Packet-Flow Diagram: изучаем и понимаем диаграмму движения трафика в Mikrotik

• Вебинар посвящен пакет флоу диаграммам, которые помогают понять, как трафик проходит через маршрутизаторы.  

• Цель - разобраться с диаграммами и использовать их для настройки сложных конфигураций.  

• Официальные диаграммы доступны на сайте Микротик Ком, неофициальные - на канале Мик Трейн.  

• Неофициальные диаграммы могут быть полезны для понимания работы с бриджами и маршрутизацией.  

• Диаграммы описывают поведение трафика внутри маршрутизатора, включая бриджи, процессы и маршрутизацию.  

• Ответы на вопросы в рамках диаграмм помогают понять, как трафик проходит через маршрутизатор.  

• В видео рассматривается работа с бриджем, который является вторым уровнем маршрутизации.  

• Обсуждаются ситуации, связанные с фильтрацией трафика и поднятием трафика до полноценного IP-фаервола.  

• Юс ай пи файервол - дополнительная настройка, позволяющая работать с трафиком внутри IP-фаервола.  

• Используется для обработки пакетов, которые не могут быть обработаны в бридже.  

• Важно понимать, что включение юс ай пи файервола может привести к дополнительной нагрузке на процессор.  

• В бридже происходит процесс маршрутизации пакетов, где они сначала отправляются на вход, затем проходят через процесс бриджинга, где происходит изменение адреса назначения в заголовке пакета, и затем отправляются на вход.  

• В процессе маршрутизации пакеты проходят через различные процессы, включая роутинг, форвардинг и импут.  

• В процессе роутинга, если изменить адрес назначения в заголовке пакета, то поиск в таблице маршрутизации будет происходить по другому адресу.  

• Это может привести к тому, что пакет не будет отправлен по нужному адресу.  

• В форварде пакеты могут быть направлены в два места: в форвард или импут.  

• В импуте пакеты могут быть обработаны с помощью фейервола, который может изменить или пометить поля в заголовке пакета.  

• В форварде перед тем, как попасть в мегал форвард, пакет проходит через тт минус один, что может быть использовано для борьбы с раздачей интернета абонентами.  

• Обсуждение работы с роутерами, включая правила и настройки.  

• Упоминается лень как двигатель прогресса и упрощение работы с роутерами.  

• Коннекшн трекинг - отслеживание соединений и изменение адресов в заголовках пакетов.  

• Дст нат - изменение адресов в заголовках пакетов для внешних подключений.  

• Роутинг - маршрутизация трафика через роутер.  

• Обходное решение маршрутизации для настройки аутпута.  

• Аутпут всегда в таблице мейн, если нет маршрутов в дополнительных таблицах.  

• В видео обсуждаются различные аспекты работы с трафиком в коммутаторах, включая использование скрытых правил и бридж-натов для обработки трафика.  

• Упоминается возможность настройки свич-чипа для максимальной производительности и использования различных настроек для обработки трафика.  

• В видео обсуждаются варианты ускорения обработки трафика, включая использование фаст-патч и фаст-трек.  

• Фаст-патч позволяет ускорить обработку пакетов без дополнительной фильтрации, а фаст-трек позволяет отправлять пакеты на центральный процессор без отключения хард-в-аэрофлота.  

• В видео объясняется процесс работы с ай-писеками, включая их использование в туннелях и отправку пакетов в локальные сети.  

• Упоминается, что в некоторых случаях процесс обработки пакетов может проходить через два круга, включая инпут, расшифровку, при-роутинг и пост-роутинг.  

• В видео обсуждается, как логирование на бридж работает при активном хард аэрофлоде.  

• Упоминается, что при активном хард аэрофлоде, пакет забирает на себя чип, и бридж не получает его.  

• Обсуждается, что для отключения фастрека требуется перезагрузка, а для включения - мгновенное.  

• В видео объясняется, что для VPN-соединений используются импут и аутпут интерфейсы, а также пакеты, проходящие внутри VPN.  

• Обсуждается, как пробросить порты для VPN-соединений.  

• В видео говорится о том, что IP-сек и юпи файервол могут быть использованы для ограничения скорости определенных хостов.  

• Обсуждается, как правильно маркировать пакеты между определенными интерфейсами для дальнейшего ограничения скорости.  

• В видео обсуждаются возможности использования микротика и юпи файервола для обхода защиты суб-провайдеров.  

• Обсуждаются возможности формирования пакетов, которые одновременно попадают под критерии импут и форвард.  

• В видео обсуждается использование NAT (Network Address Translation) в контексте зеркалирования трафика.  

• Пример: сервис, который кидает зеркальный трафик с одного интерфейса на другой, и этот трафик должен быть направлен в виртуальную машину.  

• Проблема: стандартный коммутатор не принимает кадры с чужим MAC-адресом, поэтому необходимо либо включить режим про миски, либо изменить MAC-адрес назначения в заголовке кадра.  

• В роутере ROS 6 это невозможно, в ROS 7 можно использовать нотацию для исходящего порта.  

• В некоторых случаях, когда про миски нет, можно использовать EL2 для изменения номера порта в исходящем пакете.  

• В заключение, автор благодарит зрителей за внимание и обещает опубликовать вопросы и ответы в чате.