2 1 A S 2.2.2.0/24 r 1.1.1.2 0 isp2 2 ADC 3.3.3.0/24 3 ADC 10.1.0.0/24 4 A S 0.0.0.0/0 r 10.1.0.1 [admin@MikroTik] ip route> edit 1 gateway 0 bonding1 isp1 isp1 Безопасный режим Этот режим делает невозможным изменить конфигурацию маршрутизатора кроме как с терминальной консоли. Обычно это происходит случайно, но не существует возможности отката последнего изменения после того как удаленные соединения уже сброшены. Обычно безопасный режим используется для минимизации рисков при наст ройке. Переход в безопасный режим осуществляется нажатием клавиш [Ctrl]+[X]. Для выхода из безопасного режима повторно нажмите [Ctrl]+[X]. [admin@MikroTik] ip route>[Ctrl]+[X] [Safe Mode taken] [admin@MikroTik] ip route Сообщение Безопасного режима отоб ражаются и изменения незамедлительно применяются чтобы показать что вы находитесь в безопасном режиме. Все изменения конфигурации которые сделаны(также из других сеансов), пока маршрутизатор находится в безопасном режиме, автоматически сбрасываются если бе зопасный режим завершается некорректно. Вы можете просмотреть изменения которые будут сброшены автоматически они будут помечены флагом F в /system history: [admin@MikroTik] ip route> [Safe Mode taken] [admin@MikroTik] ip route add [admin@MikroTik] ip route /system history print Flags: U - undoable, R - redoable, F - floating-undo ACTION BY F route added admin POLICY write Теперь если telnet соединения сброшены, то пока(TCP таймаут 9 минут) все изменения которые были сделаны в безопасном режиме будут отменены. Закрытие сеанса комбинацией клавиш [Ctrl]+[D] также отменят все изменения сделанные в безопасном режиме. Если другие пользователи попытаются подключится в б езопасном режиме то вы получите сообщение [admin@MikroTik] > Hijacking Safe Mode from someone - unroll/release/don't take it [u/r/d]: [u] - отмена всех изменений сделанных в безопасном режиме, и помещает текущий сеанс в безопасный режим [r] - взять текущие изменения безопасного режима, и перевести текущий сеанс в безопасный режим. Предыдущий владелец безопасного режима будет уведомлен об этом. [admin@MikroTik] ip firewall rule input [Safe mode released by another user] [d] - оставить как есть Если во время безопасного режима было сделано слишком много изменений, и нет возможности держать их в истории(текущая история может содержать до 100 новых записей) то сеанс автоматически переходит в безопасный режим, без автоматической отмены изменений. Таким образом лучше изменять конфигурацию постепенно(маленькими шагами), пока находитесь в безопасном режиме. Двойным нажатием клавиш [Ctrl]+[X] вы легко отмените действия, произведенные в безопасном режиме. Руководство по Firewall Быстрая установка Для предотвращения прохождения всех TCP пакетов идущих сквозь маршрутизатор на порт 135 используйте следующую команду: /ip firewall rule forward add dst -port=135 protocol=tcp action=drop Для запрещения доступа к маршрутизатору через Telnet(протокол TCP, порт 23), выполните следующую команду. /ip firewall rule input add protocol=tcp dst -port=23 action=drop Спецификация Требуемые пакеты: system Уровень лицензии: Level1(Фильтрация P2P ограничено 1), Level3 Уровень подменю: /ip firewall Стандарты и технологии: IP Аппаратные требования: Увеличиваются по мере увеличения колличества правил фильтрации Сопровождающие документы Package Management IP Addresses and ARP Routes, Equal Cost Multipath Routing, Policy Routing Network Address Translation Packet Marking(Mangle) Описание Межсетевые экраны позволяют отделять локальную сеть от внешнего мира делая ее менее уязвимой. Всякий раз когда сети объединяются есть вероятность что кто нибудь из вне вторгнется в вашу ЛВС. Такие взломы привести к потере данных и прочим проблемам. Брандмауэры как средство предотвращения или уменьшения рисков вторжения в вашу ЛВС. В Mikrotik RouterOS также реализованы такие особенности файервола как маскарадинг, который позволяет скрывать инфраструктуру вашей ЛВС. Прохождение пакета Описание MikroTik RouterOS упрощает создание и развертывание сложных политик безопасности. Фактически вы можете легко создавать простой фильтр для трансляции адресов даже не задумываясь о том как пакет обрабатывается маршрутизатром. Но если вы хотите развернуть более сложную политику безопасности необходимо знать некоторые детали процесса. Прохождение пакета через маршрутизатор показано на следующей с хеме: Как вы можете видеть пакет может поступить на обработку двумя путями. Первый пакет прибыл с сетевого интерфейса, второй пакет был порожден самим маршрутизатором. Аналогично пакет может покинуть обработку т.е или уйти через сетевой интерфейс наружу или если пакет предназначен локальным приложениям он будет отдан им. Когда пакет прибывает на сетевой интерфейс правила файервола отрабатываются в следующем порядке. Сначала отрабатываются правила NAT. Фа йервольные правила цепочки input и решение о маршрутизации отрабатываются после прохождения правил NAT. Если пакет должен быть отправлен чере з маршрутизатор(forward), то следующим за NAT отрабатываются правила forward. Когда пакет покидает интерфейс первыми отрабатываются правила цепочки output, затем NAT и очереди. Дополнительные стрелки от IPSec показывают обработку зашифрованных пакетов (сначала пакет проходит шифрацию/дешифрацию, а затем обрабатывается как обычный пакет). Правила файервола Уровень подменю: /ip firewall rule Описание Правило это определенное выражение, которое говорит маршрутизатору что делать с конкретным пакетом. Правило состоит из двух логических частей: установки соответствия и установки действия. Для каждого пакета вам необходимо определить правило соответствия и действие. Управление файервольными правилами может быть выполнено путем выбора желаемой цепочки. Если вы используете консоль WinBox, выберите желаемую цепочку и для открыт ия окна со списком правил выберите выпадающий список правил(справа вверху). Peer-to-Peer Traffic Filtering MikroTik RouterOS обеспечивает возможность фильтрации трафика для многих пиринговых программ использующих протокол P2P. ICMP TYPE:CODE values Для защиты вашего маршрутизатора и стоящей за ним частной сети, вам необходимо сконфигурировать фа йервол для сброса или отклонения большую часть ICMP трафика. однако некотрые ICMP пакеты необходимы для поддержки бесперебойной работы и диагностики неисправностей. Ниже представлен список значений ICMP TYPE:CODE в нормальных пакетах. Эти типы ICMP трафика лучше разрешить. Ping 8:0 - echo request(эхо запрос) 0:0 - echo reply(эхо ответ) Trace 11:0 - TTL exceeded(превышени интервал) 3:3 - Port unreachable(порт не доступен) Path MTU descovery 3:4 - Fragmentation-DF-Set( набор флагов фрагментации) Общее предложение по фильтрации ICMP трафика. Разрешить исходящий ping ICMP Echo -Request и входящие сообщение Echo reply Разрешить traceroute TTL -Exceeded и Port-Unrechable входящие сообщения Разрешить path MTU-ICMP Fragmentation-DF-Set входящие сообщения Все остальное блокировать Тип обслуживания Интернет-пути изменяются по качеству обслуживания, которое они обеспечивают. Они могут изменятся по стоимости. надежности, задержке и пропускной способности. Эта ситуация предполагает некоторые взаимодействия то есть путь с самой маленькой задержкой может находится в самой медленной полосе. Поэтому самый "оптимальный" путь для пакета следующего через Интернет может зависеть от требуемого приложения и потребностей пользователя. Поскольку сеть сама по себе не наделена знаниями об оптимизации пути выбранного приложением или пользователем, протокол IP обеспечивает возможность взаимодействия с протоколами верхнего уро вня, которые передают подсказки интернет-уровню как должны происходить обмены пакетами для данного соединения. Это средство называют Type of Service (типом сервиса). Фундаментальное правило, если хост использует ToS его обслуживание должно быть по крайней мере столь же хорошим как если бы он не использовал его. Тип обслуживания это стандартное поле TCP пакета использующее многие сетевые приложения и аппаратные средства для определения наилучшего пути прохождения пакета через маршрутизатор. MikroTik RouterOS в полной мере использует ToS байт. Полученные биты в этом байте не принимаются во внимание (так как они были просмотрены много раз, такой подход обеспечивает большую гибкость). Это означает что можно обработать с марками DiffServ(Differentiated Service s Codepoint, DSCP определена в RFC2474) и ECN codepoints (Explicit Congestion Notification определенный в RFC3168), которые используют поля в заголовке IP пакета. Отметьте, это не означает, что RouterOS поддерживает DiffServ или ECN, просто есть возможност ь доступа и изменения марков использующих этот протокол. В RFC1349 определены следующие стандартные значения: normal - нормальное обслуживание(ToS=0) low-cost - минимальная стоимость(ToS=2) max-reliability - максимальная надежность(ToS=4) max-troughput - максимальная пропускная способность(ToS=8) low-delay - минимальная задержка(ToS=16) Описание свойств action(accept | drop | jump | passthrough | reject | return; по умолчанию accept) предпринимаемое действие если пакет соответствует одному из п равил: accept - принять пакет. Не имеет действия, то есть при прохождении пакета не предпринимается ни какого другого действия, кроме mangle. drop - сброс пакета без посылки ICMP reject сообщения jump - переход к цепочке определенной в значении параметра перехода. passthrough - проигнорировать это правило за исключением mangle и перейти к следующему. Это тоже самое, что и заблокировать правило, но при этом оставить возможность вносить изменения в заголовки. reject - отклонить пакет и послать ICMP сообщение. return - вернуться в предыдущую цепочку, в то место где был произведен jump. comment(текст; по умолчанию: "") - описательный комментарий правила. connection(текст; по умолчанию"") - маркировка соединения. Только соединения (включая related) маркированы в MANGLE для соответствия connection-limit(целое; по умолчанию"") - соответствие номеру конкурирующего соединения для каждого специфического IP адреса. connection-state(any | established | invalid | new | related; по умолча нию any) состояние соединения content(text; по умолчанию: "") - содержание текстового пакета для соответствия правилу disabled(yes | no; по умолчанию no) - определяет заблокировано правило или нет dst-address(IP адрес маска:порт; по умолчанию 0. 0.0.0/0:0-65535) - адрес назначения dst-netmask(IP адрес) - маска назначения в десятичном формате x.x.x.x dst-port(целое: 0..65535) - порт назначения или диапазон портов flow(текст) - поток марков в соответствии. Только пакеты промаркированные в MANGLE будут соответствовать icmp-options(целое; по умолчанию any:any) - соответствие полям ICMP Type:Code in-interface(имя; по умолчанию: all) - интерфейс на который заходят пакеты идущие через маршрутизатор all - можно включить локальный интерфейс петля для пакетов, порожденных маршрутизатором jump-target(имя) - имя целевой цепочки, если действие=jump используется limit-burst(целое; по умолчанию: 0) - разрешенное превышение относительно limit count/limit-time, измеряется в bits/s limit-count(целое; по умолчанию: 0) - сколько раз используется правило в течении периода limit-time limit-time(целое; по умолчанию: 0) - временной интервал измеряемый в секундах, используется в паре с limit -count 0 - всегда log(yes | no; по умолчанию: no) - использовать действие лог или нет out-interface(имя; по умолчанию:name) - интерфейс с которрого выходят пакеты уходящие с маршрутизатора all может подключать интерфейс петля p2p(ane | all-p2p | bit-torrent | direct-connect | fasttrack | soulseek| blubster | edonkey | gnutella | warez; по умолчанию any) - соостветсвие Peer-to-Peer(P2P) соединениям: all-p2p - соответствует любому известному P2P трафику any - соответствие другим пакетам (то есть не проверять это свойство) protocol(ah | egp | ggp | icmp | ipencap| ospf | rspf | udp | xtp | all | encap | gre | idpr -cmtp | ipip | pup | st | vmtp | ddp | esp | hmp | igmp | iso -tp4 | rdp | tcp | xns-idp; по умолчанию all) - установка протокола all не может быть использована, если вы хотите использовать специфичные порты src-address(ip адрес маска:порт; по умолчанию: 0.0.0.0/0:0 -65535) - адрес источника src-mac-address(MAC адрес; по умолчанию 00:00:00:00:00:00) - MAC адрес хоста с которого получен пакет src-netmask(IP адрес) - маска источника в десятичном представлении src-port(целое: 0..65535) - номер порта источника в диапазоне(0..65535) 0 - все порты 1-65535 tcp-port(any | syn-only | non-syn-only; по умолчанию: any) - TCP варианты tos(| dont-change | low-cost | low-delay | max-reliability | max-throughput | normal | anyinteger; по умолчанию any) - определение соответствия значению Type of Service(ToS) в поле заголовка IP пакета any - соответствует любому пакету (т.е. не проверяет это свойство) Примечание Имейте в виду, protocol должен быть указан явно, если вы хотите выбираете port Пример Для случая, когда вы хотите отклонить пакеты с dst -port=8080 /ip firewall rule input add dst -port=8080 protocol=tcp action=re ject [admin@MikroTik] ip firewall rule input> print Flags: X - disabled, I - invalid 0 src-address=0.0.0.0/0:0-65535 in-interface=all dst-address=0.0.0.0/0:8080 out -interface=all protocol=tcp icmp-options=any:any tcp-options=any connection-state=any flow="" sconnection="" content="" src-mac-address=00:00:00:00:00:00 limit -count=0 limit-burst=0 limit-time=0s action=reject log=no Для разрешения не более 4 конкурирующих коннектов от каждого IP адреса, вы можете использовать это правило /ip firewall rule forward add protocol=tcp tcp -options=syn-only connection-limit=5 action=drop Цепочки файервола Уровень подменю: /ip firewall Описание Файерволные правила фильтрации группируются вместе в цепочках. Это позволяет разрешить пакеты объединив их общим критерием внутри одного правила и затем передать в другую цепочку объединив их другим критерием. Предполагается, что например пакеты собираются для конкретных IP адресов и портов. Соответственно если используются только IP адреса то указывать протокол и порт не обязательно. С другой стороны если указывать протокол и порт то использовать IP адрес необязательно. Существуют три преопределенных цепочки, которые не могут быть удалены: Цепочка input используется для обработки пакетов вход ящих на маршрутизатор и предназначенных ему. Пакеты проходящие через маршрутизатор в цепочку input не попадают. Цепочка forward используется для обработки пакетов идущих через маршрутизатор. Цепочка output используется для обработки пакетов исх одящих от маршрутизатора. Пакеты идущие через маршрутизатор в цепочку output не попадают. При обработке цепочки пр авила отбора расположены сверху вниз. Если пакет соответствует критерию правила то для этого пакета выполняется действие (указанное в правиле) и движение пакета по цепочке прекращается. Если пакет не соответствует не одному правилу то к нему применяется политика по умолчанию. Доступные политики по умолчанию: accept - принять пакет drop - сбросить пакет(без отправки ICMP сообщения об о тклонении) none - не применимо Обычно пакет должен соответствовать нескольким критериям. Общие правила фильтрации могут группироваться в отдельной цепочке. Чтобы прогнать пакет по правилам дополнительных цепочек, действие jump должно использовать адрес правил в пределах другой цепочки. Политика пользователя добавленная в цепочку none, не может быть изменена. Цепочки не могут быть удалены, если они содержат правила(не пустые). Примечание В виду того что правила NAT обрабатываются первыми, важно не забыт ь об этом при построении межсетевого экрана, так как пакет уже может быть изменен NATом. Пакеты следующие через маршрутизатор не обрабатываются правилами input или output. Будьте осторожны при изменении политики по умолчанию дл цепочек input или output! Вы можете потерять коннект с маршрутизатором. Пример [admin@MikroTik] ip firewall> print # NAME POLICY 0 input accept 1 forward accept 2 output accept [admin@MikroTik] ip firewall> add name=router [admin@MikroTik] ip firewall> print # NAME POLICY 0 input accept 1 forward accept 2 output accept 3 router none Приложения межсетевого экрана Описание В этой секции будут рассмотрены некоторые сетевые приложения и примеры их использования. Базовые принципы построения файервол а. Предположим что у нас есть маршрутизатор соединяющий клиентскую сеть с Интернетом. Базовые принципы построения файервола могут быть сгруппированы следующим образом. Защита маршрутизатора от несанкционированного доступа При подключении к маршрутизатор у производить проверку IP адреса. Разрешить доступ к маршрутизатору только с определенных хостов на определенные порты. Это может быть достигнуто путем настройки правил цепочки input на соответствие пакетов с адресом назначения маршрутизатора на всех интерфейсах. Защита пользовательских хостов. Подключения к адресам в клиентской сети должны проверяться. Должен быть разрешен доступ только к определенным хостам и службам. Это может быть достигнуто путем настройки цепочки forward на проверку соответствия пакетов идущих через маршрутизатор в клиентскую сеть. Используйте SRC-NAT(masquerading) для 'Маскировки' частной сети одним внешним адресом Все подключения с приватных адресов замаскарадены, и выходят наружу с адресом маршрутизатора. Это можно сделать путем включения действия masquerade. Настройте политику использования Интернета клиентской сетью. Подключения из клиентской сети должны проверяться. Это можно сделать путем настройки правил цепочки forward, и/или включением маскарада только для тех подключе ний которые разрешены. Фильтрация оказывает влияние на быстродействие маршрутизатора. Чтобы снизить потери правила, отслеживающие состояние соединения должны находится сверху. То есть пакеты с опцией non-syn-only. Ниже приводятся примеры настройки файер вола. Пример настройки файерволных фильтров. 1. Защитить MikroTik маршрутизатор от несанкционированного доступа на всех интерфейсах. Разрешить доступ только из ' доверенной' сети 10.5.8.0/24. 2. Защитить пользовательские хосты в пределах сети 192.168.0.0/24 от несанкционированного доступа извне. 3. Дать доступ из Интернета к http и smtp ресурсам на 192.168.0.17 4. Разрешить только ICMP ping со всех пользовательских хостов и прохождения пакетов с прокси сервера 192.168.0.17 Адреса и маршруты показаны ниже: [admin@MikroTik] ip address> print Flags: X - disabled, I - invalid, D - dynamic # ADDRESS NETWORK BROADCAST INTERFACE 0 10.0.0.217/24 10.0.0.0 10.0.0.255 Public 1 192.168.0.254/24 192.168.0.0 192.168.0.255 Local [admin@MikroTik] ip route> print Flags: X - disabled, I - invalid, D - dynamic, J - rejected, C - connect, S - static, R - rip, O - ospf, B - bgp # DST-ADDRESS G GATEWAY DISTANCE INTERFACE 0 S 0.0.0.0/0 r 10.0.0.254 1 Public 1 DC 192.168.0.0/24 r 0.0.0.0 0 Local 2 DC 10.0.0.0/24 r 0.0.0.0 0 Public Защитим маршрутизатор от неавторизированного доступа, нам надо профильтровать все пакеты с адресом назначения наш маршрутизатор, и принять только те которые разрешены. Так как все пакеты обрабатываются в цепочке input, мы можем добавить в эту цепочку следующее. /ip firewall rule input add connection-state=invalid action=drop comment="Drop invalid connection packets" add connection-state=established comment="Allow established connections" add connection-state=related comment="Allow related connections" add protocol=udp comment="Allow UDP connections" add protocol=icmp comment="Allow ICMP messages" add src-address=10.5.8.0/24 comment="Allow access from 'trusted' network 10.5.8.0/24" add action=drop log=yes comment="Reject and log everything else" Таким образом, в цепочке input будут приняты все разрешенные соединения и сброшены, все остальные. Защита клиентской сети Для защиты клиентской сети нам необходимо проверить на соответствие все пакеты идущие через маршрутизатор с адресом назначения 192.168.0.0/24. Это можно сделать путем добавления правил в цепочку forward. Проверив на соответствие пакеты в цепочке forward перейдем в другую цепочку под названием forward. И так создадимновые цепочки и правил а. /ip firewall add name=customer /ip firewall rule customer add connection-state=invalid action=drop comment="Drop invalid connection packets" add connection-state=established comment="Allow established connections" add connection-state=related comment="Allow related connections" add protocol=udp comment="Allow UDP connections" add protocol=icmp comment="Allow ICMP messages" add protocol=tcp dst-address=192.168.0.17/32:80 comment="Allow http connections to the server at 19 2.168.0.17" add protocol=tcp dst-address=192.168.0.17/32:25 comment="Allow SMTP connections to the server at 192.168.0.17" add action=drop log=yes comment="Drop and log everything else" Теперь все что осталось сделать это поместить эти правила в це почку forward. /ip firewall rule forward add out-interface=Local action=jump jump-target=customer Назначение Интернет политики Для назначение Интернет политики доступа клиентских хостов только ч ерез прокси сервер 192.168.0.17 мы должны добавить правило в цепочку forward. /ip firewall rule forward add connection-state=invalid action=drop comment="Drop invalid connection packets" add connection-state=established comment="Allow established connections" add connection-state=related comment="Allow related connections" add protocol=icmp out-interface=Public comment="Allow ICMP ping packets" add src-address=192.168.0.17/32 out -interface=Public comment="Allow outgoing connections from the server at 192.168.0.17" add action=drop out-interface=Public log=yes comment="Drop and log everything else" Пример source NAT(Masquerading) Если вы хотите скрыть клиентскую сеть 192.168.0.0/24 одним адресом маршрутизатора 10.0.0.217, вам необходимо произвести трансляцию исходящих адресов. Маскарадинг будет подменять исходящий адрес и порт всех пакетов идущих из сети 192.168.0.0/24 на адрес маршрутизатора 10.0.0.217 когда пакет будет проходить через него. /ip firewall src-nat action=masquerade out -interface=Public Если вы хотите дать доступ к ресурсам внутри сети вам необходимо использовать destination NAT. Пример destination NAT Предположим, что вам необходимо сконфигурировать маршрутизатор так чтобы снаружи были видны ресурсы из клиентской сети. Сервер к которому надо дать доступ им еет адрес 192.168.0.4 и на нем запущен web сервер слушающий запросы на 80 порту. Мы хотим сделать его доступным из интернета с адресом 10.0.0.217:80 который будет транслироваться в локальный адрес 192.168.0.4:80. Для этого требуется одно правило транслирую щее адрес назначения и порт: /ip firewall dst-nat add action=nat protocol=tcp dst-address=10.0.0.217/32:80 to -dst-address=192.168.0.4 Фильтр Быстрый старт Для добавления правила файервола которое будет сбрасывать все TCP пакеты с портом назначения 135 идущие через маршрутизатор используйте следующую команду: /ip firewall filter add chain=forward dst -port=135 protocol=tcp action=drop Для запрещения доступа к маршрутизатору через Telnet(протокол TCP, порт 23) выполните следующую команду: /ip firewall filter add chain=input protocol=tcp dst -port=23 action=drop Спецификация Требуемые пакеты: system Требуемый уровень лицензии: Level1(фильтрация P2P ограничена одним соединением) Уровень подменю: /ip firewall filter Стандарты и технологии: IP, Аппаратное обеспечение: в зависимости от количества фильтрующих правил (чем бодрее тем лучше) Фильтр Брандмауэра Сетевые брандмауэры защищают данные находящиеся в сети от внешней угрозы. Всякий раз когда объединяются сети существует угроза вторжения извне в вашу ЛВС. Такое вторжение может привести к краже или даже потере ценных данных. Брандмауэры используются как средство предотвращения или уменьшения рисков вторжения извне. Должным образом формируемый брандмауэр и грает ключевую роль в эффективном развертывании безопасной инфраструктуры ЛВС. В MikroTik RouterOS реализован мощный брандмауэр со следующими особенностями: полная фильтрация пакетов фильтрация по протоколу peer -to-peer классификация трафика по: o исходящий MAC адрес o IP адреса(сети или списки) и типы адресов(broadcast, local, multicast, unicast) o порты или диапазон портов o IP протоколы o опции протоколов(ICMP типы и кодовые поля, флаги TCP, IP опции и MSS) o входящий исходящий трафик o внутренний поток и маркировка соединений o ToS(DSCP) байт o содержимое пакета o лимитирование, количества пакетов(по состоянию счетчика) o o o размер пакета количество пакетов полученных за определенное время и многое другое Основные принципы фильтрации Файервольные операции выполняются средствам и файервольных правил. Правила имеют строгий синтаксис, который позволяет объяснить маршрутизатору что сделать с текущим IP пакетом. Каждое правило состоит из двух частей - это образец, который используется для сопоставления с траффиком и действие, которое определяет что необходимо сделать в случае если пакет соответствует образцу. Для более удобного управления правила организованы в цепочки. Средство фильтр снабжено по умолчанию тремя цепочками: input, forward и output эти цепочки отвечают за входящий, т ранзитный и исходящий трафик соответственно. Новые пользовательские цепочки могут быть добавлены, как обязательные. Со старта эти цепочки не имеют образцов для сопоставления с трафиком, правила, содержащие action=jump и jump-target могут быть добавлены в о дну или более цепочек по умолчанию. Фильтрующие цепочки Как упоминалось ранее, файервольные правила фильтрации группируются вместе в цепочки. Эта возможность позволяет сопоставить пакет образцу в одной цепочке и после этого передать его на обработку другой цепочке. Например, пакет должен быть сопоставлен с парой IP address:port. Конечно это может быть достигнуто путем добавления большого количества правил c образцом IP address:port как критерий для цепочки forward, но лучшим способом будет добавить одно правило для сопоставления с текущим IP адресом, т.е: /ip firewall filter add src-address=1.1.1.2/32 jump-target=mychain и в случае совпадения передать управление IP пакетом некоторой другой цепочке, то есть mychain в данном примере. Затем правила смогут продолжить сопоставление с образцом по порту в mychain без проверки IP адреса. Ниже описываются три цепочки которые не могут быть удалены: 1. input - используется для фильтрации входящего на маршрутизатор трафика через один из интерфейсов с адресом назначения IP одного из этих интерфейсов. Транзитный пакет (пакет идущий через маршрутизатор) не проходит через правила цепочки input 2. forward используется для фильтрации транзитных пакетов 3. output - используется для фильтрации пакетов порожденных маршрутизатором и исходящих с одного из интерфейсов. Транзитный трафик не попадает в правила цепочки output При прохождении цепочки, правила описанные в ней рассматриваются сверху вниз. Если пакет соответствует критерию правила, то к нему применяется определенное ранее действие, и пакет прекращает свое движение по цепочке т.е к нему более не применяется ни одного правила из этой цепочки (исключение составляет действие passthrough). Если для пакета не найдено совпадений в цепочке то он принимается. Описание свойств action(accept | add-dst-to-address-list | add-src-to-address-list | drop | jump | log | passthrough | reject | return | tarpit; по умолчанию: accept) - действие применяемое к пакету если найдено соответствие в правиле. accept - принять пакет. Не предпринимать ни каких д ействий т.е пакет принят и никакие правила к нему больше не применяются add-dst-to-address-list - добавить адрес назначения IP пакета в список адресов определенный в параметре address-list add-src-to-address-list - добавить адрес источника IP пакета в спис ок адресов определенный в параметре address-list drop - тихо сбросить пакет(без посылки ICMP сообщения об отклонении пакета) jump - прыгнуть в цепочку определенную значением в параметре jump-target log - каждое соответствие с этому действию будет добавлено в системный журнал passthrough - игнорировать это правило и следовать к следующему reject - отклонить пакет и послать ICMP сообщение об отклонении return - вернуть контроль в то место цепочки откуда был совершен прыжок tarpit - захват и удержание входящих TCP соединений(применимо с флагами SYN/ACK во входящем TCP SYN пакете) address-list(name) - определенное имя списка адресов для сбора IP адресов из правил, в которых определено действие action=add-dst-address-liyst или action=add-src-addresslist. Эти списки адресов могут быть в последствии использованы в правилах. address-list-timeout(time; по умолчанию: 00:00:00) - временной интервал после которого адрес будет удален из списка адресов определенного параметром address-list. Используется в совокупности с действием add-dst-to-address-list или add-src-to-addresslist 00:00:00 - всегда удалять адрес из списка адресов chain (forward | input | output | name) - определенная цепочка в которую вставляется правило. Так как различный траффик проходит через различные правила то будьте осторожны при выборе цепочки для определенного правила. Если введенное значение не будет соответствовать название уже существующей цепочки то новая цепочка будет создана. comment(text) - комментарий к правилу. Комментарий который может быть использован для описания правил. connections-bytes(integer-integer) - пакеты т.е количество байт прошедших через конкретное соединение. бесконечность: connection-bytes=2000000-0 правило имеет смысл, если более чем 2Mb может быть пропущено через соотв етствующее соединение connection-limit(integer,netmask) - ограничение кол-ва соединений к адресу или блокировка адреса connection-mark(name) - маркировка соответствующих пакетов средствами mangle марками соответсвующего соединения connection-state(estabilished | осиinvalid | new | related) - трассировка соединений и анализ данных определенного пакета estabilished - пакет принадлежащий уже установленному соединению, например пакет ответа invalid - пакет который не может быть идентифицирован по некоторым пр ичинам. Например при нехватки памяти и ICMP ошибках которые не могут быть присвоены другим соединениям. Это главное сообщение о том что пакет должен быть сброшен. new - первый пакет в соединении. related - пакет, который связан с другим соединением, как на пример ICMP ошибки пакет который принадлежит FTP data соединению (последнее требует включения FTP трассировщика соединений в /ip firewall service-port) connection-type(ftp | gre | h323 | irc | mms | pptp | quake3 | tftp) - соответствие пакетов из связанного соединения базирующихся на информации вспомогательного соединения. Соотношение вспомогательным элементам должно быть включено в /ip firewall serviceport content(text) - текст пакета необходимый для соответствия правилу dst-address(IP address/netmask | IP address-IP address) - определенный диапазон IP адресов назначения. Примечание консоль конвертирует ввод значения address/netmask в валидный сетевой адрес т.е: 1.1.1.1/24 будет конвертирован в 1.1.1.0/24 dst-address-list(name) - соответствие пакета адресу назначения взятому из определенного пользователем списка адресов dst-address-type (unicast | local | broadcast | multicast) - соответствие адресов назначения с одним из типов IP пакетов: unicast - IP адрес использован для соединения точка -точка. В данном случае этот пакет только один посылает и один принимает пакет local - соответствие адресам маршрутизатора broadcast - пакет посланный от одной точки всем точкам IP подсети multicast - этот тип IP адресации предназначен для передачи от одной или более точек к другим точкам dst-limit - (integer/time<0,1>,integer,dst -address | dst-port | src-address<+>,time<0,1>) ограничение количества пакетов в секунду лимитируется по IP адресу назначения или портам назначения. Как противоположность общему лимитирован ию каждый IP адрес / порт назначения имеет свой лимит. Опции показаны ниже (в порядке появления) Count - максимальное среднее нормирование пакетов, измеряемый в пакетах в секунду (pps), если не сопровождается выбранной(опцией) Time Time - определенный интервал времени, с помощью которого нормируется пакет Burst - количество пакетов определяющих взрыв Mode - классификация пакета для лимитирования Expire - определенный интервал по истечении, которого записи IP адресов / портов будут удалены dst-port (integer: 0..65535-integer: 0..65535<*>) - порт назначения или диапазон портов hotspot ( from-client | auth | local-dst | http) - соответствие пакетов полученных от клиентов HotSpot. Все значения могут быть инвертированы from-client - правда, если пакет пришел от клиента HotSpot auth - правда, если пакет пришел от аутентифицированного клиента local-dst - правда, если пакет имеет локальный IP адрес назначения hotspot - правда если это TCP пакет от клиента и также включен прозрачный прокси на 80 порту или на клиенте сконфигурирован адрес прокси и этот адрес равен адресу:порту IP пакета icmp-options (integer:integer) - соответствие ICMP Type:Code полям in-interface (name) - интерфейс на который заходит пакет следующий через маршрутизатор ipv4-options (any | loose-source-routing | no-record-route | no-router-alert | no-source-routing | no-timestamp | none | record-route | router-alert | strict-source-routing | timestamp) соответствие заголовка опциям ipv4 any - соответствие пакета с одной из опций ipv4 loose-source-routing - соответствие пакетов свободной исходной опции конфигурации. Эта опция используется для маршрутизации дейтаграмм. базируясь на адресе источника no-record-route - соответствие пакетов с несуществующими записями маршрутизации. Эта опция используется для маршрутизации дейтаграмм. базируясь на адресе источника no-router-alert - соответствие пакетов опции тревога(alert) no-source-routing соответствие пакетов опции не т маршрута источника no-timestamp - соответствие пакетов опции нет временной метки record-route - соответствие пакета с записью опции маршрутизации router-alert - соответствие пакетов опции тревога(alert) strict-source-routing - строгое соответствие пакето в опции маршрутизации источника timestamp - соответствие опции временной метки jump-target (forward | input | output | name) - название цепочки в которую осуществляется переход, если используется опция action=jump limit (integer/time<0,1>,integer) – ограничение (лимитирования) соответствующего пакета. Уменьшает количество системных сообщений Count - максимальная средняя скорость передачи пакета, измеряется в пакетах за секунду (pps), если не сопровождается выбранной опцией Time Time - выбранный временной интервал, которым нормируется прохождение пакета Burst - число пакетов для соответствия взрыву log-prefix(text) - все сообщения записывающиеся в системный журнал и снабжающиеся префиксом определяются здесь. Используется в добавлении с action=log nth (integer,integer: 0..15,integer<0,1>) - соответствие специфичному Nth пакету полученному из правила. Один из 16 доступных счетчиков может быть использован для подсчета пакетов. Every - соответствует каждому Every+1th пакету. Например, если Every=1 тогда правило соответствует каждому второму пакету Counter - определяет какой счетчик использовать. Счетчик увеличивается каждый раз когда правило находит соответствие nth Packet - соответствие отдельно взятому пакету выбранному по номеру. Взятое значение(номер) имеет с мысл между 0 и Every. Если эта опция используется для конкретного счетчика. тогда должен быть по крайней мере Every+1 правило с этой опцией, перекрывающее все значения между 0 и Every включительно out-interface (name) - интерфейс через который пакет поки дает маршрутизатор. p2p (all-p2p | bit-torrent | blubster | direct-connect | edonkey | fasttrack | gnutella | soulseek | warez | winmx) - соответствие пакетов протоколам peer -to-peer(P2P) packet-mark(text) - соответствие пакетов маркированных средством mangle соответствующим маркам. packet-size (integer: 0..65535-integer: 0..65535<0,1>) - соответствие пакета определенному размеру или размеру в заданном диапазоне заданному в байтах. Min - нижняя граница размера диапазона или отдельно взятого значения Max - верхняя граница размера диапазона phys-in-interface (name) - соответствие порту физического входящего(input) устройства добавленного в bridge устройство. Эта возможность может использоваться только если пакет прибывает на bridge. phys-out-interface (name) -соответствие порту физического исходящего(output) устройства добавленного в bridge устройство. Эта возможность может использоваться, только если пакет покидает маршрутизатор с bridge. protocol (ddp | egp | encap | ggp | gre | hmp | icmp | idrp -cmtp | igmp | ipencap | ipip | ipsec -ah | ipsec-esp | iso-tp4 | ospf | pup | rdp | rspf | st | tcp | udp | vmtp | xns -idp | xtp | integer) соответствие определенному IP протоколу по имени или номеру. Вам необходимо использовать эту возможность, если вы хотите определять в правилах порты. psd (integer,time,integer,integer) - попытка определить TCP и UDP сканеры. Рекомендуется назначать небольшой вес(пакета) портам старше 1024 для уменьшения количества отрицательных ответов, также как при пассивной передаче через F TP WeightThreshold - полный вес последних TCP/UDP c отличными (старше 1024) портами назначения и, пришедшими от некоторого хоста будут рассматриваться как сканер портов DelayThreshold - задержка пакетов с отличными (старше 1024) портами назначения и, пришедшими с некоторого хоста будут рассматриваться как подсканер портов LowPortWeight - вес пакетов с привелегироваными( /ip firewall mangle add chain=forward. p2p=all-p2p action=mark-connection new-connection-mark=p2p_conn [admin@MikroTik] > /ip firewall mangle add chain =forward. connection-mark=p2p_conn action=mark-packet new-packet-mark=p2p [admin@MikroTik] > /ip firewall mangle add chain=forward. connection-mark=!p2p_conn action=mark -packet new-packet-mark=other [admin@MikroTik] > / ip firewall mangle print Flags: X - disabled, I - invalid, D - dynamic 0 chain=forward p2p=all-p2p action=mark-connection new-connectionmark=p2p_conn 1 chain=forward connection -mark=p2p_conn action=mark-packet new-packetmark=p2p 2 chain=forward packet-mark=!p2p_conn action=mark-packet new-packetmark=other [admin@MikroTik] > [admin@MikroTik] > /queue tree add parent=Public packet -mark=p2p limitat=1000000. max-limit=100000000 priority=8 [admin@MikroTik] > / queue tree add parent=Local packet-mark=p2p limitat=1000000. max-limit=100000000 priority=8 [admin@MikroTik] > /queue tree add parent=Public packet -mark=other limitat=1000000. max-limit=100000000 priority=1 [admin@MikroTik] > /queue tree add parent =Local packet-mark=other limitat=1000000. max-limit=100000000 priority=1 Маркировка по MAC адресам Для маркировки трафика по известным МАС адресам которые проходят к/через маршрутизатор выполните следующее: [admin@MikroTik] > / ip firewall mangle add chain=prerouting. src-mac-address=00:01:29:60:36:E7 action=mark -connection new-connectionmark=known_mac_conn [admin@MikroTik] > / ip firewall mangle add chain =prerouting. connection-mark=known_mac_conn action =mark-packet new-packetmark=known_mac Смена MSS Всем известно что VPN соединения гоняют маленькие пакеты встроенные в заголовок. Большие пакеты с MSS который превышает MSS для VPN соединения может быть предварительно фрагментирован для посылки через данный вид соединения. Однако если в пакете установлен флаг DF, то он не может быть фрагментирован и быть удален. В соединениях которые имеют неверный MTU (PMTUD) это может создать ряд проблем, включая проблемы с FTP и HTTP соединениями а также почтовыми с ервисами. В случае соединений с потерянными PTUMD, уменьшение MSS пакетов проходящих через VPN соединения решает эту проблему. Приведенный ниже пример демонстрирует, как можно уменьшить значение MSS средствами mangle [admin@MikroTik] > /ip firewall mangle add out-interface=pppoe-out. protocol=tcp tcp -flags=syn action=change -mss new-mss=1300 chain=forward [admin@MikroTik] > / ip firewall mangle print Flags: X - disabled, I - invalid, D - dynamic 0 chain=forward out-interface=pppoe-out protocol=tcp tcp-flags=syn action=change-mss new-mss=1300 [admin@MikroTik] > NAT Спецификации Требуемые пакеты: system Требуемый уровень лицензии: Level1(ко л-во правил лимитировано 1), Level3 Уровень подменю: /ip firewall nat Стандарты и технологии: IP, RFC1631, RFC2663 NAT Трансляция сетевых адресов это Интернет стандарт для установки соединений из локальной сети во внешнюю через один IP адрес и наоборот установки соединений из внешней сети в локальную. Для вып олнения функций NAT может быть использован NAT шлюз для каждой natted сети. NAT шлюз (NAT маршрутизатор) перезаписывает путь следования пакета от/к Локальной сети. Существует два типа NAT: исходящий NAT или srcnat. Этот тип NAT выполняется для пакетов и сходящих из natted сети. входящий NAT или dstnat. Это тип NAT применяется для пакетов, которые следуют в natted сеть. В большинстве случаев это применяется, для того чтобы сделать доступными хосты в приватной сети из Интернет. NAT маршрутизатор примен яя действие dstnat подменяет IP адрес назначения всех IP пакетов идущих через маршрутизатор в приватную сеть. Недостатки NAT У хостов находящихся за NAT маршрутизатором нет возможности установить реальное соединение от хоста к хосту. Поэтому некоторые Интернет протоколы могут не работать через NAT, например AH протокол из набора IPsec. RouterOS включает в себе множество так называемых NAT помощников, которые включают пересечения для различных протоколов. Редирект и Маскарад Редирект и Маскарад это специальные формы dstnat и srcnat, соответственно. Редирект подобен стандартному dstnat, но работает как masquerade выполняет действие srcnat то есть также как и masquerade при выполнении действия srcnat не указывается to-address IP адрес исходящего интерфейса, в редиректе не указывается IP адрес входящего интерфейса. Примечание для редиректа значащим правилом является to-ports, который является портом службы на маршрутизаторе способной отв еть на этот запрос (как например web proxy). Когда над пакетом производится действие dstnat (не важно будь то action=nat или action=redirect), адрес назначения изменяется. Информация о трансляции адресов (включающая в себя настоящий адрес назначения) наход ится в специальных таблицах маршрутизатора. Прозрачный web прокси работающий на маршрутизаторе (когда web запрос перенаправляется на порт прокси маршрутизатора) получает эту информацию из таблиц и соответственно получает адрес web сервера из них. Если вы вы полняете действие dstnat для других прокси серверов, то не существует другой возможности получить адрес web сервера из IP заголовка пакета (потому что адрес назначения IP пакета предварительно был изменен на адрес прокси сервера). Starting from HTTP/1.1 это специальный заголовок HTTP запроса который передает адрес web сервера, так прокси сервер может использовать его, вместо IP адреа пакета. Если нет этого заголовка (старые версии HTTP клиента) прокси сервер не может определить адрес web сервера и поэтому не может работать. Это средство делает возможным правильно и прозрачно редиректить HTTP траффик от маршрутизатора к некоторым другим прозрачным прокси. Только непосредственное добавление прозрачного прокси на маршрутизаторе дает возможность настройки его ка к родительского прокси. В этой ситуации ваш "настоящий" прокси не может быть прозрачным, поскольку прокси на маршрутизаторе будет прозрачен и будет отправлять запросы прокси(в соответствии со стандартом; эти запросы включают всю необходимую информацию о web сервере) к "настоящему" прокси. Описание свойств action (accept | add-dst-to-address-list | add-src-to-address-list | dst-nat | jump | log | masquerade | netmap | passthrough | redirect | return | same | src -nat; default: accept) - предпринимаемое действие если пакет соответствует правилу. accept - принять пакет. Не применять ни каких действий т.е пакет принят для всех правил. add-dst-to-address-list - добавить адрес назначения IP пакета в список адресов address-list add-src-to-address-list - добавить адрес источника IP пакета в список адресов address-list dst-nat - подменить адрес назначения IP пакета на значение определенное в параметре to-address и в to-ports. jump - "прыгнуть" в правило определенное значением в параметре jump-target log - каждое правило совпадающее с этим правилом будет записано в системный журнал masquerade - замена адреса источника IP пакета на автоматически определенный адрес средствами маршрутизации netmap - создание статической 1:1 карты одного набора IP адре сов для обращения к другим(отображения одной сети в другую). passthrough - игнорировать это(текущее) правило и перейти к следующему. redirect - заменяет адрес назначения IP пакета на один из локальных адресов. return - вернуться назад в правило из которого был произведен "прыжок" jump same - выдать клиенту некоторый IP адре с источника/назначения из выдел енного диапазона для каждого соединения. Этот метод чаще всего используется для служб ожидающих некоторого клиентского адреса для при множественных подключениях от одного клиента. src-nat - заменяет адрес источника IP пакета на значение определенное в параметрах to-address и to-ports. address-list(name) - специфическое имя списка IP адресов взятого из следующ их правил action=adddst-to-address-list или action=add-src-to-address-tist. Этот список адресов впоследствии может быть использован для проверки пакетов. address-list-timeout(time; default: 00:00:00) – интервал, после которого адрес будет удален из списка адресов определенного в address-list. Используется в конъюнкции с с действиями add-dst-to-address-list или add-src-to-address-list. 00:00:00 - оставить адрес в списке адресов навсегда. chain(dstnat | srcnat | name) - добавление в цепочку определенного пр авила. То есть как различный трафик должен проходить через различные цепочки, всегда будьте осторожны при выборе правильной цепочки для нового правила. Если при вводе не будет совпадения с названием уже существующего правила, то новое правило будет создано. dstnat - правило находящееся в этой цепочке срабатывает до принятия решения о маршрутизации. Это правило подменяет адрес назначения IP пакета. srcnat - правило находящееся в этой цепочке срабатывает после принятия решения о маршрутизации. comment(text) - наглядный комментарий к правилу. Комментарий может быть использован для идентификации правила из серверного сценария. connection-bytes(integerinteger) - количество байт в пакетах прошедших через отдельно выбранное соединение. 0 - бесконечность: например: connection-bytes=2000000-0 для проверки пакетов используется это правило если более чем 2Мб прошло через выбранное соединение. connection-limit(integer, netmask) - ограничить(лимитировать) соединение по адресу или заблокировать адрес. connection-mark(name) - промаркировать пакеты прошедшие проверку и выбранное соединение с помощью средства mangle. connection-type(ftp | gre | h323 | irc | mms | pptp | quake3 | tftp) - проверка пакетов использующих связанные соединения информация о них(соединения х) получать от их расировщиков соединений. Средство вспомогательных соединений должны быть включены в /ip firewall service-port content(text) - текст который должны содержать текстовые пакеты для соответствия правилу. dst-address(IP adress/netmask | IP address -IP address) - выбранный диапазон адресов назначения IP пакета. Замечание запись правильного сетевого адреса в консоли в формате address/netmask т.е. 1.1.1./24 будет конвертирована в 1.1.1.0/24 dst-address-list(name) - соответствие адреса назначения противоположное определенного пользователем в списке адресов. dst-address-type(unicast | local | broadcast | multicast) - соответствие адреса назначения по типу одного из перечисленных IP пакетов: unicast - IP адрес, используемый одной точкой для соединения с другой точкой local - соответствующие адреса, прикрепленные к маршрутизатору broadcast - IP пакет посылаемый от точки к другим точкам подсети multicast - этот тип IP адресация используется для передачи от одной или более точек к другим точкам. dst-limit(integer/time<0,1>,integer,dst -address | dst-port | src-address<+>,time<0,1>) лимитирование пакетов в секунду (количество пакетов принимаемых в секунду (pps)) для адреса назначения или порта назначения. Это как противополож ность limit соответствий, то есть каждый адрес/порт назначения будет иметь свой лимит. Ниже перечислены следующие варианты лимитирования (в порядке появления вида лимитирования): Count - максимальная средняя передача (ересь от микротик :) ), объем в паке тах передаваемый за секунду(pps), если не сопровождается опцией Time Time - определяет временной интервал через который определяется размер пакета Burst - номера пакетов для согласования(предотвращения) от скачков. Mode - классификация пакетов предназначен ная для лимитирования Expire - временной интервал после которого запись IP адресов/портов будет удалена. dst-port(integer: 0..65535-integer: 0..65535<*>) - порт назначения или диапазон портов. hotspot(multiple choice: from-client | auh | local-dst) - соответствие пакетов полученных от различных клиентов Hot-Spot. Все значения могут быть инвертированы. from-client - правда если пакет пришел от HotSpot клиента auth - правда если пакет пришел от аутентифицированного клиента local-dst - правда если пакет имеет адрес назначения локальную сеть icmp-options(integer:integer) - интерфейс, на который входит при прохождении чере з маршрутизатор ip4-options(any | loose-source-routing | no-record-route | no-route-alert | no-source-routing) соответствующие опции заголовков ipv4 any - соответствие не менее чем одному заголовку ipv4 loose-source-routing - пакеты соответствующие свободной опции маршрутизации источника. Эта опция используется для маршрутизации в Интернет дэйтаграм сгенерированных источником. no-record-route - пакеты не соответствующие опциям маршрутизации. Эта опция используется для маршрутизации в Интернет дэйтаграм сгенерированных источником. no-route-alert - пакеты, соответствующие предупреждению нет маршрута. no-source-routing - пакеты, соответствующие опции нет маршрута источника record-route - пакеты, соответствующие записи в таблице маршрутизации. strict-source-routing - соответствие пакета опции статического маршрута. timestamp – соответствие пакетов опции timestamp route-alert - соответствие пакетов опции предупреждение. jump-target(dstnat | srcnat name) - название цепочки в которую совершается "прыжок", если используется опция action=jump limit(integer/time<0,1>, integer) - ограничение скорости прохождения соответствующего пакета c помощью взятого лимита. Чтобы уменьшить количество журнальных сообщений за единицу времени(уменьшить интенсивность). Count - средняя скорость прохождения пакета, ограничивает к ол-во пакетов в секунду(pps), если установлена соответствующая опция в Time Time - временной интервал которым определяется ограничение пропускной способности Burst - нумерация пакетов(счетчик) для предотвращения переполнения. log-prefix)(text) - все сообщения будут включать в себя префикс описанный здесь. Используется в паре с action=log nth(integer,integer: 0..15,integer<0,1>) - частный случай Nth пакета полученного в соответствии с правилом. Доступен один из 16 счетчиков которые могут быть использованы. Every - каждое соответствие Every+1th пакет. Для примера, если Every=1 тогда правило соответствия отрабатывается на каждом 2-ом пакете. Counter - счетчик. Счетчик инкрементируется каждый раз когда правило содержит nth соответствие. Packet - соответствие отдельно взятого пакета. Значение должно находится между 0 и Every. Если эта опция использована для конкретно взятого счетчика, тогда правило должно срабатывать для не менее чем Every+1th вместе с этой опцией, перекрывая тем самым все значения между 0 и Every включительно. out-interface (name) - интерфейс через который пакет покидает маршрутизатор. packet-mark (name) - маркировка соответствующего пакета средствами mangle packet-size (integer: 0..65535-integer: 0..65535<0,1>) - соответствие пакета определенному размеру или размеру в заданном диапазоне, указанном в байтах Min - значение, определяющее нижнюю границу диапазона Max - значение, определяющее верхнюю границу диапазона phys-in-interface (name) - соответствие порту бриджа добавленного на физический входной (input) интерфейс. Это работает только если пакет прох одит через бридж. phys-out-interface (name) - соответствие порту бриджа добавленного на физический исходящий интерфейс (output). это работает только если пакет проходит через интерфейс. protocol (ddp | egp | encap | ggp | gre | hmp | icmp | idrp -cmtp | igmp | ipencap | ipip | ipsec -ah | ipsec-esp | iso-tp4 | ospf | pup | rdp | rspf | st | tcp | udp | vmtp | xns -idp | xtp | integer) соответствие IP протоколу определенному по имени или по номеру. вам необходимо определить протокол если вы хотите определ ять порты. psd(integer,time,integer,integer) - обнаружение попыток TCP и UDP сканеров. Этот механизм рекомендуется применять для назначения более низкого приоритета портам с более высоким, чтобы уменьшить частоту отрицательных ответов, как например, при пассивном режиме передачи через FTP WeightTreshold - полный размер последних TCP/UDP пакетов пришедших на порты отличные от портов назначения (порты на которых не работают стандартные службы) и пришедшие от некоторого хоста должны быть обработаны как сканер портов. DelayThreshold - задержка пакета пришедшего на порт отличного от портов назначения и пришедшие от некоторого хоста должны быть обработаны как сканер портов. LowPortWeight - объем пакетов с привилегированными( /ip firewall address -list add list=drop_traffic address=192.0.34.166/ 32 [admin@MikroTik] > /ip firewall address -list print Flags: X - disabled, D - dynamic # 0 LIST ADDRESS drop_traffic 192.0.34.166 [admin@MikroTik] > / ip firewall mangle add chain=prerouting protocol =tcp dstport=23. action=add-src-to-address-list address-list=drop_traffic [admin@MikroTik] > /ip firewall filter add action=drop chain=input src address-list=drop_traffic [admin@MikroTik] > / ip firewall address -list print Flags: X - disabled, D - dynamic # 0 LIST ADDRESS drop_traffic 192.0.34.166 1 D drop_traffic 1.1.1.1 2 D drop_traffic 10.5.11.8 [admin@MikroTik] > Как видно из вывода команды print два новых элемента динамически добавлены в список адресов. Это IP адреса хостов которые пытались подключиться через telnet к маршрутизатору. Службы, протоколы и порты Сопровождающие документы Firewall Filters Packet Marking(Mangle) Certificate Management Изменение установок служб Уровень меню: /ip service Свойство описание name - название службы port(integer: 1..65535) - специфичный порт который слушает служба address(IP address/mask; default: 0.0.0.0/0) - IP адрес(адреса) с которых разрешен доступ к службам certificate (name | none; по умолчанию: none) - имя сертификата который использует определенная служба Пример Для настройки www службы для использования порта 8081 из сети 10.10.10.0/24 выполните следующее [admin@MikroTik] ip service> print Flags: X - disabled, I - invalid # NAME PORT ADDRESS CERTIFICATE 0 telnet 23 0.0.0.0/0 1 ftp 21 0.0.0.0/0 2 www 80 0.0.0.0/0 3 ssh 22 0.0.0.0/0 4 www-ssl 443 0.0.0.0/0 none [admin@MikroTik] ip service> set www port=8081 address=10.10.10.0/24 [admin@MikroTik] ip service> print Flags: X - disabled, I - invalid # NAME PORT ADDRESS CERTIFICATE 0 telnet 23 0.0.0.0/0 1 ftp 21 0.0.0.0/0 2 www 8081 10.10.10.0/24 3 ssh 22 0.0.0.0/0 4 www-ssl 443 0.0.0.0/0 none [admin@MikroTik] ip service> Список служб Ниже представлен список протоколов и портов которые используют службы Mikrotik RouterOS. Некоторые службы требуют дополнительно установленных пакетов. Порт/Протокол 20/tcp 21/tcp 22/tcp 23/tcp 53/tcp 53/udp 67/udp 68/udp 80/tcp 123/udp 161/udp 443/tcp 500/udp 521/udp 179/tcp 1080/tcp 1701/udp 1718/udp 1719/tcp 1720/tcp 1723/tcp 1731/tcp 1900/udp 2828/tcp 2000/tcp 3986/tcp Описание File Transfer Protocol FTP [Data Connection] File Transfer Protocol FTP [Control Connection] Secure Shell SSH remote Login Protocol (Only with security package) Telnet protocol Domain Name Server DNS Domain Name Server DNS Bootstrap Protocol or DHCP Server (only with dhcp package) Bootstrap Protocol or DHCP Client (only with dhcp package) World Wide Web HTTP Network Time Protocol NTP (Only with ntp package) Simple Network Menagment Protocol SNMP (Only with snmp package) Secure Socket Layer SSL encrypted HTTP(Only with hotspot package) Internet Key Exchange IKE protocol (Only with ipsec package) Routing Information Protocol RIP (Only with routing package) Border Gateway Protocol BGP (Only with routing package) SOCKS proxy protocol Layer 2 Tunnel Protocol L2TP (Only with ppp package) H.323 Gatekeeper Discovery (Only with telephony package) H.323 Gatekeeper RAS (Only with telephony package) H.323 Call Setup (Only with telephony package) Point-to-Point Tuneling Protocol PPTP (Only with ppp package) H.323 Audio Call Control (Only with telephony package) Universal Plug and Play uPnP Universal Plug and Play uPnP Bandwidth-test server Proxy for winbox 3987/tcp 5678/udp 8080/tcp 8291/tcp 20561/udp 5000+/udp /1 /4 /47 /50 /51 /89 SSL proxy for secure winbox (Only with security package) MikroTik Neighbor Discovery Protocol HTTP Web proxy (Only with web -proxy package) Winbox MAC winbox H.323 RTP Audio Streem (Only with telephony package) ICMP - Internet Control Message Protocol IP - IP in IP (encapsulation) GRE - General Routing Encapsulation (Only for PPTP and EoIP) ESP - Encapsulating Security Payload for IPv4 (Only with security package) AH - Authentication Header for IPv4 (Only with security package) OSPFIGP - OSPF Interior Gateway Protoco SOCKS proxy сервер Cпецификация Требуемые пакеты: system Требуемый уровень лицензии: Level1 Уровень подменю: /ip socks Стандарты и технологии: SOCKS version 4 Аппаратное обеспечение: не принципиально Сопровождающие документы Web Proxy NAT Описание SOCKS - это прокси сервер который позволяет проходить данным TCP приложений в обход межсетевого экрана, даже если экр ан блокирует пакеты. SOCKS протокол реализован поверх протоколов приложений, таким образом он может быть использован многими службами, такими как WWW, FTP, TELET и др. Во первых, клиентское приложение подключается к SOKS прокси серверу, затем сервер просматривает свой список доступа разрешен ли доступ клиента к удаленному серверу, если разрешен прокси сервер пересылает пакет серверу приложений и создает соединение между сервером приложений и клиентом. Примечание Запомните для конфигурирования вашего клиентс кого приложения используйте SOCKS версии 4. Вам необходимо защитить SOCKS прокси используя список доступа и/или межсетевой экран для закрытия доступа из вне. Прорыв безопасности прокси сервера может плохо отразится на безопасности вашей сети, и возможно пр едоставит услугу для спамеров для посылки почтовых сообщений через маршрутизатор. Дополнительно Конфигурация SOCKS В данной секции будет рассказано, как включать SOCKS прокси и конфигурировать его. Описание свойств connection-idle-timeout (time; default: 2m) - время по истечении, которого сбрасываются idle соединения. enabled (yes | no; default: no) - включить или нет SOCKS прокси max-connections (integer: 1..500; default: 200) - максимальное количество одновременных соединений port (integer: 1..65535; default: 1080) - TCP порт на котором SOCKS сервер слушает запросы. Пример Для включения SOCKS выполните следующее: [admin@MikroTik] ip socks> set enabled=yes [admin@MikroTik] ip socks> print enabled: yes port: 1080 connection-idle-timeout: 2m max-connections: 200 [admin@MikroTik] ip socks> Список доступа Уровень подменю: /ip socks access Описание В списке доступа SOCKS вы можете добавлять правила, которые будут контролировать доступ к SOCKS серверу. Этот список подобен спискам межсетевого экрана. Cвойство описания action (allow | deny; default: allow) - действие, которое будет выполняться в этом правиле allow - принять пакеты, соответствующие этому правилу и будут отправлены для дальнейшей обработки deny - запретить доступ для пакетов, соответствующих этому правилу dst-address (IP address/netmask:port) - адрес назначения src-address (IP address/netmask:port) - адрес назначения Активные соединения Уровень подменю: /ip socks connections Описание Список активных соединений показывает все стабильные TCP соединения, проходящие через SOCKS сервер. Описание свойств dst-address (read-only: IP address) - IP адрес назначения(сервера приложений) RX (read-only: integer) - получено байт src-address (read-only: IP address) - IP адрес источника(клиентское приложение) TX (read-only: integer) - отправлено байт Примеры Для просмотра текущих TCP соединений выполните следующее: [admin@MikroTik] ip socks connections > print # SRC-ADDRESS DST-ADDRESS 0 192.168.0.2:3242 159.148.147.196:80 1 192.168.0.2:3243 159.148.147.196:80 2 192.168.0.2:3246 159.148.95.16:80 3 192.168.0.2:3248 194.8.18.26:80 4 192.168.0.2:3249 159.148.95.16:80 5 192.168.0.2:3250 159.148.95.16:80 6 192.168.0.2:3251 159.148.95.16:80 7 192.168.0.2:3258 80.91.34.241:80 8 192.168.0.2:3259 80.91.34.241:80 9 192.168.0.2:3260 80.91.34.241:80 10 192.168.0.2:3261 80.91.34.241:80 11 192.168.0.2:3262 80.91.34.241:80 [admin@MikroTik] ip socks connections > TX 4847 3408 10172 474 6477 4137 1712 314 934 930 312 312 RX 2880 2127 25207 1629 18695 27568 14296 208 524 524 158 158 Служба FTP через SOCKS сервер Предположим что у вас есть сеть 192.168.0.0/24 которая замаскарадина с внешним IP 10.1.0.104/24 и внутренним IP 192.168.0.1/24. Где-нибудь в сети есть FTP сервер с IP адресом 10.5.8.8. Мы хотим разрешить доступ к этому FTP серверу для клиента из нашей локальной сети с адресом 192.168.0.2/24. Для начала проверим, установлены ли правила NAT(MASQUERADE) для нашей локальной сети: [admin@MikroTik] ip firewall nat> print Flags: X - disabled, I - invalid, D - dynamic 0 chain=srcnat src-address=192.168.0.0/24 action=masquerade [admin@MikroTik] ip firewall nat> Также необходимо проверить закрыт ли доступ к FTP 10.5.8.8: [admin@MikroTik] ip firewall filter > print Flags: X - disabled, I - invalid, D - dynamic 0 chain=forward src-address=192.168.0.0/24 dst-address=:21 action=drop [admin@MikroTik] ip firewall filter > Далее включаем SOCKS сервер: [admin@MikroTik] ip socks> set enabled=yes [admin@MikroTik] ip socks> print enabled: yes port: 1080 connection-idle-timeout: 2m max-connections: 200 [admin@MikroTik] ip socks> Добавляем в список доступа доступ для клиента с IP адресом 192.168.0.2/32, разрешая для него передачу данных от FTP сервера к нему(разрешаем также хождение пакетов с 1024 по 65535 порты для других IP адресов) и сбрасываем все остальные. [admin@MikroTik] ip socks access> add src-address=192.168.0.2/32 dstaddress=:21 action=allow [admin@MikroTik] ip socks access> add dst-address=:1024-65535 action=allow [admin@MikroTik] ip socks access> add action=deny [admin@MikroTik] ip socks access> print Flags: X - disabled 0 src-address=192.168.0.2/32 dst-address=:21 action=allow 1 dst-address=:1024-65535 action=allow 2 action=deny [admin@MikroTik] ip socks access> На этом конфигурирование SOCKS сервера для поставленной задачи можно считать законченной. Для просмотра активных соединений и переданных данных выполните следующее: [admin@MikroTik] ip socks connections > print # SRC-ADDRESS DST-ADDRESS 0 192.168.0.2:1238 10.5.8.8:21 1 192.168.0.2:1258 10.5.8.8:3423 [admin@MikroTik] ip socks connections > TX 1163 0 RX 4625 3231744 Примечание! В случае использования SOCKS прокси сервера вам необходимо определить IP адрес и порт FTP клиента вашего маршрутизатора. В выше описанном случае IP адрес 192.168.0.1 (внутренний адрес маршрутизатор/SOCK) и порт 1080. OSPF Спецификация Требуемые пакеты: routing Требуемый уровень лицензии: Level 3 Уровень подменю: /routing ospf Стандарты и технологии: OSPF Аппаратное обеспечение: не принципиально Cсопровождающие документы Software Package Management IP Addresses and ARP Routes, Equal Cost Multipath Routing, Policy Routing Log Management Описание Open Shortest Path First (первый доступный кратчайший путь) протокол - это протокол проверки состояния маршр ута. Для построения он использует алгоритм проверки состояния и вычисляет кратчайший путь ко всем известным пунктам назначения. Для вычисления кратчайшего пути используется алгоритм Дейкстры. OSPF распределяет информацию о маршрутах между маршрутизаторами которые принадлежат одиночным автономным системам(АС). Под автономной системой подразумевается группа маршрутизаторов обменивающаяся информацией о маршрутах с помощью обычного протокола маршрутизации. Для развертывания OSPF необходимо скоординировать наст ройку всех маршрутизаторов (заметьте это также означает, что все маршрутизаторы участники OSPF должны иметь одинаковый MTU). Протокол OSPF стартует после того как вы добавите запись в список OSPF сети. Изучение маршрутов происходит в соответствии с проток олом OSPF согласно маршрутам установленным в таблице маршрутизации с количеством прыжков равным 110. Основные установки Уровень подменю:/routing ospf Описание свойств distribute-default (never | if-installed-as-type-1 | if-installed-as-type-2 | always-as-type-1 | always-as-type-2; default: never) - определяет как распределить маршрут по умолчанию. Может быть использован для ABR(Область Ограниченная магшрутизатором) или ASBR(Пограничный маршрутизатор Автономной системы) установок. never - не посылать маршрут по умолчанию другим маршрутизаторам if-installed-as-type-1 - раздавать маршрут по умолчанию с типом метрики 1 только если он существует(статический маршрут по умолчанию, или маршрут добавленный в DHCP PPP и.т.д) if-installed-as-type-2 - раздавать маршрут по умолчанию с типом метрики 2 только если он существует(статический маршрут или маршрут добавленный в DHCP PPP и.т.д) always-as-type-1 - всегда раздавать маршрут по умолчанию с типом метрики 1. always-as-type-2 - всегда раздавать маршрут по умолчанию с типом метрики 2. metric-bgp (integer; по умолчанию: 20) - определяет стоимость маршрута изученного через BGP протокол. metric-connected (integer; по умолчанию: 20) - определяет стоимость маршрута к непосредственно подключенной сети (сети находящейся прямо за маршрутизатором). metric-default (integer; по умолчанию: 1) - определяет стоимость маршрута по умолчанию. metric-rip (integer; по умолчанию: 20) - определяет стоимость маршрута по умолчанию изученого через протокол RIP. metric-static(integer; по умолчанию: 20) - определяет стоимость статических маршрутов. redistribute-bgp (as-type-1 | as-type-2 | no; по умолчанию: no) - если установлен, маршрутизатор будет перераздавать информацию о всех активных маршрутах т.е маршруты к непосредственно доступным сетям. redistribute-connected(as-type-1 | as-type-2 | no; по умолчанию: no) - если установлен, маршрутизатор будет перераздавать информацию о всех активных маршрутах т.е маршруты к непосредственно доступным сетям. redistribute-rip (as-type-1 | as-type-2 | no; по умолчанию: no) - при включении этой возможности маршрутизатор будет перераздавать информацию о всех изученных маршрутах по протоколу RIP. redistribute-static (as-type-1 | as-type-2 | no; по умолчанию: no) - если установлен, маршрутизатор будет перераздавать информацию о всех статических маршрутах добавленных в его базу данных маршрутизации, т.е. для маршрутов которые должны быть созданы используйте команду /ip route add. router-id(IP address; по умолчанию: 0.0.0.0) - OSPF идентификатор маршрути затора. Если не определен, OSPF в качестве идентификатора использует полный IP адрес маршрутизатоа. Примечание В пределах одной области (одной подсети), только маршрутизатор подключается к другой области (т.е пограничный маршрутизатор) или к другой AS(т.е м аршрутизатор граничащий с другой Автономной системой) распространяя установленный маршрут по умолчанию. Протокол OSPF будет пытаться использовать кратчайший путь (с минимальной стоимостью) если возможно. Протокол OSPF поддерживает два типа метрик: type1 - внешнии метрики, выражаются в некоторых единицах как стоимость OSPF интерфейса. Другими словами маршрутизатор предполагает что стоимость внешнего соединения к AS может быть представлена такой же величиной как и внутреннее соединение. type2 - внешнии метрики, с большим порядком величин; дугой type2 метрик предполагает использование более длинного пути с небольшой стоимостью к внешним AS. Используйте type2 внешнюю метрику для тех маршрутов между AS у которых главным критерием является стоимость маршрутизации пакета. Оба типа внешних метрик и Type1 и Type2 могут быть использованы в AS попеременно. В этом случае, Type1 внешних метрик всегда должен стартовать первым. В /ip route вы можете просмотреть маршруты со статусом Io. Потому что маршрутизатор получает маршруты от себя. Стоимость метрики может быть получена из скорости передачи по формуле 10e+8/скорость передачи. Ниже представленная таблица включающая несколько примеров: тип сети ethernet T1 64Kb/s стоимость 10 64 1562 Пример Для включения OSPF протокола перераспределения маршрутов к подключенной сети как type1 со стоимостью 1 вам необходимо сделать следующее. [admin@MikroTik] routing ospf> set redistribute-connected=as-type-1. metric-connected=1 [admin@MikroTik] routing ospf> print router-id: 0.0.0.0 distribute-default: never redistribute-connected: as-type-1 redistribute-static: no redistribute-rip: no redistribute-bgp: no metric-default: 1 metric-connected: 1 metric-static: 20 metric-rip: 20 metric-bgp: 20 [admin@MikroTik] routing ospf> Области Уровень подменю: /routing ospf area Описание OSPF собирает информацию с маршрутизаторов которые сгруппированные вместе. Такая группировка называется область. каждая область стартует с отдельной копией (состояния соединения) базового алгоритма марш рутизации. Это означает, что каждая область имеет свою собственную базу данных состояний соединений и соответствующий граф. Структура области не видима снаружи. Эта изоляция позволяет протоколу значительно сократить маршрутизацию трафика по сравнению с тем как если бы вся Автономная система рассматривалась как единое соединение. В пределах одной области не должно быть более 60 -80 маршрутизаторов. Описание свойств area-id(IP address; по умолчанию: 0.0.0.0) - идентификатор OSPF области. По умолчанию area-id=0.0.0.0 - основная области. Основная OSPF область всегда включает в себя все пограничные маршрутизаторы. Основа ответственна за распределение информации между не основными областями. Основа должна быть смежной (не изолирована от не основ). Однако области не должны быть физически подсоединены к основе. Это возможно сделать путем создания виртуальных соединений. Название и идентификатор области не могут быть изменены. authetication(none | simple | md5; по умолчанию: none) - метод аутентификации для передачи сообщений по протоколу OSPF none - не использовать аутентификацию simple - аутентификация открытым текстом md5 - аутентификация с помощью md5 default-cost(integer; по умолчанию: 1) - определенная по умолчанию стоимость для не основных областей. применимо только для областей граничащих с маршрутизатором. name(name; по умолчанию "") - название OSPF области. stub(yes | no; по умолчанию: no) - не основная(обрезок) область это область которая не имеет маршрутов к АС или находится вне зоны действия областей. Не основная область формируется так чтобы избежать запросов идущих от АС к этой области, как если бы это было внешнее соединение к основной области. Одна из причин создание не основных областей это уменьшение базы данных состояний маршрутов и уменьшение тем самым количество циклов CPU на обработку этих данных. Другие маршрутизаторы которые пытаются получить доступ к внешней сети посылают пакеты через шлюз по умолчанию. Пример Для определения дополнительной OSPF области с именем local_10 с area-id=0.0.0.15 выполните следующее: [admin@WiFi] routing ospf area > add area-id=0.0.10.5 name=local_10 [admin@WiFi] routing ospf area > print Flags: X - disabled, I - invalid # NAME AREA-ID STUB DEFAULT-COST AUTHENTICATION no 1 none none 0 backbone 0.0.0.0 1 local_10 0.0.10.5 [admin@WiFi] routing ospf area > Сети Уровень подменю: /routing ospf network Описание Возможно два типа объединения сетей это Точка -Точка или Мультидоступ. Сети с мультидоступом могут быть широковещательными сетями(т.е одиночное сообщение может быть разослано всем маршрутизаторам). Для запуска OSPF протокола, вам необходимо определить сеть где он (протокол) будет запущен и идентификатор области для каждой из этих сетей. Cвойство описания area(name; по умолчанию: backbone) - OSPF область ассоциированная с выбранным диапазоном адресов. network(IP адрес маска; по умолчанию: 20) - сеть ассоциированная с областью. Аргумент networks позволяет определить один или multiple интерфейсы, которые связаны с определенной областью OSPF. Замечание Вам необходимо будет установить сетевой адрес точно также как для соединения точка точка. Правильная сетевая маска в этом случае /32. Пример Для включения протокола OSPF в сети 10.10.1.0/24, и включения его в основную область выполните следующее: [admin@MikroTik] routing ospf network > add area=backbone network=10.10.1.0/24 [admin@MikroTik] routing ospf network > print Flags: X - disabled # NETWORK AREA 0 10.10.1.0/24 backbone [admin@MikroTik] routing ospf> Интерфейсы Уровень подменю:/routing ospf interface Описание Это средство предоставляет возможность для конфигурирования дополнительных параметров OSPF интерфейсов. Описание свойств authentication-key (text; по умолчанию: "") - ключ аутентификации который может быть использован соседними маршрутизаторами использующими простую аутентификацию. cost(integer: 1..65535; по умолчанию: 1) - стоимость интерфейса выраженная как метрика состояния соединения. dead-interval(time; по умолчанию:40s) - временной интервал по истечении которого соседний маршрутизатор классифицируется как мертвый. Интервал рассылается в пакете hello. Это значение должно быть одинаково для всех маршрутизаторов и досту пно им. hello-interval (time; по умолчанию 10s) - интервал между пакетами hello которые маршрутизатор посылает через интерфейс. Чем меньше интервал, тем быстрее будут обнаружены изменения топологии сети, но при этом сильно увеличится трафик. Это значение должно быть одинаково на обоих концах иначе они не синхронизируются. interface(name; по умолчанию: all) - интерфейс на котором будет запущен OSPF all - если включено, то интерфейсы не имеют других специфичных установок priority(integer: 0..255; по умолчанию:1) - приоритет маршрутизатора. Это параметр помогает определить главный(приоритетный) маршрутизатор для сети. Когда два маршрутизатора присоединенных к сети претендуют на место приоритетного, тот у кого приоритет выше становится главным. retransmit-interval(time; по умолчанию: 5s) - интервал перераздачи информации о потерянных соединениях. Когда маршрутизатор посылает объявления о состоянии соединения(LSA) своим соседям, он содержит в себе предыдущий LSA до тех пор пока не получит ответ. Если маршрути затор не получит ответа вовремя он будет продолжать раздавать старый LSA. Рекомендуются следующие установки: для широковещательных 5 секунд и для точка-точка 10 секунд. transmit-delay(time; по умолчанию: 1s) - задержка передачи информации о состоянии соединения на предполагаемое время необходимое для передачи пакета обновления о состоянии интерфейса. Пример Дл добавления свойство с помощью которого интерфейс ether2 будет посылать пакет Hello каждые 5 секунд, выполните следующее: [admin@MikroTik] routing ospf> interface add interface=ether2 hellointerval=5s [admin@MikroTik] routing ospf> interface print 0 interface=ether2 cost=1 priority=1 authentication-key="" retransmit-interval=5s transmit-delay=1s hello-interval=5s dead-interval=40s [admin@MikroTik] routing ospf> Виртуальные соединения Уровень подменю: /routing ospf virtual-link Описание В RFC к OSPF сказано что основные области должны быть смежными. Однако возможно определить области таким образом, что они не будут смежены. В этом случае системный администратор должен восстановить основные соединения путем конфигурирования виртуальных соединений. Виртуальные соединения могут быть сконфигурированы между двумя маршрутизаторами через общую область объявленную как транзитная область, это один из возможных вариантов сое динения с основной областью. Виртуальные соединения должны принадлежать основной области. Протокол рассматривает два маршрутизатора объединенных через виртуальное соединение так, как если бы они были объединены непронумерованным соединением точка-точка. Описание свойств neighbor-id(IP address; по умолчанию: 0.0.0.0) router-id соседнего маршрутизатора. transit-area(name; по умолчанию: (unknown)) - не основная область, которую используют два маршрутизатора Примечание Виртуальные соединения не могут быть уст ановлены через не основную (обрезок) зону. Пример Для добавления виртуального соединения с маршрутизатором 10.0.0.201 через область ex, выполните следующее: [admin@MikroTik] routing ospf virtual-link> add neighbor-id=10.0.0.201. transit-area=ex [admin@MikroTik] routing ospf virtual-link> print Flags: X - disabled, I - invalid # NEIGHBOR-ID TRANSIT-AREA 0 10.0.0.201 ex [admin@MikroTik] routing ospf virtual-link> Виртуальные соединения должны быть сконфигурированы на обоих маршрутизатор ах. Соседи Уровень подменю: /routing ospf neigbor Описание Данное подменю предоставляет доступ к списку OSPF соседей, то есть маршрутизаторы смежные с текущим маршрутизатром и обменивающиеся с ним статистикой. Описание свойств address(read-only: IP адрес) - соответствующий IP адрес соседа. backup-dr-id(read-only: IP адрес) - сделать копию маршрутов маршрутизатора для этого маршрутизатора. db-summaries(read-only: integer) - номер записи в базе данных состояний соединений розданных соседом. dr-id(read-only: IP адрес) - определенный маршрутизатором маршрут для этого соседа. ls-request(read-only: integer) - номера запрошенных состояний соединений ls-retransmits(read-only: integer) - номера повторно переданных состояний соединений. priority(read-only: integer) - приоритет соседа который используется при выборе маршрута через протокол Hello в этой сети router-id(read-only: IP адрес) - router-id параметры соседа state(read-only: Down | Attempt | Init | 2 -Way | ExStart | Exchange | Loading | Full) - coстояние соединения: Down - соединение утеряно Attempt - маршрутизатор посылает пакеты Hello Init - обмен пакетами Hello между маршрутизаторами для создания соседских отношений 2-Way - маршрутизаторы добавляют друг друга в свои базы данных, после чего они становятся соседями ExStart - DR (Весдущий маршрутизатор) и BDR(Ведущий ре зервный маршрутизатор) создают друг с другом дружественные отношения, а затем создают базу данных состояния соединений используя базу данных описаний пакетов. Exchange - процесс обнаружения маршрутов или обмен базами данных описания пакетов Loading - получение информации от соседа Full - базы данных состояний соединений полностью синхронизированы. Маршрутизаторы маршрутизируют трафик и обмениваются друг с другом пакетами Hello, для поддержания соседства и обмена информации о маршрутах state-changes(read-only: integer) - номер соединения подавшего заявку на изменение Примечание Список соседей также отображает сам маршрутизатор с двумя состояниями соединений Пример Приведенный ниже листинг может быть применен для исследования после добавления OSPF сети: admin@MikroTik] routing ospf> neighbor print router-id=10.0.0.204 address=10.0.0.204 priority=1 state="2-Way" state-changes=0 ls-retransmits=0 ls-requests=0 db-summaries=0 dr-id=0.0.0.0 backup-dr-id=0.0.0.0 [admin@MikroTik] routing ospf> Прикладные примеры OSPF резервное копирование без использования туннеля Предположим что наша связь между маршрутизаторами выглядит так OSPF -Main и OSPFpeer-1 ведущий. Если это соединение падает то мы хотим чтобы трафик шел через OSPFpeer-2. Этот пример показывает, как использовать OSPF в резервных целях, если контролируете все маршрутизаторы, можете запустить OSPF на них. Для этого необходимо сделать следующее: 1. Заводим OSPF область с ID=0.0.0.1, которая включает в себя все три маршрутизатора показанных на рисунке 2. Толко главный OSPF маршрутизатор будет иметь маршруты по умолчанию. Его интерфейсы peer1 и peer2 будут сконфигурированы для OSPF протокола. Интерфейс main_gw не будет использоваться для раздачи OSPF маршрутов 3. Маршрутизаторы OSPF -peer-1 и OSPF-peer-2 будут раздавать информацию об их соединениях, и получать маршруты по умолчанию используя протокол OSPF. Тепрь займемся установкой маршрутизатора. Маршрутизатор имеет три интерфейса [admin@OSPF_MAIN] interface> print Flags: X - disabled, D - dynamic, R - running # 0 1 2 NAME R main_gw 0 R to_peer_1 0 R to_peer_2 0 1500 TYPE RX-RATE ether ether TX-RATE MTU 0 0 0 1500 ether 1500 Добавляем указанные ip адреса, как указано ниже [admin@OSPF_MAIN] ip address> print Flags: X - disabled, I - invalid, D - dynamic # ADDRESS NETWORK BROADCAST INTERFACE main_gw 0 192.168.0.11/24 1 10.1.0.2/24 to_peer_1 2 10.2.0.2/24 to_peer_2 192.168.0.0 10.1.0.0 10.2.0.0 192.168.0.255 10.1.0.255 10.2.0.255 Вы должны установить параметр distribute-default в if-installed-as-type-2, а параметр redistribute-connected в as-type-1 и redistribute-static в as-type-2. Metric-connected, metric-static, metric-rip, metric-bgp должны быть сброшены. [admin@OSPF_MAIN] routing ospf> print router-id: 0.0.0.0 distribute-default: if-installed-as-type-2 redistribute-connected: as-type-1 redistribute-static: as-type-2 redistribute-rip: no redistribute-bgp: no metric-default: 1 metric-connected: 0 metric-static: 0 metric-rip: 0 metric-bgp: 0 Определим новую OSPF область local_10 с area -id 0.0.0.1: [admin@OSPF_MAIN] routing ospf area > print Flags: X - disabled, I - invalid # NAME AUTHENTICATION 0 1 backbone none local_10 none AREA-ID STUB DEFAULT-COST 0.0.0.0 0.0.0.1 no 1 Добавим соединенные сети с area local_10 в OSPF сеть: [admin@OSPF_MAIN] routing ospf network > print Flags: X - disabled, I - invalid # 0 1 NETWORK 10.1.0.0/24 10.2.0.0/24 AREA local_10 local_10 На этом конфигурирование главного маршрутизатора окончено. Далее необходимо настроить маршрутизатор OSPF_peer_1. Включим следующие интерфейсы в OSPF_peer_1: [admin@OSPF_peer_1] interface> print Flags: X - disabled, D - dynamic, R - running # 0 1 NAME R backup 0 R to_main 0 1500 TYPE RX-RATE ether ether TX-RATE MTU 0 0 1500 Присвоим IP адреса к этим интерфейсам: [admin@OSPF_peer_1] ip address> print Flags: X - disabled, I - invalid, D - dynamic # ADDRESS NETWORK BROADCAST INTERFACE 10.1.0.255 10.3.0.255 backup 0 10.1.0.1/24 to_main 1 10.3.0.1/24 10.1.0.0 10.3.0.0 Установим параметр redistribute-connected в as-type-1. Metric-connected, metric-static, metric-rip, metric-bgp должны быть установлены в ноль. [admin@OSPF_peer_1] routing ospf> print router-id: 0.0.0.0 distribute-default: never redistribute-connected: as-type-1 redistribute-static: no redistribute-rip: no redistribute-bgp: no metric-default: 1 metric-connected: 0 metric-static: 0 metric-rip: 0 metric-bgp: 0 Добавим эту область в главный маршрутизатор [admin@OSPF_peer_1] routing ospf area > print Flags: X - disabled, I - invalid # NAME AUTHENTICATION 0 1 backbone none local_10 none AREA-ID STUB DEFAULT-COST 0.0.0.0 0.0.0.1 no 1 Добавим соединение сетей с областью local_10: [admin@OSPF_peer_1] routing ospf network > print Flags: X - disabled, I - invalid # 0 1 NETWORK 10.3.0.0/24 10.1.0.0/24 AREA local_10 local_10 В заключении, настроим настроим OSPF_peer2. Включим следующие интерфейсы: [admin@OSPF_peer_2] interface> print Flags: X - disabled, D - dynamic, R - running # NAME TYPE RX-RATE TX-RATE MTU 0 1 R to_main 0 R to_peer_1 0 ether 1500 ether 1500 0 0 Пропишем необходимые IP адреса: [admin@OSPF_peer_2] ip address> print Flags: X - disabled, I - invalid, D - dynamic # ADDRESS NETWORK BROADCAST INTERFACE 10.2.0.255 10.3.0.255 0 10.2.0.1/24 to_main 1 10.3.0.2/24 to_peer_1 10.2.0.0 10.3.0.0 Добавим туже область как в предыдущих маршрутизаторах: [admin@OSPF_peer_2] routing ospf area > print Flags: X - disabled, I - invalid # NAME AUTHENTICATION 0 1 backbone none local_10 none AREA-ID STUB DEFAULT-COST 0.0.0.0 0.0.0.1 no 1 Добавим соединение сетей с этой областью: [admin@OSPF_peer_2] routing ospf network > print Flags: X - disabled, I - invalid # 0 1 NETWORK 10.2.0.0/24 10.3.0.0/24 AREA local_10 local_10 После того, как все маршрутизаторы были настроены. как описано выше, и соединения между ними заработало, таблицы маршрутизации на всех трех маршрутизаторах должны выглядеть следующим образом: [admin@OSPF_MAIN] ip route> print Flags: X - disabled, I - invalid, D - dynamic, J - rejected, C - connect, S - static, r - rip, o - ospf, b - bgp # DST-ADDRESS G GATEWAY 110 r 0.0.0.0 r 10.2.0.1 r 10.1.0.1 110 r 0.0.0.0 110 r 0.0.0.0 DISTANCE INTERFACE 0 110 main_gw to_peer_2 to_peer_1 to_peer_2 to_peer_1 0 Io 192.168.0.0/24 1 DC 192.168.0.0/24 2 Do 10.3.0.0/24 3 4 5 6 Io DC Io DC 10.2.0.0/24 10.2.0.0/24 10.1.0.0/24 10.1.0.0/24 0 0 [admin@OSPF_peer_1] ip route> print Flags: X - disabled, I - invalid, D - dynamic, J - rejected, C - connect, S - static, r - rip, o - ospf, b - bgp # DST-ADDRESS G GATEWAY DISTANCE INTERFACE 0 Do 192.168.0.0/24 r 10.1.0.2 110 to_main 1 Io 10.3.0.0/24 110 2 DC 10.3.0.0/24 r 0.0.0.0 0 backup 3 Do 10.2.0.0/24 r 10.1.0.2 110 to_main r 10.3.0.2 backup 4 Io 10.1.0.0/24 110 5 DC 10.1.0.0/24 r 0.0.0.0 0 to_main [admin@OSPF_peer_2] ip route> print Flags: X - disabled, I - invalid, D - dynamic, J - rejected, C - connect, S - static, r - rip, o - ospf, b - bgp # 0 1 2 3 4 5 Do Io DC Io DC Do DST-ADDRESS 192.168.0.0/24 10.3.0.0/24 10.3.0.0/24 10.2.0.0/24 10.2.0.0/24 10.1.0.0/24 G GATEWAY r 10.2.0.2 110 r 0.0.0.0 110 r 0.0.0.0 r 10.3.0.1 r 10.2.0.2 DISTANCE INTERFACE 110 0 0 110 to_main to_peer_1 to_main to_peer_1 to_main Таблица маршрутизации с учетом стоимости соединения Данный пример демонстрирует как установить стоимость соединения. Допустим у нас есть соединение между маршрутизаторами OSPF_peer_1 и OSPF_peer_2 которое имеет наивысшую стоимость (например оно медленное, или слишком высока оплата за трафик через это соединение и.т.д). Мы должны изменить значение стоимости на обоих маршрутизаторах: OSPF_peer_1 и OSPF_peer_2 на 50. Чтобы это сделать, нам необходимо добавить следующие интерфейсы: [admin@OSPF_peer_1] routing ospf interface> add interface=backup cost=50 [admin@OSPF_peer_1] routing ospf interface> print 0 interface=backup cost=50 priority=1 authentication-key="" retransmit-interval=5s transmit-delay=1s hello-interval=10s dead-interval=40s [admin@OSPF_peer_2] routing ospf interface> add interface=to_peer_1 cost=50 [admin@OSPF_peer_2] routing ospf interface> print 0 interface=to_peer_1 cost=50 priority=1 authentication-key="" retransmit-interval=5s transmit-delay=1s hello-interval=10s dead-interval=40s После изменения стоимости, мы имеем только одну присвоенную стоимость multi маршруту к сети 10.3.0.0/24 от маршрутизатора OSPF_MAIN Таблица маршрутизации OSPF_MAIN [admin@OSPF_MAIN] ip route> print Flags: X - disabled, I - invalid, D - dynamic, J - rejected, C - connect, S - static, r - rip, o - ospf, b - bgp # DST-ADDRESS G GATEWAY 110 r 0.0.0.0 r 10.2.0.1 r 10.1.0.1 110 r 0.0.0.0 110 r 0.0.0.0 DISTANCE INTERFACE 0 110 main_gw to_peer_2 to_peer_1 to_peer_2 to_peer_1 0 Io 192.168.0.0/24 1 DC 192.168.0.0/24 2 Do 10.3.0.0/24 3 4 5 6 Io DC Io DC 10.2.0.0/24 10.2.0.0/24 10.1.0.0/24 10.1.0.0/24 0 0 Таблица маршрутизации OSPF_peer_1 [admin@OSPF_peer_1] > ip route pr Flags: X - disabled, I - invalid, D - dynamic, J - rejected, C - connect, S - static, r - rip, o - ospf, b - bgp # DST-ADDRESS G GATEWAY r 10.1.0.2 110 r 0.0.0.0 r 10.1.0.2 110 r 0.0.0.0 DISTANCE INTERFACE 110 0 110 0 to_main backup to_main to_main 0 Do 192.168.0.0/24 1 Io 10.3.0.0/24 2 DC 10.3.0.0/24 3 Do 10.2.0.0/24 4 Io 10.1.0.0/24 5 DC 10.1.0.0/24 Таблица маршрутизации OSPF_peer_2 [admin@OSPF_peer_2] > ip route print Flags: X - disabled, I - invalid, D - dynamic, J - rejected, C - connect, S - static, r - rip, o - ospf, b - bgp # DST-ADDRESS G GATEWAY r 10.2.0.2 DISTANCE INTERFACE 110 to_main 0 Do 192.168.0.0/24 1 2 3 4 5 Io DC Io DC Do 10.3.0.0/24 10.3.0.0/24 10.2.0.0/24 10.2.0.0/24 10.1.0.0/24 110 r 0.0.0.0 110 r 0.0.0.0 r 10.2.0.2 0 0 110 to_peer_1 to_main to_main Функционирование резервного копирования Если соединение между маршрутизаторами OSPF_MAIN и OSPF_peer_1 завалится, мы окажемся в следующей ситуации: OSPF маршрутизация изменится следующим образом: Таблица маршрутизации в OSPF_MAIN [admin@OSPF_MAIN] ip route> print Flags: X - disabled, I - invalid, D - dynamic, J - rejected, C - connect, S - static, r - rip, o - ospf, b - bgp # 0 1 2 3 4 5 6 Io DC Do Io DC Io DC DST-ADDRESS 192.168.0.0/24 192.168.0.0/24 10.3.0.0/24 10.2.0.0/24 10.2.0.0/24 10.1.0.0/24 10.1.0.0/24 G GATEWAY 110 r 0.0.0.0 r 10.2.0.1 110 r 0.0.0.0 110 r 0.0.0.0 DISTANCE INTERFACE 0 110 0 0 main_gw to_peer_2 to_peer_2 to_peer_1 Таблица маршрутизации в OSPF_peer_1 [admin@OSPF_peer_1] ip route> print Flags: X - disabled, I - invalid, D - dynamic, J - rejected, C - connect, S - static, r - rip, o - ospf, b - bgp # 0 1 2 3 4 5 Do Io DC Do Io DC DST-ADDRESS 192.168.0.0/24 192.168.0.0/24 10.3.0.0/24 10.2.0.0/24 10.1.0.0/24 10.1.0.0/24 G GATEWAY r 10.3.0.2 110 r 0.0.0.0 r 10.3.0.2 110 r 0.0.0.0 DISTANCE INTERFACE 110 0 110 0 backup backup backup to_main Таблица маршрутизации в OSPF_peer_2 [admin@OSPF_peer_2] ip route> print Flags: X - disabled, I - invalid, D - dynamic, J - rejected, C - connect, S - static, r - rip, o - ospf, b - bgp # 0 1 2 3 4 5 Do Io DC Io DC Do DST-ADDRESS 192.168.0.0/24 10.3.0.0/24 10.3.0.0/24 10.2.0.0/24 10.2.0.0/24 10.1.0.0/24 G GATEWAY r 10.2.0.2 110 r 0.0.0.0 110 r 0.0.0.0 r 10.2.0.2 DISTANCE INTERFACE 110 0 0 110 to_main to_peer_1 to_main to_main Изменения маршрутов происходит приблизительно через 40 секунд (установки hellointerval). Если необходимо, эти установки могут быть изменены, но это должно быть сделано на всех маршрутизаторах в пределах области. Серверные сценарии ч.1 Спецификация Требуемые пакеты:system Требуемый уровень лицензии:Level1 Уровень подменю:/system script Стандарты и технологии: Нет Использование аппаратных средств: Не существенно Сопровождающие документы Управление пакетами Синтаксис Команд Консоли Описание Консольные команды делятся на следующие части: prefix - дополнительные опции которые указывают является ли это командой ICE; как :put или как :path стартующий из корня меню как например /ping 10.0.0.1 path - относительный путь к желаемому меню path_args - эта часть требуется для выбора некоторого уровня меню, где фактический путь может пересекаться с различным пользовательским вводом, например как /ip firewall rule action - одно из действий доступное в указанном уровне меню. action_args - некоторым действиям требуется аргумент который должен находится после определения имени действия, как например /ping. params[=values] - последовательность названий параметров сопрово ждаемых соответствующими значениями. Примечание Замена переменных, замена команды и выражений разрешены только для path_args и action_args. Для prefix, path, action и params значения передаются только как слово. Так например :put (1 + 2) правильно, а ":pu". "t") 3 нет. Примеры Части внутренних консольных команд будут рассмотрены в следующих примерах: /ping 10.0.0.1 count=5 prefix action action_args / ping 10.0.0.1 params[=values] count=5. ip firewall rule input path. ip firewall rule path_args input :for i from=1 to=10 do=<:put $i> prefix action action_args. for i params[=values] from=1 to=10 do=<:put $i> /interface monitor-traffic ether1,ether2,ipip1 prefix path action / interface monitor-traffic action_args ether1,ether2,ipip1 Группировка выражений Описание Эта особенность обеспечивает простой способ исполнения команд в пределах одного командного уровня, путем помещения их в фигурные скобки '<>' или квадратные скобки '[]'. Квадратные скобки могут быть использованы только в одиночной строке для автозавершения путем двойного нажатия [Tab]. Примечание Вы не должны изменять текущий уровень команды в сценариях, печатая только, этот путь, без любой команды, также как при работе с консолью в интерактивном режиме. Также изменения не будут иметь эффекта в сценарии. Рассмотрим следующий пример: admin@MikroTik] ip address> /user < <. /ip route <. print <. > Flags: X - disabled 0 ;;; system default user name="admin" group=full address=0.0.0.0/0 1 name="x" group=write address=0.0.0.0/0 2 name="y" group=read address=0.0.0.0/0 [admin@MikroTik] ip route> Хотя текущий уровень команд изменен на /ip route это будет иметь эффект только после следующей команды, то есть команда print будет исполнена как /user print. Переменные Описание Консоль позволяет вам создавать и использовать глобальные(используемые везде) и локальные(используемые в конкретном сценарии) переменные. К переменным можно обратиться по имени '$'. Имена переменных могут содержать символы цифры и знак ' -'. Переменная должна быть объявлена до использования в сценарии. Доступно три варианта объявления переменных. global определен для действия global, глобальные переменные могут быть доступны в любых сценариях или в консоли после авторизации на том же самом маршрутизаторе. Переменные не сохраняются после перезагрузки. local определен для действия local, локальные переменные не доступны в других сценариях. Эти переменные теряются после окончания работы сценария. loop index variables определено в пределах утверждений for и foreach, эти переменные используются только в блоке команд do и удаляются после окончания цикла. monitor action некоторые команды мониторинга тоже могут изменять переменные в пределах do. Вы можете присвоить новое значение переменной при помощи действия action. Это действие использует два аргумента. имя переменной и новое значение переменной. После того как надобность в переменной отпала ее имя можно высвободить командой. unset. Если вы высвобождаете локальную переменную ее значение будет утеряно. Е сли вы высвобождаете глобальную переменную ее значение не уничтожается, оно только становится не доступным в текущем сценарии. Замечание Учтите что "скрытые" циклические пе ременные уже используются локальными переменными по их именам (тем же самым). Пример [admin@MikroTik] ip route> / [admin@MikroTik] > :global g1 [admin@MikroTik] > :set g1 "this is global variable" [admin@MikroTik] > :put $g1 this is global variable [admin@MikroTik] > Команда замены и возвращение значений Описание Некоторые консольные команды чаще всего используются если их вывод можно использовать в других командах. В консоли это реализовано путем "возвращения" значения из команды. Возв ращение значения не отображается на экране. Когда вы набираете команду внутри квадратных скобок '[' ']', то эта команда исполняется и возвращаемое значение используется как значение внутри этих скобок. Это называется командой замены. Команды возвращающие з начение, но не ограниченные: find, /ping возвращает количество удачных "пингов", time - возвращает форматированное значение времени, incr и decr возвращают новое значение переменной, add - возвращает внутреннее число недавно созданного элемента. Пример Рассмотрим использование команды find [admin@MikroTik] > /interface [admin@MikroTik] interface> find type=ether [admin@MikroTik] interface> [admin@MikroTik] interface> :put [find type=ether] *1,*2 [admin@MikroTik] interface> Таким способом вы можете просмотреть значения недавно созданных переменных. Естественно вы можете использовать их в других командах. Например [admin@MikroTik] interface> enable [find type=ether] [admin@MikroTik] interface> Операторы Описание Консоль может выполнять простые вычисления с числами, временными значения, ip адресами, строками и списками. Это достигается путем написания выражений и помещением их в круглые скобки '('and')'. Результат выражения служит возвращаемым значением для круглых скобок. Описание команд - - унарный минус. Инвертирует взятое числовое значение. - - бинарный минус. Вычитает два числа, два временных значения, два ip адреса или ip адрес и число. - логический NOT. Унарный оператор инвертирует взятое булевое значение переменной. / - деление. Бинарный оператор. Делит одно взятое число на другое или временное значение на число. - конкатенация. Бинарный оператор объединяет две строки или добавляет один список к другому или добавляет элемент в список. ^ - побитовый XOR. Аргументы два ip адреса.
- побитовая инверсия. Унарный оператор инвертирует биты в ip адресе. * - умножение. Бинарный оператор который может перемножит два числа или число и временное значение. & - побитовый AND. Аргументы два ip адреса. && - логический AND. Аргументы две логические переменные. + - бинарный плюс. Складывает два числа, два временных значения или число и ip адрес. put (10+1 -6*2=11-12=2+(-3)=-1) false [admin@MikroTik] ip firewall rule forward> :put (10+1 -6*2=11-12=(2+(-3)=-1)) true [admin@MikroTik] ip firewall rule forward Логическое отрицание(NOT) [admin@MikroTik] interface> :put (!true) false [admin@MikroTik] interface> :put (!(2>3)) true [admin@MikroTik] interface> Унарный минус [admin@MikroTik] interface> :put ( -1 :put ( --1) 1 Побитовое инвертирование [admin@MikroTik] interface> :put (
255.255.0.0) 0.0.255.255 [admin@MikroTik] interface> Суммирование [admin@MikroTik] interface> :put (3s + 5s) 8s [admin@MikroTik] interface> :put (10.0.0.15 + 0.0.10.0) ERROR: cannot add ip address to ip address [admin@MikroTik] interface> :put (10.0.0.15 + 10) 10.0.0.25 [admin@MikroTik] interface> Вычитание [admin@MikroTik] interface> :put (15 - 10) 5 [admin@MikroTik] interface> :put (10.0.0.15 - 10.0.0.3) 12 [admin@MikroTik] interface> :put (10.0.0.15 - 12) 10.0.0.3 [admin@MikroTik] interface> :put (15h - 2s) 14h59m58s [admin@MikroTik] interface> Умножение [admin@MikroTik] interface> :put (12s * 4) 48s [admin@MikroTik] interface> :put ( -5 * -2) 10 [admin@MikroTik] interface> Деление [admin@MikroTik] interface> :put (10s / 3 ) 3s333.333ms [admin@MikroTik] interface> :put (5 / 2) 2 [admin@MikroTik] interface> Сравнение [admin@MikroTik] interface> :put (10.0.2.3 :put (100000s>27h) true [admin@ikroTik] interface> :put (60s,1d!=1m,3600s) false [admin@MikroTik] interface> :put (bridge=routing) false [admin@MikroTik] interface> :put (yes=false) false [admin@MikroTik] interface> :put (true=aye) ERROR: cannot compare if truth value is equal to string [admin@MikroTik] interface> Логическое AND, логическое OR [admin@MikroTik] interface> :put ((yes && yes) || (yes && no)) true [admin@MikroTik] interface> :put ((no || no) && (no || yes)) false [admin@MikroTik] interface> Побитовый AND, побитовый OR, побитовый XOR [admin@MikroTik] interface> :put (10.16.0.134 &
255.255.255.0) 0.0.0.134 [admin@MikroTik] interface> Оператор cдвигов [admin@MikroTik] interface> :put (
((0.0.0.1 Конкатенация [admin@MikroTik] interface> :put (1. 3) 13 [admin@MikroTik] interface> :put (1,2. 3) 1,2,3 [admin@MikroTik] interface> :put (1. 3,4) 13,4 [admin@MikroTik] interface> :put (1,2. 3,4) 1,2,3,4 [admin@MikroTik] interface> :put ((1. 3) + 1) ERROR: cannot add string to integer number [admin@MikroTik] interface> Типы данных Описание Консоль может работать с несколькими типами данных. В настоящее время различаются строки, булевые значения, числа, временные интервалы, ip адреса, внутренние числа и списки. Текущая консоль сначала пытается конвертировать значение в определенный тип, возвращает его в случае неудачи. Ниже представлен порядок в котором консоль пытается выполнить конвертирование значения: list internal number number IP address time boolean string Возможности явно управлять преобразованием типа НЕТ В консоли целое это внутреннее представление 64 битного знакового, таким образом диапазон значений переменных может быть от -9223372036854775808 до 9223372036854775807. Так же можно ввести их как шестнадцатери чные числа, путем добавления префикса 0x. Списки пишутся через запятую отделяя последовательнос ть значений. Ввод пробелов до и после запятых не рекомендуется, потому что консоль может не различить границы слова. Булевые значения пишутся как true и false. Консоль также различает yes для true и no для false. Ввод внутренних чисел начинается с *. Временные интервалы задаются последовательностью чисел. За ними также следовать специфические символы определенные для единиц времени. Значение по умол чанию секунда. Числа могут быть с пл авающей точкой. Также значение может быть задано в нотации HH:MM:SS. Ниже представлены принятые единицы времени: d, day, days - один день, то есть 24 часа h, hour, hours- один час m, min - одна минута s - одна секунда ms - одна милисекунда, то есть 0.001 секунды Внутренние консольные выражения Описание В пределах этого документа, ICE обращаются к внутренним консольным команда м и выражениям, вне зависимости от текущего уровня меню. Эти команды непосредственно не изменяют конфигурацию, но они полезны для автоматизации различных процессов. К полному списку доступных ICE можно обратиться, набрав '?' после префикса ':'. Описание команд beep - это действие вынуждает встроенное звуковое устройство подавать звуковой сигнал продолжительностью length(секунд) c frequency(частотой) Гц. Пример [admin@MikroTik] > :beep length=2s frequency=10000 [admin@MikroTik] > delay(задержка) - то есть ничего не делать заданно е количество времени. Требует один аргумент задающий время ожидания значение по умолчанию одна секунда. do - это действие требует один аргумент, содержащий консольные команды которые должны быть исполнены. Оно подобно утверждению do других команд. Точно также имеет два параметра while и if. Если нет ни одного параметра do выполнит код единожды. Однако если вы определите условие для аргумента while оно будет вычисленно после выполнения всех команд и если будет возвращено истина утверждение do будет исполняться еще раз и еще раз до тех пор пока не будет возвращено ложь. Если вы определили условие для утверждения if то оно будет выполнено однажды до какого нибудь утверждения else и если утверждение false то ничего не будет выполнено. Пример [admin@MikroTik] ><:global i; :set i 10; :do<:put $i; :decr i;>. while (($i 0)); :unset i;> 10 9 8 7 6 5 4 3 2 1 [admin@MikroTik] > environment print это действие печатает информацию о переменных. Все глобальные переменные перчислены в загаловке Global Variables. Все остальные переменные определенные в этом сценарии( локальные переменные определены как :local или как утверждения :for или :foreach. глобальные переменные определены как :global, вкратце, все переменные могут быть и спользованы внутри текущего сценария ) перечислены в заголовке Local Variables. Пример [admin@MikroTik] > :environment print Global Variables g1=this is global variable Local Variables g1=this is global variable l1=this is local variable counter=2 [admin@MikroTik] > for это действие требует один аргумент - переменную цикла. Это утвержден ие может иметь четыре параметра from, to, step и do. Первые два параметра указывают границы для счетчика цикла. Интервал также включает эти два значения. Тр етий использует одно значение, определяющее шаг декремента или инкремента. Ну и наконец утверждение do заставляет консоль повторять команды. Пример [admin@MikroTik] > :for i from=1 to=100 step=37 do=<:put ($i. " - ". 1000/$i)> 1 - 1000 38 - 26 75 - 13 [admin@MikroTik] > foreach - это действие использует один аргумент, имя переменной цикла. Оно также имеет два параметра in и do. Параметр in рассматривает как список каждое значение присвоенное переменной цикла, а утверждение do выполняет код для этого значения. Если значение in не спиок то утверждение do выполняется единожды. В случае пустого значения in утверждение do не выполняется вообще. Это один из способов оптимизации работы с командой find, которая возвращает список внутренних номеров и мож ет вернуть пустой список или один внутренний номер. Рассмотрим пример печати всех сетевых интерфейсов, для начала получим имена интерфейсов, а затем по именам отобразим ip адреса. [admin@MikroTik] > :foreach i in=[/interface find type=ether ] do=< <. put [/interface get $i name] <. foreach j in=[/ip address find interface=$i] do=< <<. put [/ip address get $j address] <<. ><. > ether1 ether2 10.0.0.65/24 [admin@MikroTik] > Дествие if требует один аргумент - логическое условие, то есть выражение которое может вернуть булевое значение. Это действие также может иметь два параметра do и else. Если логическое выражение вычислено как true то часть кода после do исполняется, иначе выполняется else. Замечание часть else опциональна (её может и не быть). Пример [admin@MikroTik] > :if (yes) do=<:put yes> else=<:put no> true [admin@MikroTik] > :if ([/ping 10.0.0.1 count=1] = 0) do <:put "gw unreachable"> 10.0.0.1 pong timeout 1 packets transmitted, 0 packets received, 100% packet loss gw unreachable [admin@MikroTik] > Дествие log добавляет сообщения в системный журнал. Это действие имеет два параметра, message который содержит строку необходимую для добавления в журнал и facility(средство), которое решает каким образом сообщение будет добавлено в журнал. Параметр facility по умолчанию определен в System-info Пример [admin@MikroTik] > :log facility=Firewall-Log message="Very Good
Thing happened. We have received our first packet!" [admin@MikroTik] > put - это действие требует один аргумент, который будет отображен в консоли. resolve - это действие требует один аргумент, DNS -имя и резолвит его в ip адрес хоста. Вы должны сконфигурировать DNS на маршрутизаторе в ( /ip dns подменю) до использования этого действия. [admin@MikroTik] ip route> /ip dns set primary -dns=159.148.60.2 [admin@MikroTik] ip route> :put [:resolve www.example.com] 192.0.34.166 time - это действие вычисляет время необходимое для выполнения консольной команды. Это действие требует один аргумент, который содержит консольные команды к которым надо привязать действие time. Команды исполняются единожды и возвращается полное вычисленное время. Пример [admin@MikroTik] > :put [:time <:delay>] 1s34.31ms [admin@MikroTik] > while - это действие требует один аргумент, логическое условие, то есть выражение которое возвращает булевое значение. Это действие также может иметь один параметр do. Логическое условие вычисляется каждый раз до выполнения утверждения do. Пример [admin@MikroTik] ><:global i; :set i=0; :while ($i Специальные действия Описание Monitor Это возможность доступа к значениям отображаемым многими дейст виями monitor и полученными из сценариев. Если действие monitor содержит аргумент do то можно подставлять любое название сценария (см. /system script) или консольной команды. Get Это также возможность доступа к значениям сценария отображаемым большинс твом действий print. Во многих уровнях команд доступно действие print, в действии get оно также есть. Это действие требует один или два аргумента. Если это уровни команды get то мы имеем дело со списком элементов, первый аргумент это имя или внутренний н омер переменной. Второй аргумент это название свойст ва элемента которое должно быть возвращено. Примечание Действие monitor с аргументом do также может быть вызвано из непоср едственно из сценария. Тогда на экране не будет напечатано ничего просто буде т выполняться взятый сценарий. Название свойств могут быть доступны через get также как м в действии print, плюс название флагов элемента(которые заблокированы в примере приведенном ниже). Вы можете использовать ключ завершения [tab] для просмотра любых специфичных свойств которые может вернуть действие get. Пример В приведенном ниже примере действие monitor будет исполнять взятый сценарий все время выводя на экран статистику, и будет присваивать все напечатанные значения локальным переменным с их не посредственными именами. [admin@MikroTik] interface> monitor -traffic ether2 once do=<:environment print> received-packets-per-second: 0 received-bits-per-second: 0bps sent-packets-per-second: 0 sent-bits-per-second: 0bps Global Variables i=1 Local Variables sent-bits-per-second=0 received-packets-per-second=0 received-bits-per-second=0 sent-packets-per-second=0 [admin@MikroTik] interface> Дополнительные особенности Описание Одна из возможностей это добавление комментариев в сценарий. Если строка сценария начинается '#', то все символы до начала новой строки игнорируются. Другая возможность это добавление нескольких команд в одну строку, раз делив их символом ';'. Консоль обрабатывает символ ';' как конец строки отделяя так им образом команды в тексте сценария. Если вы хотите использовать любой из символов <>[]"'$, вам необходимо предварять их символом ''(экранировать). Консоль распознает любой символ следующий за '' литеральным, не присва ивая им значения за исключением следующих случаев. a bell (alarm), character code 7( звонок) b backspace, character code 8( обратный пробел) f form feed, character code 12( перевод страницы) n newline, character code 10( новая строка) r carriage return, character code 13 t tabulation, character code 9(табуляция) v vertical tabulation, character code 11( вертикальная табуляция) _ space, character code 32( пробел) Замечание этот '' сопровождается любым количеством символов(пробел, новой строки, перевода каретки, табуляции) сопровождаемый символ новой строки обрабатывается как одиночный, за исключение внутренних ограничений когда он обрабатывается как ничто. Эта возможность используется консолью для разбивки слишком длинных ст рок в сценариях сгенерированными экспортными командами. Сценарии Уровень меню: /system script Описание В RouterOS сценарий может быть запущен тремя различными способами. согласно определенному расписанию по событию например, если обозреватель сети(netwatch tool) не получает ответа на ping вызывается другим сценарием Свойство описания last-started(time). Дата и время последнего вызова сценария. Па раметр показывается только если run-count!=0 owner(имя; по умолчанию: admin) - имя пользователя создавшего сценарий. policy(многократный выбор: ftp | loca l | policy | read | reboot | ssh | telnet | test | web | write; по умолчанию: reboot,read,write,policy,test ) список применяемых политик: ftp - пользователь может зайти удаленно через ftp и посылать или искать файлы прямо с маршрутизатора local - пользователь может зайти локально через консоль policy - политики управления пользователя, добавление и удаление пользователя read - пользователь может просматривать конфигурацию reboot - пользователь может перезагружать маршрутизатор ssh - пользователь может заходить удаленно через secure shell telnet - пользователь может зайти удаленно через telnet test - пользователь может запускать ping, traceroute и тест пропускной способности web - пользователь может заходить удаленно через http write - пользователь может просматривать и изменять конфигурацию run-count(целое; по умолчанию 0) - счетчик использования сценария. Этот счетчик увеличивается каждый раз когда сценарий исполняется. Счетчик сбрасывается после перезагрузки. (текст; по умолчанию: "") - непосредственно код сценария. Описание команд run(имя) - исполнение взятого сценария. Примечание Вы не можете сделать в сценарии больше чем вам разрешено вашими пользовательскими правами. Например если есть группа политик в /user group для которой разрешены ssh,local,telnet,read,write,policy,test,web то вы не сможете создать сценарий перезагружающий маршрутизатор. Пример [admin@MikroTik] system script> add name=log -test source=<:log. message="Hello World!"> [admin@MikroTik] system script> print 0 name="log-test" source=":log message="Hello World!"" owner="admin" policy=reboot,read,write,policy,test last -started=dec/06/1999 20:07:37 run-count=1 [admin@MikroTik] system script> Серверные сценарии ч.2 Управление задачами Уровень меню: /system script job Описание Это средство используется для управления активными процессами и расписанием. Свойство описания name(только-чтение; имя) - имя ссылки на сценарий после его вызова owner(текст) - имя пользователя создавшего сценарий source(только чтение; текст) - непосредственно код сценария Пример [admin@MikroTik] system script> job print # SCRIPT OWNER STARTED 0 DelayeD admin dec/27/2003 11:17:33 [admin@MikroTik] system script> Вы можете отменить выполнение сценария путем удаления его из списка задач Пример [admin@MikroTik] system script> job remove 0 [admin@MikroTik] system script> job print [admin@MikroTik] system script> Редактор сценариев Команда: /system script edit Описание В консоль RouterOS встроен простой полно экранный редактор сценариев с поддержкой многострочного написания сценария. Клавиатурные сокращения Delete - удаляет символы в позиции курсора Ctrl+h, bakspase - удаляет символы перед позицией курсора Tab - линия отступов Ctrl+b,LeftArrow – передвижение курсора в лево Ctrl+f, RightArrow - передвижение курсора в право Ctrl+n, DownArrow - передвижение курсора вниз Ctrl+p, UpArrow - передвижение курсора вверх Ctrl+a, Home - передвижение курсора в начало строки Ctrl+e, End - передвижение курсора в конец строки Ctrl+y - вставить содержимое буфера обмена в позиции курсора Ctrl+k - удаление символов от позиции курсора до конца файла Ctrl+u - отмена предидущег8о действия Ctrl+o - выйти и сохранить Ctrl+x - выйти без сохранения Описание команд edit(имя) - открывает сценарий по имени name в полно-экранном редакторе Примечание Все символы удаленные с помощью backspace, delete или Ctrl+k ключей буферизируются. Нажатие любого другого ключа заканчивает добавление в данный буфер(Ctrl+y вынимает его содержимое), и следующая операция удаления заменит содержимое буфера. Операция отмены не изменяет содержимое буфера. Редактор сценариев работает только на VT102 совместимых териналов(терминалы "vt102", "linux", "xterm", "rxvt" на данный момент распознаются на данный момент как VT102). Клавиатурные сокращения backspace и delete не будут работать в других терминалах. Пример Следующий пример демонстрирует окно редактора сценариев с открытым сценарием. Данный сценарий используется для записи в журнал сообщения "hello" и трех сообщений "kuku". Системный планировщик Спецификация Требуемые пакеты: system Уровень лицензии: Level1 Уровень подменю: system sheduler Стандарты и технологии: нет Аппаратное обеспечение: не существенно Описание Системный планировщик обеспечивает возможность исполнения сценария в назначеное время. Свойство описания interval(время; по умолчанию 0)- интервал между двумя исполнениями сцен ария, если время interval установлено в ноль, то сценарий будет исполнен только в назначенное время, в противном случае выполнение будет повторятся через указанный интервал. name(имя) - имя задачи run-count(только чтение; целое) - используется в сценарии мониторинга, этот счетчик инкрементируется каждый раз когда сценарий исполняется. start-date(дата) - дата первого запуска сценария start-time(время) - время первого запуска сценария Примечание Перезагрузка маршрутизатора сбросит run-count счетчик. Если более чем один сценарий должен быть запущен в одно и тоже время(одновременно), они исполнятся в порядке их появления в конфигурации планировщика. Это может быть важно если один сценарий испол ьзуется для отключения другого. Порядок исполнения может быть изменен с помощью команды move. Если необходимо более сложное выполнение, то это может быть сделано набором сценариев запускающих или отключающих друг друга. Пример [admin@MikroTik] system script> add name=log-test source=:log message=test [admin@MikroTik] system script> print 0 name="log-test" source=":log messgae=test" owner=admin run -count=0 [admin@MikroTik] system script>. scheduler [admin@MikroTik] system scheduler> add name=run -1h interval=1h on-event=log-test [admin@MikroTik] system scheduler> print Flags: X - disabled # NAME ON-EVENT START-DATE START-TIME INTERVAL RUN-COUNT 0 run-1h log-test mar/30/2004 06:11:35 1h 0 [admin@MikroTik] system scheduler> В другом примере будут добавлены два сценария которые будут изменять установки пропускной способности правил очереди "Cust0". Каждый день в 9 часов утра очередь будет установлена в 64 Kb/s и в 5 часов вечера очередь будет установлена в 128 Kb/s. Правила очереди, сценарии и расписание задач показаны ниже. [admin@MikroTik] queue simple> add name=Cust0 interface=ether1. dst-address=192.168.0.0/24 limit -at=64000 [admin@MikroTik] queue simple> print Flags: X - disabled, I - invalid 0 name="Cust0" target-address=0.0.0.0/0 dst-address=192.168.0.0/24 interface=ether1 limit-at=64000 queue=default priority=8 bounded=yes [admin@MikroTik] queue simple> /system script [admin@MikroTik] system script> add name=start_limit source= [admin@MikroTik] system script> add name=stop_limit source= [admin@MikroTik] system script> print 0 name="start_limit" source="/queue simple set Cust0 limit -at=64000" owner=admin run-count=0 1 name="stop_limit" source="/queue simple set Cust0 limit -at=128000" owner=admin run-count=0 [admin@MikroTik] system script>. scheduler [admin@MikroTik] system scheduler> add interval=24h name="set -64k". start-time=9:00:00 on-event=start_limit [admin@MikroTik] system scheduler> add interval=24h name="set -128k". start-time=17:00:00 on-event=stop_limit [admin@MikroTik] system scheduler> print Flags: X - disabled # NAME ON-EVENT START-DATE START-TIME INTERVAL RUN-COUNT 0 set-64k start. oct/30/2008 09:00:00 1d 0 1 set-128k stop_. oct/30/2008 17:00:00 1d 0 [admin@MikroTik] system scheduler> Следующий пример расписаний сценария каждую неделю посылает резервную копию конфигурации маршрутизатора на e-mail. [admin@MikroTik] system script> add name=e -backup source= [admin@MikroTik] system script> print 0 name="e-backup" source="/system backup save name=ema. owner=admin
[admin@MikroTik] system script>. scheduler
[admin@MikroTik] system scheduler> add interval=7d name="email -backup". on-event=e-backup [admin@MikroTik] system scheduler> print Flags: X - disabled # NAME ON-EVENT START-DATE START-TIME INTERVAL RUN-COUNT 0 email-. e-backup oct/30/2008 15:19:28 7d 1 [admin@MikroTik] system scheduler> Не забудьте настроить e -mail, то есть в установках e -mail прописать SMTP сервер и FROM: адрес отправителя. Для примера [admin@MikroTik] tool e -mail> set server=159.148.147.198 from=SysAdmin@host.com [admin@MikroTik] tool e -mail> print server: 159.148.147.198 from: SysAdmin@host.com [admin@MikroTik] tool e -mail> Пример ниже помещает 'x' в системный журнал каждый час с полночи до полудня. [admin@MikroTik] system script> add name=enable -x source= [admin@MikroTik] system script> add name=disable -x source= [admin@MikroTik] system script> add name=log -x source=<:log message=x> [admin@MikroTik] system script>. scheduler [admin@MikroTik] system scheduler> add name=x -up start-time=00:00:00. interval=24h on-event=enable-x [admin@MikroTik] system scheduler> add name=x -down start-time=12:00:00. interval=24h on-event=disable-x [admin@MikroTik] system scheduler> add name=x start -time=00:00:00 interval=1h. on-event=log-x [admin@MikroTik] system scheduler> print Flags: X - disabled # NAME ON-EVENT START-DATE START-TIME INTERVAL RUN-COUNT 0 x-up enable-x oct/30/2008 00:00:00 1d 0 1 x-down disab. oct/30/2008 12:00:00 1d 0 2 x log-x oct/30/2008 00:00:00 1h 0 [admin@MikroTik] system scheduler> Инструмент наблюдения за сетью Спецификация Требуемые пакеты: advanced-tools Уровень лицензии: Level1 Уровень подменю: /tool netwatch Стандарты и технологии: none Аппаратные требования: не существенно Описание Сетевой монитор контролирует состояние хостов в сети. Делается это путем посылки ICMP пакетов хостам указанным в списке. Для каждого элемента в списке наблюдения вы можете определить IP адрес, интервал между посылками пакетов и консольный сценарий. Главное преимущество наблюдателя это посылка произвольной команды на хосту сменившему состояние. Свойство описания down-script(имя) - консольный сценарий исполняющийся единожды когда состояние хоста изменяется на unknown или из up в down host(IP адрес; по умолчанию: 0.0.0.0) - IP адрес хоста который будет наблюдаться. interval(время; по умолчанию 1s) - время между посылками ICMP пакетов. Уменьшение этого интервала увеличивает частоту опроса хоста, но создает избыточный трафик и увеличивает потребление системных ресурсов. since(только чтение: время) - показывает, когда в последний раз менялось состояние хоста. status(только чтение: up | down| unknown) - показывает текущий статус хоста. up - хост в сети(отвечает) down - хост не в сети(не отвечает) unknown - такое состояние бывает после изменения всех свойств элемента в списке наблюдения или при включении/отключении элемента timeout(время; по умолчанию: 1s) - таймаут для каждого пинга. Если нет ответа от хоста за этот промежуток времени, то хост считается недоступным(down) up-script(имя) - консольный сценарий исполняющийся единожды когда состояние хоста меняется на unknown или из down в up Пример Этот пример будет запускать сценарии gw_1 или gw_2 которые изменяют шлюз по умолчанию в зависимости от с остояния одного из шлюзов: [admin@MikroTik] system script> add name=gw_1 source= [admin@MikroTik] system script> add name=gw_2 source= [admin@MikroTik] system script> /tool netwatch [admin@MikroTik] tool netwatch> add host=10.0.0.217 interval=10s timeout=998ms. up-script=gw_2 down-script=gw_1 [admin@MikroTik] tool netwatch> print Flags: X - disabled # HOST TIMEOUT INTERVAL STATUS 0 10.0.0.217 997ms 10s up [admin@MikroTik] tool netwatch> print detail Flags: X - disabled 0 host=10.0.0.217 timeout=997ms interval=10s since=feb/27/2003 14:01:03 status=up up-script=gw_2 down-script=gw_1 [admin@MikroTik] tool netwatch> Без сценариев, наблюдатель может использоваться только как информационный инструмент для просмотра активных соединений. Давайте рассмотрим предыдущий пример в нем изменяется шлюз. по умолчанию, если текущий шлюз становится недоступным. Как это сделано? Есть два сценария. Сценарий "gw_2" исполняется единожды когда состояние хоста изменяется на up В нашем случае это эквивалентно вводу консольной команды: [admin@MikroTik] > /ip route set [/ip route find dst 0.0.0.0] gateway 10.0.0.217 /ip route find dst 0.0.0.0 команда возвращающая список всех маршрутизторов чьё dstaddress значение равно 0.0.0.0. Обычно это шлюз по умолчанию. Затем изменяется первый аргумент в команде /ip route set который изменяет шлюз этого маршрута на 10.0.0.217 Сценарий "gw_1" исполняется единожды когда состояние хоста становится down. При этом выполняется следующее. [admin@MikroTik] > /ip route set [/ip route find dst 0.0.0.0] gateway 10.0.0.1 Эта команда меняет шлюз по умолчанию если адрес 10.0.0.217 становится недоступен. Вот другой пример сценария, он посылает на e -mail уведомление всякий раз когда хост 10.0.0.25 становится недоступным. [admin@MikroTik] system script> add name=e -down source= [admin@MikroTik] syste m script> add name=e-up source= [admin@MikroTik] system script> [admin@MikroTik] system script> /tool n etwatch [admin@MikroTik] system netwatch> add host=10.0.0.215 timeout=999ms. interval=20s up-script=e-up down-script=e-down [admin@MikroTik] tool netwatch> print detail Flags: X - disabled 0 host=10.0.0.215 timeout=998ms interval=20s since=feb/2 7/2003 14:15:36 status=up up-script=e-up down-script=e-down [admin@MikroTik] tool netwatch> Трафик монитор Спецификация Требуемые пакеты: advanced-tools Уровень лицензии: Level1 Уровень подменю: /tool-traffic monitor Cтандарты и технологии: нет Аппаратные требования: не существенно Описание Трафик монитор используется для исполнения консольных сценариев когда трафик на интерфейсе переваливает за определенный порог. Каждому элементу списка монитора сопоставлено имя (которое используется если вы хотите отключить или внести изменения этого элемента из другого сценария), некоторые параметры, определенные условия трафика и указатель на сценарий или намеченное событие выполняемое когда удовлетворяется условие. Cвойство описания interface(имя) - просматриваемый интерфейс name(имя) - имя элемента трафик монитора on-event(имя) - код сценария. Должен присутствовать в /system script threshold(целое; по умолчанию:0) - порог трафика traffic(переданный | принятый; по умолчанию: transmitted(принятый)) - тип трафика для просмотра transmitted - переданный трафик received - полученный трафик triger(выше | всегда | ниже; по умолчанию: выше ) - условие для выполнения сценария above - сценарий, который будет запущен каждый раз когда трафик превысит порог always - запуск обоих above и below сценариев при выполнении условия below - запуск сценария при обратном условии, то есть когда трфик достигает нижнего предела Пример В этом примере трафик монитор включает интерфейс ether2, если трафик превышает 15kbs на интерфейсе ether1 и отключает если полученный трафик падает ниже 12kbs на ether1. [admin@MikroTik] system script> add name=eth -up source= [admin@MikroTik] system script> add name=eth -down source= [admin@MikroTik] system script> /tool traffic -monitor [admin@MikroTik] tool traffic -monitor> add name=turn_on interface=ether1. on-event=eth-up threshold=15000 trigger=above traffic=received [admin@MikroTik] tool traffic -monitor> add name=turn_off interface=ether1. on-event=eth-down threshold=12000 trigger=below traffic=received [admin@MikroTik] tool traffic -monitor> print Flags: X - disabled, I - invalid # NAME INTERFACE TRAFFIC TRIGGER THRESHOLD ON -EVENT 0 turn_on ether1 received above 15000 eth -up 1 turn_off ether1 received below 12000 eth -down [admin@MikroTik] tool traffic -monitor> Sigwatch(наблюдение за сигналами) Требуемые пакеты: advanced-tools Уровень лицензии: Level1 Уровень подменю: /tools sigwatch Стандарты и технологии: нет Аппаратные требования: не существенно Описание Sigwatch может быть использована для наблюдением за пинами последовательного порта Свойство описания count(только чтение: целое) - сколько раз элемент был вызван. Счетчик и большинство настроек элемента сбрасываются после перезагрузки log(да | нет; по умолчанию no) - добавлять ли сообщения в форму имя -of-sigwatch-item: сигнал изменился [на high | на low] средствами System-info всякий раз когда элемент sigwatch запускается name(имя) - имя элемента sigwatch on-condition(on | off | change; по умолчанию: on) - включение условия запуска действия данного элемента on - включать когда состояние пинов изменяется на high off - включать когда состояние пинов изменяется на low - включать всяки раз когда состояние пинов изменяется. Если состояние пинов изменяется слишком быстро, то может быть запушено только одно действие для нескольких изменений состояния port(имя) - имя последовательного порта для наблюдения script(имя) - сценарий который будет запускаться когда элемент активируется signal(dtr | rts | cts | dcd | ri | dsr; по умолчанию: rts) - имя сигнала номер пина(для стандартного девяти пинового коннектора) dtr - Устройство ввода данных готово(пин 4) rts - Запрос на посылку данных(пин 7) cts - Очистить для посылки(пин 8) dcd - Поиск носителя информации(пин 1) ri - Индикатор(пин 9) dsr - Готовый набор данных(пин 6) state(только чтение; текст) - последнее зафиксированное состояние отслеженного сигнала Примечание Вы можете указать фактический код сценария вместо имени сценария из /system script списка. Пример Представленный ниже пример будет добавлять новый элемент sigwatch к монитору всякий раз когда порт serial1 получит cts сигнал. [admin@10.179] tool sigwatch> pr Flags: X - disabled # NAME PORT SIGNAL ON -CONDITION LOG 0 test serial1 cts change no [admin@MikroTik] tool sigwatch> При помощи команды print detail interval=1s, вы можете всякий раз проверять подключен ли кабель. Смотрите аргумент state если кабель подключен к последовательному порту состояние будет on, в противном случае off. Пример [admin@MikroTik] tool sigwatch> print detail Flags: X - disabled 0 name="test" port=serial1 signal=cts on -condition=change log=no script="" count=1 state=on [admin@MikroTik] tool sigwatch> print detail Flags: X - disabled 0 name="test" port=serial1 signal=cts on -condition=change log=no script="" count=1 state=on [admin@MikroTik] tool sigwatch> print detail Flags: X - disabled 0 name="test" port=serial1 signal=cts on -condition=change log=no script="" count=2 state=off [admin@MikroTik] tool sigw atch> print detail Flags: X - disabled 0 name="test" port=serial1 signal=cts on -condition=change log=no script="" count=2 state=off [admin@MikroTik] tool sigwatch> В меню port вы можете просмотреть какой сигнал используется последовательным кабелем. Например при неподключенном кабеле вы увидите следующее [admin@MikroTik] port> print stats 0 name="serial0" line-state=dtr,rts 1 name="serial1" line-state=dtr,rts [admin@MikroTik] port> Но после подключения кабеля к последовательному порту [admin@MikroTik] port> print stats 0 name="serial0" line-state=dtr,rts 1 name="serial1" line-state=dtr,rts,cts [admin@MikroTik] port> Это означает что при подключении кабеля к последовательному порту помимо сигналов dtr,rts появился сигнал cts В следующем примере будет выполнятся сценарий всякий раз когда состояние с oncondition перейдет в off [admin@10.MikroTik] tool sigwat ch> pr detail Flags: X - disabled 0 name="cts_rest" port=serial1 signal=cts on -condition=off log=no script=/system shutdown count=0 state=on [admin@10.MikroTik] tool sigwatch> В примере показано следующее: если кабель подключен к последователь ному порту то маршрутизатор работает без проблем. Но как только кабель отключат маршрутизатор отключится. Это будет продолжаться до тех пор пока кабель не подключат. к маршрутизатору.
