+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Удалённые DNS-запросы на интерфейсах VLAN

Удалённые DNS-запросы на интерфейсах VLAN, RouterOS

zuku

Guest

26.11.2015 12:06:00

Здравствуйте, могу спросить, почему DHCP-сервер настроен на интерфейсе VLAN, если DNS-сервер настроен как шлюз этого интерфейса VLAN, и это не работает? Например, у меня есть подсеть VLAN 172.16.10.0/24 с dns-server, настроенным как 172.16.10.1 (шлюз VLAN). В разделе IP->DNS у меня прописаны адреса Google: 8.8.8.8, 8.8.4.4 и включён разрешённый удалённый DNS-запрос. Сейчас все мои клиенты получают правильные IP-адреса из подсети VLAN, но доступа в интернет у них нет. Когда я меняю dns-server на шлюз LAN (физический интерфейс ether1), интернет работает без проблем. Есть ли какая-то проблема с удалёнными DNS-запросами для интерфейсов VLAN? Моя версия ROS 6.32.3

zuku

Guest

02.03.2016 12:40:00

У меня настроен Dual WAN (WAN7 и WAN8) с файрволом, где есть правило: chain=input action=drop log=no log-prefix="", поэтому я не могу использовать что-то вроде: chain=input action=accept protocol=udp in-interface=!ether8 dst-port=53 log=no log-prefix="" и chain=input action=accept protocol=udp in-interface=!ether7 dst-port=53 log=no log-prefix="", потому что тогда DNS-запросы с публичной стороны остаются открытыми для MikroTik (первое правило открывает ether7, второе — ether8).

Поэтому я создал адресный список с моими подсетями VLAN: list=Unifi address=172.16.10.0/24 dynamic=no и сделал правило в файрволе, чтобы разрешить DNS-запросы от этих подсетей VLAN: chain=input action=accept protocol=udp src-address-list=Unifi dst-port=53 log=no log-prefix="".

Но после этого пользователи VLAN не имеют доступ к интернету. При этом, если в DHCP пуле поменять DNS-сервер с 172.16.10.1 на гугловский 8.8.8.8, доступ в интернет появляется.

Пожалуйста, помогите с этим.

ZeroByte

Guest

02.03.2016 17:26:00

Твоя цепочка правил может выглядеть проще, например так: action=accept connection-state=established,related action=drop in-interface=wan1 action=drop in-interface=wan2 action=accept Это заблокирует удалённые DNS-запросы с интерфейсов wan. Конечно, это немного упрощённая цепочка – на самом деле, лучше расширить правило 4 до списка конкретных сервисов, разрешённых с LAN (например, dns, dhcp, ping, winbox из админской сети и т.д.), а потом уже поставить последнее правило drop… Если хочешь, чтобы твой роутер отвечал на пинги или поддерживал трассировку маршрута из Интернета, тогда стоит разрешить ICMP до правил drop для wan1 и wan2… (блокировка пингов сейчас особо не повышает безопасность)

zuku

Guest

02.03.2016 19:54:00

Да, у меня уже настроено много правил доступа для входящего трафика на фаерволе: icmp, ipsec, gre, nat-t, удалённый доступ по winbox. Поэтому, думаю, лучше разрешить только то, что нужно, а в конце заблокировать всё остальное.

Я заметил на другом Mikrotik, когда конфигурация такая же, но только с одним WAN, что с этим правилом: chain=input action=accept protocol=udp in-interface=!ether8 dst-port=53 log=no log-prefix="" — адрес DNS как шлюз VLAN работает без проблем. Но в моей настройке с использованием списка исходных адресов это не работает, странно…

chechito

Guest

02.03.2016 20:00:00

Да, именно так, без правила, разрешающего трафик уже установленных соединений, ответы от 8.8.8.8 на DNS-запросы ваших клиентов будут блокироваться. Будьте осторожны с разрешением трафика для forward и input установленных и связанных соединений.

zuku Guest	#6 0 03.03.2016 07:08:00 но у меня сверху фаервола: chain=input action=accept connection-state=established,related log=no log-prefix=""

ggeurts

Guest

25.08.2018 21:49:00

Чтобы DNS-запросы работали, когда адрес DNS совпадает с адресом интерфейса VLAN, мне пришлось добавить интерфейсы VLAN в список LAN-адресов. Иначе правило по умолчанию для LAN-запросов блокирует пересылку DNS-запроса к локальному DNS-серверу.

ggeurts Guest	#8 0 26.08.2018 19:58:00 Или добавьте правило для файрвола: add action=accept chain=input comment="Разрешить весь входящий трафик с VLAN" in-interface=all-vlan Перед правилом по умолчанию: add action=drop chain=input comment="defconf: отклонить всё, что не идет с LAN" in-interface-list=!LAN

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры