bloquear ips e gerar gráficos em tempo real mokrotik

[rafacassimiro]

Bom dia pessoal, sou meio leigo nesse assunto, mas preciso bloquear o acesso de algumas maquinas de uma rede interna a internet, consegui vincular o ip ao mac, mas as maquinas continuam navegando.
Preciso tambem gerar gráficos do consumo de cada maquina e um gráfico do consumo geral da internet.
tenho um link de 3mb dedicado, ligado num mikrotik q distribui na rede.
Obrigado

[AleConsoni]

Vou acompanhar pois tenho o mesmo problema pra resolver....

[Genis]

como vc esta atribuindo os IP´s para cada maquina?
vc esta controlando banda para cada maquina?

[rafacassimiro]

os ips estã fixos, tipo 192.168.1.xx e não tem controle de banda, os gráficos eu acesso alguns pelo winbox, mas quando digito o end no browser de internet não vai.

[Genis]

para aqueles que vc não quer navegação retira o IP do DNS deixa sem, que já não navega
o grafico vc quer ver o que o mikrotik entrega? se for é só ativar, se vc tiver os IP´s cadastrado eles no queues, da pra ver um a um.

[rafacassimiro]

o problema é que os usuarios mudam o gtw e dns, então pensei em vincular o ip ao mac e barrar acesso por ip, mas não to dando conta rssrr, sobre os gráficos, vou incluir os ips então, mas continuo não conseguindo acessar os gráficos pelo browser, só consigo pelo winbox

[mandrak66]

cadastra todos os que você quer que navegue em ip arp, muda sua interface de saída para sua rede interna pra reply-only, para monitorar o trafego em tempo real vá em http://seu_mikrotik/graphs

[inquiery]

Cria um hotspot com autenticação por MAC (assim a autenticação no router vai ser transparente), cadastra os MACs dos dispositivos nos Users do Hotspot, no formato escolhido na configuração do Radius para o Hotspot (que por padrão é XX:XX:XX:XX:XX:XX), ativa o Accounting.

Assim você vai ter um histórico completo do uso de todos os usuários no seu servidor Radius.

Você pode usar o servidor Radius do próprio mikrotik que é facilzinho de usar (pacote user-manager), só que neste caso ele vai guardar os históricos na própria RB que geralmente tem bem pouco espaço. Uma solução é comprar uma licensa do RouterOS e instalar em um PCzinho e usar ele como servidor Radius, com um HD maior você guarda históricos completos por muito tempo.

Uma solulção gratis é instalar um FreeRadius, em um Debian por exemplo (o único no qual tenho um pouquinho de experiência), ou CentOS, ou FreeBSD... tanto faz. E, para facilitar sua vida no cadastro dos usuários, pode usar o DaloRadius, que é uma interface grafica web para configurar o FreeRadius.

[Genis]

Cria um hotspot com autenticação por MAC (assim a autenticação no router vai ser transparente), cadastra os MACs dos dispositivos nos Users do Hotspot, no formato escolhido na configuração do Radius para o Hotspot (que por padrão é XX:XX:XX:XX:XX:XX), ativa o Accounting.

Assim você vai ter um histórico completo do uso de todos os usuários no seu servidor Radius.

Você pode usar o servidor Radius do próprio mikrotik que é facilzinho de usar (pacote user-manager), só que neste caso ele vai guardar os históricos na própria RB que geralmente tem bem pouco espaço. Uma solução é comprar uma licensa do RouterOS e instalar em um PCzinho e usar ele como servidor Radius, com um HD maior você guarda históricos completos por muito tempo.

Uma solulção gratis é instalar um FreeRadius, em um Debian por exemplo (o único no qual tenho um pouquinho de experiência), ou CentOS, ou FreeBSD... tanto faz. E, para facilitar sua vida no cadastro dos usuários, pode usar o DaloRadius, que é uma interface grafica web para configurar o FreeRadius.

ele quer usar na empresa, se colocar com PPPoE ou mesmo HotsPot vai limitar e REDE do micro tambem.

[inquiery]

ele quer usar na empresa, se colocar com PPPoE ou mesmo HotsPot vai limitar e REDE do micro tambem.

Boa noite @Genis

Não vai limitar. Se ele ja tem uma infra montada, e uma RB servido de gateway, a rede local vai continuar funcionando mesmo sem ter nenhum gateway na rede. Se ele tem várias subredes e a RB faz o roteamento entre elas, esse roteamento vai continuar funcionando, é só configurar tudo.

[Genis]

sim, vai ficar funcionando sim, o problema que se ele autenticar por HotsPost a banda vai ser limitada na rede tambem.

[Fael]

input forward
action drop
src adress list Bloqueado
Cadastra os ips la em firewall adress list e seja feliz.

[inquiery]

Depende. Somente se ele tiver 2 redes ligadas ao mikrotik e fizer roteamento entre elas. E nesse caso, também é fácil configurar.

[rafacassimiro]

opa, demorei, mas voltei, rsrssr o gráfico consegui gerar pelas dicas do amigo genis, mas ainda não descobri como eu bolqueio a navvegação na net por determinadas estações, só tirar o gtw não vira, tem usuario q volta o gtw e navega rsrssr

Fael, e o que eu ponho no layer7 protocol?

[mandrak66]

faz do jeito que expliquei que da certo.

[berghetti]

fazer funcionar você ja fez, fazer parar é o mais facil rsrs,
tem tantas formas, usando a tabela arp como ja foi dito, se faz controle de banda, colocando a banda em 0, por firewall.

[rafacassimiro]

Caro Mandrak66 desculpe a "leiguice" novamente rsrssr, mas qual seria a interface de saida?
a q manda pro swtch?
Obrigado

[berghetti]

Caro Mandrak66 desculpe a "leiguice" novamente rsrssr, mas qual seria a interface de saida?
a q manda pro swtch?
Obrigado

Exatamente, pode fazer oque o @mandrak66 disse, na sua interface que sai para o switch.

[mandrak66]

sim, é a que vai para o swiych.

valeu berghetti

[rafacassimiro]

dei conta não rsrssr nas interfaces, tem a que chega do provedor que está como ethernet e arp enable, tem tb uma que está como bridge e arp enabable, e tem a ether5 que tb está como ethernet e arp enabled, alterei a primeiro a ether5 p reply only e não deu certo, continuou navegando, testei na q está como bridge e tb não notei diferença rsrs.
Em ip --> arp, os endereços aparecem automaticamente, todos que estão navegando aparecem lá, eu excluo, e eles reaparecem na hora.
Obrigado