+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Не могу открыть сайты.

Не могу открыть сайты., RouterOS

Gabbel

Guest

28.11.2013 09:37:00

С тех пор, как вчера, я не могу открыть больше веб-сайтов на моем ноутбуке, ПК, смартфоне и т. д. После долгих поисков я сбросил mikrotik RB2011-UIAs-2Hnd к заводским настройкам. После сброса я все настроил, и смог открыть веб-сайты снова. Сегодня я не могу открыть веб-сайты снова. Если я делаю ping в командной строке к www.google.nl, я получаю обратно IP-адрес. Не мог бы кто-нибудь помочь, чтобы я мог снова открыть веб-сайты? Вот мой экспорт брандмауэра:

```
add chain=input in-interface=pppoe protocol=icmp
add chain=input connection-state=related
add chain=input connection-state=established
add action=drop chain=input comment="Drop invalid connections" connection-state=invalid
add action=drop chain=input comment="DROP EXTERNAL DNS" dst-port=53 in-interface=ether1-gateway protocol=udp
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2d chain=input comment="Port scanners to list " protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2d chain=input comment=“NMAP FIN Stealth scan” protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2d chain=input comment=“SYN/FIN scan” protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2d chain=input comment=“SYN/RST scan” protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2d chain=input comment=“FIN/PSH/URG scan” protocol= tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2d chain=input comment=“ALL/ALL scan” protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2d chain=input comment=“NMAP NULL scan” protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg
add action=drop chain=input comment=“dropping port scanners” src-address-list=“port scanners”
add action=drop chain=input comment=“drop ftp brute forcers” dst-port=21 protocol=tcp src-address-list=ftp_blacklist
add chain=input comment=“ICMP PINGS ALLOWD” protocol=icmp
add chain=input comment=“Accept established connections” connection-state= established
add chain=input comment=“Accept related connections” connection-state=related
add chain=input comment=UDP protocol=udp
add chain=input comment=“SSH for secure shell” dst-port=55122 protocol=tcp
add chain=input comment=winbox dst-port=8291 protocol=tcp
add chain=input comment=web dst-port=80 protocol=tcp
add action=drop chain=input comment=“Drop everything else”
add chain=forward comment=“allow established connections” connection-state= established
add chain=forward comment=“allow related connections” connection-state= related
add action=drop chain=forward comment=“drop invalid connections” connection-state=invalid
add action=drop chain=virus comment=“Drop Blaster Worm” dst-port=135-139 protocol=tcp
add action=drop chain=virus comment=“Drop Messenger Worm” dst-port=135-139 protocol=udp
add action=drop chain=virus comment=“Drop Blaster Worm” dst-port=445 protocol=tcp
add action=drop chain=virus comment=“Drop Blaster Worm” dst-port=445 protocol=udp
add chain=virus comment=________ dst-port=593 protocol=tcp
add action=drop
add chain=virus comment=________ dst-port=1024-1030 protocol=tcp
add action=drop
add chain=virus comment=“Drop MyDoom” dst-port=1080 protocol=tcp
add action=drop
add chain=virus comment=________ dst-port=1214 protocol=tcp
add action=drop
add chain=virus comment=“ndm requester” dst-port=1363 protocol= tcp
add action=drop
add chain=virus comment=“ndm server” dst-port=1364 protocol=tcp
add action=drop
add chain=virus comment=“screen cast” dst-port=1368 protocol=tcp
add action=drop
add chain=virus comment=hromgrafx dst-port=1373 protocol=tcp
add action=drop
add chain=virus comment=cichlid dst-port=1377 protocol=tcp
add action=drop
add chain=virus comment=Worm dst-port=1433-1434 protocol=tcp
add action=drop
add chain=virus comment=“Bagle Virus” dst-port=2745 protocol=tcp
add action=drop
add chain=virus comment=“Drop Dumaru.Y” dst-port=2283 protocol= tcp
add action=drop
add chain=virus comment=“Drop Beagle” dst-port=2535 protocol=tcp
add action=drop
add chain=virus comment=“Drop Beagle.C-K” dst-port=2745 protocol= tcp
add action=drop
add chain=virus comment=“Drop MyDoom” dst-port=3127-3128 protocol=tcp
add action=drop
add chain=virus comment=“Drop Backdoor OptixPro” dst-port=3410 protocol=tcp
add action=drop
add chain=virus comment=Worm dst-port=4444 protocol=tcp
add action=drop
add chain=virus comment=Worm dst-port=4444 protocol=udp
add action=drop
add chain=virus comment=“Drop Sasser” dst-port=5554 protocol=tcp
add action=drop
add chain=virus comment=“Drop Beagle.B” dst-port=8866 protocol= tcp
add action=drop
add chain=virus comment=“Drop Dabber.A-B” dst-port=9898 protocol= tcp
add action=drop
add chain=virus comment=“Drop MyDoom.B” dst-port=10080 protocol= tcp
add action=drop
add chain=virus comment=“Drop NetBus” dst-port=12345 protocol=tcp
add action=drop
add chain=virus comment=“Drop Kuang2” dst-port=17300 protocol=tcp
add action=drop
add chain=virus comment=“Drop SubSeven” dst-port=27374 protocol= tcp
add action=drop
add chain=virus comment=“Drop PhatBot, Agobot, Gaobot” dst-port= 65506 protocol=tcp
add action=jump chain=forward comment=“jump to the virus chain” jump-target= virus
add chain=forward comment=“Allow HTTP” dst-port=80,443,10000 protocol=tcp
add chain=forward comment=“allow TCP” protocol=tcp
add chain=forward comment=“allow ping” protocol=icmp
add chain=forward comment=“allow udp” protocol=udp
add action=drop chain=forward comment=“drop everything else”
/ip firewall nat add action=masquerade chain=srcnat out-interface=pppoe src-address= 192.168.0.0/16 to-addresses=0.0.0.0
add action=dst-nat chain=dstnat dst-port=3389 protocol=tcp to-addresses= 192.168.xx.xx to-ports=3389
add action=dst-nat chain=dstnat dst-port=80 protocol=tcp to-addresses= 192.168.xx.xx to-ports=80
add action=dst-nat chain=dstnat dst-port=21 protocol=tcp to-addresses= 192.168.xx.xx to-ports=21
```

В остальном, всё выглядит хорошо. Обратите внимание на `xx` в конце адресов в последних строках, их нужно заменить на реальные значения.

Gabbel Guest	#2 0 28.11.2013 12:37:00 Если я подключу официальный роутер от своего провайдера к моему интернет-соединению, я смогу зайти на все сайты.

Gabbel

Guest

29.11.2013 20:54:00

Нашел проблему!!! В моем файрволе я сделал правило dst-nat: chain=dstnat action=dst-nat to-addresses=192.168.xxxx to-ports=80 protocol=tcp dst-port=80. Если я включаю это правило, я больше не могу заходить на сайты. Если я его отключаю, я могу просматривать сайты. У меня дома веб-сервер, мне нужно редактировать правило, чтобы можно было подключиться к порту 80 к моему веб-серверу?

bingo220 Guest	#4 0 30.11.2013 12:30:00 Попробуй добавить это правило: “in-interface=pppoe”. P.S. Сделай то же самое для всех правил “dst-nat”.

madboy007 Guest	#5 0 02.12.2013 06:55:00 У меня тоже возникла такая же проблема. Хорошая статья.

Gabbel Guest	#6 0 02.12.2013 07:58:00 Проблема решена, спасибо за всю вашу помощь! Эту тему можно закрывать.

bingo220

Guest

28.11.2013 14:44:00

Ок. Думаю, нужно сделать следующее:
1. Скачать прошивку здесь http://download2.mikrotik.com/routeros/6.6/routeros-mipsbe-6.6.npk
2. Вернуть RB к заводским настройкам: WinBox-System-Reset Configuration. Опции: Keep User Configuration, No Default Configuration, Do Not Backup. Reset Configuration,Yes.
3. Подключить WinBox к RB по Mac-адресу (логин: "admin", пароль: пустой).
4. Скопировать прошивку в WinBox-Files.
5. System-Reboot-Yes.
6. Снова вернуть RB к заводским настройкам: WinBox-System-Reset Configuration. Опции: Keep User Configuration, No Default Configuration, Do Not Backup. Reset Configuration,Yes.
7. WinBox-New Terminal. Вставить этот код:
/interface
set 0 name=”eth1-wan” disabled=no
set 1 name=”eth2-lan” disabled=no
/ip address
add address=192.168.1.1/24 interface=eth2-lan
/ ip pool
add name="dhcp-pool-local" ranges=192.168.1.10-192.168.1.254
/ ip dhcp-server
add name="dhcp-local" interface=eth2-lan address-pool=dhcp-pool-local disabled=no
/ ip dhcp-server network
add address=192.168.1.0/24 gateway=192.168.1.1 dns-server=192.168.1.1
/ip dns
set servers=8.8.8.8,8.8.4.4 allow-remote-requests=yes
Здесь нужно изменить "LOGIN" и "PASSWORD":
/interface pppoe-client
add name="pppoe" interface=eth1-wan user="LOGIN" password="PASSWORD" max-mtu=1492 max-mru=1492 add-default-route=yes use-peer-dns=yes disabled=no
/ip firewall address-list
add list=lan-ip address=192.168.1.1-192.168.1.254 comment="Все IP моей LAN"
/ip firewall filter
add chain=input connection-state=invalid action=drop comment="Блокировать входящие недействительные соединения"
add chain=forward connection-state=invalid action=drop comment="Блокировать пересылаемые недействительные соединения"
add chain=input connection-state=established action=accept comment="Разрешить входящие установленные соединения"
add chain=forward connection-state=established action=accept comment="Разрешить пересылаемые установленные соединения"
add chain=input connection-state=related action=accept comment="Разрешить входящие связанные соединения"
add chain=forward connection-state=related action=accept comment="Разрешить пересылаемые связанные соединения"
add chain=input src-address-list=lan-ip action=accept comment="Разрешить весь входящий трафик для локальной сети"
add chain=forward src-address-list=lan-ip action=accept comment="Разрешить весь пересылаемый трафик для локальной сети"
add chain=input action=accept protocol=icmp comment="Разрешить входящий Ping"
add chain=forward action=accept protocol=icmp comment="Разрешить пересылаемый Ping"
add chain=input action=drop comment="Все остальные входящие блокировать"
add chain=forward action=drop comment="Все остальные пересылаемые блокировать"
/ip firewall nat
add chain=srcnat out-interface=pppoe action=masquerade
8. Подключить кабель провайдера к порту 1.
9. Изменить настройки IP компьютера на "Автоматически" (получение IP/DNS и т.д.).
10. Подключить компьютер к порту 2 (непосредственно, не использовать хаб).

bingo220 Guest	#8 0 28.11.2013 10:05:00 Попробуем упростить правило: добавь action=masquerade chain=srcnat out-interface=pppoe src-address=192.168.0.0/16 to-addresses=0.0.0.0. А ещё добавь action=masquerade chain=srcnat out-interface=pppoe.

Gabbel Guest	#9 0 28.11.2013 10:09:00 Я изменил это, но, к сожалению, не работает.

bingo220

Guest

#10

28.11.2013 11:26:00

Я бы посоветовал использовать простую конфигурацию и усложнять её постепенно, шаг за шагом. /ip firewall address-list
add list=lan-ip address=192.168.XXX.XXX-192.168.XXX.XXX comment="All IP of my LAN"

/ip firewall filter
add chain=input connection-state=invalid action=drop comment="Drop input invalid connection packets"
add chain=forward connection-state=invalid action=drop comment="Drop forward invalid connection packets"
add chain=input connection-state=established action=accept comment="Allow input established connections"
add chain=forward connection-state=established action=accept comment="Allow forward established connections"
add chain=input connection-state=related action=accept comment="Allow input related connections"
add chain=forward connection-state=related action=accept comment="Allow forward related connections"
add chain=input src-address-list=lan-ip action=accept comment="Allow all input for local net"
add chain=forward src-address-list=lan-ip action=accept comment="Allow all forward for local net"
add chain=input action=accept protocol=icmp comment="Allow input Ping"
add chain=forward action=accept protocol=icmp comment="Allow forward Ping"
add chain=input action=drop comment="All other inputs drop"
add chain=forward action=drop comment="All other forwards drop"

/ip firewall nat
add chain=srcnat out-interface=pppoe action=masquerade

/ip dns
set servers=8.8.8.8,8.8.4.4 allow-remote-requests=yes

Gabbel

Guest

#11

28.11.2013 11:43:00

Я поменял правила файрвола, перезагрузил роутер, попробовал снова открыть сайт. Безуспешно, что происходит?? Я пингую www.google.com и получаю ответ. Если я ввожу что-то в поисковую строку Google Chrome, получаю результаты, но если я ввожу что-то вроде www.google.nl или www.mikrotik.com, сайт не открывается, только ошибка, типа "не удалось найти страницу".

bingo220 Guest	#12 0 28.11.2013 12:09:00 Ну, это странно. Попробуй подключить компьютер напрямую к провайдеру — заведи PPPoE-сессию на компьютере без RB. Может, у провайдера какие-то проблемы.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры