Russian Users MikroTik | Форум пользователей MikroTik

Добрый день.
Оператор Билайн перевел подключение с L2TP на IPoE.
После перехода столкнулся с такой проблемой - не работает Skype. Подключаться - подключается, но сообщения не принимаются и не отправляются, как на мобильном устройстве, так и на стационарном ПК. Соответственно, если на мобильном устройстве переключиться на мобильный интернет - все работает.
При подключении L2TP использовался профиль с

Код: Выделить всё

change-tcp-mss=yes

без этого проблемы со скайпом были такими же.
Как в условиях текущего подключения можно заставить работать?
Настройки моста

Код: Выделить всё

# apr/19/2020 17:58:55 by RouterOS 6.46.5
#
# model = RBD52G-5HacD2HnD
/interface bridge
add admin-mac=**:**:**:**:**:** arp=proxy-arp auto-mac=no name=bridge1-LAN protocol-mode=none
add admin-mac=**:**:**:**:**:** auto-mac=no mtu=1460 name=bridge2-WAN protocol-mode=none
add name=bridge3-WiFi
/interface bridge port
add bridge=bridge2-WAN interface=ether1
add bridge=bridge2-WAN interface=ether2
add bridge=bridge1-LAN interface=ether3
add bridge=bridge1-LAN interface=ether4
add bridge=bridge1-LAN interface=ether5
add bridge=bridge1-LAN interface=wlan2
add bridge=bridge3-WiFi interface=wlan1

ether1 - вход от провайдера
ether2 - приставка Beeline TV

mtu=1460 - это уже провайдер сообщил
как теперь выставить TCP MSS, про микротик с IPoE вообще что-то мало информации

1) а чего Вы конфиг сократили?

2) если у Вас два порта в бридже WAN, то кто получает адрес от провайдера?
2.1) по идеи у Вас в DHCP Client надо/должен быть прописать bridge-WAN

3) так как конфига нету, мало что понятно, но и правила НАТ надо изменить
и они уже должны быть что НАТ делается от того интерфейса, где адрес провайдера,
то есть от bridge-WAN

4) Вы в курсе, что если Вы работая по технологии IPoE и с Билайном (и это читал лишь),
если Вы резко меняете провод провайдера (то в комп, то в роутер), то без авторизации
ничего работать не будет.
То есть (на сколько я слышал и знаю), провайдер лимитирует, позволяет выйти в их
сеть, и пройдя авторизацию, в этот момент в биллинг записывается текущий МАК
порта и с него полный Интернет и начинает работать.
Да, по Вашему конфигу я вижу, что Вы МАК явно задавали, но всё равно...вдруг сработал лимит?

5) И что сам провайдер говорит по части скайпа и его неработоспособности ?
5.1) если подключить комп напрямую, пройти авторизацию - скайп будет работать ? (без роутера)

Читал, что skype чувствителен к проблемам с MTU.
Посмотрите внимательно. Может стоит уменьшить MTU на IPoE интерфейсе.
Если у вас 2 порта в бридж собраны, вы MTU на бридже установите.

Vlad-2 писал(а): ↑19 апр 2020, 18:52 1) а чего Вы конфиг сократили?

2) если у Вас два порта в бридже WAN, то кто получает адрес от провайдера?
2.1) по идеи у Вас в DHCP Client надо/должен быть прописать bridge-WAN

3) так как конфига нету, мало что понятно, но и правила НАТ надо изменить
и они уже должны быть что НАТ делается от того интерфейса, где адрес провайдера,
то есть от bridge-WAN

4) Вы в курсе, что если Вы работая по технологии IPoE и с Билайном (и это читал лишь),
если Вы резко меняете провод провайдера (то в комп, то в роутер), то без авторизации
ничего работать не будет.
То есть (на сколько я слышал и знаю), провайдер лимитирует, позволяет выйти в их
сеть, и пройдя авторизацию, в этот момент в биллинг записывается текущий МАК
порта и с него полный Интернет и начинает работать.
Да, по Вашему конфигу я вижу, что Вы МАК явно задавали, но всё равно...вдруг сработал лимит?

5) И что сам провайдер говорит по части скайпа и его неработоспособности ?
5.1) если подключить комп напрямую, пройти авторизацию - скайп будет работать ? (без роутера)

1. хотел показать как сеть устроена. почти весь конфиг тут

Код: Выделить всё

# apr/19/2020 23:47:16 by RouterOS 6.46.5
#
# model = RBD52G-5HacD2HnD
/interface bridge
add admin-mac=**:**:**:**:**:** arp=proxy-arp auto-mac=no name=bridge1-LAN \
    protocol-mode=none
add admin-mac=**:**:**:**:**:** auto-mac=no mtu=1460 name=bridge2-WAN \
    protocol-mode=none
add name=bridge3-WiFi
/interface list
add name=LAN
add name=WAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
add authentication-types=wpa2-psk eap-methods="" management-protection=\
    allowed mode=dynamic-keys name=WiFi2_4 supplicant-identity=""
add authentication-types=wpa2-psk eap-methods="" management-protection=\
    allowed mode=dynamic-keys name=WiFi5 supplicant-identity=""
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n country=russia disabled=no \
    frequency=auto mode=ap-bridge security-profile=WiFi2_4 ssid=MyTbIRNET \
    tx-power-mode=all-rates-fixed wireless-protocol=802.11 wps-mode=disabled
set [ find default-name=wlan2 ] band=5ghz-n/ac channel-width=20/40/80mhz-XXXX \
    country=russia3 disabled=no frequency=auto mode=ap-bridge \
    security-profile=WiFi5 ssid=MyTbIRNET_5G tx-power-mode=all-rates-fixed \
    wireless-protocol=802.11 wmm-support=enabled wps-mode=disabled
/interface wireless nstreme
set wlan1 enable-polling=no
set wlan2 enable-polling=no
/ip hotspot profile
set [ find default=yes ] html-directory=flash/hotspot
/ip ipsec proposal
set [ find default=yes ] enc-algorithms=aes-256-cbc,aes-256-ctr,aes-256-gcm
/ip pool
add name=dhcp_LAN ranges=192.168.10.2-192.168.10.20
add name=dhcp_WiFI ranges=192.168.11.2-192.168.11.20
add name=dhcp_VPN ranges=192.168.10.40-192.168.10.80
/ip dhcp-server
add address-pool=dhcp_LAN disabled=no interface=bridge1-LAN name=dhcp1-LAN
add address-pool=dhcp_WiFI disabled=no interface=bridge3-WiFi name=dhcp2_WiFi
/ppp profile
add change-tcp-mss=yes local-address=192.168.10.1 name=NotebookVPN \
    remote-address=dhcp_LAN
add change-tcp-mss=yes name=KMIAC-Profile use-encryption=yes
/interface pptp-client
add allow=mschap2 comment=KMIAC connect-to=*.*.*.* disabled=no name=\
    pptp-KMIAC profile=KMIAC-Profile user=userVPN4
/interface bridge port
add bridge=bridge2-WAN interface=ether1
add bridge=bridge2-WAN interface=ether2
add bridge=bridge1-LAN interface=ether3
add bridge=bridge1-LAN interface=ether4
add bridge=bridge1-LAN interface=ether5
add bridge=bridge1-LAN interface=wlan2
add bridge=bridge3-WiFi interface=wlan1
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface l2tp-server server
set authentication=mschap2 default-profile=NotebookVPN enabled=yes use-ipsec=\
    yes
/interface list member
add interface=bridge1-LAN list=LAN
add interface=bridge2-WAN list=WAN
/ip address
add address=192.168.10.1/24 interface=bridge1-LAN network=192.168.10.0
add address=192.168.11.1/24 interface=bridge3-WiFi network=192.168.11.0
/ip cloud
set ddns-enabled=yes ddns-update-interval=5m
/ip dhcp-client
add default-route-distance=10 dhcp-options=clientid,hostname disabled=no \
    interface=bridge2-WAN
/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1
add address=192.168.11.0/24 gateway=192.168.11.1
/ip dns
set allow-remote-requests=yes servers=192.168.10.1,8.8.8.8,8.8.4.4
/ip firewall address-list
add address=192.168.10.0/24 list=LocalNet
add address=192.168.1.0/24 list=VPNKmiac
add address=10.0.0.0/8 list=VPNKmiac
/ip firewall filter
add action=add-src-to-address-list address-list="DNS Flood" \
    address-list-timeout=6h chain=input dst-port=53 in-interface-list=WAN \
    protocol=udp
add action=drop chain=input dst-port=53 protocol=udp src-address-list=\
    "DNS Flood"
add action=accept chain=forward comment=\
    "1.1. Forward and Input Established and Related connections" \
    connection-state=established,related
add action=drop chain=forward connection-state=invalid
add action=accept chain=input connection-state=established,related
add action=drop chain=input connection-state=invalid
add action=add-src-to-address-list address-list="DDOS BlackList" \
    address-list-timeout=1d chain=input comment=\
    "1.2. DDoS Protect - Connection Limit" connection-limit=100,32 \
    in-interface-list=WAN protocol=tcp
add action=tarpit chain=input connection-limit=3,32 protocol=tcp \
    src-address-list="DDOS BlackList"
add action=jump chain=forward comment="1.3. DDoS Protect - SYN Flood" \
    connection-state=new jump-target=SYN-Protect protocol=tcp tcp-flags=syn
add action=jump chain=input connection-state=new in-interface-list=WAN \
    jump-target=SYN-Protect protocol=tcp tcp-flags=syn
add action=return chain=SYN-Protect connection-state=new limit=200,5:packet \
    protocol=tcp tcp-flags=syn
add action=drop chain=SYN-Protect connection-state=new protocol=tcp \
    tcp-flags=syn
add action=drop chain=input comment="1.4. Protected - Ports Scanners" \
    src-address-list="Port Scanners"
add action=add-src-to-address-list address-list="Port Scanners" \
    address-list-timeout=none-dynamic chain=input in-interface-list=WAN \
    protocol=tcp psd=21,3s,3,1
add action=accept chain=input comment=VPN dst-port=1701,500,4500 \
    in-interface-list=WAN protocol=udp
add action=accept chain=input protocol=ipsec-esp
add action=accept chain=input comment=WinBox dst-port=1891 in-interface-list=\
    WAN protocol=tcp
add action=accept chain=input comment="1.8. Access Normal Ping" icmp-options=\
    0:8 in-interface-list=WAN limit=50/5s,2:packet packet-size=100 protocol=\
    icmp
add action=drop chain=input comment="1.9. Drop All Other" in-interface-list=\
    WAN
/ip firewall nat
add action=masquerade chain=srcnat out-interface=bridge2-WAN src-address=\
    192.168.10.0/24
add action=masquerade chain=srcnat out-interface=bridge2-WAN src-address=\
    192.168.11.0/24
add action=masquerade chain=srcnat comment=KMIAC dst-address-list=VPNKmiac \
    out-interface=pptp-KMIAC src-address=192.168.10.0/24
add action=masquerade chain=srcnat comment=MIAC dst-address-list=VPNKmiac \
    out-interface=pptp-KMIAC src-address=10.0.0.0/8
/ip firewall raw
add action=drop chain=prerouting dst-port=137,138,139 in-interface-list=WAN \
    protocol=udp
/ip route
add distance=2 dst-address=10.0.0.0/8 gateway=13.0.0.1
add distance=2 dst-address=13.0.0.0/8 gateway=13.0.0.1
add distance=2 dst-address=192.168.1.0/24 gateway=13.0.0.1
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set winbox address=192.168.10.0/24 port=1891
set api-ssl disabled=yes
/ip upnp interfaces
add interface=bridge2-WAN type=external
add interface=bridge1-LAN type=internal
/tool mac-server
set allowed-interface-list=LAN

2. Так и есть DHCP клиент висит на бридже. у билайна для приставки там своя авторизация идет, я включил из в мост со входом, чтобы не мешать работать.

3. Правила NAT я делал не с интерфейсами, а интерфейсными листами(кроме рабочего ВПН), чтобы в случае чего немного подправить, не лезть везде и всюду.

4. да, я был удивлен, когда в воскресенье вечером решил поработать, связи с раб.серверами нет, при входе в инет потребовалась веб авторизация. при этом с утра все было в порядке.
5. провайдер говорит, что микротики они не знают, настроек под них нет, но зато любезно сообщили используемый размер пакета MTU. повесил на WAN мост.

Вот еще мысли, может скайп пустить чрез рабочий ВПН?

а) то что Вы НАТ описали адрес-листами интерфейсов, правильно и похвально,
но факт остаётся фактом, за адрес-листом то стоит явный интерфейс,
поэтому я на всякий случай и сказал как должно быть.

б) попробуйте всё же способ как я советовал - чисто через компьютер.
То есть сделать всё правильно: подключить комп к провайдеру,
пройти авторизацию, убедиться что всё работает (сайты, ютуб и так далее)
и уже запустить скайп и посмотреть что да как.
Если и тут не будет работать, можно создавать претензию провайдеру,
так как роутера нет, и тут никак они не могут что-то возразить.
Если без роутера на компе не работает скайп - вина провайдера явно прослеживается.
(надеюсь что скайп у Вас последней или предпоследней версии, а не год и не двух годовалый).

С фильтрацией icmp разберитесь.

Vlad-2 писал(а): ↑20 апр 2020, 05:10 попробуйте всё же способ как я советовал - чисто через компьютер.

Как выяснилось опытным путем, что некоторое время после перезагрузки скайп работает через роутер, когда прописал MTU, но на след.день ситуация повторилась - не принимает и не отправляет сообщения, при этом говорит, что подключен. На длительное время провод воткнуть в комп - меня родные четвертуют. И так сидят в 4 стенах, еще и без ТВ с инетом оставить.

easyman писал(а): ↑21 апр 2020, 12:20 С фильтрацией icmp разберитесь.

можно тут чуть подробнее?

icmp разрешите.

попробуйте поставить скайп на телефон, и подключитесь через WiFi на том же микротике.

И тут почитайте.

https://answers.microsoft.com/ru-ru/sky ... d414c9c1ad

easyman писал(а): ↑21 апр 2020, 16:18 icmp разрешите.

так он разрешен же

Код: Выделить всё

add action=accept chain=input comment="1.8. Access Normal Ping" icmp-options=0:8 in-interface-list=WAN limit=50/5s,2:packet packet-size=100 protocol=icmp

Erik_U писал(а): ↑21 апр 2020, 16:18 попробуйте поставить скайп на телефон, и подключитесь через WiFi на том же микротике.

естественно все установлено и не работает.
насчет host файла мысль, но там только рабочие IP указаны.
Обновления системы большая редкость, т.к. версия LTSB.

Russian Users MikroTik | Форум пользователей MikroTik

IPoE TCP MSS

IPoE TCP MSS

Re: IPoE TCP MSS

Re: IPoE TCP MSS

Re: IPoE TCP MSS

Re: IPoE TCP MSS

Re: IPoE TCP MSS

Re: IPoE TCP MSS

Re: IPoE TCP MSS

Re: IPoE TCP MSS

Re: IPoE TCP MSS