LEXXA: Jo, ja se zapomnel zeptat, co mi unika :-)

KUTNY: kdyby to bylo tak easy :))
mam dhcp clienta ktery si bere adresu a ten je (use-peer-dns=no), /ip dns jsem rucne nastavil aby pouzival localhost a opendns masiny. ale! potrebuji aby jedno konkretni zarizeni v dhcp poolu dostavalo dns od providera. zatim dobry
v ip dhcp-server options jsem nastavil option 6 a jedou adresou. otazkou je jak tam dotlacit druhou se stehnym optionID

AHARAZ: když tam hodím tohle pravidlo tak vidím že se při pingu načítaj pakety, nicméně zpátky už to neprojde.

Nat tam samozřejmě je. action=masquerade chain=srcnat src-address=192.168.1.0/24

LEXXA: /ip dhcp-server network set 0 dns-server=192.168.88.1,192.168.88.2 ?

dle toho tveho obrazku bych zkusil pravidlo na forward z 192.168.20.1 do 192.168.1.0/24 a teda jeste si rikam zda tam nemas nat/maskaradu nebo jestli to byl ping z mikrotiku na mikrotik

rychla otazka.
mam dhcp server. definuji si option (6,'1.2.3.4')
nenapa vas jak definovat druhou dns ip?

AHARAZ: Udělal sem je na obou MT a zatímco u mě vidím, načítání paketů tak na 750 ani ťuk.

Házím sem export z 750, třeba tam je někde nějaká zjevná bota, ale já nic nemůžu najít.

• 750.txt

Udelej si tam pravidlo na forward z jedne site do druhe, at vidis aspon, ze do toho pravidla neco pada. Treba najdes co to pozira... Pokud by to bylo firewallem...

AHARAZ: Jo je to tak jak píšeš, z 10.x si pingnu jen na bránu 192.*, ale je to pouze jednostraný. Z 192.x si pingnu kamkoliv na 10.x Přičemž pravidla firewallu i všechno ostatní je na obou MK totožný.

PISTA1: Firewall a rozdil mezi inputem a forwardem? Teda strilim od boku, nemam uplne na to ted pochopit cely problem z probehle komunikace.
Ted nevim jestli to popisu pochopitelne, ale v konfiguraci: LAN1 10.0.0.0/24 s IP Mikrotiku 10.0.0.1, LAN2 192.168.1.0/24 s IP Mikrotiku 192.168.1.1
Muzes i pri zakazanem forwardu pingnout z libovolneho zarizeni v 10.0.0.0/24 na 192.168.1.1, ale na zarizeni za mikrotikem v 192.168.1.0/24 si uz nepingnes...

ARKIN: proxy arp se zapina pro intervlan routing u ppp

DELVIT: jo to kdybych tušil, sedím nad tím celej den a už prostě nevím proč.
pinkám na bránu .254 a zároveň na AP .200 V connections vidím oboje. Ale jen u brány tečou data a odpovídá mi.

PISTA1: to mě také čeká. Tak určitě napiš kde je problém.

ARKIN: no jestli na obou stranach je verejna tak je to easy az primitivni.

/interface eoip
name="toPraha" mtu=1376 actual-mtu=1376 l2mtu=65535 mac-address=02:9C:02:7B:2B:FA arp=proxy-arp arp-timeout=auto loop-protect=default loop-protect-status=off 
      loop-protect-send-interval=5s loop-protect-disable-time=5m local-address=1.2.3.4 remote-address=4.3.2.1 tunnel-id=0 dscp=inherit clamp-tcp-mss=yes 
      dont-fragment=inherit allow-fast-path=yes 

/ip address
172.16.2.1/30      172.16.2.0      toPraha
/ip route
3 ADC  172.16.2.0/30      172.16.2.1      toPraha
5 A S  172.16.3.0/28      172.16.2.1      172.16.2.2
/ip ipsec peer
address=172.16.2.2/32 local-address=172.16.2.1 auth-method=pre-shared-key secret="strasne_slozite_heslo" generate-policy=no policy-template-group=default exchange-mode=main send-initial-contact=yes nat-traversal=no proposal-check=obey hash-algorithm=sha1 enc-algorithm=aes-256 dh-group=ec2n185 lifetime=1d dpd-interval=2m dpd-maximum-failures=5 
/ip ipsec proposal
name="Brno-Praha" auth-algorithms=sha256 enc-algorithms=aes-256-cbc lifetime=10m pfs-group=ec2n185
/ip ipsec policy
src-address=172.16.2.1/32 src-port=any dst-address=172.16.2.2/32 dst-port=any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=no 
       proposal=Brno-Praha ph2-count=1

LEXXA: hele nevim.. se v tom zas tak neorientuju.. delal jsem to podle toho navodu - viz link nize..
PISTA1: tak to uz asi neporadim.. pamatuju si, ze sem se v tom par dni hrabal, nez mi to vsechno jelo..

ARKIN: tohle delas protoze klient nema verejnou ip nebo proc?
jinak mne se docela vyplatilo do gateway dat konkretni ip nez jmeno ifacu

ARKIN: nemám a nastavení nepomohlo

PISTA1: a mas u klienta: bridge> ARP: proxy-arp ?

bude to nějaký nastavení u klienta, protože když trasuju z kienta tak je to lokální brána - remote IP tunelu - IP zařízení
když to vezmu z druhý strany tak skončím na remote IP tunelu

PISTA1: Koukni jeste do toho navodu neco ohledne proxy arp.. Myslim, ze i v nastaveni bridge..