Почему перестали ресолвиться сайты по DNS на Mikrotik Chateau LTE18 ax после добавления двух WAN?

Question

Денис Кудин @kudin-denis

Mikrotik Chateau LTE18 ax

Почему перестали ресолвиться сайты по DNS на Mikrotik Chateau LTE18 ax после добавления двух WAN?

Уважаемые эксперты Mikrotik, подскажите пожалуйста, что нужно исправить в конфиге Микротик - перестали открываться сайты по доменному имени на Mikrotik Chateau LTE18 ax после добавления двух WAN. При подключении к Микротик по wifi успешно пингуется адрес 8.8.8.8, но по имени домена сайты не открываются, похоже не работает DNS - не резолвится.

Через терминал самого Микротика пинг на ya.ru проходит, но при подключении по WiFi интернет на конечных устройствах ни один сайт не открывается по доменному имени. НО, пинг, например до 8.8.8.8 проходит! В чем может быть ошибка конфигурации?

Конфиг

# apr/20/2023 19:24:54 by RouterOS 7.8
/interface bridge
add admin-mac=68:FD:74:E9:70:81 auto-mac=no comment=defconf name=bridge
/interface lte
set [ find default-name=lte1 ] allow-roaming=no band=7 disabled=yes
/interface wifiwave2
set [ find default-name=wifi1 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=5g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
set [ find default-name=wifi2 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=2g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=dhcp ranges=192.168.1.10-192.168.1.100
/ip dhcp-server
add address-pool=dhcp interface=bridge lease-time=3d name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether1
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=wifi1
add bridge=bridge comment=defconf interface=wifi2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set detect-interface-list=all
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=lte1 list=WAN
add interface=ether5 list=WAN
/ip address
add address=192.168.1.1/24 comment=defconf interface=bridge network=\
    192.168.1.0
/ip dhcp-client
add interface=ether5
/ip dhcp-server network
add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\
    192.168.1.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=8.8.8.8
/ip dns static
add address=192.168.88.2 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/system clock
set time-zone-name=Europe/Moscow
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Вопрос задан более года назад
608 просмотров

17 комментариев

Подписаться 1 Средний 17 комментариев

Wexter @Wexter

скриншоты в помойку, выкладывай текстовый конфиг с нормальным оформлением

Написано более года назад
Drno @Drno

тоесть с САМОГО микротика у тебя есть инет? и нет на конечных устройствах ?
а они правильный IP по dhcp получают?
недоступны только домены или IP тоже? например гугла - 8.8.8.8
ether5 ты добавил в WAN list? что будет если сделать отдельное правильно маскардинга на ether5 ?
тот же вопрос к правилам фаервола

Написано более года назад

Денис Кудин @kudin-denis Автор вопроса

Wexter Благодарю за отклик! Конфиг прилагаю:

Конфиг

# apr/20/2023 19:24:54 by RouterOS 7.8
/interface bridge
add admin-mac=68:FD:74:E9:70:81 auto-mac=no comment=defconf name=bridge
/interface lte
set [ find default-name=lte1 ] allow-roaming=no band=7 disabled=yes
/interface wifiwave2
set [ find default-name=wifi1 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=5g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
set [ find default-name=wifi2 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=2g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=dhcp ranges=192.168.1.10-192.168.1.100
/ip dhcp-server
add address-pool=dhcp interface=bridge lease-time=3d name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether1
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=wifi1
add bridge=bridge comment=defconf interface=wifi2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set detect-interface-list=all
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=lte1 list=WAN
add interface=ether5 list=WAN
/ip address
add address=192.168.1.1/24 comment=defconf interface=bridge network=\
    192.168.1.0
/ip dhcp-client
add interface=ether5
/ip dhcp-server network
add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\
    192.168.1.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=8.8.8.8
/ip dns static
add address=192.168.88.2 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/system clock
set time-zone-name=Europe/Moscow
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Написано более года назад

Денис Кудин @kudin-denis Автор вопроса

Drno Спасибо за отклик! С САМОГО микротика у меня есть инет, при подключении к нему по wifi успешно пингуется 8.8.8.8, но по имени домена сайты не открываются, похоже не работает DNS - не резолвится. WAN ether5 добавлен в Interface list. Маскарад настроен как раз на все WAN из списка.

Написано более года назад
Drno @Drno

Денис Кудин, вывод. Проверяем правила фаерволла. Реально ли там стоит разрешение на пропуски пакетов от wan list, или только от ether 1

Есть ли wifi интерфейсы в lan бридже? Можно удалить/добавить. Мож глюк.
И проверяем что в lan list есть либо лан бридж либо перечислены все нужные интерфейсы

Пробуем вручную выставить днс на пк. Если работает - проверяем настройки dhcp server в микротике. Выдает ли он нужный dns клиентам?

Написано более года назад
Drno @Drno

Денис Кудин, и правило fasttrack отключи. Оно может мешать сложной маршрутизации в дальнейшем

Написано более года назад

Денис Кудин @kudin-denis Автор вопроса

Drno, проверял, все так.
Конфиг такой:

Конфиг

# apr/20/2023 19:24:54 by RouterOS 7.8
/interface bridge
add admin-mac=68:FD:74:E9:70:81 auto-mac=no comment=defconf name=bridge
/interface lte
set [ find default-name=lte1 ] allow-roaming=no band=7 disabled=yes
/interface wifiwave2
set [ find default-name=wifi1 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=5g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
set [ find default-name=wifi2 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=2g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=dhcp ranges=192.168.1.10-192.168.1.100
/ip dhcp-server
add address-pool=dhcp interface=bridge lease-time=3d name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether1
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=wifi1
add bridge=bridge comment=defconf interface=wifi2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set detect-interface-list=all
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=lte1 list=WAN
add interface=ether5 list=WAN
/ip address
add address=192.168.1.1/24 comment=defconf interface=bridge network=\
    192.168.1.0
/ip dhcp-client
add interface=ether5
/ip dhcp-server network
add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\
    192.168.1.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=8.8.8.8
/ip dns static
add address=192.168.88.2 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/system clock
set time-zone-name=Europe/Moscow
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Написано более года назад

Drno @Drno

Денис Кудин, не вижу в пуле dhcp чтобы выдавался DNS
вот тут точно правильно?
/ip dns static
add address=192.168.88.2 comment=defconf name=router.lan

ну и попробуй все блокирующие правила отключить для теста

Написано более года назад

Денис Кудин @kudin-denis Автор вопроса

Drno, Благодарю за помощь! Запись с адресом 192.168.88.2 в /ip dns static меня смутила и я ее деактивировал . Потом зашел в DHCP Network и заменил там DNS servers на 1.1.1.1:

После этого перезагрузил роутер и домены стали ресолвится! Все это очень странно и не понятно почему так произошло, но буду надеяться что с конфигом остальное все в порядке. Прилагаю его последнюю версию ниже:

Конфиг

# apr/20/2023 21:52:30 by RouterOS 7.8
# model = S53UG+5HaxD2HaxD&EG18-EA
/interface bridge
add admin-mac=68:FD:74:E9:70:81 auto-mac=no comment=defconf name=bridge
/interface lte
set [ find default-name=lte1 ] allow-roaming=no band=7 disabled=yes
/interface wifiwave2
set [ find default-name=wifi1 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=5g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
set [ find default-name=wifi2 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Russia .mode=ap .ssid=2g disabled=no \
    security.authentication-types=wpa2-psk,wpa3-psk
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=dhcp ranges=192.168.1.10-192.168.1.100
/ip dhcp-server
add address-pool=dhcp interface=bridge lease-time=3d name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether1
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=wifi1
add bridge=bridge comment=defconf interface=wifi2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set detect-interface-list=all
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=lte1 list=WAN
add interface=ether5 list=WAN
/ip address
add address=192.168.1.1/24 comment=defconf interface=bridge network=\
    192.168.1.0
/ip dhcp-client
add interface=ether5 use-peer-dns=no use-peer-ntp=no
/ip dhcp-server network
add address=192.168.1.0/24 comment=defconf dns-server=1.1.1.1 gateway=\
    192.168.1.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=1.1.1.1,8.8.8.8
/ip dns static
add address=192.168.88.2 comment=defconf disabled=yes name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/system clock
set time-zone-autodetect=no time-zone-name=Europe/Moscow
/system clock manual
set time-zone=+03:00
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Написано более года назад

Drno @Drno

Денис Кудин, попробуй выставить днсом адрес роутера.
Если не будет работать - фаервол блочит днс запросы к микротику

Написано более года назад
Денис Кудин @kudin-denis Автор вопроса

Drno, пробовал выставить днсом адрес роутера - так не работало, настроил на 1.1.1.1, путь уже так остается.

Написано более года назад
Drno @Drno

Денис Кудин, ну тогда добавь хоть еще 1-2 ДНСов
я и говорю - если не работает, то смотри фаервол микрота, запрещет где то запросы ДНС от твоей сети.
галочка allow dns request в настройках ДНС у тебя же вроде стоит?

Написано более года назад
Денис Кудин @kudin-denis Автор вопроса

Drno, да, галочка на allow remote requests стоит. Как я писал выше, проблема уже решена.

Написано более года назад
Drno @Drno

Денис Кудин, это не решение проблемы, это обходной путь)) да и ДНСов всегда указывается 2шт и лучше от разных вендоров)
но право Ваше, как хотите

Написано более года назад
Денис Кудин @kudin-denis Автор вопроса

Drno, Забыл написать, что да, прописал как раз 2 DNS:

Написано более года назад
Денис Кудин @kudin-denis Автор вопроса
Drno, почему это не решение проблемы? Как раз ошибка же и была в том, что было прописана конфликтующая запись вида:

/ip dhcp-server network add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\ 192.168.1.1 netmask=24

В моей сети нет отдельного выделенного DNS сервера )
Написано более года назад
Drno @Drno

Денис Кудин, микротик с галочкой "allow dns request" умеет выступать в качестве локального ДНС. а он этого у вас не делает почему то. я про этот момент

Написано более года назад

Решения вопроса 1

Комментировать

Пригласить эксперта

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Похожие вопросы

Mikrotik

Сложный
Mikrotik создаёт записи (resolve) ip адресов запрещённых в РФ. Как отключить?
- 1 подписчик
- час назад
- 11 просмотров
0

ответов
Компьютерные сети

Простой
Как настроить пограничный хост как шлюз?
- 1 подписчик
- 11 часов назад
- 53 просмотра
2

ответа
VPN

+3 ещё

Сложный
Как настроить MikroTik в одну подсеть на нескольких подразделениях?
- 2 подписчика
- 17 часов назад
- 201 просмотр
0

ответов
Сетевое оборудование

Сложный
Почему коммутатор периодически перестает отвечать?
- 3 подписчика
- 22 часа назад
- 222 просмотра
0

ответов
Mikrotik

Средний
Как на Miktotik пустить трафик для определенного сайта через Wireguard?
- 2 подписчика
- вчера
- 224 просмотра
2

ответа
Сетевое оборудование

Средний
В чём разница между роутерами Kennetic 4G: KN-1211, KN-1212, KN-1213?
- 1 подписчик
- вчера
- 110 просмотров
1

ответ
Компьютерные сети

+3 ещё

Простой
Как правильно настроить мост на Mikrotik?
- 3 подписчика
- 11 нояб.
- 457 просмотров
1

ответ
Python

+1 ещё

Простой
Почему после нескольких запросов выдает Remote end closed connection?
- 1 подписчик
- 11 нояб.
- 128 просмотров
1

ответ
Компьютерные сети

+1 ещё

Простой
Как настроить порты для 10/40 Гигабитых скоростей?
- 2 подписчика
- 11 нояб.
- 301 просмотр
1

ответ
Сетевое администрирование

+1 ещё

Средний
Как решить проблему подключения к Cisco 2800 через putty?
- 2 подписчика
- 11 нояб.
- 110 просмотров
1

ответ
Показать ещё Загружается…

Контент-маркетолог

Хекслет

от 60 000 до 100 000 ₽

Преподаватель по нейросетям

CODDY

от 40 000 ₽

Младший аналитик

Сбер • Москва

от 130 000 ₽

Доработка сайта MODX. Разместить на сайте 2 кнопки

15 нояб. 2024, в 06:43

2000 руб./в час

Доработать поиск изображений на ElasticSearch

15 нояб. 2024, в 03:14

5000 руб./за проект

Заказ на 4 баннера для гемблинга

15 нояб. 2024, в 03:04

7000 руб./за проект

скриншоты в помойку, выкладывай текстовый конфиг с нормальным оформлением
тоесть с САМОГО микротика у тебя есть инет? и нет на конечных устройствах ?
а они правильный IP по dhcp получают?
недоступны только домены или IP тоже? например гугла - 8.8.8.8
ether5 ты добавил в WAN list? что будет если сделать отдельное правильно маскардинга на ether5 ?
тот же вопрос к правилам фаервола
Drno Спасибо за отклик! С САМОГО микротика у меня есть инет, при подключении к нему по wifi успешно пингуется 8.8.8.8, но по имени домена сайты не открываются, похоже не работает DNS - не резолвится. WAN ether5 добавлен в Interface list. Маскарад настроен как раз на все WAN из списка.
Денис Кудин, вывод. Проверяем правила фаерволла. Реально ли там стоит разрешение на пропуски пакетов от wan list, или только от ether 1

Есть ли wifi интерфейсы в lan бридже? Можно удалить/добавить. Мож глюк.
И проверяем что в lan list есть либо лан бридж либо перечислены все нужные интерфейсы

Пробуем вручную выставить днс на пк. Если работает - проверяем настройки dhcp server в микротике. Выдает ли он нужный dns клиентам?
Денис Кудин, и правило fasttrack отключи. Оно может мешать сложной маршрутизации в дальнейшем
Денис Кудин, не вижу в пуле dhcp чтобы выдавался DNS
вот тут точно правильно?
/ip dns static
add address=192.168.88.2 comment=defconf name=router.lan

ну и попробуй все блокирующие правила отключить для теста
Денис Кудин, попробуй выставить днсом адрес роутера.
Если не будет работать - фаервол блочит днс запросы к микротику
Drno, пробовал выставить днсом адрес роутера - так не работало, настроил на 1.1.1.1, путь уже так остается.
Денис Кудин, ну тогда добавь хоть еще 1-2 ДНСов
я и говорю - если не работает, то смотри фаервол микрота, запрещет где то запросы ДНС от твоей сети.
галочка allow dns request в настройках ДНС у тебя же вроде стоит?
Drno, да, галочка на allow remote requests стоит. Как я писал выше, проблема уже решена.
Денис Кудин, это не решение проблемы, это обходной путь)) да и ДНСов всегда указывается 2шт и лучше от разных вендоров)
но право Ваше, как хотите
Drno, Забыл написать, что да, прописал как раз 2 DNS:
Drno, почему это не решение проблемы? Как раз ошибка же и была в том, что было прописана конфликтующая запись вида:

/ip dhcp-server network add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\ 192.168.1.1 netmask=24

В моей сети нет отдельного выделенного DNS сервера )
Денис Кудин, микротик с галочкой "allow dns request" умеет выступать в качестве локального ДНС. а он этого у вас не делает почему то. я про этот момент

Answer 1 · 2023-04-21 12:27:03

Ошибку исправил, была конфликтующая запись вида:

/ip dhcp-server network
add address=192.168.1.0/24 comment=defconf dns-server=192.168.1.20 gateway=\
192.168.1.1 netmask=24

Почему перестали ресолвиться сайты по DNS на Mikrotik Chateau LTE18 ax после добавления двух WAN?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт