Единая авторизация на различных ресурсах в LAN через MikroTik - возможно ли?

щислива сделать из микрота контроллер домена

У меня нет таких намерений. Вспомнил, что в ЛВС есть Synology. Он поддерживает LDAP и RADIUS. Подумываю с этим поэкспериментировать. Впрочем, Вам же лучше знать что я хочу. Наверное, читать мысли умеете.

Видать уже тырили и уже заносили... Что вовсе неудивительно...

Вы - самый худший экстрасенс на этой неделе. Не огорчайтесь, если не буду больше отвечать на Ваши неуместные комментарии - теряю интерес по мере их банальности.

Единая авторизация на различных ресурсах в LAN через MikroTik - возможно ли?

CityCat4,

Ну да, конечно. И антивируса не стоит. И почта на mail.ru бесконтрольно. Что ж, остается позавидовать честности и мотивированости Ваших сотрудников - раз за 8 лет ничего не слили и не занесли... :)

Я Вас не учу делать Вашу работу - будьте так любезны и меня не поучать. Если есть что по теме вопроса сказать или добавить - с удовольствием почитаю Ваше мнение. А Ваше мнение насчёт всего, что не связано с темой вопроса мне не интересно, как это ни печально

Единая авторизация на различных ресурсах в LAN через MikroTik - возможно ли?

Потому что я вижу системное непонимание того, что есть маска и зачем она нужна.

Немного напутал - и вот уже диагноз без суда и следствия. Не экзамен сдаю, не придирайтесь.

Вы хотите построить на роутере контроллер домена? :)

Я хочу решить задачу. И ищу вариант "малой крови" (если такой существует вообще). Слышал про HotSpot, User Manager, RADIUS на микротике. Но, не настраивал их и не в курсе их возможностей. Не хотелось тратить несаколько лет своей жизни, ковырясь с этим всем и выясняя даст то всё мне нужный результат или нет - вот и спросил.

DNS и прочие вещи (а дальше непременно возникнет вопрос - как сделать, чтобы юзера во вконтактике не сидели) - делается на контроллере домена

У меня пока нет в этом необходимости: весь отдел в одной комнате сидит. И так ясно что человек успел за месяц. И не важно сидел он в соц сетях с компа, своего мобильника (по не контролируемому LTE) или не сидел. Хотите своим сотрудникам гайки закручивать - пожалуйста. Ваше право. А мне оно сейчас (и уже лет 8 как) не нужно

Единая авторизация на различных ресурсах в LAN через MikroTik - возможно ли?

Спасибо. Посмотрю в этом направлении

Единая авторизация на различных ресурсах в LAN через MikroTik - возможно ли?

Маска /24 - для простоты. Да, в курсе, что избыточно, можно было /23 или меньше. Но так проще админить, пока народу не много. Помнить, что 192.168.12.0/24 - это Вася, а 192.168.13.0/24 - Петя - проще, чем вспоминать: 192.168.12.135 - это Вася,Петя или Дима?

Микротик не может быть ядром сети - он роутер

Я рассуждал так: все ресурсы ЛВС и интернет доступны клиентам, пока работает сам микротик. Он - точка отказа всей ЛВС. Именно на нём и было желание разворачивать центр авторизации. В случае отказа микротика (пропало питание, например... хотя с недавних пор мы его в ИБП включили) - и так ЛВС работать не будет.
Если делать отдельно центр авторизации - это вторая точка отказа сети, в дополнение к микротику. К тому же, увидел информацию, что микротик имеет "user manager" и "HotSpot" для всяких авторизаций. Вот и подумал: может, удастся малой кровью настроить центр авторизации прям на нём? Пока сотрудников не больше 10 человек

OpenVPN: как перенаправить трафик от одного клиента к другому?

Очень краткий ответ. Я так полагаю, имелось ввиду, что эту команду нужно выполнить на сервере (10.15.1.1)

Я уже с этим экспериментировал - забыл отписать в самом вопросе. Это работает только для режима tap. В режиме tun: клиент 10.15.1.12 пингует 8.8.8.8

На сервере 10.15.1.1 в tcpdump:

14:21:56.417458 IP 10.15.1.1 > 10.15.1.12: ICMP redirect 8.8.8.8 to host 10.15.1.10, length 92
14:21:56.417460 IP 10.15.1.12 > 8.8.8.8: ICMP echo request, id 13221, seq 6, length 64

На клиенте 10.15.1.12:

ping 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
From 10.15.1.1: icmp_seq=2 Redirect Host(New nexthop: 10.15.1.10)
From 10.15.1.1: icmp_seq=3 Redirect Host(New nexthop: 10.15.1.10)

Сами пинги до 10.15.1.10 в итоге не доходят (в tcpdump я их не вижу)

Т.е. сервер не хочет сам направлять полученные от клиента пакеты , а говорит клиенту, чтоб тот их направлял в 10.15.1.10.

Как удалить все маршруты и поставить только OpenVPN?

Хороший вариант. Поддерживаю! Намного лучше, чем разбираться с маршрутами.

Пара уточнений

Да, DHCP ещё нужно бы разрешить если используете не статику.

Можно сделать так:

iptables -I INPUT -i enp1s0 -p udp --dport 67:68 --sport 67:68 -j ACCEPT
iptables -I INPUT -i wlp2s0 -p udp --dport 67:68 --sport 67:68 -j ACCEPT

В принципе, можно вообще не указывать интерфейс в правиле - тогда одним правилом написать.

1) принимались все пакеты идущие в tun+
-A OUTPUT -o tun+ -j ACCEPT

Если это не tun, а tap - два варианта:
1. В конфиге OpenVPN задать: "dev tun"
2. или поменять правило на: -A OUTPUT -o tap+ -j ACCEPT

(Много картинок) Сетевой мост и 2 Mikrotik router. Не все пакеты проходят. Почему?

Нашёлся вариант проще. Оставить настройки как были. Но на hAP в настройках wlan1 поменять Mode со значения "station" на "Station bridge" или "Station pseudobridge". Работают оба варианта.

(Много картинок) Сетевой мост и 2 Mikrotik router. Не все пакеты проходят. Почему?

Почему велосипед? Есть предложение как лучше можно было решить задачу?
Может я не прав, но мне казалось, firewall не может влиять на прохождение ARP-пакетов

(Много картинок) Сетевой мост и 2 Mikrotik router. Не все пакеты проходят. Почему?

Какую прошивку имеете в виду? RouterOS на обоих устройствах 6.29.1 (последняя на текущий момент)
В Sysyem->Routeboard поле Current Firmware 3.22

Как анализировать содержимое пакетов используя NetFlow?

цель - в первую очередь - дебаг (траблшутинг).
периодически при траблшутинге нужно проверять не только сам факт наличия пакетов, но и их содержимое
В Mikrotik чтоб посмотреть какой трафик идёт через устройство очень удобно использовать packet sniffer + wireshark (www.nasa-security.net/mikrotik/mikrotik-packet-sniffer/)
Я просто указываю в настройках Mikrotik на какой IP перенаправлять трафик, попадающий под правило отбора, и на этом IP в режиме реального времени в wireshark вижу всё что мне нужно
Хотелось бы иметь такой же функционал и в Cisco

Работоспособна ли такая схема удалённой работы с Mikrotik и IP-KVM ATEN CS1708i-AT-G?

Это проблема всех Mikrotik или обозначенных моделей?

Работоспособна ли такая схема удалённой работы с Mikrotik и IP-KVM ATEN CS1708i-AT-G?

Можно поконкретнее? В чём затык с использованием VPN между обоими Mikrotik?

MikroTik: как перенаправить трафик клиента на другой хост?

Спасибо, сработало

Каким забугорным операторам предоставляется роуминг в мобильных сетях РФ?

Спасибо. Как раз то, что нужно

Каким забугорным операторам предоставляется роуминг в мобильных сетях РФ?

Пример:
Билайн предоставляет роуминг таким-то операторам, работающим в таких-то странах
То же самое по Мегафону, МТС, Теле2

Каким забугорным операторам предоставляется роуминг в мобильных сетях РФ?

Спасибо, но меня интересует, скорее обратная ситуация:
Пример:
Билайн предоставляет роуминг таким-то операторам, работающим в таких-то странах
То же самое по Мегафону, МТС, Теле2

Как реализовать защиту сети от «левых» устройств?

Имхо, port security — хорошая вещь у провайдеров, которые инет раздают. А для офиса — не самый хороший вариант. Скорее, это костыль. Вот почему:

В случае провайдера пользователь интернета не имеет информации какие устройства с какими MAC-адресами присутствуют в сети провайдера. И поэтому он не может подменить свой MAC на нужный. А с IEEE 802.1X провайдеру нет резона маяться. Им достаточно защиты «от дурака».

В случае офиса всё по-другому. Узнать нужный MAC не составит труда. Да, могут быть коллизии при одновременной работе 2-х устройств с одним MAC. Хотя, можно подключать «клона» когда основного устройства не будет. А при IEEE 802.1X возможности клонировать устройство, вроде бы, нету.

Пароль L2TP на ZyXEL Keenetic?

очень странно, чтоб в хеше были пробелы. они по определению хеш функции там не особо-то и нужны

OpenVPN через локальный proxy?

Не совсем ясна архитектура. Вы желаете некоторый трафик (от некоторых приложений) локального компа с Windows отправить через OpenVPN, а остальной трафик должен идти напрямую? Или как?