Ограничение сессиий на MikroTik. Почему у абонентво пропадает интернет? что не так?

Здравствуйте. Помогите пожалуйста с решением такой проблемы.
Экспериментально включаю на одном маленьком квартале, где 1000 абонентов, функцию на MikroTik -е ограничение на 300 сессий каждому клиенту. через час звонят из где 10 человек с проблемой отсутствия интернета. конфигурация следующая... посмотрите пожалуйста что не так.

/ip firewall filter
add action=drop chain=forward comment="drop_300_peers" connection-limit=300,32 dst-address=!xx.xx.xx.xx/23 src-address-list="X-Tarif-->[300_peers]"


где - !xx.xx.xx.xx/23 это сеть IP адресов айпи телевидения которое я исключаю.

А все остальное drop.

NAT у меня такой

/ip firewall nat
add chain="src-nat" src-address="192.168.115.1/27" src-address-list="X-Tarif-->[300_peers]" action="src-nat" to-addresses="xx.xx.xx-real ip naprimer";
/ip firewall nat
add chain="src-nat" src-address="192.168.115.33/27" src-address-list="X-Tarif-->[300_peers]" action="src-nat" to-addresses="xx.xx.xx-real drugoy real ip"; и так далее..


Заранее скажу что те 10 абонентов у которых возникла проблема с инетом, не превышали своих сессий... этот вопрос я тщательно изучил.

У меня какое-то странное предчувствие того, что firewall filter в как-то вроде все сессий и понимает типо как все в одном совокупности...
хотя я указал в connection-limit=300,32, 32 - это вроде как каждому айпи своя судьба))

что не так..???

кстати, делаю torch тому абоненту который звонит с проблемой отсутствия инета, вижу многочисленные запросы днс... а вдруг надо было еще мимо пропустить UDP 53 port?

хотя опять противоречие. данный абонент не превышает даже 40 сессий... причем тут днс?

вообщем как-то запутался уже два дня не нахожу проблему. помогите...
  • Вопрос задан
  • 152 просмотра
Решения вопроса 1
@Wexter
https://wiki.mikrotik.com/wiki/Manual:IP/Firewall/...
connection-limit (integer,netmask; Default: ) Matches connections per address or address block after given value is reached. Should be used together with connection-state=new and/or with tcp-flags=syn because matcher is very resource intensive.

Это читали?
Ответ написан
Пригласить эксперта
Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации
Похожие вопросы