Não consigo controlar banda no MK 3.10

Olá pessoal,

Já li de tudo no forum, um provedor nos orientou de alguns macetes mais ainda não consigo efetuar o controle de banda de forma alguma.

Hoje minha rede através do Endian está bloqueando por completo P2P e sites de bate-papo, o que verifiquei que esta matando meu link de 2Mb para cerca de 15 clientes são sites como Youtube e downloads atraves dos navegadores.

Minha rede:
Roteador Cisco -->>> Endian Firewall -->>> (1) MK RB433 com 1 cartão em modo AP somente para ponto a ponto -->>> (2) MK RB433 com 3 cartões, sendo o que recebe do ponto (1) esta em bridge e outros 2 como AP, sendo 1 é utilizado para fechar ponto a ponto e o mesmo atender clientes no trecho -->>> (3) MK RB433 com 2 cartões, sendo o que recebe do ponto (2) esta em bridge e o outro em modo AP.

- Utilizo os cartões EnGenius EMP-8602 Plus
- Todos Mikrotiks são RB433 e utilizam sistema v.3.10

OBS: 1º - Uma dica que me deram foi ir em Bridge, Settings e marcar a opção Use IP Firewall (fiz em todos os MK) porem não mudou nada, tenho os clientes cadastros no Queue com nome e IP e em Access List o cadastro de cada MacAddress, o que ocorre é além de não fazer o controle de banda se qualquer um saber o IP e Sub da rede qualquer um tem acesso....
2º - todas as interfaces estão em bridge.
3º - uma curiosidade é que todos os clientes aparecem em Registration informando tempo de conexão e nivel de sinal.

Por gentileza me ajudem... não sei o que fazer... não sou experiente na configuração de MK.

Grato desde já.
Anderson

Citação:

Postado originalmente por UsadosMAC

Olá pessoal,

Já li de tudo no forum, um provedor nos orientou de alguns macetes mais ainda não consigo efetuar o controle de banda de forma alguma.

Hoje minha rede através do Endian está bloqueando por completo P2P e sites de bate-papo, o que verifiquei que esta matando meu link de 2Mb para cerca de 15 clientes são sites como Youtube e downloads atraves dos navegadores.

Minha rede:
Roteador Cisco -->>> Endian Firewall -->>> (1) MK RB433 com 1 cartão em modo AP somente para ponto a ponto -->>> (2) MK RB433 com 3 cartões, sendo o que recebe do ponto (1) esta em bridge e outros 2 como AP, sendo 1 é utilizado para fechar ponto a ponto e o mesmo atender clientes no trecho -->>> (3) MK RB433 com 2 cartões, sendo o que recebe do ponto (2) esta em bridge e o outro em modo AP.

- Utilizo os cartões EnGenius EMP-8602 Plus
- Todos Mikrotiks são RB433 e utilizam sistema v.3.10

OBS: 1º - Uma dica que me deram foi ir em Bridge, Settings e marcar a opção Use IP Firewall (fiz em todos os MK) porem não mudou nada, tenho os clientes cadastros no Queue com nome e IP e em Access List o cadastro de cada MacAddress, o que ocorre é além de não fazer o controle de banda se qualquer um saber o IP e Sub da rede qualquer um tem acesso....
2º - todas as interfaces estão em bridge.
3º - uma curiosidade é que todos os clientes aparecem em Registration informando tempo de conexão e nivel de sinal.

Por gentileza me ajudem... não sei o que fazer... não sou experiente na configuração de MK.

Grato desde já.
Anderson

Olá!

Amigo comece por aqui -> Manual Mikrotik - UnderLinux Wiki, navegue pelo indice do manual e leia que com certeza vc vai achar o que vc precisa.

abraços

Citação:

Postado originalmente por UsadosMAC

Olá pessoal,

Já li de tudo no forum, um provedor nos orientou de alguns macetes mais ainda não consigo efetuar o controle de banda de forma alguma.

Hoje minha rede através do Endian está bloqueando por completo P2P e sites de bate-papo, o que verifiquei que esta matando meu link de 2Mb para cerca de 15 clientes são sites como Youtube e downloads atraves dos navegadores.

Minha rede:
Roteador Cisco -->>> Endian Firewall -->>> (1) MK RB433 com 1 cartão em modo AP somente para ponto a ponto -->>> (2) MK RB433 com 3 cartões, sendo o que recebe do ponto (1) esta em bridge e outros 2 como AP, sendo 1 é utilizado para fechar ponto a ponto e o mesmo atender clientes no trecho -->>> (3) MK RB433 com 2 cartões, sendo o que recebe do ponto (2) esta em bridge e o outro em modo AP.

- Utilizo os cartões EnGenius EMP-8602 Plus
- Todos Mikrotiks são RB433 e utilizam sistema v.3.10

OBS: 1º - Uma dica que me deram foi ir em Bridge, Settings e marcar a opção Use IP Firewall (fiz em todos os MK) porem não mudou nada, tenho os clientes cadastros no Queue com nome e IP e em Access List o cadastro de cada MacAddress, o que ocorre é além de não fazer o controle de banda se qualquer um saber o IP e Sub da rede qualquer um tem acesso....
2º - todas as interfaces estão em bridge.
3º - uma curiosidade é que todos os clientes aparecem em Registration informando tempo de conexão e nivel de sinal.

Por gentileza me ajudem... não sei o que fazer... não sou experiente na configuração de MK.

Grato desde já.
Anderson

Amigo primeiro passo é atualizar essa versão para ao menos a 3.13... Se você der uma pesquisada, vai ver que essa versão tava cheia de bugs... Supostamente isso pode resolver seu problema, sem precisar de mais nada....

Verdade! esqueci de mencionar a atualização do mk, mas o manual é muito importante ja que vc é novo no mk.

abraços

Citação:

Postado originalmente por rrinfor

Olá!

Amigo comece por aqui -> Manual Mikrotik - UnderLinux Wiki, navegue pelo indice do manual e leia que com certeza vc vai achar o que vc precisa.

abraços

Oi rrinfor,

Este manuais já li de cabo a rabo, e neles para fazer o controle de banda amarrando IP x Mac é somente adicionar em Queue e em Access List, como informei já fiz a mais conforme instruções de colegas e não tive sucesso.

Outra coisa que me informaram é ir em System, Packages e desabilitar IPV6 e MPLS onde segundo informaram estes pacotes dão conflito, mas tambem não funcionou.

Anderson

Citação:

Postado originalmente por catvbrasil

Amigo primeiro passo é atualizar essa versão para ao menos a 3.13... Se você der uma pesquisada, vai ver que essa versão tava cheia de bugs... Supostamente isso pode resolver seu problema, sem precisar de mais nada....

Oi Catvbrasil,

Não sei como atualizar, poderia me informar como faço isso?

Anderson

Citação:

Postado originalmente por UsadosMAC

Oi Catvbrasil,

Não sei como atualizar, poderia me informar como faço isso?

Anderson

Vai no site da mikrotik (www.mikrotik.com) e baixa o arquivo .npk de acordo com o modelo do seu equipamento. Após baixar, copia ele para o menu FILES do Mikrotik (arrasta e solta) e reboota o equipamento. Quando voltar, já estará instalado a nova versão.

Citação:

Postado originalmente por catvbrasil

Vai no site da mikrotik (www.mikrotik.com) e baixa o arquivo .npk de acordo com o modelo do seu equipamento. Após baixar, copia ele para o menu FILES do Mikrotik (arrasta e solta) e reboota o equipamento. Quando voltar, já estará instalado a nova versão.

Oi Catvbrasil,

Grato pela ajuda.
Realizei o download da versão 3.13 para uma RB433 (mipsbe), porem o raio do mikrotik não bloqueia usuários ou mesmo faz controle de banda... tem alguma versão que posso utilizar sem dor de cabeça ou uma forma de efetuar o controle de banda.

Grato novamente,
Anderson

Citação:

Postado originalmente por UsadosMAC

Oi Catvbrasil,

Grato pela ajuda.
Realizei o download da versão 3.13 para uma RB433 (mipsbe), porem o raio do mikrotik não bloqueia usuários ou mesmo faz controle de banda... tem alguma versão que posso utilizar sem dor de cabeça ou uma forma de efetuar o controle de banda.

Grato novamente,
Anderson

posta um export do controle de banda e firewall para a gente analizar, ex:

/queue simple export
/ip firewall filter export

Abraços

2 Anexo(s)

Citação:

Postado originalmente por rrinfor

posta um export do controle de banda e firewall para a gente analizar, ex:

/queue simple export
/ip firewall filter export

Abraços

Oi rrinfor,

Eu não sei como extrair as informações acima pelo console (modo texto), mas segue as imagens das telas em anexo, o firewall não tirei cópia pois esta em branco, como informei segui os manuais.

Anderson

Citação:

Postado originalmente por UsadosMAC

Oi rrinfor,

Eu não sei como extrair as informações acima pelo console (modo texto), mas segue as imagens das telas em anexo, o firewall não tirei cópia pois esta em branco, como informei segui os manuais.

Anderson

vai em new terminal no menu do winbox e digita os camandos que eu passei no post anterior;

/ip firewall filter export <<-- copia e cola a saida do comando aqui
/queue simple export <<-- copia e cola a saida do comando aqui

pelo modo texto veremos suas configurações com mais detalhes ok

abraços

Citação:

Postado originalmente por rrinfor

vai em new terminal no menu do winbox e digita os camandos que eu passei no post anterior;

/ip firewall filter export <<-- copia e cola a saida do comando aqui
/queue simple export <<-- copia e cola a saida do comando aqui

pelo modo texto veremos suas configurações com mais detalhes ok

abraços

Os Ips internos que utilizo são 150.150.XXX.XXX com sub /16 (255.255.0.0).

Segue,

FIREWALL:
[admin@NC3 - Campo] > ip firewall filter export
# dec/31/1969 23:18:25 by RouterOS 3.22
# software id = VZVF-LTT
#
[admin@NC3 - Campo] >

QUEUE:
[admin@NC3 - Campo] >> queue simple export
# dec/31/1969 23:20:42 by RouterOS 3.22
# software id = VZVF-LTT
#
/queue simple
add burst-limit=128000/128000 burst-threshold=128000/128000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 \
interface=all limit-at=128000/128000 max-limit=128000/128000 name="Cintra - Casa Placa PCI (Server)" p2p=all-p2p parent=none priority=8 \
queue=default-small/default-small target-addresses=150.150.0.101/32 time=0s-1d,sun,mon,tue,wed,thu,fri,sat total-queue=default-small
add burst-limit=256000/256000 burst-threshold=128000/128000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 \
interface=all limit-at=128000/128000 max-limit=256000/256000 name="Cintra - Casa Placa PCI" p2p=all-p2p parent=none priority=8 queue=\
default/default target-addresses=150.150.0.100/32 time=0s-1d,sun,mon,tue,wed,thu,fri,sat total-queue=default-small
add burst-limit=0/800000 burst-threshold=0/400000 burst-time=8s/8s comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=all \
limit-at=128000/128000 max-limit=512000/512000 name="Cintra - Chaveiro USB" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.0.60/32 total-queue=default-small
add burst-limit=64000/64000 burst-threshold=30000/30000 burst-time=8s/8s comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=\
wlan1 limit-at=30000/30000 max-limit=30000/30000 name="Cintra - Antena Aquario USB" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.0.50/32 total-queue=default-small
add burst-limit=0/512000 burst-threshold=0/128000 burst-time=8s/8s comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=all \
limit-at=0/0 max-limit=256000/256000 name="Cintra - Notebook Anderson" p2p=all-p2p parent=none priority=8 queue=default-small/default-small \
target-addresses=150.150.0.55/32 total-queue=default-small
add burst-limit=256000/256000 burst-threshold=128000/128000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 \
interface=wlan1 limit-at=128000/128000 max-limit=128000/128000 name="Gaucho - Casa (USB) - ANTIGO" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.0.17/32 total-queue=default-small
add burst-limit=256000/256000 burst-threshold=128000/128000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 \
interface=wlan1 limit-at=128000/128000 max-limit=128000/128000 name="Gaucho - Casa (USB)" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.1.3/32 total-queue=default-small
add burst-limit=256000/256000 burst-threshold=128000/128000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 \
interface=wlan1 limit-at=128000/128000 max-limit=128000/128000 name="Val Tomato (USB)" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.1.2/32 total-queue=default-small
add burst-limit=128000/128000 burst-threshold=50000/50000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=\
wlan1 limit-at=60000/60000 max-limit=60000/60000 name="Tonh\E3o - Oficina (USB)" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.1.11/32 total-queue=default-small
add burst-limit=128000/128000 burst-threshold=50000/50000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=\
wlan1 limit-at=60000/60000 max-limit=60000/60000 name="Daniel Cesar - Narita (USB)" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.1.15/32 total-queue=default-small
add burst-limit=128000/128000 burst-threshold=50000/50000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=\
wlan1 limit-at=60000/60000 max-limit=60000/60000 name="Sandra - Narita (USB)" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.1.37/32 total-queue=default-small
[admin@NC3 - Campo] >

Anderson

Citação:

Postado originalmente por UsadosMAC

Os Ips internos que utilizo são 150.150.XXX.XXX com sub /16 (255.255.0.0).

Segue,

FIREWALL:
[admin@NC3 - Campo] > ip firewall filter export
# dec/31/1969 23:18:25 by RouterOS 3.22
# software id = VZVF-LTT
#
[admin@NC3 - Campo] >

QUEUE:
[admin@NC3 - Campo] >> queue simple export
# dec/31/1969 23:20:42 by RouterOS 3.22
# software id = VZVF-LTT
#
/queue simple
add burst-limit=128000/128000 burst-threshold=128000/128000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 \
interface=all limit-at=128000/128000 max-limit=128000/128000 name="Cintra - Casa Placa PCI (Server)" p2p=all-p2p parent=none priority=8 \
queue=default-small/default-small target-addresses=150.150.0.101/32 time=0s-1d,sun,mon,tue,wed,thu,fri,sat total-queue=default-small
add burst-limit=256000/256000 burst-threshold=128000/128000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 \
interface=all limit-at=128000/128000 max-limit=256000/256000 name="Cintra - Casa Placa PCI" p2p=all-p2p parent=none priority=8 queue=\
default/default target-addresses=150.150.0.100/32 time=0s-1d,sun,mon,tue,wed,thu,fri,sat total-queue=default-small
add burst-limit=0/800000 burst-threshold=0/400000 burst-time=8s/8s comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=all \
limit-at=128000/128000 max-limit=512000/512000 name="Cintra - Chaveiro USB" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.0.60/32 total-queue=default-small
add burst-limit=64000/64000 burst-threshold=30000/30000 burst-time=8s/8s comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=\
wlan1 limit-at=30000/30000 max-limit=30000/30000 name="Cintra - Antena Aquario USB" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.0.50/32 total-queue=default-small
add burst-limit=0/512000 burst-threshold=0/128000 burst-time=8s/8s comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=all \
limit-at=0/0 max-limit=256000/256000 name="Cintra - Notebook Anderson" p2p=all-p2p parent=none priority=8 queue=default-small/default-small \
target-addresses=150.150.0.55/32 total-queue=default-small
add burst-limit=256000/256000 burst-threshold=128000/128000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 \
interface=wlan1 limit-at=128000/128000 max-limit=128000/128000 name="Gaucho - Casa (USB) - ANTIGO" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.0.17/32 total-queue=default-small
add burst-limit=256000/256000 burst-threshold=128000/128000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 \
interface=wlan1 limit-at=128000/128000 max-limit=128000/128000 name="Gaucho - Casa (USB)" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.1.3/32 total-queue=default-small
add burst-limit=256000/256000 burst-threshold=128000/128000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 \
interface=wlan1 limit-at=128000/128000 max-limit=128000/128000 name="Val Tomato (USB)" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.1.2/32 total-queue=default-small
add burst-limit=128000/128000 burst-threshold=50000/50000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=\
wlan1 limit-at=60000/60000 max-limit=60000/60000 name="Tonh\E3o - Oficina (USB)" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.1.11/32 total-queue=default-small
add burst-limit=128000/128000 burst-threshold=50000/50000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=\
wlan1 limit-at=60000/60000 max-limit=60000/60000 name="Daniel Cesar - Narita (USB)" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.1.15/32 total-queue=default-small
add burst-limit=128000/128000 burst-threshold=50000/50000 burst-time=2m/2m comment="" direction=both disabled=no dst-address=0.0.0.0/0 interface=\
wlan1 limit-at=60000/60000 max-limit=60000/60000 name="Sandra - Narita (USB)" p2p=all-p2p parent=none priority=8 queue=\
default-small/default-small target-addresses=150.150.1.37/32 total-queue=default-small
[admin@NC3 - Campo] >

Anderson

faça o controle de banda de maneira mais simples, copie e cole o comando abaixo em new terminal, após isso vá em queue > simple no menu do winbox e mude o ip, velocidade e nome da conta (coloque o nome com letras minusculas e sem espaço),faça o teste, e observe como esta configurado para criar as outras contas mantendo o mesmo padrão sem mexer em mais nada por enquanto ok.

/queue simple
add burst-limit=0/0 burst-threshold=0/0 burst-time=0s/0s comment="" \
direction=both disabled=no dst-address=0.0.0.0/0 interface=all limit-at=\
0/0 max-limit=128000/128000 name=fulano parent=none priority=8 queue=\
default-small/default-small target-addresses=192.168.1.2/32 total-queue=\
default-small

Abraços

Citação:

Postado originalmente por rrinfor

faça o controle de banda de maneira mais simples, copie e cole o comando abaixo em new terminal, após isso vá em queue > simple no menu do winbox e mude o ip, velocidade e nome da conta (coloque o nome com letras minusculas e sem espaço),faça o teste, e observe como esta configurado para criar as outras contas mantendo o mesmo padrão sem mexer em mais nada por enquanto ok.

/queue simple
add burst-limit=0/0 burst-threshold=0/0 burst-time=0s/0s comment="" \
direction=both disabled=no dst-address=0.0.0.0/0 interface=all limit-at=\
0/0 max-limit=128000/128000 name=fulano parent=none priority=8 queue=\
default-small/default-small target-addresses=192.168.1.2/32 total-queue=\
default-small

Abraços

Oi rrinfor,

Muito obrigado pelo auxilio.
Mudei todos os 15 clientes conforme informado, de imediato verifiquei que começou a mostrar o trafego dos usuários online, fiz um teste aqui do controle de banda e aparentemente esta ok, depois de 2hs que fechei o winbox verifiquei o controle de banda e deu bem mais baixo, tenho 2Mb dedicado para clientes, sendo que tenho online somente 5 com banda de 128k com exeção a minha que esta com 256k, porem o mesmo teste esta dando 70k... o que pode ser..... nos clientes e até o mesmo o meu vejo que as vezes em Queue ficam em amarelo e vermelho que indicam proximo ou no limite da banda.

Anderson

Citação:

Postado originalmente por UsadosMAC

Oi rrinfor,

Muito obrigado pelo auxilio.
Mudei todos os 15 clientes conforme informado, de imediato verifiquei que começou a mostrar o trafego dos usuários online, fiz um teste aqui do controle de banda e aparentemente esta ok, depois de 2hs que fechei o winbox verifiquei o controle de banda e deu bem mais baixo, tenho 2Mb dedicado para clientes, sendo que tenho online somente 5 com banda de 128k com exeção a minha que esta com 256k, porem o mesmo teste esta dando 70k... o que pode ser..... nos clientes e até o mesmo o meu vejo que as vezes em Queue ficam em amarelo e vermelho que indicam proximo ou no limite da banda.

Anderson

Vamos extrair um pouco mais de informações do controle de banda e esclarecer algumas coisas, em queue > simple, no canto superior direito da tela, abaixo do campo find existe uma seta para baixo, click e selecione show columns e masque as opções Rx Avg. Rate e Tx Avg. Rate, com essas opções marcadas teremos mais informações do tráfego de download e upload, quanto ao acesso dedicado de 2Mb, vc tem que verificar se há limite de conexões simutâneas (como no caso de alguns planos ADSL). mande um screenshot da queue > simple e do menu interfaces para analizarmos ok.

Abraços

3 Anexo(s)

Citação:

Postado originalmente por rrinfor

Vamos extrair um pouco mais de informações do controle de banda e esclarecer algumas coisas, em queue > simple, no canto superior direito da tela, abaixo do campo find existe uma seta para baixo, click e selecione show columns e masque as opções Rx Avg. Rate e Tx Avg. Rate, com essas opções marcadas teremos mais informações do tráfego de download e upload, quanto ao acesso dedicado de 2Mb, vc tem que verificar se há limite de conexões simutâneas (como no caso de alguns planos ADSL). mande um screenshot da queue > simple e do menu interfaces para analizarmos ok.

Abraços

Oi rrinfor,

Em anexo segue os screenshot (.jpg)

Com as colunas RX e TX Avg Rate tem uma melhor "visão" da banda que os usuários estão utilizando, pelo que me mostra esta controlando muito bem.

Obs: referente ao link dedicado de 2Mb no contrato não informa numero de conexões simultaneas, na aquisição deste link informamos qual a finalidade, no caso provedor de internet.

Anderson

Oi,
Agora me surgiu outra questão, não consigo bloquear alguns usuários, eu vou em access list e em queue simple e seleciono o usuário e preciono o "X" que deixa em cinza, mas quando vou em Registration da guia Wireless vejo o macaddress deste usuário porem ainda trafegando.

Como bloquear os usuários.

Anderson

Citação:

Postado originalmente por UsadosMAC

Oi,
Agora me surgiu outra questão, não consigo bloquear alguns usuários, eu vou em access list e em queue simple e seleciono o usuário e preciono o "X" que deixa em cinza, mas quando vou em Registration da guia Wireless vejo o macaddress deste usuário porem ainda trafegando.

Como bloquear os usuários.

Anderson

Olá!

Bom!! Existe uma série de detalhes que precisamos tratar:

1° Amarrar MAC/IP
em /ip arp, cadastre seus clientes como no exemplo abaixo, se ja estiver aparecendo na tabela apenas torne-os estatico abrindo a janela referente ao mesmo e click em static no menu lateral da janela

/ip arp
add address=10.45.1.2 comment="Fulana de tal - 128/128" disabled=no interface=wlan1 mac-address=00:00:00:00:00:00

Após o procedimento acima, vc terá que mudar o parâmetro da tabela ARP de todas as interfaces de clientes ex: wlan1 para reply-only como no exemplo abaixo:

/interface wireless set wlan1 arp=reply-only

Dessa forma a interface apenas receberá arp-request dos clientes com MAC/IP cadastrados no campo /ip arp, assim já teremos um mínimo de segurança.

2° cadastro no access-list
vamos cadastrar quem poderá efetivamente conectar no sinal, mantendo assim um minimo de controle no barraento wireless "ar" (camada 2):

/interface wireless access-list
add ap-tx-limit=0 authentication=yes client-tx-limit=0 comment="Fulano de tal - 128/128" disabled=no forwarding=no interface=all mac-address=00:00:00:00:00:00 private-algo=none private-key="" \
private-pre-shared-key="" signal-range=-120..120

Após o procedimento acima, vc terá que desmarcar o checkbox Default Authentication e Default Forward nas interfaces de clientes como no exemplo abaixo;

/interface wireless set wlan1 default-forwarding=no
/interface wireless set wlan1 default-authentication=no

Configurando como está acima, o cliente só conecta se estiver cadastrado.

PS: A opção default-forwarding=no nas interfaces de cliente, vai desabilitar a travessia entre os usuários da rede na interface, para evitar problemas onde um usuário pode ver o outro.

3° Firewall
Bom! aqui é algo mais preciso e delicado, um bom firewall define a qualidade e segurança do seu serviço, vou apenas colocar um exemplo aqui de como vc pode bloquear no mesmo:

/ip firewall filter
add action=drop chain=forward comment="" disabled=no src-address=10.45.1.2

Estando com essa configurações setadas, vc poderá desabilitar o cliente no campo /ip arp (onde a própria interface wlan vai descartar o mesmo), no access-list (para o cliente não conectar no sinal) e no firewall para desencargo de conciencia :-), use todas!

PS: Se alguem clonar seu MAC, ele (clonador) vai conectar no sinal, porém será descartado pela interface por nao estar com MAC/IP na tabela ARP, ou seja, em /ip arp.
Se for clonado MAC/IP ele entrará na sua rede lógica, porém é barrado no firewall.

Abraços e estamos ae:ciao:

Citação:

Postado originalmente por rrinfor

Olá!

Bom!! Existe uma série de detalhes que precisamos tratar:

1° Amarrar MAC/IP
em /ip arp, cadastre seus clientes como no exemplo abaixo, se ja estiver aparecendo na tabela apenas torne-os estatico abrindo a janela referente ao mesmo e click em static no menu lateral da janela

/ip arp
add address=10.45.1.2 comment="Fulana de tal - 128/128" disabled=no interface=wlan1 mac-address=00:00:00:00:00:00

Após o procedimento acima, vc terá que mudar o parâmetro da tabela ARP de todas as interfaces de clientes ex: wlan1 para reply-only como no exemplo abaixo:

/interface wireless set wlan1 arp=reply-only

Dessa forma a interface apenas receberá arp-request dos clientes com MAC/IP cadastrados no campo /ip arp, assim já teremos um mínimo de segurança.

2° cadastro no access-list
vamos cadastrar quem poderá efetivamente conectar no sinal, mantendo assim um minimo de controle no barraento wireless "ar" (camada 2):

/interface wireless access-list
add ap-tx-limit=0 authentication=yes client-tx-limit=0 comment="Fulano de tal - 128/128" disabled=no forwarding=no interface=all mac-address=00:00:00:00:00:00 private-algo=none private-key="" \
private-pre-shared-key="" signal-range=-120..120

Após o procedimento acima, vc terá que desmarcar o checkbox Default Authentication e Default Forward nas interfaces de clientes como no exemplo abaixo;

/interface wireless set wlan1 default-forwarding=no
/interface wireless set wlan1 default-authentication=no

Configurando como está acima, o cliente só conecta se estiver cadastrado.

PS: A opção default-forwarding=no nas interfaces de cliente, vai desabilitar a travessia entre os usuários da rede na interface, para evitar problemas onde um usuário pode ver o outro.

3° Firewall
Bom! aqui é algo mais preciso e delicado, um bom firewall define a qualidade e segurança do seu serviço, vou apenas colocar um exemplo aqui de como vc pode bloquear no mesmo:

/ip firewall filter
add action=drop chain=forward comment="" disabled=no src-address=10.45.1.2

Estando com essa configurações setadas, vc poderá desabilitar o cliente no campo /ip arp (onde a própria interface wlan vai descartar o mesmo), no access-list (para o cliente não conectar no sinal) e no firewall para desencargo de conciencia :-), use todas!

PS: Se alguem clonar seu MAC, ele (clonador) vai conectar no sinal, porém será descartado pela interface por nao estar com MAC/IP na tabela ARP, ou seja, em /ip arp.
Se for clonado MAC/IP ele entrará na sua rede lógica, porém é barrado no firewall.

Abraços e estamos ae:ciao:

Olá rrinfor,

Como não tenho MK para fazer testes sendo que todos estão em funcionamento, uma duvida surgiu, as configurações de amarrar ip com mac, firewall, etc...influenciam na comunicação entre MK, tenho 3 MK que fazem repetição um para o outro a partir do servidor, bem como configurar a comunicação entre os MK para que haja o trafego livre e principalmente esta configuração não bloqueie.

Grato novamente pela atenção.
Anderson

Citação:

Postado originalmente por UsadosMAC

Olá rrinfor,

Como não tenho MK para fazer testes sendo que todos estão em funcionamento, uma duvida surgiu, as configurações de amarrar ip com mac, firewall, etc...influenciam na comunicação entre MK, tenho 3 MK que fazem repetição um para o outro a partir do servidor, bem como configurar a comunicação entre os MK para que haja o trafego livre e principalmente esta configuração não bloqueie.

Grato novamente pela atenção.
Anderson

Olá!

A comunicação entre os MKs vai ficar transparente, ao ler o post acima, verá que falo para aplicar as configurações da tabela ARP na interface para clientes ou seja, a mini-pci em cujo sinal os clientes se conectam, e as demais configurações seram aplicadas para MAC/IP dos clientes.

Abraços.

Citação:

Postado originalmente por rrinfor

Olá!

Bom!! Existe uma série de detalhes que precisamos tratar:

1° Amarrar MAC/IP
em /ip arp, cadastre seus clientes como no exemplo abaixo, se ja estiver aparecendo na tabela apenas torne-os estatico abrindo a janela referente ao mesmo e click em static no menu lateral da janela

/ip arp
add address=10.45.1.2 comment="Fulana de tal - 128/128" disabled=no interface=wlan1 mac-address=00:00:00:00:00:00

Após o procedimento acima, vc terá que mudar o parâmetro da tabela ARP de todas as interfaces de clientes ex: wlan1 para reply-only como no exemplo abaixo:

/interface wireless set wlan1 arp=reply-only

Dessa forma a interface apenas receberá arp-request dos clientes com MAC/IP cadastrados no campo /ip arp, assim já teremos um mínimo de segurança.

2° cadastro no access-list
vamos cadastrar quem poderá efetivamente conectar no sinal, mantendo assim um minimo de controle no barraento wireless "ar" (camada 2):

/interface wireless access-list
add ap-tx-limit=0 authentication=yes client-tx-limit=0 comment="Fulano de tal - 128/128" disabled=no forwarding=no interface=all mac-address=00:00:00:00:00:00 private-algo=none private-key="" \
private-pre-shared-key="" signal-range=-120..120

Após o procedimento acima, vc terá que desmarcar o checkbox Default Authentication e Default Forward nas interfaces de clientes como no exemplo abaixo;

/interface wireless set wlan1 default-forwarding=no
/interface wireless set wlan1 default-authentication=no

Configurando como está acima, o cliente só conecta se estiver cadastrado.

PS: A opção default-forwarding=no nas interfaces de cliente, vai desabilitar a travessia entre os usuários da rede na interface, para evitar problemas onde um usuário pode ver o outro.

3° Firewall
Bom! aqui é algo mais preciso e delicado, um bom firewall define a qualidade e segurança do seu serviço, vou apenas colocar um exemplo aqui de como vc pode bloquear no mesmo:

/ip firewall filter
add action=drop chain=forward comment="" disabled=no src-address=10.45.1.2

Estando com essa configurações setadas, vc poderá desabilitar o cliente no campo /ip arp (onde a própria interface wlan vai descartar o mesmo), no access-list (para o cliente não conectar no sinal) e no firewall para desencargo de conciencia :-), use todas!

PS: Se alguem clonar seu MAC, ele (clonador) vai conectar no sinal, porém será descartado pela interface por nao estar com MAC/IP na tabela ARP, ou seja, em /ip arp.
Se for clonado MAC/IP ele entrará na sua rede lógica, porém é barrado no firewall.

Abraços e estamos ae:ciao:

Bom, como o meu MK tá em uso como faria pra modar a configuração pra éssa? uso hotspot+dhcp 3 profiles criados? estou pençando em muda pq naum estou conseguimdo controle de banda e pelo q ve assim tem mais segurança, fazendo dessa forma vou ter q colocar ips nos cleites? e chave?
Qual seria a melho maneira pra fazer isso, excluir ou desabilitar o hotspot? ou poderia fazer a configuração pra depois desabilitar o hotspot ou daria um conflito???
Muito Obrigado.

Citação:

Postado originalmente por wsdanado

Bom, como o meu MK tá em uso como faria pra modar a configuração pra éssa? uso hotspot+dhcp 3 plofiles criados? estou pençando em muda pq naum estou conseguimdo controle de banda e pelo q ve assim tem mais segurança, fazendo dessa forma vou ter q colocar ips nos cleites? e chave?
Qual seria a melho maneira pra fazer isso, excluir ou desabilitar o hotspot? ou poderia fazer a configuração pra depois desabilitar o hotspot ou daria um conflito???
Muito Obrigado.

Tentar fazer uma coisa por cima de outra vai te gerar muita dor de cabeça, e hotspot conflita de diversas formas com o esquema passado no post anterior.

Crie um planejamento para as mudanças, e faça testes antes de aplicar alguma coisa na sua rede em produção, vc terá que setar ips no usuário, quanto a chave citado acima (entendi como criptografia) após a implantação de todo o esquema, podemos planejar a implantação de criptografia ai sim vc vai está extremamente seguro.

Abraços

RRINFOR blz prestei a tenção no topico e fiquei com uma duvida.
a primeira regra q vc mandou new terminal, após isso vá em queue > simple serve para o controle de banda certo?
e essa outra maior 1° Amarrar MAC/IP
serve só para bloquear alguns usuários? ou é uma configuração melhor e mais segura q o hotspot? ou naum tem nada a ver e eu estou complicando mais!!!
a unica coisa q eu estou AGORA achando ruim é naum controlar a banda pois eu limitei um dos profelis em 50k/100k pra teste e vejo em hotspot active tx rate 230kbps e em rx rate 62kbps pq ? quanto a segurança naum coloquei chave criptografia , naum sei si o hotspot precissa... Muito grato a todos.

Tá todo mundo ocupado !!!!!!!!! nas horas q mais precisamos blz!!!!