Информация
Настройка
Новости
Контакты
Новинка
Распродажа
Оплата
Доставка
Загрузки
  • Прошивки
    • WinBox
    • RouterOS
    • Мобильные приложения MikroTik
    • Архив
  • Changelogs
  • RouterOS
  • Мобильные приложения MikroTik
  • Архив
Форум
Услуги
  • Внедрение
  • Настройка
  • Поддержка
  • Ремонт
    info@mikrotik.moscow
    +7 495 320-55-52
    Заказать звонок
    Mikrotik.moscow
    Каталог
    • Акции
      Акции
    • Маршрутизаторы
      Маршрутизаторы
    • Коммутаторы
      Коммутаторы
    • Радиомосты и уличные точки доступа
      Радиомосты и уличные точки доступа
    • Wi-Fi для дома и офиса
      Wi-Fi для дома и офиса
    • LTE/5G
      LTE/5G
    • Powerline адаптеры
      Powerline адаптеры
    • IoT устройства
      IoT устройства
    • Оборудование 60 ГГц
      Оборудование 60 ГГц
    • Материнские платы RouterBOARD
      Материнские платы RouterBOARD
    • Корпуса
      Корпуса
    • Интерфейсы
      Интерфейсы
    • SFP/QSFP трансиверы
      SFP/QSFP трансиверы
    • Аксессуары
      Аксессуары
    • Антенны
      Антенны
    • Архив
      Архив
    Войти
    0 Сравнение
    0 Избранное
    0 Корзина
    Скачать WinBox Скачать Прошивки Форум > RouterOS Форум > SwOS Форум > Железо
    Mikrotik.moscow
    Каталог
    Войти
    0 Сравнение
    0 Избранное
    0 Корзина
    Mikrotik.moscow
    Телефоны
    +7 495 320-55-52
    Заказать звонок
    0
    0
    0
    Mikrotik.moscow
    • +7 495 320-55-52
      • Назад
      • Телефоны
      • +7 495 320-55-52
      • Заказать звонок
    • info@mikrotik.moscow
    • г. Москва, ул. Бакунинская, 84
    • Пн-Пт: 09-00 до 18-00
      Сб-Вс: выходной


    • Кабинет
    • 0 Сравнение
    • 0 Избранное
    • 0 Корзина
    Главная
    Форум
    RouterOS
    Правила файрвола с ограничением по времени остаются неактивными

    Правила файрвола с ограничением по времени остаются неактивными

    Форумы: RouterOS, Аппаратное обеспечение, SwOS, Обратная связь, Объявления, Сторонние инструменты
    Поиск  Пользователи  Правила  Войти
    Страницы: 1
    RSS
    Правила файрвола с ограничением по времени остаются неактивными, RouterOS
     
    Bomber67
    Guest
    #1
    0
    08.03.2016 06:15:00
    Чтобы гарантировать, что какой-нибудь геймер-ребёнок всё-таки выспится, я настроил пару правил фаервола на основе времени:  
    /ip firewall filter  
    add action=drop chain=forward comment="Drop 0000-0730 all days" in-interface=ether2 log=yes log-prefix="DROP 0000-0800 ALL DAYS" time=0s-8h,sun,mon,tue,wed,thu,fri,sat  
    # неактивное время  
    add action=drop chain=forward comment="Drop 2200-0000 mon-thu and sun" in-interface=ether2 log=yes log-prefix="DROP 2200-0000 MON-THU+SUN" time=22h-23h59m59s,sun,mon,tue,wed,thu  

    Проблема в том, что правила остаются выключенными, то есть красными, даже когда наступает указанное время. Пробовал ставить вручную часы и часовой пояс, давать времени дойти до 22:00, но правило не включается. Отключение и повторное включение нужного по времени правила включает его, то же самое происходит при редактировании параметров или комментария.  

    Сначала стояла версия 6.32.3 с исправлениями, теперь обновился до актуальной 6.34.2 — результат тот же. Кто-нибудь сталкивался с этим?
     
     
     
    Bomber67
    Guest
    #2
    0
    20.06.2016 05:57:00
    У меня тут всё по-прежнему... Применил следующее для другого клиента: /ip firewall filter  
    add action=drop chain=forward comment="Drop 0000-0800 all days" dst-address=!*. *.86.2 in-interface=ether1 log=yes log-prefix="DROP 0000-0800 ALL DAYS" src-address=!192.168.2.99 time=0s-8h,sun,mon,tue,wed,thu,fri,sat  
    (Пара исключений по IP-адресам (первый тут замаскирован), чтобы админ мог заходить как из внутренней, так и из внешней сети даже в активное время).  

    Это правило должно применяться в полночь, но вчера ночью я сидел и наблюдал, как время сменилось с 23:59:59 на 00:00:00, а оно всё так же красное (неактивное).  
    Любое изменение правила (даже просто нажатие «применить» без изменений) или его выключение/включение активирует правило.  

    Так что же не так с этой функцией? Я даже на версии 6.34.6...
     
     
     
    patrick7
    Guest
    #3
    0
    20.06.2016 06:36:00
    Является ли ether1 частью группы коммутаторов? Если да, то является ли ether1 главным портом?
     
     
     
    Bomber67
    Guest
    #4
    0
    20.06.2016 06:39:00
    Нет, отдельный Ethernet, без свитча, без моста.
     
     
     
    BartoszP
    Guest
    #5
    0
    20.06.2016 11:40:00
    Попробуй экспортировать это правило из CLI, удалить его, а потом вставить обратно через CLI. Странно, но, по моему мнению, иногда ROS «кэширует» внутреннюю информацию и неправильно активирует правила. Редактирование: попробуй отключить его через Winbox, подожди немного и включить снова — та же проблема... «кэш».
     
     
     
    Bomber67
    Guest
    #6
    0
    21.06.2016 05:46:00
    Пытался экспортировать, удалять и добавлять через CLI — бесполезно. Похоже, правило должно срабатывать в нужное время, но не срабатывает, оно вступает в силу только после отключения/включения. В качестве обходного решения я добавил скрипт, который запускается каждые 5 минут. Он проходит по правилам, и для каждого включённого правила сначала отключает, а потом включает его снова. (Я хочу оставить отключённые правила без изменений). Это работает, хоть и немного грязный способ:

    /ip firewall filter  
    add action=drop chain=forward comment="Drop 0000-0800 all days" dst-address=!*.*.86.2 in-interface=ether1 log=yes log-prefix="DROP 0000-0800 ALL DAYS" src-address=!192.168.2.99 time=0s-8h,sun,mon,tue,wed,thu,fri,sat  
    add action=drop chain=forward comment="Drop 2200-0000 mon-thu and sun" disabled=yes dst-address=!*.*.86.2 in-interface=ether1 log=yes log-prefix="DROP 2200-0000 MON-THU+SUN" src-address=!192.168.2.99 time=22h-23h59m59s,sun,mon,tue,wed,thu

    /system scheduler  
    add interval=5m name=schedule1 on-event=refreshtimerules policy=ftp,reboot,read,write,policy,test,password,sniff,sensitive start-date=jun/21/2016 start-time=07:30:00

    /system script  
    add name=refreshtimerules owner=admin policy=ftp,reboot,read,write,policy,test,password,sniff,sensitive source=":foreach rule in=[ /ip firewall filter find disabled=no ] do={
     :log info \"Отключаем и снова включаем правила файрвола с таймингом\"  
     /ip firewall filter disable \$rule  
     :delay 1  
     /ip firewall filter enable \$rule  
    }"

    Было бы ещё лучше, если бы это делалось только для правил, которые считаются «неактивными». Кто-нибудь знает, как написать такой скрипт? Если быть совсем уж придирчивым, идеальное решение — проверять, должно ли правило быть активным в данный момент, и сравнивать с текущим состоянием «активно/неактивно». Но для этого пришлось бы парсить параметр «time» и возиться с кучей мелочей, так что я не стал этим заморачиваться. В любом случае это должна была бы решать сама RouterOS…

    Mikrotik/Normis: есть идеи, почему этот баг до сих пор не исправлен?
     
     
     
    k6ccc
    Guest
    #7
    0
    21.06.2016 19:47:00
    Интересно. Ты пробовал проверить, работает ли это правильно или вообще ничего не делает? Как ты отслеживаешь активность? Я только что попробовал правило на основе TOD на одном из своих RB750, и оно сработало идеально. Правило было следующим: chain=ICMP action=drop protocol=icmp time=12h29m-12h30m,tue log=no log-prefix=“” Оно было создано через WinBox, и я наблюдал за фильтрующими правилами по мере течения времени, тоже используя WinBox. Параллельно у меня шел постоянный пинг IP роутера в командной строке Windows. В WinBox правило отображалось красным с пометкой — inactive time. Когда начинался 1-минутный интервал, строка inactive time исчезала, и правило становилось черным. В окне пинга начинались ошибки, а WinBox показывал, как растет счетчик пакетов, попадающих под параметры правила. Спустя минуту правило снова становилось красным с пометкой — inactive time, и пинги снова отвечали. Потом я поменял время и отключил правило. Как и ожидалось, в WinBox правило стало отключенным (вызатым). Пинги работали нормально. Примерно через 20 секунд после начала временного интервала я включил правило через WinBox, и пинги начали пропадать. В конце временного интервала правило снова стало красным с пометкой — inactive time, и пинги снова пошли нормально. Все сработало именно так, как я и ожидал (раньше с правилами на основе TOD не сталкивался).
     
     
     
    Bomber67
    Guest
    #8
    0
    17.11.2016 06:30:00
    К сожалению, эта ошибка до сих пор не исправлена... Сейчас у меня версия 6.34.6, и у одного из моих клиентов есть несколько правил, завязанных на время. Когда наступает временной диапазон, в который одно из правил должно блокировать, правило остаётся красным вместо того, чтобы сработать. Есть шанс, что это скоро поправят?
     
     
     
    Bomber67
    Guest
    #9
    0
    29.06.2017 06:23:00
    К моему удивлению, эта ошибка всё ещё была в версии 6.37.5, но после обновления до 6.38.7 всё наконец-то работает как надо. Странно, что такая ошибка оставалась нерешённой так долго. В любом случае, спасибо, MT!
     
     
     
    Страницы: 1
    Читают тему
    +7 495 320-55-52
    info@mikrotik.moscow
    Электрозаводская, Бауманская
    Москва, ул. Бакунинская, 84с21
    Конфиденциальность Оферта
    © 2025 «Mikrotik.Moscow»
    Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры