Jak obejít mikrotik

novajz

Zdravím

už se tu to prý někdy řešilo ale nějak se nemůžu domluvit s políčkem "Hledej". Jde o to, že kamarád má klienta (nějaký asus) a v něm nejvyšší verzi DD-WRT a když si tam v QoS nastaví prioritu 0, tak celý jeho provoz proleze celou mojí sítí ven bez povšimnutí a bez jakéhokoli náznaku plnou rychlostí, co mu lajna dá. Nějak ani netuším, čeho se chytit a jak to vychytat. Zas tak úplné dřevo nejsem a myslím si, že to mám jakž takž OK, ale tohleto mě zarazilo. Dokonce jsem nastavil ve firewallu logování všeho, co leze z jeho IP a nic moc tam nebylo na to že sosal přes FTP plnou rychlostí filmy.

Nevíte někdo co s tím??

maxik

Pust nejake demo, osvetli problem, ipcka atd. evidentne mas neco spatne.

novajz

217.66.186.1 demo/demo

Prý špatně nic není, prý se o tom ví a prý se to tu na starém fóru probíralo kdysik. Jenže já ze starého fóra moc nezažil, jsem ještě zajíc. :(

maxik

Vysledoval bych si jaka IP to dela, pokud je asociovana se SQ tak je blbost aby jela bez limitu, pokud i pres to jede, zkus jinou verzi ros 3.10, 2.9.50. Me se nikdy nic podobneho nestalo, jen jsem videl ze router nepustil na net IP co byla enable v adress listu, disable / enable a dobry ale to bylo nekde na 2.9.27 pak jsem dal 2.9.50 a nevim o tom.

novajz

Lidi, já vím jaká IP to dělá nemusím nic sledovat, klidně si to nasimuluju sám. Umí to nejvyšší verze DD-WRT v sekci QoS se nastaví priorita 0 a to pak proleze neviditelne zkrze mikrotik ven. Neoznačí to ani manglování ani queue ani log ve firewallu. Udelal jsem si jen jednoduché pravidlo pro onu IP adresu, že má logovat všechno, co z ní jde a v logu nic. Když se ke mě kouknete, zjistíte, že ve firewallu je disablované pravidlo s IP 10.1.80.230. Když to zkouším, zapnu v DD-WRT QoS s prioritou 0 a log přestane logovat a přitom na te ip stahuju jako o život. Nejsem zase takové dřevo. Přece když nastavím pravidlo "loguj vše ze zdrojové IP 10.1.80.230", tak to snad musí logovat vše. Jenže neloguje. Když vypnu v DD-WRT QoS, zacne logovat. Připadá mi to jako by se ten paket nějak skryl a fakt ho nezjistíte. Teda aspon já ne. Různé verze RoS zkoušeny, všechny dělaj to samé.

hapi

myslim že děláš něco blbě. Nic jako skrytí paketu neni, někde prostě musí protíct když proleze routerem takže se musí dát zachytit.

maxik

pokud to dokazes nasimulovat chci to videt :)

novajz

Se podivejte na demo. Vsechno jede a funguje tak jak ma, i pro tu IP 10.1.80.230, ale jen do doby, kdy si klient zapne QoS na svem domacim routeru, kde mu fičí DD-WRT. Si připadám, jako bych spadl z višně a nikdo mi nevěří.

Pro maxika: Se stav, neni problem ti to ukazat. Budes cumet.

novajz

Reisme to tak, ze jeden kompl jede pres ASUSe s DD-WRT se zapnutym QoS a nastavenim priority 0. Chova se to sice nestabilně, ale jede. Na druhem kompu se snazim neco chytit a nic. Pritom na druhem monitoru pritom vidim, ze to FAKT jede a SQ ani ťuk. Já si fakt nerobím prdel. A když mám něco nastavené špatně, tak řekněte co. Přístup máte.

ef

Nechci říct že je problém zde ale zkoušel jsi v SQ dát jeho IP úplně nahoru a vypnout parent s nadřazeným QUEUE a ještě bych zkusil vypnout mangle, značkování paketů které stejně nijak nevyužíváš (nebo jsem alespoň pravidlo s použitím označených paketů nenašel).

novajz

Nezkoušel, ale zkusím. Pak poreferuju. Ty magle tam jsou jen tak, s tím si jen hraju. V jiné obci to řeším přes mangle a QT s priorizací služeb, ale tu bych se z toho opupínkoval, visí na tom dost lidí.

soucez

1. bych nepoužíval SQ ale QTtree

2. zkus se podívat do IP/firewall/connections jestli tam vidíš kenexy z této a na tuto IP adresu

3. zkus prvně omanglovat connections a pravidlem hned pod tím pak uděláš pravidlo pro down a UP této omanglované konexe

4. udělej QT pro mangle z bodu 3.

5. a pak už to neřeš :-)

novajz

QT a mangle umím (ale nechce se mi to všechno překopávat a ani nemám důvod). Navíc jsem to zkoušel taky, a pakety to nechytili, v connections nic není z té ani na tu IP. Překopat na mangle a QT to překopu v případě, že by to nějak chytilo ty "skryté" pakety.

maxik

Skrytej paket jsem teda jeste nevidel, bud to bude bug v ros nebo v konfiguraci jinak to neni mozne.

selic

Muzes sem hodit screenshot nastaveni IP, Wireless a QoS z toho dd-wrt? Zacinam tusit, ze vysvetleni bude velice proste.

stanislavhrncir

nemůže si to udělat nějaký svůj separátní vlan ? nebo něco v tom stylu ?