IP Neighbors

mrazek609

Prosím, jak docílím tohto aby po připojení ethernetu do klientské antény neukazoval winbox všechny mikrotiky na sektoru, ale jen ten jeden lokální?

Mám ether1 a wlan1 v bridge. IP neigbors discovery mám povolený pouze ether1 a stejně tam mám vše ze sektoru. Když zakážu i ether1, tak zase nevidím nic.

Díky za radu

pgb

když spojíš dvě rozhraní do virtuálního (bridge), tak logicky musíš zakázat discovery ne bridge (ale tam se mísíš rozhodnout co preferuješ), další je zapnutí izolace klientů na ap

zdeneksvarc

Teoreticky na firewall bridge (https://wiki.mikrotik.com/wiki/Manual ... e_Firewall) dropovat CDP (https://en.wikipedia.org/wiki/Cisco_Discovery_Protocol). Ale možná to jde i jednodušeji.

zdeneksvarc

Mimochodem, dávat do bridge half-duplexní media není dobrý nápad. Snižuje se propustnost a narůstají režie (pokud je ten WLAN half-duplexní, jako že nejspíš je).

mrazek609

Potřebuju vidět vždy akorát tu lokální anténu z ether1 nic jiného.

Zkusím si nastavit ten firewall na bridge. Děkuji

mrazek609

Mimochodem, dávat do bridge half-duplexní media není dobrý nápad. Snižuje se propustnost a narůstají režie (pokud je ten WLAN half-duplexní, jako že nejspíš je).

No nastavení mám většinou tak, že pod wlan1 mám nahozeny např. vlan1 pro dohled a vlan2 pro data. Potom mám bridge port ether1 s vlan2 dohromady.

Jak to udělat jinak a lépe? Rád bych to změnil, ale NATovat na anténě se mi nechce.

mrazek609

když spojíš dvě rozhraní do virtuálního (bridge), tak logicky musíš zakázat discovery ne bridge (ale tam se mísíš rozhodnout co preferuješ), další je zapnutí izolace klientů na ap

Že by stačilo odškrtnout default forward? Nechci to těd zkoušet za provozu.

pgb

Více méně ano. Další možností "zabezpečení" je omezení přístupu pomocí firewallu a řízení "mac serveru" kde má naslouchat

mrazek609

Tak koukám, že default forward mám vypnutý. Zkusím si tedy hrát s tím firewall na bridge.

pgb

A ap máš také v bridge a sektorů máš víc? Pokud ano tak na klientoj vidíš třeba sousední sektory. Asi by to chtělo nakreslit, takhle to asi nikdo moc nepochopil ....

mrazek609

AP je taky v bridge. Kde to zkouším, tak je jeden sektor.

Na AP mám discovery už úplně vše vypnuté a na routeru pro lokalitu taky. Stejně z ethernetu koncového sxt vidím všechny ostatní klienty.

radik

Klienty uvidis vzdy. To ze zakazes neighbore v mikrotiku, tak to jen znamena, ze nebude prijmat a odesilat oznameni, ze tam je. Ostatni projde, takze i oznameni ostatnich zarizeni.

Jak se tady psalo, ze se ma zakazat CDP, tak mikrotik pouziva i svuj protokol. Jedina moznost je skutecne zahodit v bridge.

A nebo pak solo VLANy.

mrazek609

Zkouším v bridge filter blokovat udp 5678 a 20561 a cca polovina klientů zmizela, ale zbytek zůstává viditelný.

fujara

Zkouším v bridge filter blokovat udp 5678 a 20561 a cca polovina klientů zmizela, ale zbytek zůstává viditelný.

mne sa zda ze je to multicast, tak skus toto:

/interface bridge filter

add action=drop chain=forward comment="multicast drop" disabled=no packet-type=multicast

mrazek609

To je přesně to co chybělo :) Díky

hapi

/interface bridge filter add action=drop chain=forward dst-port=5678 ip-protocol=udp mac-protocol=ip out-interface=wlan1;

/interface bridge settings set use-ip-firewall=yes;

mrazek609

/interface bridge filter add action=drop chain=forward dst-port=5678 ip-protocol=udp mac-protocol=ip out-interface=wlan1;

/interface bridge settings set use-ip-firewall=yes;

Bohužel toto mi nefunguje. Pravidlo zachytává, ale ve winboxu stejně vidím všechny klienty.

Pro mě je momentálně funkční tohle:

chain=forward action=drop in-bridge=bridge-vlan40 mac-protocol=ip dst-port=5678 ip-protocol=udp

chain=forward action=drop in-bridge=bridge-vlan40 mac-protocol=ip src-port=5678 ip-protocol=udp

chain=forward action=drop in-bridge=bridge-vlan40 packet-type=multicast

hapi

ve winboxu jako předtim než se připojíš k mikrotiku nebo ve winboxu v neighboru? kde vůbec v winboxem seš? Tohle má zajistit že ke klientům se nedostane CDP kromě CDP s APčka ale APčko uvidí CDP všech. To si přece chtěl ne?

radik

/interface bridge filter add action=drop chain=forward dst-port=5678 ip-protocol=udp mac-protocol=ip out-interface=wlan1;

/interface bridge settings set use-ip-firewall=yes;

Toto je totalni nesmysl. Příkaz /interface bridge settings set use-ip-firewall=yes; dělá to, že klasický firewall funguje i v bridge.

To co se dá v bridge do filter funguje vzdy.

hapi

takže to je totální nesmysl jenom z poloviny, ne? v bridge nejedem.

Pravidlo funguje a mám ho ověřený.

Další stránka »