Как найти микротик за микротиком

Правила форума
Как правильно оформить вопрос.
Прежде чем начать настройку роутера, представьте, как это работает. Попробуйте почитать статьи об устройстве интернет-сетей. Убедитесь, что всё, что Вы задумали выполнимо вообще и на данном оборудовании в частности.
Не нужно изначально строить Наполеоновских планов. Попробуйте настроить простейшую конфигурацию, а усложнения добавлять в случае успеха постепенно.
Пожалуйста, не игнорируйте правила русского языка. Отсутствие знаков препинания и неграмотность автора топика для многих гуру достаточный повод проигнорировать топик вообще.

1. Назовите технологию подключения (динамический DHCP, L2TP, PPTP или что-то иное)
2. Изучите темку «Действия до настройки роутера».
viewtopic.php?f=15&t=2083
3. Настройте согласно выбранного Вами мануала
4. Дочитайте мануал до конца и без пропусков, в 70% случаев люди просто не до конца читают статью и пропускают важные моменты.
5. Если не получается, в Winbox открываем терминал и вбиваем там /export hide-sensitive. Результат в топик под кат, интимные подробности типа личных IP изменить на другие, пароль забить звездочками.
6. Нарисуйте Вашу сеть, рисунок (схему) сюда. На словах может быть одно, в действительности другое.

1. Конфигурация сети: Провайдер-Микротик1(шлюз)-Микротик2(ядро сети)-Свитч-Локалка
   Оба микротика соединены посредством VLAN. Поднят на 1-м микротике VPN. Доступ к нему по Winbox возможен как по «белому» ip, так и через VPN. Ко второму не достучаться.
   1.Значит ли это, что для доступа ко второму микротику нужно переназначать порт 8291? (но как тогда изменить порт в самой программе winbox?)
   2.Или воспользоваться доступом через другие сервисы (ssh, web…)

2. Если не достучаться по VPN проверьте что на втором микротике указан правильный Default Gateway
   1. Порт переназначать не нужно, достаточно NAT прописать. Но если очень хочется порт переназначается через /ip services
   2. Тоже не при чем.
   На всякий случай сообщаю что еще есть romon. https://wiki.mikrotik.com/wiki/Manual:RoMON

   Последнее редактирование модератором: 23 янв 2019

3. Последнее редактирование: 20 авг 2016

4. У вас все равно роутинг между vlan утыкается в CPU. Поэтому возиться со свитчем смысла нет.
   1 интерфейс, на него 2 vlan и дальше на dlink их разбираете.

5. Т.е. предлагается вариант разруливания вланов и всей внутренней маршрутизации сети на dlink? Микротик оставить в качестве шлюза для доступа в интернет? Замечу, что подсети разные и есть некоторые требования по доступу к внутренним ресурсам в сети.
   А если использовать микротик в качестве еще и маршрутизатора локальной сети? Понимаю, что весь трафик локалки пойдет через него . Насколько его ресурсов хватит и не просядет производительность сети?

6. Все зависит от того, какой объем трафика и с какими правилам файрволла вы планируете через него протащить.

7. Спасибо за участие. Буду тестировать.

8. C Romon получилось, но все же остается вопрос с пробросом портов за микротиком. Например, пытаюсь пробросить порт 443 с заменой на 8843 (доступ к owa Exchange)
   На микротике -1(тот, что шлюз)
   /ip firewall nat
   chain=dstnat action=dst-nat to-addresses=193.1.0.1 to-ports=8843 protocol=tcp in-interface=WAN dst-port=8843

   /ip firewall filter
   chain=forward action=accept protocol=tcp in-interface=ether1-gateway dst-port=8843

   На микротике -2
   /ip firewall nat
   chain=dstnat action=dst-nat to-addresses=193.0.0.25 to-ports=443 protocol=tcp in-interface=vlan.gw dst-port=8843

   /ip firewall filter
   chain=forward action=accept connection-nat-state=dstnat protocol=tcp in-interface=vlan.gw dst-port=8843
   Все правила ставлю выше запрещающих. WAN адрес белый. Порт 443 на сервере открыт.

9. а на втором микротике вам при этом зачем NAT?

10. Первый используется как шлюз для второго. Второй уже маршрутизирует всю локальную сеть. По идее, делал по аналогии со старыми правилами, что сейчас работают.
    В ожидании ответа, игрался с правилами firewall. В итоге что-то получилось, нужно осмыслить что сделал и как с этим жить.
    Прописал в firewall правиле dst. address сервера на котором открыт порт.

    Последнее редактирование: 24 авг 2016

11. При этом NAT не нужен. Нужно чтобы на втором были маршруты на сети за первым и наоборот.

12. Да, спасибо. Чем дальше разбираюсь с правилами, тем яснее становится.

13. После поднятия vpn по l2tp+ipsec, в логах стали появляться посторонние:
    03:52:42 ipsec,error 31.135.41.125 phase1 negotiation failed.
    03:52:42 firewall,info input: WAN outnone), src-mac d4:ca:6d:0b:1
    f:55, proto UDP, 31.135.41.125:500->193.1.0.1:500, len 340
    03:52:42 firewall,info input: WAN outnone), src-mac d4:ca:6d:0b:1
    f:55, proto UDP, 31.135.41.125:500->193.1.0.1:500, len 408
    03:52:45 ipsec,error 31.135.41.125 failed to get valid proposal.
    03:52:45 ipsec,error 31.135.41.125 failed to pre-process ph1 packet (side: 1, status 1).
    Алгоритм защиты не подскажете? Думаю, применить стандартные правила: от брутфорса и сканирования портов.

15. Здравствуйте.
    Не буду плодить темы.

    Проблема с RomMON. А именно, не видны устройства.

    В наличии rb3011 1шт и wAP AC 2 шт. Находятся в одной подсети. Прошивка везде 6.38.3
    На всех просто включен RoMON без паролей

    /tool romon print
    enabled: yes
    id: 00:00:00:00:00:00
    secrets:
    current-id: мак-адрес

    Через Winbox подключаюсь к роутеру, из этой же сети, или из внешней. Подключился и вижу, что в логе подключение произошло, но в списке RoMON Neighbors пусто.

    Вроде всё просто, настройка минимальная, но не пойму, почему не работает?

16. Подключаетесь к роутеру, или используете кнопку Connect To RoMon ?

17. Connect To RoMon. Параллельно смотрю логи через обычное подключение.

18. Попробуйте на 6.37.5 Bugfix откатиться

19. Откатился. Не помогло. Так же и на последней 6.38.5.

20. /ip neighbor discovery interfaces?