+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

DHCP пытается выдать аренду [ip] для [mac], но безуспешно.

DHCP пытается выдать аренду [ip] для [mac], но безуспешно., RouterOS

lenart

Guest

02.04.2015 19:11:00

Всем привет, у меня странная проблема с моим RB 2011UiAS 2HnD на RouterOS 6.27. Я настроил DHCP-сервер с помощью мастера. В результате получились такие настройки: DHCP Server Settings.PNG, DHCP Network Settings.PNG, IP Pool Settings.PNG. Но большинство моих устройств отказываются принимать предложения DHCP от моего RB. Либо адреса назначаются, но через 10 секунд снимаются, либо предложение DHCP просто истекает. Есть мысли, в чем может быть дело и как это исправить?

hi4ibb

Guest

30.03.2016 20:42:00

Да, у меня в мосту стоит фильтр, чтобы не пропускать программы, которые сканируют MAC-адреса, и из-за этого подключение к моей сети идет медленно, устройство долго получает IP. Ты можешь помочь? Вот этот фильтр:

/interface bridge filter add action=drop chain=forward dst-port=10001 ip-protocol=udp mac-protocol=ip
add action=drop chain=input dst-port=10001 ip-protocol=udp mac-protocol=ip
add action=drop chain=output dst-port=10001 ip-protocol=udp mac-protocol=ip

/interface bridge filter add action=drop chain=forward mac-protocol=arp in-interface=vlan100
add chain=forward mac-protocol=!arp out-interface=vlan100
add action=drop chain=forward mac-protocol=arp in-interface=vlan101
add chain=forward mac-protocol=!arp out-interface=vlan101
add action=drop chain=forward mac-protocol=arp in-interface=vlan102
add chain=forward mac-protocol=!arp out-interface=vlan102
add action=drop chain=forward mac-protocol=arp in-interface=vlan104
add chain=forward mac-protocol=!arp out-interface=vlan104
add action=drop chain=forward mac-protocol=arp in-interface=vlan105
add chain=forward mac-protocol=!arp out-interface=vlan105
add action=drop chain=forward mac-protocol=arp in-interface=vlan106
add chain=forward mac-protocol=!arp out-interface=vlan106
add action=drop chain=forward mac-protocol=arp in-interface=vlan107
add chain=forward mac-protocol=!arp out-interface=vlan107
add action=drop chain=forward mac-protocol=arp in-interface=vlan108
add chain=forward mac-protocol=!arp out-interface=vlan108
add action=drop chain=forward mac-protocol=arp in-interface=vlan109
add chain=forward mac-protocol=!arp out-interface=vlan109
add action=drop chain=forward mac-protocol=arp in-interface=vlan110
add chain=forward mac-protocol=!arp out-interface=vlan110
add action=drop chain=forward mac-protocol=arp in-interface=vlan111
add chain=forward mac-protocol=!arp out-interface=vlan111

ZeroByte

Guest

31.03.2016 15:22:00

Похоже, у вас коммутатор с включённым протоколом spanning tree, и порты, к которым подключаются пользователи, ведут себя обычно: не пересылают трафик примерно 30 секунд (если используется стандартный spanning tree)… Правило фильтрации, скорее всего, либо блокирует трафик постоянно, либо не блокирует вовсе — а не просто замедляет ответы.

hi4ibb

Guest

31.03.2016 19:53:00

Спасибо, чувак, у меня подключено два коммутатора: один к ether6, другой к ether7. Хотел бы, чтобы ты взглянул на мои настройки, если не жалко, и сказал, где ошибка, потому что у меня четыре проблемы: 1 – устройства долго подключаются к точке доступа; 2 – иногда не могут подключиться, но профиль сохраняется; 3 – сеть прерывается: устройство подключается на время, потом сеть пропадает; 4 – в списке arp видел IP с нулевым MAC. Вот мои настройки.

hi4ibb Guest	#5 0 31.03.2016 19:56:00 и это для настроек интерфейса

chechito Guest	#6 0 31.03.2016 19:56:00 Когда у меня возникает эта проблема, это всегда связано с проблемой уровня 2 при подключении между клиентами и DHCP-сервером.

hi4ibb Guest	#7 0 31.03.2016 20:14:00 ТАК В ЧЁМ ЖЕ РЕШЕНИЕ?

chechito

Guest

31.03.2016 23:40:00

В беспроводной сети доступа проверяйте CCQ, уровни сигнала, помехи и потерю пакетов. В проводной сети доступа смотрите статистику интерфейса, ищите счетчики ошибок, CRC или что-то подозрительное, проверяйте проблемы с согласованием на Ethernet-соединениях, конфигурацию управляемых коммутаторов, возможные проблемы с кабелями и так далее. Ещё один момент — выяснить, проявляется ли проблема только на конкретных устройствах, это может быть проблема клиента при определённых условиях.

ZeroByte

Guest

01.04.2016 19:45:00

Твой мостовой файрвол слишком запутанный для того, что ты хочешь сделать — вместо того, чтобы перебирать каждую возможную комбинацию и блокировать их поодиночке, просто скажи «block arp» в цепочке forward и забудь об этом, независимо от VLAN или интерфейса входа/выхода. ARP-запросы к роутеру и от него даже не проходят через цепочку forward — они идут через input, которую ты всегда хочешь пропускать, так что там ничего блокировать не нужно. Одно правило блокирует весь ARP между клиентами.

hi4ibb Guest	#10 0 01.04.2016 21:05:00 Извини, друг, я не очень силён в сетях. Как мне поставить блокировку ARP? Не мог бы ты написать это в виде правила, пожалуйста?

ZeroByte

Guest

#11

04.04.2016 00:25:00

Сделайте резервную копию вашей конфигурации перед внесением изменений (на всякий случай): в цепочке forward вашего мостового файервола нужна только вот эта правило: add action=drop chain=forward mac-protocol=arp. Это позволит самому Mikrotik отправлять и получать ARP-запросы (они принимаются в цепочке input и отправляются через цепочку output). Или можно пойти ещё проще и просто блокировать ВЕСЬ пересылаемый трафик — ведь, по сути, вы пытаетесь заблокировать общение между клиентами, верно? Если вы блокируете ARP-трафик, то на самом деле клиенты всё равно не смогут общаться друг с другом по IP… так почему бы просто не заблокировать ВСЕ взаимодействия? (для этого просто удалите mac-protocol=arp).

nxs02 Guest	#12 0 04.04.2016 02:48:00 или воспользуйся функцией моста Horizon…

ZeroByte Guest	#13 0 04.04.2016 17:05:00 Мне очень нравится эта функция — для простой настройки изоляции клиентов она действительно полезна.

chechito

Guest

#14

04.04.2016 17:19:00

Как я понимаю, вы пытаетесь усилить безопасность, но нужно помнить, что часть мер безопасности должна реализовываться на уровне доступа в сети, а другие — на ядре. Похоже, вы пытаетесь компенсировать недостатки безопасности на уровне доступа, чрезмерно усиливая её на ядре. Возможно, настройка интерфейса на "arp=reply only" поможет вам без необходимости использовать эти правила для ARP на вашем мосту.

nxs02 Guest	#15 0 05.04.2016 02:02:00 Просто, удобно и очень эффективно.

hi4ibb Guest	#16 0 26.04.2016 17:00:00 Да, я пытаюсь заблокировать связь между клиентами, можешь дать мне одно правило, которое может заблокировать все коммуникации, пожалуйста?

hi4ibb Guest	#17 0 26.04.2016 17:09:00 Можешь подсказать, как мне включить функцию Horizon?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры