Обход для роутеров Микротик и NAS

Страницы :   Пред.  1, 2, 3, 4, 5  След.

Ответить
Автор
Сообщение

Crosfield

Стаж: 10 лет 9 месяцев

Сообщений: 380

Crosfield · 13-Окт-17 19:34 (11 месяцев назад, ред. 13-Окт-17 19:34)

[Цитировать] 

Гуфыч писал(а):
ip_nat.ko для начала, а вообще установленный openvpn подтягивает нужные зависимости.
К сожалению установка невозможна, и я даже причину не понимаю
Код:
DS> insmod ip_nat.ko
insmod: can't insert 'ip_nat.ko': unknown symbol in module, or unknown parameter
При этом я нахожусь в /lib/modules
[Профиль]  [ЛС] 

Гуфыч

Техническая помощь

Стаж: 7 лет 7 месяцев

Сообщений: 9335

Гуфыч · 13-Окт-17 20:09 (спустя 35 мин.)

[Цитировать] 

Crosfield писал(а):
74010016я даже причину не понимаю
Просто openvpn пробовали установить?
скрытый текст
Возникла ошибка, потому что модуль содержит ссылки на неизвестные ядру имена..
https://www.ibm.com/developerworks/ru/library/l-linux_kernel_01/index.html
[Профиль]  [ЛС] 

Crosfield

Стаж: 10 лет 9 месяцев

Сообщений: 380

Crosfield · 13-Окт-17 20:44 (спустя 34 мин.)

[Цитировать] 

Гуфыч писал(а):
Просто openvpn пробовали установить?
Я не понимаю как это сделать. Все руководства по установке OpenVPN на Synology демонстрируют процесс установки на базе DSM 5 как минимум. У меня в интерфейсе DSM 3.1 невозможно создать дополнительные сетевые соединения (здесь встроено только LAN и PPPoE), здесь нет встроенных средств для поднятия VPN. Можно ли (и как) установить OpenVPN вручную через терминал я руководств не нашел.
[Профиль]  [ЛС] 

deepmans

Стаж: 9 лет 2 месяца

Сообщений: 7


deepmans · 14-Окт-17 17:09 (спустя 20 часов)

[Цитировать] 

Перечитал все инструкции по обходу блокировки, в моей ситуации подходит портфорвардинг/проброс портов/переадресация/ и т.д.
Подскажите возможно ли реализовать это на роутере D-Link DiR-655.
[Профиль]  [ЛС] 

Alexell

Top Bonus 03* 1TB

Стаж: 8 лет 8 месяцев

Сообщений: 149

Alexell · 17-Окт-17 14:29 (спустя 2 дня 21 час)

[Цитировать] 

Всем привет.
Недавно я поднял на своем VDS прокси, но даже при настройке этого прокси в uTorrent - у меня почему-то на bt* была ошибка 404.
uTorrent у меня используется не только для Рутрекера, поэтому указывать в него прокси от px1.blockme.site не вариант.
Однако у меня теперь есть Микротик, и прочитав решения выше, я сделал в итоге вот так и все работает:
1. Открываем в Winbox терминал и вставляем в него следующее:
Код:
/ip firewall address-list
add address=bt.t-ru.org comment=bt list=RuTracker
add address=bt2.t-ru.org comment=bt2 list=RuTracker
add address=bt3.t-ru.org comment=bt3 list=RuTracker
add address=bt4.t-ru.org comment=bt4 list=RuTracker
Это добавит адреса трекеров в адрес-лист фаервола, причем IP адреса трекеров будут получены автоматически, так что даже если они у трекеров изменятся, у вас они сами изменятся.
Код:
ip firewall nat add chain=dstnat action=dst-nat to-addresses=px1.blockme.site to-ports=3128 protocol=tcp src-address=10.10.1.10 dst-address-list=RuTracker dst-port=80 log=no log-prefix=""
А это само правило NAT, которое направляет все запросы к трекерам на рабочий прокси для bt* Рутрекера, указанный в этой теме.
С этим способом, в uTorrent у меня не прописаны прокси, прекрасно работают и местные bt* трекеры и остальные трекеры.
Скриншоты
[Профиль]  [ЛС] 

AJIJIADUH

Стаж: 8 лет 5 месяцев

Сообщений: 605

AJIJIADUH · 17-Окт-17 17:19 (спустя 2 часа 49 мин.)

[Цитировать] 

Alexell
на предыдущих страницах тоже самое. спасибо кэп
[Профиль]  [ЛС] 

Bust_Ed

Стаж: 10 лет 2 месяца

Сообщений: 6


Bust_Ed · 17-Окт-17 20:44 (спустя 3 часа)

[Цитировать] 

Alexell писал(а):
74035375Всем привет.
Недавно я поднял на своем VDS прокси, но даже при настройке этого прокси в uTorrent - у меня почему-то на bt* была ошибка 404.
uTorrent у меня используется не только для Рутрекера, поэтому указывать в него прокси от px1.blockme.site не вариант.
Однако у меня теперь есть Микротик, и прочитав решения выше, я сделал в итоге вот так и все работает:
1. Открываем в Winbox терминал и вставляем в него следующее:
Код:
/ip firewall address-list
add address=bt.t-ru.org comment=bt list=RuTracker
add address=bt2.t-ru.org comment=bt2 list=RuTracker
add address=bt3.t-ru.org comment=bt3 list=RuTracker
add address=bt4.t-ru.org comment=bt4 list=RuTracker
Это добавит адреса трекеров в адрес-лист фаервола, причем IP адреса трекеров будут получены автоматически, так что даже если они у трекеров изменятся, у вас они сами изменятся.
Код:
ip firewall nat add chain=dstnat action=dst-nat to-addresses=px1.blockme.site to-ports=3128 protocol=tcp src-address=10.10.1.10 dst-address-list=RuTracker dst-port=80 log=no log-prefix=""
А это само правило NAT, которое направляет все запросы к трекерам на рабочий прокси для bt* Рутрекера, указанный в этой теме.
С этим способом, в uTorrent у меня не прописаны прокси, прекрасно работают и местные bt* трекеры и остальные трекеры.
Скриншоты
Взял инструкцию с первой страницы, поправил адреса в фаерволле (с айпи на домены сменил) и пошла закачка.
Спасибо.
[Профиль]  [ЛС] 

The_Serpantin

Top Bonus 03* 1TB

Стаж: 9 лет 6 месяцев

Сообщений: 35

The_Serpantin · 21-Окт-17 09:40 (спустя 3 дня)

[Цитировать] 

grumbler_eburg писал(а):
72825637Разворот трафика bt*.t-ru.org на прозрачный прокси в NAS Lenovo Iomega
Инструкция написана для ix4-300d и применима для всех NAS Lenovo Iomega, а также, помимо раздела "подготовка", и для компьютеров и устройств с ОС GNU/Linux.
В инструкции указаны названия для русской версии веб-интерфейса.
Для Lenovo Iomega IX4-300d производитель предоставляет установочный пакет программы transmission-daemon, но эта программа "не умеет" работать через сервер прокси. Поэтому решением по обходу блокировки для неё является перенаправление трафика, адресованного к трекер-аннонсерам, на "прозрачный" прокси.
Перед применением метода уточните, что известный вам сервер прокси является "прозрачным" (англ.: transparent proxy). Если не знаете, проверить можно будет в процессе настройки.
Недостаток метода - настройка не сохраняется после перезагрузки. После перезагрузки просто заново выполните действия из списка "Перенаправление трафика".
скрытый текст
Подготовка
Используя веб-интерфейс, запустите sshd на устройстве.
  1. На странице "Диагностика и поддержка" отметьте "Разрешить удаленный доступ для поддержки (SSH и SFTP)"
  2. Укажите порт - если устройство недоступно из интернета, оставьте "22", если же у него публичный адрес, измените порт на своё значение, например, 65432. Если оставите 22 порт "выставленным" в интернет, боты будут постоянно пытаться подобрать пароль и это когда-нибудь закончится успехом. Для нестандартного порта частота коннектов и вероятность в сотни раз меньше. Но самое лучшее - не выставлять устройство в публичную сеть.
  3. Введите пароль. в поле "Корневой пароль:" и в поле "Подтверждение корневого пароля:". Самый лучший пароль - несколько слов, между которыми вставлены цифры и другие символы, идеально если ещё и написание слов искажено.
  4. Кликните "Применить"
Перенаправление трафика
  1. На своём компьютере запустите клиент SSH, например, Putty.
  2. Подключитесь к устройству: укажите его адрес, порт и кликните "Connect"
  3. На запрос имени пользователя ("login:") введите "root"
  4. На запрос пароля ("password:") введите слово "soho" и затем без пробела тот пароль, который вы задали при включении доступа по SSH.
  5. Когда увидите приглашение системы
    [email protected]:/#
    , введите команду
    iptables -t nat -A OUTPUT -p tcp -m tcp --dport 80 -d 195.82.146.120/30 -j DNAT --to-destination 163.172.167.207:3128
    и нажмите клавишу "Enter", в команде вместо "proxy.address" укажите имя хоста или адрес IP сервера прокси, вместо "port" - порт сервера прокси, обычно это 3129 или 3128. В случае успешного выполнения команда ничего не выдаст.
Проверка
Не завершая сеанс SSH, выполните команду
wget --spider http://bt.t-ru.org/announce.php

В случае правильной работы прокси ответ будет -
Remote file exists.

Если же прокси не работает в прозрачном режиме или недоступен, wget после минутной паузы сообщит об ошибке.
Если проверка неудачна, попробуйте выполнить запрос к другим трекерам - в команде замените bt.t-ru.org на bt2.t-ru.org, bt3.t-ru.org и bt4.t-ru.org. Если один из них ответит, значит прокси работает. Если ответа не будет, попробуйте повторить через пару минут. Если и это не даст результата, значит прокси не работает или серьёзная проблема на серверах, точно выяснить на месте вряд ли получится и лучше откатить изменение.
Просмотр настроек
В сеансе SSH выполните команду
iptables-save | grep -E "OUTPUT .* DNAT"
, если наша настройка присутствует, команда выдаст строку вида
Код:
-A OUTPUT -p tcp -m tcp --dport 80 -d 195.82.146.120/30 -j DNAT --to-destination 192.0.2.234:3129
Отмена настройки
В сеансе SSH выполните команду
iptables -t nat -D OUTPUT -p tcp -m tcp --dport 80 -d 195.82.146.120/30 -j DNAT --to-destination proxy.address:port
. Также, как и при выполнении настройки, вместо proxy.address:port укажите реальные значения.
Команда ничего не выдаст, это нормально.
Проще всего сделать так: сначала посмотрите настройку и из вывода iptables-save скопируйте подстроку после "-A". Затем вставьте её через пробел после
iptables -t nat -D

Убедиться в том, что настройка удалена, проще всего выполнив команду для просмотра настройки. Когда наша настройка отсутствует, команда просмотра ничего не должна выдать.
Завершение сеанса SSH
В работающем сеансе введите команду
exit
:
Код:
Сеанс SSH завершится и окно putty закроется.
скрытый текст
Пример
Код:
The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.
Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
[email protected]:/# iptables -t nat -A OUTPUT -p tcp -m tcp --dport 80 -d 195.82.146.120/30 -j DNAT --to-destination 192.0.2.220:3129
[email protected]:/# wget --spider http://bt.t-ru.org/announce.php
Spider mode enabled. Check if remote file exists.
--2017-04-03 00:24:46--  http://bt.t-ru.org/announce.php
Resolving bt.t-ru.org (bt.t-ru.org)... 195.82.146.120
Connecting to bt.t-ru.org (bt.t-ru.org)|195.82.146.120|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: unspecified [text/plain]
Remote file exists.
[email protected]:/# iptables-save | grep -E "OUTPUT .* DNAT"
-A OUTPUT -p tcp -m tcp --dport 80 -d 195.82.146.120/30 -j DNAT --to-destination 192.0.2.220:3129
[email protected]:/# exit
Примечание
В будущем, если адреса серверов трекеров (анонсеров) изменятся, нужно будет заменить 195.82.146.120/30 на новое значение. Строка "195.82.146.120/30" означает последовательность адресов с 195.82.146.120 по 195.82.146.123, подробнее см. Бесклассовая адресация
Доброго времени суток. Имеется NAS хранилище Synology DS212 с установленным на него DiskStation 6.1 + Transmission 2.92 (естественно без возможности настроить прокси ), нужно ли кроме этого метода делать настройки на роутере?
[Профиль]  [ЛС] 

Гуфыч

Техническая помощь

Стаж: 7 лет 7 месяцев

Сообщений: 9335

Гуфыч · 21-Окт-17 19:01 (спустя 9 часов)

[Цитировать] 

The_Serpantin писал(а):
74059290нужно ли кроме этого метода делать настройки на роутере?
Нет


Сообщения из этой темы [10 шт.] были выделены в отдельную тему Недоступность трекеров через Scaleway NL (51.15.0.0/16)
Гуфыч
[Профиль]  [ЛС] 

spaceman_ekb

Стаж: 9 лет 2 месяца

Сообщений: 27


spaceman_ekb · 22-Окт-17 11:12 (спустя 16 часов)

[Цитировать] 

NAS Synology DC216play
При вводе через SSH команды: iptables -t nat -A OUTPUT -p tcp -m tcp --dport 80 -d 195.82.146.120/30 -j DNAT --to-destination 163.172.167.207:3128 выдает ошибку:
iptables v1.6.0: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
[Профиль]  [ЛС] 

Гуфыч

Техническая помощь

Стаж: 7 лет 7 месяцев

Сообщений: 9335

Гуфыч · 22-Окт-17 11:19 (спустя 6 мин.)

[Цитировать] 

spaceman_ekb писал(а):
74066877iptables v1.6.0: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Установите пакет openvpn
[Профиль]  [ЛС] 

spaceman_ekb

Стаж: 9 лет 2 месяца

Сообщений: 27


spaceman_ekb · 22-Окт-17 11:59 (спустя 39 мин.)

[Цитировать] 

Гуфыч писал(а):
74066913
spaceman_ekb писал(а):
74066877iptables v1.6.0: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Установите пакет openvpn
установлен
[Профиль]  [ЛС] 

Гуфыч

Техническая помощь

Стаж: 7 лет 7 месяцев

Сообщений: 9335

Гуфыч · 22-Окт-17 19:19 (спустя 7 часов)

[Цитировать] 

spaceman_ekb писал(а):
74067144установлен
Инициализируйте Vpn центр.
[Профиль]  [ЛС] 

spaceman_ekb

Стаж: 9 лет 2 месяца

Сообщений: 27


spaceman_ekb · 23-Окт-17 04:54 (спустя 9 часов, ред. 23-Окт-17 04:54)

[Цитировать] 

Гуфыч писал(а):
74070075
spaceman_ekb писал(а):
74067144установлен
Инициализируйте Vpn центр.
Спасибо! Всё получилось, удалось прописать iptables, раздачи позеленели:
скрытый текст
# wget --spider http://bt.t-ru.org/announce.php
Spider mode enabled. Check if remote file exists.
--2017-10-23 06:12:35-- http://bt.t-ru.org/announce.php
Resolving bt.t-ru.org... 195.82.146.120
Connecting to bt.t-ru.org|195.82.146.120|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: unspecified [text/plain]
Remote file exists.
Объясните, пожалуйста --to-destination 163.172.167.207:3128 - это и есть "прозрачный" прокси?
[Профиль]  [ЛС] 

Гуфыч

Техническая помощь

Стаж: 7 лет 7 месяцев

Сообщений: 9335

Гуфыч · 23-Окт-17 04:57 (спустя 2 мин.)

[Цитировать] 

spaceman_ekb писал(а):
74072478163.172.167.207:3128 - это и есть "прозрачный" прокси?
Да.
Актуальный адрес в первую очередь будет в основных инструкциях - http://rutracker.org/forum/viewtopic.php?p=72654681#72654681
[Профиль]  [ЛС] 

besruk

Стаж: 8 лет 1 месяц

Сообщений: 56


besruk · 27-Ноя-17 22:06 (спустя 1 месяц 4 дня)

[Цитировать] 

Alexell писал(а):
74035375Всем привет.
Недавно я поднял на своем VDS прокси, но даже при настройке этого прокси в uTorrent - у меня почему-то на bt* была ошибка 404.
uTorrent у меня используется не только для Рутрекера, поэтому указывать в него прокси от px1.blockme.site не вариант.
Однако у меня теперь есть Микротик, и прочитав решения выше, я сделал в итоге вот так и все работает:
1. Открываем в Winbox терминал и вставляем в него следующее:
Код:
/ip firewall address-list
add address=bt.t-ru.org comment=bt list=RuTracker
add address=bt2.t-ru.org comment=bt2 list=RuTracker
add address=bt3.t-ru.org comment=bt3 list=RuTracker
add address=bt4.t-ru.org comment=bt4 list=RuTracker
Это добавит адреса трекеров в адрес-лист фаервола, причем IP адреса трекеров будут получены автоматически, так что даже если они у трекеров изменятся, у вас они сами изменятся.
Код:
ip firewall nat add chain=dstnat action=dst-nat to-addresses=px1.blockme.site to-ports=3128 protocol=tcp src-address=10.10.1.10 dst-address-list=RuTracker dst-port=80 log=no log-prefix=""
А это само правило NAT, которое направляет все запросы к трекерам на рабочий прокси для bt* Рутрекера, указанный в этой теме.
С этим способом, в uTorrent у меня не прописаны прокси, прекрасно работают и местные bt* трекеры и остальные трекеры.
Скриншоты
камрад
Огромное спасибо!
если не сложно, вопрос такой
указывать можно внутренний айпи, или сеть?
[Профиль]  [ЛС] 

dino100

Стаж: 10 лет 2 месяца

Сообщений: 229


dino100 · 02-Дек-17 17:16 (спустя 4 дня)

[Цитировать] 

besruk писал(а):
74316556если не сложно, вопрос такой
указывать можно внутренний айпи, или сеть?
В зависимости от целей. Если для всей домашней сети, лучше подсеть. Для одного компа достаточно его локального адреса.
[Профиль]  [ЛС] 

kraleksandr

Стаж: 10 лет 4 месяца

Сообщений: 8

kraleksandr · 06-Дек-17 20:34 (спустя 4 дня)

[Цитировать] 

Alexell писал(а):
...
Код:
ip firewall nat add chain=dstnat action=dst-nat to-addresses=px1.blockme.site to-ports=3128 protocol=tcp src-address=10.10.1.10 dst-address-list=RuTracker dst-port=80 log=no log-prefix=""
А это само правило NAT, которое направляет все запросы к трекерам на рабочий прокси для bt* Рутрекера, указанный в этой теме.
Не добавляется с ошибкой
Код:
value of min expects range of ip addresses
Если делать вручную через WebFig, не принимает px1.blockme.site (текст) для to-addresses.
[Профиль]  [ЛС] 

Гуфыч

Техническая помощь

Стаж: 7 лет 7 месяцев

Сообщений: 9335

Гуфыч · 06-Дек-17 22:19 (спустя 1 час 44 мин.)

[Цитировать] 

kraleksandr писал(а):
74370209не принимает px1.blockme.site (текст) для to-addresses.
Можно ip вписать
[Профиль]  [ЛС] 

compgeniy

Top Bonus 05* 10TB

Стаж: 7 лет 6 месяцев

Сообщений: 539

compgeniy · 08-Дек-17 22:26 (спустя 2 дня)

[Цитировать] 

doc_ravik писал(а):
72710543Кто реализовал это на других роутерах, просьба расписать со скриншотами.
Zyxell ZyWALL USG 20W (думаю для других шлюзов безопасности ZyWALL настройка будет аналагична
Открываем CONFIGURATION, Interface, вкладка Ethernet, создаём новый виртуальный интерфейс:


теперь настраиваем NAT


вышеописанное сделано по инструкции техподдержки девайса.
после чего заработал только первый bt 195.82.146.120, часть торрентов продолжали оставаться красными.
недолго думая, я добавил правила NAT для остальных анонсеров



На этом настройка закончилась )) всё работает.
P/S Маленькое дополнение, в аппаратных шлюзах Zyxell ZyWALL USG, по умолчанию установлено ограничение на количество активных сессий 1000 шт. Его необходимо отключить, иначе торрент клиент начинает работать неадекватно, а если клиент установлен на ПК, то интернет начинает висеть на всём ПК, настраивается это в разделе Firewall вкладка Session Control, Enable Session Limit, это ограниечени можно отключить совсем, я сделал это только для девайса с торрент клиентом, если ранее вы делали проброску порта, то это делается в один клик
[Профиль]  [ЛС] 

johnson-73

Стаж: 9 лет 8 месяцев

Сообщений: 2514


johnson-73 · 10-Дек-17 13:39 (спустя 1 день 15 часов, ред. 10-Дек-17 13:39)

[Цитировать] 

Сделал всё как написано в первом посте темы.
Прописал правило ip firewall nat add chain=dstnat action=dst-nat \ protocol=tcp src-address=IpAdressTorrentDevice dst-port=80 \ to-addresses=IpProxy to-ports=PortProxy Заменив соответствующие значения на свои.
Итог - трекеры стали доступны, но в браузере (проверил несколько) перестали открываться некоторые сайты. Пишет сайт такой-то не отправил данных.
Комп под виндой. Сможет кто-то подсказать каким образом скорректировать данное правило?
Для отдельно взятого NAS всё отлично работает. Но с него в интернет никто не ходит. Ну, кроме торрент-клиента.
[Профиль]  [ЛС] 

Гуфыч

Техническая помощь

Стаж: 7 лет 7 месяцев

Сообщений: 9335

Гуфыч · 10-Дек-17 14:41 (спустя 1 час 2 мин.)

[Цитировать] 

johnson-73 писал(а):
74392905Сможет кто-то подсказать каким образом скорректировать данное правило?
Нужно не все адреса гнать, а только определённую подсеть, указанную в dst-address:
Код:
ip firewall nat add chain=dstnat action=dst-nat \ protocol=tcp src-address=IpAdressTorrentDevice dst-address=195.82.146.120/30 dst-port=80 \ to-addresses=163.172.167.207 to-ports=3128
[Профиль]  [ЛС] 

johnson-73

Стаж: 9 лет 8 месяцев

Сообщений: 2514


johnson-73 · 10-Дек-17 15:46 (спустя 1 час 4 мин.)

[Цитировать] 

Гуфыч
Спасибо - всё заработало как полагается
[Профиль]  [ЛС] 

Larrikin ru

Стаж: 9 лет

Сообщений: 19


Larrikin ru · 18-Дек-17 12:25 (спустя 7 дней)

[Цитировать] 

Вот так элементарно работает на моих микротиках:
скрытый текст
Код:
# dec/18/2017 12:00:27 by RouterOS 6.40.4
# software id = 5ULT-I7VK
#
# model = 951G-2HnD
# Это правило не про блокировки, а запрет использовать роутер для DDoS атак, полезно всем делать
/ip firewall filter
add action=drop chain=input dst-port=53 in-interface=Your-Internet-Interface \
    protocol=udp
# Список адресов, для которых нужен обход блокировок
/ip firewall address-list
# RKN_workaround - адреса сайтов, на которые надо ходить особым маршрутом
add address=flibusta.is list=RKN_workaround
add address=rutracker.org list=RKN_workaround
add address=ru.linkedin.com list=RKN_workaround
add address=bt.t-ru.org comment=bt.rutracker list=RKN_workaround
add address=bt2.t-ru.org comment=bt.rutracker list=RKN_workaround
add address=bt3.t-ru.org comment=bt.rutracker list=RKN_workaround
add address=bt4.t-ru.org comment=bt.rutracker list=RKN_workaround
# RKN_disabled - адреса компов в сети, для которых работает обход блокировок
add address=192.168.5.200 list=RKN_disabled
add address=192.168.5.101 list=RKN_disabled
add address=192.168.5.100 list=RKN_disabled
add address=192.168.5.102 list=RKN_disabled
# Тут метим трафик, который надо отправить в обход блокировок
/ip firewall mangle
add action=mark-routing chain=prerouting dst-address-list=RKN_workaround \
    new-routing-mark=routeAround passthrough=yes src-address-list=\
    RKN_disabled
/ip route
add comment="Мимо РКН" distance=30 \
    gateway=your.workaround.router.ip routing-mark=routeAround
[Профиль]  [ЛС] 

compgeniy

Top Bonus 05* 10TB

Стаж: 7 лет 6 месяцев

Сообщений: 539

compgeniy · 20-Дек-17 02:57 (спустя 1 день 14 часов)

[Цитировать] 

Larrikin ru писал(а):
74441497Вот так элементарно работает на моих микротиках:
скрытый текст
Код:
# dec/18/2017 12:00:27 by RouterOS 6.40.4
# software id = 5ULT-I7VK
#
# model = 951G-2HnD
# Это правило не про блокировки, а запрет использовать роутер для DDoS атак, полезно всем делать
/ip firewall filter
add action=drop chain=input dst-port=53 in-interface=Your-Internet-Interface \
    protocol=udp
# Список адресов, для которых нужен обход блокировок
/ip firewall address-list
# RKN_workaround - адреса сайтов, на которые надо ходить особым маршрутом
add address=flibusta.is list=RKN_workaround
add address=rutracker.org list=RKN_workaround
add address=ru.linkedin.com list=RKN_workaround
add address=bt.t-ru.org comment=bt.rutracker list=RKN_workaround
add address=bt2.t-ru.org comment=bt.rutracker list=RKN_workaround
add address=bt3.t-ru.org comment=bt.rutracker list=RKN_workaround
add address=bt4.t-ru.org comment=bt.rutracker list=RKN_workaround
# RKN_disabled - адреса компов в сети, для которых работает обход блокировок
add address=192.168.5.200 list=RKN_disabled
add address=192.168.5.101 list=RKN_disabled
add address=192.168.5.100 list=RKN_disabled
add address=192.168.5.102 list=RKN_disabled
# Тут метим трафик, который надо отправить в обход блокировок
/ip firewall mangle
add action=mark-routing chain=prerouting dst-address-list=RKN_workaround \
    new-routing-mark=routeAround passthrough=yes src-address-list=\
    RKN_disabled
/ip route
add comment="Мимо РКН" distance=30 \
    gateway=your.workaround.router.ip routing-mark=routeAround
Микротик приобрёл на днях, только осваиваю азы routeros, здесь вижу, что это только часть конфигурации, тут нет самого правила маршрутизации, выделенного, помеченного выше описанными правилами трафика. Дополните пожалуйста ))
[Профиль]  [ЛС] 

Moriturus

Стаж: 10 лет 11 месяцев

Сообщений: 371

Moriturus · 21-Дек-17 11:50 (спустя 1 день 8 часов)

[Цитировать] 

compgeniy
Цитата:
нет самого правила маршрутизации
Цитата:
/ip route
add comment="Мимо РКН" distance=30 \
    gateway=your.workaround.router.ip routing-mark=routeAround
Да и вообще, это уже много раз было в этой теме.
[Профиль]  [ЛС] 

compgeniy

Top Bonus 05* 10TB

Стаж: 7 лет 6 месяцев

Сообщений: 539

compgeniy · 23-Дек-17 10:14 (спустя 1 день 22 часа)

[Цитировать] 

Moriturus писал(а):
74457655compgeniy
Цитата:
нет самого правила маршрутизации
Цитата:
/ip route
add comment="Мимо РКН" distance=30 \
    gateway=your.workaround.router.ip routing-mark=routeAround
Да и вообще, это уже много раз было в этой теме.
Тему я то ещё раз прочел, можно сказать с начала и до конца
и что то тут про gateway=your.workaround.router.ip ничего не нашел.
я то понимаю, что gateway это шлюз, это или VPN или Proxy,
то что касается микротика, как я уже понял, с инструкциями всё плохо, причём иногда даже на английском я зыке, например, то что касается купленной мной железяки RB1100AHx4, нет полного руководства пользователя, даже на оф сайте, оф вики, в частности, описание аппаратных особенностей PoE/
Вернёмся уже ближе к нашим "баранам", я почуть самостоятельно разобравшись обход блокировки настроил, но есть одно но, которое думаю будет полезно знать всем:
Некоторые текстовые правила, описанные в теме, например вот это:
Код:
ip firewall nat add chain=dstnat action=dst-nat to-addresses=px1.blockme.site to-ports=3128 protocol=tcp src-address=10.10.1.10 dst-address-list=RuTracker dst-port=80 log=no log-prefix=""
могут не работать , не вводится через терминал, именно в вашей версии RouterOS/ в частности выше указанное правило при попытке ввода на OS версии 6.4.05 выдаёт ошибку, текст ошибки точно уже не помню. Потом выясняется, что в версии OS начиная 6.4 поменялись привила firewall, здесь в частности об этом пишут https://spw.ru/educate/articles/routeros/
Поэтому, выше указанное правило я ввёл ручками, через графический интерфейс, и о чудо, маршрутизация заработала )) естественно, я внёс свои коррективы, так вместо src-address=10.10.1.10, я указал src-interface=bridge_lokal/
А ещё я не понимаю вот чего:
Код:
# Это правило не про блокировки, а запрет использовать роутер для DDoS атак, полезно всем делать
/ip firewall filter
add action=drop chain=input dst-port=53 in-interface=Your-Internet-Interface \
    protocol=udp
Это зачем? ведь гораздо проще, создать разрешающие правила, для того что нужно, а потом одним махом запретить всё что не разрешено, все входящие соединения, кроме описанных правилами выше.
А про gateway идея интересна тем что можно пустить в обход не только анонсеры трикера но сайт, и другие нужные сайты и не только по http, но и по htpps
например через http://antizapret.prostovpn.org/ в asus работает, описание тут
Думаю, как то можно сделать это и на микротик.
[Профиль]  [ЛС] 

Moriturus

Стаж: 10 лет 11 месяцев

Сообщений: 371

Moriturus · 23-Дек-17 20:18 (спустя 10 часов)

[Цитировать] 

Нет полного руководства, потому что смысла нет, ОС везде одинакова, различается только начинка.
Нет ничего удивительного, что в разных версиях, сюрприз-сюрприз, есть различия в командах.
Цитата:
Это зачем? ведь гораздо проще, создать разрешающие правила, для того что нужно
Это если знаешь всё, что нужно разрешить.
Все сайты в микротик проблематично засунуть, потому что список очень большой, и не каждый маршрутизатор его переварит.
[Профиль]  [ЛС] 

compgeniy

Top Bonus 05* 10TB

Стаж: 7 лет 6 месяцев

Сообщений: 539

compgeniy · 24-Дек-17 15:37 (спустя 19 часов)

[Цитировать] 

С миру по нитке, готовый рабочий скрипт by RouterOS 6.40.5
internet pppoe-out1 на 1 порту ether1
две локальных подсети 192.168.1.0/24 и 192.168.2.0/24 с DHCP серверами
настроенный обход блокировок для анонсеров и трикера (только http)
сконфигурирован firewall и nat, открыты два порта для двух торрент клиентов
включен upnp. Минимум всего нужного для домашнего использования,
делал для себя, только то, чем пользуюсь в настоящий момент)))
IP на машинах с torrent клиентом прописывал ручками, не DHCP.
Сам конфиг:
скрытый текст
# dec/24/2017 14:25:25 by RouterOS 6.40.5
/interface bridge
add arp=proxy-arp name=bridge_local1
add arp=proxy-arp name=bridge_lokal2
/interface ethernet
set [ find default-name=ether1 ] comment=WAN
set [ find default-name=ether2 ] comment=LAN1
set [ find default-name=ether6 ] comment=LAN2
/interface pppoe-client
add add-default-route=yes disabled=no interface=ether1 name=pppoe-out1 \
password=ВАШ ПАРОЛЬ use-peer-dns=yes user=ВАШ ЛОГИН
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=pool_lokal1 ranges=192.168.1.20-192.168.1.180
add name=pool_lokal2 ranges=192.168.2.20-192.168.2.180
/ip dhcp-server
add add-arp=yes address-pool=pool_lokal1 disabled=no interface=bridge_local1 \
name=dhcp_lokal1
add add-arp=yes address-pool=pool_lokal2 disabled=no interface=bridge_lokal2 \
lease-time=1w1d3h10m name=dhcp_lokal2
/interface bridge port
add bridge=bridge_local1 interface=ether2
add bridge=bridge_local1 interface=ether3
add bridge=bridge_local1 interface=ether4
add bridge=bridge_local1 interface=ether5
add bridge=bridge_local1 interface=ether6
add bridge=bridge_local1 interface=ether7
add bridge=bridge_local1 interface=ether8
add bridge=bridge_local1 interface=ether9
add bridge=bridge_lokal2 interface=ether10
add bridge=bridge_lokal2 interface=ether11
add bridge=bridge_lokal2 interface=ether12
/ip address
add address=192.168.1.254/24 interface=bridge_local1 network=192.168.1.0
add address=192.168.2.254/24 interface=bridge_lokal2 network=192.168.2.0
/ip cloud
set ddns-enabled=yes
/ip dhcp-client
add add-default-route=no dhcp-options=hostname,clientid disabled=no \
interface=ether1
/ip dhcp-server network
add address=192.168.1.0/24 dns-server=192.168.1.254 gateway=192.168.1.254 \
netmask=24
add address=192.168.2.0/24 dns-server=192.168.2.254 gateway=192.168.2.254 \
netmask=24
/ip dns
set allow-remote-requests=yes servers=ЧЕРЕЗ ЗАПЯТУЮ DNS СЕРВЕРА ВАШЕГО ПРОВАЙДЕРА
/ip firewall address-list
add address=bt.t-ru.org comment=bt list=RuTracker
add address=bt2.t-ru.org comment=bt2 list=RuTracker
add address=bt3.t-ru.org comment=bt3 list=RuTracker
add address=bt4.t-ru.org comment=bt4 list=RuTracker
add address=rutracker.org comment=bt4.t-ru.org list=RuTracker
/ip firewall filter
add action=accept chain=input comment="WinBox Alow" dst-port=22,23,80,8291 \
in-interface=bridge_local1 protocol=tcp
add action=accept chain=input dst-port=22,23,80,8291 in-interface=\
bridge_lokal2 protocol=tcp
add action=accept chain=input comment="DNS Lokal Alow" dst-port=53 \
in-interface=bridge_local1 protocol=udp
add action=accept chain=input dst-port=53 in-interface=bridge_lokal2 \
protocol=udp
add action=accept chain=input comment="Ping Alow" protocol=icmp
add action=accept chain=forward protocol=icmp
add action=accept chain=input comment="established Alow" connection-state=\
established
add action=accept chain=forward connection-state=established
add action=accept chain=input comment="related Alow" connection-state=related
add action=accept chain=forward connection-state=related
add action=accept chain=input comment="Local input" in-interface=\
bridge_local1 src-address=192.168.1.0/24
add action=accept chain=input in-interface=bridge_lokal2 src-address=\
192.168.2.0/24
add action=accept chain=forward comment="Torrent Accept" dst-port=51420 \
in-interface=pppoe-out1 protocol=tcp
add action=accept chain=forward dst-port=51421 in-interface=pppoe-out1 \
protocol=tcp
add action=accept chain=forward dst-port=51420 in-interface=pppoe-out1 \
protocol=udp src-port=""
add action=accept chain=forward dst-port=51421 in-interface=pppoe-out1 \
protocol=udp
add action=drop chain=input comment="Drop Invalid" connection-state=invalid
add action=drop chain=forward connection-state=invalid
add action=drop chain=input comment="Drop Input" in-interface=pppoe-out1
add action=accept chain=forward comment=\
"Accept torwarad from local to internet" in-interface=bridge_local1 \
out-interface=pppoe-out1
add action=accept chain=forward in-interface=bridge_lokal2 out-interface=\
pppoe-out1
add action=drop chain=forward comment="Drop other forward connections"
/ip firewall nat
add action=masquerade chain=srcnat out-interface=pppoe-out1
add action=dst-nat chain=dstnat comment=Rutracker-Proxy dst-address-list=\
RuTracker dst-port=80 in-interface=bridge_local1 protocol=tcp \
to-addresses=163.172.167.207 to-ports=3128
add action=dst-nat chain=dstnat comment=Torrents_ports dst-port=51421 \
in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.1.48
add action=dst-nat chain=dstnat dst-port=51420 in-interface=pppoe-out1 \
protocol=udp to-addresses=192.168.1.38
add action=dst-nat chain=dstnat dst-port=51420 in-interface=pppoe-out1 \
protocol=tcp to-addresses=192.168.1.38
add action=dst-nat chain=dstnat dst-port=51421 in-interface=pppoe-out1 \
protocol=udp to-addresses=192.168.1.48
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes
set udplite disabled=yes
set dccp disabled=yes
set sctp disabled=yes
/ip upnp
set enabled=yes
/ip upnp interfaces
add interface=bridge_local1 type=internal
add interface=pppoe-out1 type=external
add interface=bridge_lokal2 type=internal
/system clock
set time-zone-name=Europe/Moscow
[Профиль]  [ЛС] 

Larrikin ru

Стаж: 9 лет

Сообщений: 19


Larrikin ru · 01-Янв-18 12:29 (спустя 7 дней)

[Цитировать] 

compgeniy писал(а):
с инструкциями всё плохо, причём иногда даже на английском я зыке
https://wiki.mikrotik.com/wiki/Manual:IP
[Профиль]  [ЛС] 
 
Ответить
Loading...
Error