Почему перестали ресолвиться сайты по DNS на Mikrotik Chateau LTE18 ax после добавления двух WAN?

Question

Денис Кудин @kudin-denis

Mikrotik Chateau LTE18 ax

Почему перестали ресолвиться сайты по DNS на Mikrotik Chateau LTE18 ax после добавления двух WAN?

Уважаемые эксперты Mikrotik, подскажите пожалуйста, что нужно исправить в конфиге Микротик - перестали открываться сайты по доменному имени на Mikrotik Chateau LTE18 ax после добавления двух WAN. При подключении к Микротик по wifi успешно пингуется адрес 8.8.8.8, но по имени домена сайты не открываются, похоже не работает DNS - не резолвится.

Через терминал самого Микротика пинг на ya.ru проходит, но при подключении по WiFi интернет на конечных устройствах ни один сайт не открывается по доменному имени. НО, пинг, например до 8.8.8.8 проходит! В чем может быть ошибка конфигурации?

Конфиг

# apr/20/2023 19:24:54 by RouterOS 7.8
/interface bridge
add admin-mac=68:FD:74:E9:70:81 auto-mac=no comment=defconf name=bridge
/interface lte
set [ find default-name=lte1 ] allow-roaming=no band=7 disabled=yes
/interface wifiwave2
set [ find default-name=wifi1 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=5g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
set [ find default-name=wifi2 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=2g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=dhcp ranges=192.168.1.10-192.168.1.100
/ip dhcp-server
add address-pool=dhcp interface=bridge lease-time=3d name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether1
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=wifi1
add bridge=bridge comment=defconf interface=wifi2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set detect-interface-list=all
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=lte1 list=WAN
add interface=ether5 list=WAN
/ip address
add address=192.168.1.1/24 comment=defconf interface=bridge network=\
    192.168.1.0
/ip dhcp-client
add interface=ether5
/ip dhcp-server network
add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\
    192.168.1.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=8.8.8.8
/ip dns static
add address=192.168.88.2 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/system clock
set time-zone-name=Europe/Moscow
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Вопрос задан более года назад
344 просмотра

17 комментариев

Подписаться 1 Средний 17 комментариев

Wexter @Wexter

скриншоты в помойку, выкладывай текстовый конфиг с нормальным оформлением

Написано более года назад
Drno @Drno

тоесть с САМОГО микротика у тебя есть инет? и нет на конечных устройствах ?
а они правильный IP по dhcp получают?
недоступны только домены или IP тоже? например гугла - 8.8.8.8
ether5 ты добавил в WAN list? что будет если сделать отдельное правильно маскардинга на ether5 ?
тот же вопрос к правилам фаервола

Написано более года назад

Денис Кудин @kudin-denis Автор вопроса

Wexter Благодарю за отклик! Конфиг прилагаю:

Конфиг

# apr/20/2023 19:24:54 by RouterOS 7.8
/interface bridge
add admin-mac=68:FD:74:E9:70:81 auto-mac=no comment=defconf name=bridge
/interface lte
set [ find default-name=lte1 ] allow-roaming=no band=7 disabled=yes
/interface wifiwave2
set [ find default-name=wifi1 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=5g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
set [ find default-name=wifi2 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=2g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=dhcp ranges=192.168.1.10-192.168.1.100
/ip dhcp-server
add address-pool=dhcp interface=bridge lease-time=3d name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether1
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=wifi1
add bridge=bridge comment=defconf interface=wifi2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set detect-interface-list=all
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=lte1 list=WAN
add interface=ether5 list=WAN
/ip address
add address=192.168.1.1/24 comment=defconf interface=bridge network=\
    192.168.1.0
/ip dhcp-client
add interface=ether5
/ip dhcp-server network
add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\
    192.168.1.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=8.8.8.8
/ip dns static
add address=192.168.88.2 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/system clock
set time-zone-name=Europe/Moscow
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Написано более года назад

Денис Кудин @kudin-denis Автор вопроса

Drno Спасибо за отклик! С САМОГО микротика у меня есть инет, при подключении к нему по wifi успешно пингуется 8.8.8.8, но по имени домена сайты не открываются, похоже не работает DNS - не резолвится. WAN ether5 добавлен в Interface list. Маскарад настроен как раз на все WAN из списка.

Написано более года назад
Drno @Drno

Денис Кудин, вывод. Проверяем правила фаерволла. Реально ли там стоит разрешение на пропуски пакетов от wan list, или только от ether 1

Есть ли wifi интерфейсы в lan бридже? Можно удалить/добавить. Мож глюк.
И проверяем что в lan list есть либо лан бридж либо перечислены все нужные интерфейсы

Пробуем вручную выставить днс на пк. Если работает - проверяем настройки dhcp server в микротике. Выдает ли он нужный dns клиентам?

Написано более года назад
Drno @Drno

Денис Кудин, и правило fasttrack отключи. Оно может мешать сложной маршрутизации в дальнейшем

Написано более года назад

Денис Кудин @kudin-denis Автор вопроса

Drno, проверял, все так.
Конфиг такой:

Конфиг

# apr/20/2023 19:24:54 by RouterOS 7.8
/interface bridge
add admin-mac=68:FD:74:E9:70:81 auto-mac=no comment=defconf name=bridge
/interface lte
set [ find default-name=lte1 ] allow-roaming=no band=7 disabled=yes
/interface wifiwave2
set [ find default-name=wifi1 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=5g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
set [ find default-name=wifi2 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=2g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=dhcp ranges=192.168.1.10-192.168.1.100
/ip dhcp-server
add address-pool=dhcp interface=bridge lease-time=3d name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether1
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=wifi1
add bridge=bridge comment=defconf interface=wifi2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set detect-interface-list=all
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=lte1 list=WAN
add interface=ether5 list=WAN
/ip address
add address=192.168.1.1/24 comment=defconf interface=bridge network=\
    192.168.1.0
/ip dhcp-client
add interface=ether5
/ip dhcp-server network
add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\
    192.168.1.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=8.8.8.8
/ip dns static
add address=192.168.88.2 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/system clock
set time-zone-name=Europe/Moscow
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Написано более года назад

Drno @Drno

Денис Кудин, не вижу в пуле dhcp чтобы выдавался DNS
вот тут точно правильно?
/ip dns static
add address=192.168.88.2 comment=defconf name=router.lan

ну и попробуй все блокирующие правила отключить для теста

Написано более года назад

Денис Кудин @kudin-denis Автор вопроса

Drno, Благодарю за помощь! Запись с адресом 192.168.88.2 в /ip dns static меня смутила и я ее деактивировал . Потом зашел в DHCP Network и заменил там DNS servers на 1.1.1.1:

После этого перезагрузил роутер и домены стали ресолвится! Все это очень странно и не понятно почему так произошло, но буду надеяться что с конфигом остальное все в порядке. Прилагаю его последнюю версию ниже:

Конфиг

# apr/20/2023 21:52:30 by RouterOS 7.8
# model = S53UG+5HaxD2HaxD&EG18-EA
/interface bridge
add admin-mac=68:FD:74:E9:70:81 auto-mac=no comment=defconf name=bridge
/interface lte
set [ find default-name=lte1 ] allow-roaming=no band=7 disabled=yes
/interface wifiwave2
set [ find default-name=wifi1 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=5g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
set [ find default-name=wifi2 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=2g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=dhcp ranges=192.168.1.10-192.168.1.100
/ip dhcp-server
add address-pool=dhcp interface=bridge lease-time=3d name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether1
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=wifi1
add bridge=bridge comment=defconf interface=wifi2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set detect-interface-list=all
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=lte1 list=WAN
add interface=ether5 list=WAN
/ip address
add address=192.168.1.1/24 comment=defconf interface=bridge network=\
    192.168.1.0
/ip dhcp-client
add interface=ether5 use-peer-dns=no use-peer-ntp=no
/ip dhcp-server network
add address=192.168.1.0/24 comment=defconf dns-server=1.1.1.1 gateway=\
    192.168.1.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=1.1.1.1,8.8.8.8
/ip dns static
add address=192.168.88.2 comment=defconf disabled=yes name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/system clock
set time-zone-autodetect=no time-zone-name=Europe/Moscow
/system clock manual
set time-zone=+03:00
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Написано более года назад

Drno @Drno

Денис Кудин, попробуй выставить днсом адрес роутера.
Если не будет работать - фаервол блочит днс запросы к микротику

Написано более года назад
Денис Кудин @kudin-denis Автор вопроса

Drno, пробовал выставить днсом адрес роутера - так не работало, настроил на 1.1.1.1, путь уже так остается.

Написано более года назад
Drno @Drno

Денис Кудин, ну тогда добавь хоть еще 1-2 ДНСов
я и говорю - если не работает, то смотри фаервол микрота, запрещет где то запросы ДНС от твоей сети.
галочка allow dns request в настройках ДНС у тебя же вроде стоит?

Написано более года назад
Денис Кудин @kudin-denis Автор вопроса

Drno, да, галочка на allow remote requests стоит. Как я писал выше, проблема уже решена.

Написано более года назад
Drno @Drno

Денис Кудин, это не решение проблемы, это обходной путь)) да и ДНСов всегда указывается 2шт и лучше от разных вендоров)
но право Ваше, как хотите

Написано более года назад
Денис Кудин @kudin-denis Автор вопроса

Drno, Забыл написать, что да, прописал как раз 2 DNS:

Написано более года назад
Денис Кудин @kudin-denis Автор вопроса
Drno, почему это не решение проблемы? Как раз ошибка же и была в том, что было прописана конфликтующая запись вида:

/ip dhcp-server network add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\ 192.168.1.1 netmask=24

В моей сети нет отдельного выделенного DNS сервера )
Написано более года назад
Drno @Drno

Денис Кудин, микротик с галочкой "allow dns request" умеет выступать в качестве локального ДНС. а он этого у вас не делает почему то. я про этот момент

Написано более года назад

Решения вопроса 1

Комментировать

Пригласить эксперта

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации

Похожие вопросы

Linux

+2 ещё

Средний
Почему тумблер интернета на Ubuntu неактивен?
- 1 подписчик
- 18 часов назад
- 86 просмотров
1

ответ
Сетевое администрирование

+3 ещё

Средний
Как перенастроить шаблон Zabbix для MT RB2011 CAPsMAN?
- 1 подписчик
- 22 часа назад
- 58 просмотров
1

ответ
Компьютерные сети

Простой
Можно ли удаленно подключить облачный сервер к локальной сети?
- 1 подписчик
- 23 часа назад
- 74 просмотра
1

ответ
Компьютерные сети

Простой
С чем связанно падение интернета?
- 1 подписчик
- вчера
- 75 просмотров
1

ответ
Mikrotik

+1 ещё

Сложный
Как настроить на mikrotik проброс трафика или маршруты через несколько тунелей l2tp?
- нет подписчиков
- вчера
- 44 просмотра
1

ответ
Компьютерные сети

+1 ещё

Средний
Старая мат.плата Asus M4N68T, низкая скорость интернет?
- 1 подписчик
- вчера
- 52 просмотра
1

ответ
Windows

+3 ещё

Простой
Можно ли иметь два или более сертификата на сервере Exchange 2013 с одинаково назначенными службами?
- 2 подписчика
- вчера
- 164 просмотра
1

ответ
Компьютерные сети

+1 ещё

Простой
Что нужно знать начинающему системному администратору?
- 2 подписчика
- 28 апр.
- 1200 просмотров
6

ответов
Компьютерные сети

+2 ещё

Средний
Как настроить правила маршрутизации трафика для двух IP адресов на Ubuntu server?
- 1 подписчик
- 28 апр.
- 94 просмотра
2

ответа
Компьютерные сети

+2 ещё

Простой
Почему не работает интернет через кабель на пк?
- 1 подписчик
- 28 апр.
- 383 просмотра
4

ответа
Показать ещё Загружается…

Senior ML Engineer (Computer Vision)

Gradient

от 450 000 ₽

Computer vision developer

TQB - хай-тек рекрутмент по-хардкору • Москва

от 300 000 ₽

Разработчик мобильных приложений/Android Developer - webview

MST

от 1 000 $

Внести правки по сайту на Wordpress

01 мая 2024, в 08:16

10000 руб./за проект

Интеграция Битрикс в наше FastAPI приложение

01 мая 2024, в 02:11

5000 руб./за проект

Правки в макет Figma

01 мая 2024, в 00:29

2000 руб./за проект

скриншоты в помойку, выкладывай текстовый конфиг с нормальным оформлением
тоесть с САМОГО микротика у тебя есть инет? и нет на конечных устройствах ?
а они правильный IP по dhcp получают?
недоступны только домены или IP тоже? например гугла - 8.8.8.8
ether5 ты добавил в WAN list? что будет если сделать отдельное правильно маскардинга на ether5 ?
тот же вопрос к правилам фаервола
Drno Спасибо за отклик! С САМОГО микротика у меня есть инет, при подключении к нему по wifi успешно пингуется 8.8.8.8, но по имени домена сайты не открываются, похоже не работает DNS - не резолвится. WAN ether5 добавлен в Interface list. Маскарад настроен как раз на все WAN из списка.
Денис Кудин, вывод. Проверяем правила фаерволла. Реально ли там стоит разрешение на пропуски пакетов от wan list, или только от ether 1

Есть ли wifi интерфейсы в lan бридже? Можно удалить/добавить. Мож глюк.
И проверяем что в lan list есть либо лан бридж либо перечислены все нужные интерфейсы

Пробуем вручную выставить днс на пк. Если работает - проверяем настройки dhcp server в микротике. Выдает ли он нужный dns клиентам?
Денис Кудин, и правило fasttrack отключи. Оно может мешать сложной маршрутизации в дальнейшем
Денис Кудин, не вижу в пуле dhcp чтобы выдавался DNS
вот тут точно правильно?
/ip dns static
add address=192.168.88.2 comment=defconf name=router.lan

ну и попробуй все блокирующие правила отключить для теста
Денис Кудин, попробуй выставить днсом адрес роутера.
Если не будет работать - фаервол блочит днс запросы к микротику
Drno, пробовал выставить днсом адрес роутера - так не работало, настроил на 1.1.1.1, путь уже так остается.
Денис Кудин, ну тогда добавь хоть еще 1-2 ДНСов
я и говорю - если не работает, то смотри фаервол микрота, запрещет где то запросы ДНС от твоей сети.
галочка allow dns request в настройках ДНС у тебя же вроде стоит?
Drno, да, галочка на allow remote requests стоит. Как я писал выше, проблема уже решена.
Денис Кудин, это не решение проблемы, это обходной путь)) да и ДНСов всегда указывается 2шт и лучше от разных вендоров)
но право Ваше, как хотите
Drno, Забыл написать, что да, прописал как раз 2 DNS:
Drno, почему это не решение проблемы? Как раз ошибка же и была в том, что было прописана конфликтующая запись вида:

/ip dhcp-server network add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\ 192.168.1.1 netmask=24

В моей сети нет отдельного выделенного DNS сервера )
Денис Кудин, микротик с галочкой "allow dns request" умеет выступать в качестве локального ДНС. а он этого у вас не делает почему то. я про этот момент

Answer 1 · 2023-04-21 12:27:03

Ошибку исправил, была конфликтующая запись вида:

/ip dhcp-server network
add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\
192.168.1.1 netmask=24

Почему перестали ресолвиться сайты по DNS на Mikrotik Chateau LTE18 ax после добавления двух WAN?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт