Подключение ZTE(GPON) через бридж к роутеру МИКРОТИК (RB952Ui-5ac2nD)

[podarok66]

А вот мне интересно, этот hap lite потянет такой вариант?

Код: Выделить всё

/ip firewall layer7-protocol
add name=huk regexp="^.+(windowsupdate.com|ad.adriver.ru|googleads.g.doubleclick.net|pagead2.googlesyndication.com|download.windowsupdate.com|windowsupdate.com|ntservicepack.microsoft.com|stats.microsoft.com|wustat.windows.com|update.microsoft.com|corel.com|mc.corel.com|ipm.corel.com|dam.corel.com|iws.corel.com|ads.viber.com|an.yandex.ru|license.piriform.com).*\$"
/ip firewall filter
add action=reject chain=forward comment=huk_all layer7-protocol=huk reject-with=icmp-network-unreachable

Я отдаю себе отчёт, что протокол layer7 очень тяжёлый. Но чем чёрт не шутит... Тем более, если для established и related в самый верх загнать правила и обрабатываться будут только новые. А правило запрета только одно. Эти запреты непонятных портов в верхней части фильтров мне не ясны. Зачем вся эта жуть на столь слабой железке? Контентным просмотром в правилах пользоваться и тем более не стоит, железо просто будет дохнуть...

[xvo]

Учитывая, что все это, как я понимаю, попытка прикрыть рекламу и автообновления, то вполне можно это все на уровне DNS порезать.

[Jahongir]

Ну вот и ответ (за Вас) нашёл.

Добавил все Ваши правила (Filtre Rules) в мой роутер тестовый - скорость упала.



1) обратите внимание - на портах 13мегабит, прыгает и до 19-22
2) на компе копирование идёт как и у Вас, со скоростью 1.49 мегабайта в сек
3) утилита Profile - показывает нагрузку и модуль "firewall"

А Вы говорите правил мало, когда я их импортировал - так показалось их 29 штук. ЭТО мало?
Опять же, посмотрите на правила, каждый хост = это отдельное правило, зачем так делать?
Может есть возможность уменьшить/сжать/скомпоновать их как-то.

Ну ё маё...(с) "СтарТрек"

Все ребяяят! Разобрались, всем большое спасибо! Вопрос закрыт. Поругались с файрволом, снесли весь конфиг, все настроили с нуля и вуаля скачивание файла фиксаж идет 12Мегабайт/с.

Вопрос, подскажите пожалуйста эти правила.

"В firewall'е отсутствует правило разрешающее уже установленные соединения.
То есть КАЖДЫЙ пакет обрабатывается firewall'ом."

[Jahongir]

А вот мне интересно, этот hap lite потянет такой вариант?

Код: Выделить всё

/ip firewall layer7-protocol
add name=huk regexp="^.+(windowsupdate.com|ad.adriver.ru|googleads.g.doubleclick.net|pagead2.googlesyndication.com|download.windowsupdate.com|windowsupdate.com|ntservicepack.microsoft.com|stats.microsoft.com|wustat.windows.com|update.microsoft.com|corel.com|mc.corel.com|ipm.corel.com|dam.corel.com|iws.corel.com|ads.viber.com|an.yandex.ru|license.piriform.com).*\$"
/ip firewall filter
add action=reject chain=forward comment=huk_all layer7-protocol=huk reject-with=icmp-network-unreachable

Я отдаю себе отчёт, что протокол layer7 очень тяжёлый. Но чем чёрт не шутит... Тем более, если для established и related в самый верх загнать правила и обрабатываться будут только новые. А правило запрета только одно. Эти запреты непонятных портов в верхней части фильтров мне не ясны. Зачем вся эта жуть на столь слабой железке? Контентным просмотром в правилах пользоваться и тем более не стоит, железо просто будет дохнуть...

Нужно будет потестить... опишу результат. на данный момент убрал все эти запрещающие правила.

[Jahongir]

Учитывая, что все это, как я понимаю, попытка прикрыть рекламу и автообновления, то вполне можно это все на уровне DNS порезать.

Подскажите пожалуйста, точнее как

[xvo]

"В firewall'е отсутствует правило разрешающее уже установленные соединения.
То есть КАЖДЫЙ пакет обрабатывается firewall'ом."

Я же вам вроде уже в одном из ответов прикладывал фаервол из дефотлтного конфига?!
Там все это есть.
Но вы бы хоть почитали какие-нибудь базовые принципы того, как вообще грамотно фаервол написать.
А то бездумная копипаста по частям из нескольких разных источников обычно рождает что-то монструозное и нерабочее.
Вроде того, что у вас было :)

[xvo]

Учитывая, что все это, как я понимаю, попытка прикрыть рекламу и автообновления, то вполне можно это все на уровне DNS порезать.

Подскажите пожалуйста, точнее как

Погуглил за вас:
https://www.technotrade.com.ua/Articles ... #dns_block

[MaxoDroid]

Ну и свои правила добавьте уже куда нужно:

А я бы фсттрак вообще бы на первое место поставил бы для скорости.
Про расположение правил я придерживаюсь логики:
Сначала Forward – для более быстрой обработки уже установленных и проходящих соединений
Потом Input, где правило drop на все, что не разрешено выше, находится в самом низу. (только список WAN! не нужно лочить абсолютно все)
Соответственно разрешающие правила над блокирующим и дополнительные блокировки над разрешающими если требуются.

А еще бы я в данном случае поставил бы для бриджа protocol-mode=none. Зачем ему дерево строить? Ведь Микрот тут один. И скорость это хоть чуть-чуть, но даст.

[xvo]

Ну и свои правила добавьте уже куда нужно:

А я бы фсттрак вообще бы на первое место поставил бы для скорости.
Про расположение правил я придерживаюсь логики:
Сначала Forward – для более быстрой обработки уже установленных и проходящих соединений
Потом Input, где правило drop на все, что не разрешено выше, находится в самом низу. (только список WAN! не нужно лочить абсолютно все)
Соответственно разрешающие правила над блокирующим и дополнительные блокировки над разрешающими если требуются.

А еще бы я в данном случае поставил бы для бриджа protocol-mode=none. Зачем ему дерево строить? Ведь Микрот тут один. И скорость это хоть чуть-чуть, но даст.

Взаиморасположение input, forward (и любых других цепочек) не играет никакой роли, они все равно рассматриваются независимо. Значение имеет только порядок внутри каждой цепочки.
Ну а там главное правило: подтянуть повыше то, на чем по статистике срабатывает большее количество пакетов, но не нарушив общую логику работы.
То есть, если фаервол строится по принципу нормально-закрытого, то сначала узкие разрешающие правила, потом широкие запрещающие всё остальное.
Если где-то надо наоборот что-то выборочно запретить - соответственно эти запрещающие перед более общим разрешающим правилом.

[Vlad-2]

А я бы фсттрак вообще бы на первое место поставил бы для скорости.

Спорное решение.
Фастрак ускоряет, но роутер делает более "тупым", тогда уж лучше купить Длинк/Асус/Зухель.