討論群組
小惡魔市集 悅遊日本 活動報導
我要回覆

[研究所] MikroTik RouterOS 學習 (持續更新)

  • 2013-02-14 21:39
  • 8540649
necosjou
necosjou
2分
2221樓
necosjou
necosjou
個人積分：2分
文章編號：51416335
pctine wrote:
小弟比較好奇的是, ...(恕刪)


因為小弟家有二台server(群暉DS111 & DS413) + 社區網路 + 親戚路由 + ....
東西比較多XD
server、社區和VPN各有網域，分給親戚所以都各佔一個IP，所以才會取得一堆IP

當server下載BT時不限速會導致ROUTER CPU使用量100%，
所以參考了D大寫的來抓線進行線速，
http://www.mobile01.com/topicdetail.php?f=110&t=3265327&p=1&img=0
邊看邊設定，但是突然發現了自己不知道怎麼去設WAN和LAN端…

不過一發完文，好像似乎抓到了？

設定如下：

add action=mark-connection chain=postrouting comment=\
"Necosx \B9q\B8\A3 \A4W\B6\C7" new-connection-mark="PC UL" src-address=\
192.168.1.10
add action=mark-packet chain=postrouting connection-mark="PC UL" \
new-packet-mark="PC UL" passthrough=no

add action=mark-connection chain=prerouting comment=\
"Necosx \B9q\B8\A3 \A4U\B8\FC" in-interface=vrrp6 new-connection-mark=\
"PC DL"
或
add action=mark-connection chain=prerouting comment=\
"Necosx \B9q\B8\A3 \A4U\B8\FC" disabled=yes dst-address= 外部IP \
new-connection-mark="PC DL"

add action=mark-packet chain=prerouting connection-mark="PC DL" \
new-packet-mark="PC DL" passthrough=no


有誤再請大大指正！感恩！
2014-08-02 12:19 #2221
gfx
gfx
1598分
2222樓
gfx
gfx
個人積分：1598分
文章編號：51416727

necosjou wrote:
因為小弟家有二台se...(恕刪)

我匯出家中Synology NAS(192.168.88.108)上載標記給您參考:
add action=mark-connection chain=postrouting comment=Download-Station \
new-connection-mark=Dl-Station protocol=tcp src-address=192.168.88.108 \
src-port=!80,443,1723,5000,5005,8000,7000,8800 dst-port=!80,443

add action=mark-connection chain=postrouting new-connection-mark=Dl-Station \
protocol=udp src-address=192.168.88.108 src-port=4666,4672

add action=mark-packet chain=postrouting connection-mark=Dl-Station \
new-packet-mark=p2p_out

chain=postrouting是用來標記上載:
因P2P的TCP Port不固定,所以用排除的方式來抓連線封包:
NAS功能連線先給排除,所以src-port=!80,443,1723,5000,5005,8000,7000,8800
NAS連出但非P2P封包,所以dst-port=!80,443

而UDP Port單純多了,直接定義src-port=4666,4672

最後用來限速的new-packet-mark=p2p_out
您大可兩台NAS packet-mark都取名為p2p_out

這樣兩台NAS BT就不再設上載限制,
因p2p_out這個總上載標記關係上載被鎖死,SO...

若您要進階做下載控制,只要改chain=prerouting
src-address與dst-address與上載對調 ,src-port與dst-port上載對調....很容易的.
2014-08-02 12:58 #2222
necosjou
necosjou
2分
2223樓
necosjou
necosjou
個人積分：2分
文章編號：51417002
gfx wrote:
我匯出家中Synol...(恕刪)


謝謝大大分享設定方法，小弟鬼月還沒開始就先鬼打牆很久了…

現在目前設定是一堆亂，到依大大的方式時來清一下



有的看到有抓到，一下又好像沒抓到，所以請教大大們，
真是感謝大大們熱心協助！

另外小弟在filter rules裡補另加了一條，可以少一些連線

chain=forward action=drop dst-address-list=!TaiwanIPList
packet-mark=DS111 P2P UL connection-limit=3,32



以上請參考！感恩！
2014-08-02 13:23 #2223
gfx
gfx
1598分
2224樓
gfx
gfx
個人積分：1598分
文章編號：51417899
necosjou wrote:
小弟在filter rules裡補另加了一條，可以少一些連線

我也分享自己的firewall filter ,請參考:


/ip firewall filter
add action=drop chain=input comment=\
"\A5\E1\B1\F3\ABD\A5\BB\BE\F7\AA\BA\AB\CA\A5]" dst-address-type=!local

add action=drop chain=input comment="\\A5\\E1\\B1\\F3\\B5L\\AE\\C4\\AA\\BA\\AB\\CA\\A5]" \
connection-state=invalid

add action=drop chain=forward connection-state=invalid dst-address=\
!10.8.0.0/24

add action=drop chain=input comment="\\A5\\E1\\B1\\F3\\A6h\\BC\\BD\\AA\\BA\\AB\\CA\\A5]" \
src-address-type=!unicast

add action=drop chain=input comment="DoS\\A9\\DA\\B5\\B4\\AAA\\B0\\C8\\A7\\F0\\C0\\BB" \
connection-limit=10,32 protocol=tcp

add action=drop chain=input comment="\\A8\\BE\\A4\\EE\\B3Q\\B1\\BD\\BA\\CB Port" \
protocol=tcp src-address-list="port scanners"

add action=add-src-to-address-list address-list="port scanners" \
address-list-timeout=2w chain=input protocol=tcp psd=21,3s,3,1

add action=add-src-to-address-list address-list="port scanners" \
address-list-timeout=2w chain=input protocol=tcp tcp-flags=\
fin,!syn,!rst,!psh,!ack,!urg

add action=add-src-to-address-list address-list="port scanners" \
address-list-timeout=2w chain=input protocol=tcp tcp-flags=fin,syn

add action=add-src-to-address-list address-list="port scanners" \
address-list-timeout=2w chain=input protocol=tcp tcp-flags=syn,rst

add action=add-src-to-address-list address-list="port scanners" \
address-list-timeout=2w chain=input protocol=tcp tcp-flags=\
fin,psh,urg,!syn,!rst,!ack

add action=add-src-to-address-list address-list="port scanners" \
address-list-timeout=2w chain=input protocol=tcp tcp-flags=\
fin,syn,rst,psh,ack,urg

add action=add-src-to-address-list address-list="port scanners" \
address-list-timeout=2w chain=input protocol=tcp tcp-flags=\
!fin,!syn,!rst,!psh,!ack,!urg

add action=drop chain=input comment=\
"PPTP \A8\BE\A4\F5\C0\F0(\B5n\A4J3\A6\B8\BF\F9\BB~\A7Y\AB\CA\C2\EA)" \
src-address-list=login_blacklist

add action=add-src-to-address-list address-list=login_blacklist \
address-list-timeout=10m chain=input connection-state=new dst-port=1723 \
protocol=tcp src-address-list=login_stage3

add action=add-src-to-address-list address-list=login_stage3 \
address-list-timeout=1m chain=input connection-state=new dst-port=1723 \
protocol=tcp src-address-list=login_stage2

add action=add-src-to-address-list address-list=login_stage2 \
address-list-timeout=1m chain=input connection-state=new dst-port=1723 \
protocol=tcp src-address-list=login_stage1

add action=add-src-to-address-list address-list=login_stage1 \
address-list-timeout=1m chain=input connection-state=new dst-port=1723 \
p2p=!all-p2p protocol=tcp src-address-list=!Lan

add action=drop chain=forward comment=\
"\B8T\A4\EE\AC\F5\A6\CC\B3s\A9\B9\A4\A4\B0\EA" dst-address-list=\
ChinaIPList src-address=192.168.88.95

add action=drop chain=forward dst-address-list=ChinaIPList src-address=\
192.168.88.13

add action=drop chain=forward comment="\\C3\\F6\\B3\\ACDownload-Master" disabled=\
yes dst-address=192.168.88.3 dst-port=51413 protocol=tcp

add action=drop chain=forward disabled=yes dst-address=192.168.88.3 dst-port=\
51413 protocol=udp

add chain=input comment="\\A4\\B9\\B3\\\\\\B0\\CF\\BA\\F4\\B8\\CB\\B8m" src-address-list=\
All-Lan
add chain=forward src-address-list=All-Lan

add chain=forward comment="\\A4\\B9\\B3\\\\\\ABT\\AB\\DB\\BA\\F4\\B0\\EC" src-address=\
192.168.1.0/24

add chain=input comment="\\A4\\B9\\B3\\\\\\A6n\\A4\\CD\\A1\\FE\\AEQ\\AEa\\B8\\CB\\B8m" \
src-address-list=friends

add chain=input src-address-list=amberlin

add chain=forward src-address-list=friends

add chain=forward src-address-list=amberlin

add chain=forward comment="\\A4\\B9\\B3\\\\\\B3\\B7\\ADs\\B8\\CB\\B8m" dst-address=\
192.168.88.99-192.168.88.102

add chain=forward comment="\\A4\\B9\\B3\\\\NAS\\A9\\D2\\A6\\B3\\B3s\\BDu" \
dst-address-list=NAS

add chain=input comment="\\A4\\B9\\B3\\\\\\B8\\F3\\A4\\E9\\A5\\BBVPN\\A6\\F8\\AAA\\BE\\B9" \
src-address=49.212.0.54

add chain=input src-address=49.212.48.199

add chain=input src-address=118.157.74.169

add chain=input src-address=115.177.60.80

add chain=forward src-address=118.157.74.169

add chain=input comment="\\A4\\B9\\B3\\\\VPN" dst-port=1723 protocol=tcp

add chain=input protocol=gre

add chain=input dst-port=500,1701,4500 protocol=udp

add chain=input dst-port=1195 protocol=tcp

add action=add-dst-to-address-list address-list=a.test address-list-timeout=\
1s chain=output comment="\\A4\\B9\\B3\\\\ICMP\\A6^\\C0\\B3" dst-address-list=\
!All-Lan protocol=icmp

add chain=input protocol=icmp src-address-list=a.test

add chain=forward protocol=icmp

add chain=input comment="\\A4\\B9\\B3\\\\DNS" src-address-list=DNS-Server

add chain=forward src-address-list=DNS-Server

add chain=input comment="\\A4\\B9\\B3\\\\ROS-Cloud\\A6\\F8\\AAA\\BE\\B9" protocol=udp \
src-address=81.198.87.240

add chain=forward comment="\\A4\\B9\\B3\\\\Hinet\\B4\\FA\\B3t" src-address=\
210.61.132.0/24

add chain=input comment="\\A4\\B9\\B3\\\\\\B6l\\A5\\F3\\A6\\F8\\AAA\\BE\\B9" protocol=tcp \
src-port=25

add chain=forward protocol=tcp src-port=25,110,993,995,587,465

add chain=input comment="\\A4\\B9\\B3\\\\WWW\\A6\\F8\\AAA\\BE\\B9" protocol=tcp \
src-port=80,443

add chain=forward protocol=tcp src-port=80,443,8080

add chain=forward comment="\\A4\\B9\\B3\\\\iCould\\A6\\F8\\AAA\\BE\\B9" protocol=tcp \
src-port=5223

add chain=input comment="\\A4\\B9\\B3\\\\\\AE\\C9\\B6\\A1\\A6\\F8\\AAA\\BE\\B9" protocol=\
udp src-port=123

add chain=forward protocol=udp src-port=123

add chain=forward comment="\\A4\\B9\\B3\\\\SSH\\BB\\B7\\BA\\DD\\B5n\\A4J\\A8\\F3\\A9w" \
disabled=yes protocol=tcp src-port=22

add chain=forward comment=\
"\A4\B9\B3\\FTP\A1\FEFTPS\A1\FESFTP \C0\C9\AE\D7\A6\F8\AAA\BE\B9" \
protocol=tcp src-port=21,989,990,115

add chain=forward comment="\\A4\\B9\\B3\\\\Teamviewer \\A6\\F8\\AAA\\BE\\B9" protocol=\
tcp src-port=5938

add chain=forward comment="\\A4\\B9\\B3\\\\Teredo\\A6\\F8\\AAA\\BE\\B9" protocol=udp \
src-port=3544

add chain=forward comment="\\A4\\B9\\B3\\\\Gogo6\\A6\\F8\\AAA\\BE\\B9" protocol=udp \
src-port=3653

add action=drop chain=input comment=\
"\A5\E1\B1\F3\A5\BC\A9w\B8q\AA\BA\AB\CA\A5]"

add action=drop chain=forward
2014-08-02 14:44 #2224
pctine
pctine
5064分
樓主
pctine
pctine
個人積分：5064分
文章編號：51426504
DESIGNS.MIKROTIK.COM

一個無關乎 routeros 技術的網站, 主要提供 Mikrotik Logo, 產品相片, wallpaper...的網站, 那天辦 RouterOS 網聚時可以用來自製 T-Shirt.

FB: Pctine
2014-08-03 3:19 #2225
derliang
derliang
1143分
2226樓
derliang
derliang
個人積分：1143分
文章編號：51427445

gfx wrote:
我也分享自己的fir...(恕刪)


其實自己發起的連線不需要特別在Firewall中允許。
所以可以試著看看把允許○○○伺服器的那些條先禁用，看看是不是依然可以正常連線。
Firewall規則越少，Router的CPU loading會越輕。
irsjx2vxo3ne3k84dr1dz4,r4pe8bez3/4ne3bq4bew2j92gea jx4hq me-2d8 e3hy4hi2ty k84!
2014-08-03 8:55 #2226
gfx
gfx
1598分
2227樓
gfx
gfx
個人積分：1598分
文章編號：51428139
derliang wrote:
其實自己發起的連線不...(恕刪)

若您有將firewall filter截圖見至最下二行,最下二行是drop一切未定義的連線.
所以才會有允許○○○伺服器這些設定(我是做白名單的firewall filter).
2014-08-03 10:18 #2227
derliang
derliang
1143分
2228樓
derliang
derliang
個人積分：1143分
文章編號：51431510

gfx wrote:
若您有將firewa...(恕刪)


歹勢，剛剛又仔細的看了你的規則，你少了允許自己發起的連線這條。
其實在機子預設的Firewall規則中，有Allow Established,related connections這條。
所以不需要特別一一允許自己發起的連線，當然你的規則是用所謂的白名單模式。
只有你允許才可連入，這樣就必須一一開放個別軟體的連線。
irsjx2vxo3ne3k84dr1dz4,r4pe8bez3/4ne3bq4bew2j92gea jx4hq me-2d8 e3hy4hi2ty k84!
2014-08-03 14:52 #2228
gfx
gfx
1598分
2229樓
gfx
gfx
個人積分：1598分
文章編號：51433878
一直覺得RouterOS的OVPN-Server (OpenVPN)很難用,常更新一堆問題出來...
但v6.17相對其它版本問題來的較少,有興趣的試試吧.

1. /system certificate 用Import匯入ca.crt /ca.key

ca.crt /ca.key 怎製做請參考http://goo.gl/VAQ6ws
(感謝YAWPYNG大教學與指導)

2. /ip pool建立ovpn-pool

172.19.13.0/29 即為172.19.13.0-172.19.13.7
扣掉172.19.13.0和172.19.13.1 ,即開放6台電腦.

3. /ppp profile建立ovpn設定檔

bridge即橋接的ether2-ether5 ,不啟用bridge不影響對Server連接;
但啟用 遠端網路可透過Server連接IPv6網路.

4. OVPN Server有兩種連接模式,
一為ethernet mode (OpenVPN TAP-Mode):


/ppp secret

user:用戶帳號 password:用戶密碼

5. 另一種連接模式ip mode (OpenVPN TUN-Mode):


/ppp secret

使用ip mode比較不便的地方是它不像ethernet mode可透過netmark設定遮罩,控制client數量.

它的netmark被系統鎖死為30 (255.255.255.252) ,
扣掉Server-IP(10.0.0.1) ,只剩10.0.0.2 與10.0.0.3 兩台clients可連接...數量相當的少.

ethernet-mode 與ip-mode 相較下那種模式較實惠,應該沒人看不懂吧

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
Windows Client連接

OVPN-Client (OpenVPN)主程式請至OpenVPN官網下載:
https://openvpn.net/

OVPN設定檔內容:
client
dev tap (ethernet-mode輸入tap /ip-mode輸入tun)
remote 220.134.123.123 1195(OVPN-Server地址或IP ,以及連接Port)
proto tcp
auth-user-pass pw.txt (pw.txt儲存的為自動連線的帳號與密碼,省缺為連線後認證)
redirect-gateway

<ca> (將憑證ca.crt文字內容給貼上)
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
</ca>

pw.txt (與OVPN設定檔同放在\OVPN-Config資料夾)
abc (用戶名稱)
123 (用戶密碼)

2014-08-03 18:13 #2229
pctine
pctine
5064分
樓主
pctine
pctine
個人積分：5064分
文章編號：51440364

gfx wrote:
使用ip mode比較不便的地方是它不像ethernet mode可透過netmark設定遮罩,控制client數量.

它的netmark被系統鎖死為30 (255.255.255.252) ,
扣掉Server-IP(10.0.0.1) ,只剩10.0.0.2 與10.0.0.3 兩台clients可連接...數量相當的少....(恕刪)


Tunnel-Mode 原本較常用於兩端點對接(lan to lan), 所以並不需要用到太多 IP, 用於多端點時, 再切割不同網段即可.
FB: Pctine
2014-08-04 7:07 #2230
我要回覆

小惡魔廣編特輯

618 火力全開！MSI AI 筆電大軍震撼降臨，爆殺優惠再送$666電子現金
vivo X200 Pro 蔡司影像旗艦 從人像到望遠一機搞定！v.s. Samsung S25 Ultra
Audi Q6 e-tron quattro S line 兼具豪華氣度與純電科技魅力！
破解選擇障礙！挑出你的 Mercedes-Benz 最佳純電夥伴！
關閉廣告
顯示廣告
文章分享
加入好友名單
取消 確定
評分
取消 確定
評分
取消 確定
複製連結
複製
請輸入您要前往的頁數(1 ~ 860)
確定
留言回報
取消 確定

今日熱門文章　網友點擊推薦！