+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Утечка IP с локальной сети в WAN?

Утечка IP с локальной сети в WAN?, RouterOS

thor1234

Guest

10.07.2014 12:39:00

Привет! Использую RB450G с версией ПО 6.15. Конфигурация: ether1-gateway (ether2 - ether5) как коммутатор с DHCP и маскарадингом для выхода в интернет. У меня настроено:

set [find default-name=ether6] mac-address=00:0C:DE:AD:BE:BB name=ether1-gateway speed=1Gbps
set [find default-name=ether2] name=ether2-local speed=1Gbps

/interface ethernet switch
set 0 switch-all-ports=no

На стороне провайдера роутер на WAN-порту сообщает, что я "протекаю" внутренние IP-адреса. И я вижу внутренние IP с MAC-адресом моего WAN-порта на роутере провайдера. Пробовал всё — разные группы мостов, полный сброс до заводских настроек… Что не так и как это исправить? Буду очень благодарен за помощь.

adaanhaupt

Guest

28.01.2017 09:24:00

Вы нашли проблему? У меня похожая ситуация: у меня три BGP-соединения, и BGP работает. Но провайдеры в Napafrica говорят, что у меня происходит утечка MAC-адресов. У меня нет настроенного моста, я использую роутер CCR1036, и, похоже, что на трёх портах показываются MAC-адреса друг друга, из-за чего наш роутер попадает в карантин.

tnarnold Guest	#3 0 12.07.2017 12:56:00 Та же самая проблема у меня. Ты уже решил?

BartoszP Guest	#4 0 12.07.2017 14:35:00 Как получается IP-адрес для WAN-интерфейса?

mrz Guest	#5 0 12.07.2017 14:57:00 Включен ли режим fast-path? Он может привести к утечке MAC-адресов.

pietroscherer Guest	#6 0 12.07.2017 16:33:00 Не мог бы ты рассказать об этом подробнее? Спасибо!

Van9018 Guest	#7 0 12.07.2017 18:32:00 Wan-порт не должен находиться в мосту и не должен быть подчинённым другим портам. Перейдите в IP > Firewall, NAT. Там должна быть одна маскарадная запись, связанная с wan-портом (обычно ether1).

ZeroByte Guest	#8 0 12.07.2017 19:13:00 Хотел бы добавить, что много раз на форумах видел, как люди выкладывают свои конфигурации, где в src-nat правило для выхода в интернет стоит условие типа «src-address=192.168.88.0/24» — потому что они не хотят, чтобы другие внутренние сети имели доступ в интернет. Проблема в том, что это не останавливает пересылку пакетов — оно лишь мешает их наттингу… В итоге, эффект почти тот же — другие приватные сети не могут пользоваться интернетом, но их пакеты всё равно идут на WAN-интерфейс. Убедитесь, что srcnat правило для вашего WAN безусловно делает srcnat для любого пакета, идущего в этом направлении. Если хотите заблокировать доступ некоторых внутренних сетей в интернет — используйте для этого фильтры.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры