Ragnar Black

Проблема с кабелем/коннектором, только по невозможности согласовать микрот будет сбрасыват на более медленные.. Переобожмите, либо приобретите готовые патчкорды

Использовать позволило "запретить все, что не разрешено". Например разрешить только трафик 53/tcp,udp 80,443/tcp, а остальное , не соответствующее этим правилам пойдет в блок
Также поставить ограничение на количество пакетов в секунду от каждого клиента. Получается, если пойдет массированная атака, а не обычное использование, то "злоумышленник" сломает ноги от ваш firewall

помещаете провайдеров по отдельным vlan, одна локальная сеть - влан первого провайдера, вторую локальную сеть во второй vlan со вторым провайдером, а дальше как обычно - ip адреса, gateway и прочее.

В ROS 7.4beta4 вернули контейнеризацию.
Качаете файлы сайта во внутреннюю память, поднимаете контейнер nginx (например) с указанием этих директорий.
но на rb2011 не получится, там mipsbe процессор, а нужен arm или x86

1) Ovpn делается шлюзом по умолчанию одной галкой на клиенте «add to default route» в настройках интерфейса.
2) при маркировки трафика сначал должны отмаркировать соединения и только потом маркировать пакеты/маршруты. Далее как настраивать Вы уже знаете: в роутах добавить маршрут для четырех нулей в интерфейс овпн клиента для маркированных роутов. Чтобы не городить наты, добавить маршрутизацию между роутером с сетью локальной и сетью на сервере ВПН, статикой или динамикой - как вам удобнее

Никогда не используйте netmap для проброса портов. Указываете chain=dst-nat action=dst-nat и всё заработает.
Почему не работает сейчас: последнее правило в forward "

add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface=pppoe-out1

" то есть вы пытаетесь получить доступ к хосту в вашей локальной сети, но это правило отбрасывает весь трафик инициализированный из вне.

Если эта железка шлюз по умолчанию, то ничего делать дополнительно не надо. главное, чтобы в форварде не было запретов на обмен между сетями

САМЫЙ производительный - это wireguard.
даже без аппаратного шифрования wireguard показывается великолепные результаты по сравнению с l2tp+ipsec, openvpn

У вас ядро слабенький коммутатор, а нужен маршрутизатор типа rb4011/rb5009 или tile.

1) не важно где у вас dhcp и dns
2) курите маны
3.1) l2tp не лучшее решение, используйте openvpn
3.2) если микрот gateway, то никаких пробросов не надо, он уже доступен по внешнему ip
3.3) с помощью firewall

У вас там CHR? Активируйте лицензию через личный кабинет на сайте MikroTik.
По умолчанию на CHR в режиме free все порты работаю на скорости до 1Mbps

1 условие: firewall не блокирует forward трафик
2 условие: данный микрот является шлюзом по умолчанию для обоих сетей
ничего дополнительно настраивать не надо

Если у вас железка на ARM обновитесь до ROS 7 и поставьте пакет ZeroTier. ZeroTier, говоря простым языком, l2 через интернет, не l3 как привыкли, используя vpn.

CRS125 - cloud router switch - ключевое слово switch.
под такое количество точек вам бы взять rb4011, rb5009, или что-нибудь на TILE (CCR). Ещё как вариант трафик пустить через CHR на одном из компов с двумя сетевыми портами, если не желаете разоряться на новую железку.

Цитата с официальной wiki:

As of the release of RouterOS 7.1, this means it is compatible with 4 devices:

hAP ac³ (non-LTE)*
Audience*
Audience LTE6 kit*
RB4011iGS+5HacQ2HnD**

Оригинал

Бесшовного роуминга не существует! ДА, совсем!

Есть не успокаиваетесь, то скажу, что есть протоколы, которые помогают устройствам, поддерживающим эти протоколы переключаться от точки к точке с минимальными задержками.
CAPsMAN помогает настраивать wifi-сеть централизовано. На CAPsMAN контроллере в datapath НЕ_включаете local forwarding, так трафик с точек будет уходить на контроллер и там разворачиваться и уходить дальше. При таком конфиге потери будут минимальными и незначительными. Также ваши точки не должны вещать на полную мощность, лучше уменьшить их уровень сигнала, так клиентам будет легче принять решение о переключении.

Если всё ещё желаете типа бесшовность, а точек 2-3, изучите Mesh и реализуйте сеть на этой технологии.

После того как вы установили CHR на сервер, перезапустили машину, вам необходимо подключиться к интерфейсу машины через хостера, указать ip, dns, default gateway, нового пользователя и отключить админа. После этих манипуляций ваш CHR станет доступен по SSH.
Я бы рекомендовал в IP -> SSH активировать параметр Strong Crypto, увеличить длину ключа до 4096 и сгенерировать ключи снова.

Если вы желаете замаскировать трафик идущий от вашего клиента миркотик до сервера, вам в любом случае понадобится свой собственный сервер, хоть на linux, хоть на CHR - что вам удобнее будет админить.

Для того, чтобы замаскировать трафик от провайдера подойдут два типа протоколов: OpenVPN и SSTP. Оба протокола могут использовать протоколы SSL/TLS (SSTP работает так по умолчанию). Вам всего лишь надо на сервере указать порт 443, транспорт TCP, после данных манипуляций ваш трафик при sniff'е будет походить на HTTPS.

Тема животрепещущая и в микротик настройка вланов это несколько способов, но я в общих чертах расскажу как это сделать без страницы switch.

Для начала вам надо создать бридж и поместить в него все порты.
На странице бридж, во вкладке VLANs добавляете id vlan'ов и порты, указывая untegged access порты, а в tagged транки. Если вам нужно, чтобы само устройство принимало участие в сетевом взаимодействии, то во вланы надо сам bridge как tagged, во все вланы с которых устройство должно отвечать по ip.
возвращаетесь на вкладку портс (в которой добавляли порты в бридж) и каждому порту на его вкладке vlan указываете ID влана на котором должно работать устройство. Повторить действие на всех портах, которые будут access.
Замыкая настройку бриджа возвращаетесь на самую первую вкладку Bridge, заходите в свойство бриджа и на вкладке ставите галку VLAN Filtering. после всех совершенных манипуляций у вас начинают работать vlan'ы.

Если вы добавили во вкладке VLANs страницы Bridge во вланы сам бридж, тогда не забудьте создать виртуальный интерфейс VLAN с id, указав в качестве мастера сам bridge, а затем какобвчному интерфейсу присваивайте интерфейсу vlan IP или подключайте dhcp client.

В вашей ситуации порты устройств, которые должны использовать провайдерскую сеть напрямую должны уметь во vlanы. То есть их порты на коммутаторе отправляете в состояние tagged, а на устройствах сетевым картам прописываете работать с таким-то ID.

Писал данный ответ с первого дубля
На этом пожалуй всё.
Если есть вопросы и пожелания, welcome в комментарии.

Успехов!

Весь трафик уходит через туннель очень простым способом: статический роут до openvpn сервера, дефолт маршрут через интерфейс ovpn