Напоминание об оплате

[Serega]

На микротике есть inetuser которые ходят в инет(192.168.0.0./24).
Кто-то не уплатил ,стал не inetuser'ом,
как не inetuser'ов завернуть на страничку на локальной машине(ex.192.168.0.99),
где и будет Напоминание об оплате (так мол и так нада платить)?

10x.

[DRIVS]

перенаправление странички тоже было гдето на форуме по иши я уже не помню.

[serii]

dst-nat, peredresovivaesh vsio na odin adres i 80 port naprimer .... i kuda bi neobrashialsia komp clienta evo vivodit na 192.168.0.99:80.

[Serega]

перенаправление странички тоже было гдето на форуме по иши я уже не помню.

Да всё обыскал-нету!

dst-nat, peredresovivaesh vsio na odin adres i 80 port naprimer .... i kuda bi neobrashialsia komp clienta evo vivodit na 192.168.0.99:80.

сделал так-не работает,тоесть адресс вылавливает но не куда не перенаправляет
(на долго задумавается.........и невоможно отобразить страницу)

[serega@MikroTik] ip firewall nat> print
Flags: X - disabled, I - invalid, D - dynamic

0 chain=srcnat out-interface=mir action=masquerade

1 chain=dstnat src-address=192.168.0.0/24 protocol=tcp dst-port=80
src-address-list=!inetuser action=dst-nat to-addresses=192.168.0.99
to-ports=80

10x,ALL

[serii]

перенаправление странички тоже было гдето на форуме по иши я уже не помню.

Да всё обыскал-нету!

dst-nat, peredresovivaesh vsio na odin adres i 80 port naprimer .... i kuda bi neobrashialsia komp clienta evo vivodit na 192.168.0.99:80.

сделал так-не работает,тоесть адресс вылавливает но не куда не перенаправляет
(на долго задумавается.........и невоможно отобразить страницу)

[serega@MikroTik] ip firewall nat> print
Flags: X - disabled, I - invalid, D - dynamic

0 chain=srcnat out-interface=mir action=masquerade

1 chain=dstnat src-address=192.168.0.0/24 protocol=tcp dst-port=80
src-address-list=!inetuser action=dst-nat to-addresses=192.168.0.99
to-ports=80

10x,ALL

poprobui pereadresui na kakoinibut vneshnii adres! posmotri esli rabotaet! Esli da to router ne mojet obratitsia v seti! Ia tak delal no ne na lokalinii adres.

[Serega]

а вот так работает:

[serega@MikroTik] ip firewall nat> print
Flags: X - disabled, I - invalid, D - dynamic
0 chain=srcnat out-interface=mir action=masquerade

1 chain=dstnat dst-address=86.106.x.x protocol=tcp dst-port=80
action=dst-nat to-addresses=192.168.0.99 to-ports=80

2 chain=srcnat src-address=192.168.0.99 action=src-nat
to-addresses=86.106.x.x to-ports=80-500

3 chain=dstnat src-address=192.168.0.0/24 protocol=tcp dst-port=80
src-address-list=!inetuser action=dst-nat to-addresses=192.168.0.99
to-ports=80-500

[Igoras]

Serega,
чешем левой пяткой правое ухо....

зачем порты 81-500? и зачем тройной нат... хз.....

а ваще надо такую фигню у себя поднять а на страничке скриптик который по ипу из базы еще и долг показывает.... подарите мне отпуск на месяц наедине с компом, без друзей и девушки и без доступа на башорг..... ну хотя бы на недельку....

последний раз в результате этого было исследование скорости раид0 массива из 2 сата2 винтов на контроллере встроенном в мамку на системе атлон3000/1024рам.. ОС вынь2к3, линух федора 6 и фрибсд 6.2... и было это год назад иээхх

[Serega]

1)чешем левой пяткой правое ухо....

2)зачем порты 81-500?

3)и зачем тройной нат... хз.....

а ваще надо такую фигню у себя поднять а на страничке скриптик который по ипу из базы еще и долг показывает....

1)Дык....спрашивал ведь-как сделать(ответа не получил)

2)На локальной машине установлен HFS(Http file server)
наверное у него специфика работы такая (если на 80 порт-неработает,а 80-500 работает на ура)

3)всех с мира пускать на локал сервер(т.е.из вне без лимита),
а из локалки тоже всех пускать ,но не inetuser принудительно заворачивать и без инета(с возможностью шарохаться по серваку)
(кстати работает!!!!)

За внимание к вопросу-спасибо

[Igoras]

Задумался над этим вопросом.. сделал сперва ариант как у тебя в самом начале.. самый логичный... естественно, не заработало, потом подумал и понял почему...

сделал по-другому.. и кажется так интереснее...

Код: Выделить всё

 /ip firewall nat

chain=dstnat in-interface=LAN src-address=192.168.52.0/22 protocol=tcp 
dst-port=80 src-address-list=!INET dst-address-list=!Local 
action=dst-nat to-addresses=192.168.52.254 to-ports=3128 

/ip proxy print 

enabled: yes
src-address: 192.168.52.254

/ip proxy access print detail  

src-address=192.168.52.0/22 action=deny 
redirect-to="starushka.net/disabled.php"

поясняю: все кто не в листе инет редиректятся на локальный прокси, который хоть и левый, но зато умеет делать хттп-редиректы редиректит на сервак, страничку про то, что инет отключен...
пока там только текст, в планах сделать базу и отображение суммы задолженности прямо на странице...

Добавлено спустя 5 минут 10 секунд:

Забыл добавить, что в фаере в конце еще правило чтобы все, кто не в листе инет дропались в чейн=форвард, ин-интерфейс=лан =) иначе у людей не будет работать только 80 порт на инет, а все остальное отлично будет )

[Вадим]

Igoras,
а у тебя какая версия МТ? что-то я копался в прокси и не нашёл там фунции редиректа...

Добавлено спустя 2 минуты 17 секунд:

усё, вопрос отпал... )) Нашёл. Вэб прокси )

Добавлено спустя 1 час 16 минут 52 секунды:

Хотя не, не отпал... ложная информация. Вопрос всё ещё актуален!

[Igoras]

MT 2.9.27
webproxy-test

[Вадим]

может я какой волшебной кнопочки не вижу?

Добавлено спустя 2 минуты 25 секунд:

по ходу webproxy-test не является webproxy...

[Igoras]

Вот оно... компонент можно выбрать вообще-то при инсталле или проапдейтить готовый мт... на диске оно есть...

[Вадим]

Igoras,блин, так и думал... Слушай, а без диска никак его не проапгрейдить?

[Igoras]

Файл с аттача расархивировать и залить в Файлс. отрубить вебпрокси в пекеджах и перегрузить рутер....

[Вадим]

пасиб. Ущёл эксперименты ставить.

Добавлено спустя 48 минут 3 секунды:

И таки сработало ))
Кстати, где пакеты достать? Я порыскал, но на 2.9.27 не нашёл...

Добавлено спустя многие годы:
Работает!! Изумительно!!

[Bojik]

Метод предлженный тут, конечно интересный... както мне тоже нужно было так сделать, долго мучался, но в конце концов получилось...

Код: Выделить всё

     chain=dstnat action=dst-nat to-addresses=192.168.0.7 to-ports=80 
     protocol=tcp src-address-list=Neachitat in-interface=ether2 
     dst-port=10-44300 

Здесь он бросает тех кто в address-list=Neachitat на комп на котором хттп...
Только на него идёт много говна.... и я ещё добавил..

Код: Выделить всё

 chain=forward action=drop p2p=all-p2p src-address-list=Neachitat in-interface=ether2 

чтоб хотябы П2П не лезли на веб сервер, а то он итак сильно матюкается...

[Igoras]

ну, если б dst-port=10-44300 было dst-port=80, говна бы шло меньше по другим портам редко лезут браузером...

Кстати, а так работает без обратного предбразования срц-натом? хотя может оно как-то делается общим срц-натом который для инета... но без срц-ната это правило работать не будет, потому что пакеты идут так:
1. клиент отсылает запрос куда-то на ввв.ру
2. МТ замечает что клиент в нехорошем адрес-листе и подменяет адрес ввв.ру на 192.168.0.7:80
3. веб-сервер на 0.7 ловит запрос и отвечает клиенту (на его исходный адрес)
4. клиент получает ответ от сервера 0.7, и отбравсывает, потому что никаких запросов на установление соединения он не слал.

[BuTaMuH]

Вот через проксю по схеме предложенной ранее Igoras-ом. Более подробно.
1.Настраиваем Веб-прокси.

Код: Выделить всё

/ip proxy
set always-from-cache=no cache-administrator=webmaster cache-hit-dscp=4 \
    cache-on-disk=no enabled=yes max-cache-size=none max-client-connections=\
    1000 max-fresh-time=3d max-server-connections=1000 parent-proxy=0.0.0.0 \
    parent-proxy-port=0 port=3128 serialize-connections=no src-address=\
    192.168.0.20

2. Добавляем правило в Nat-e которое бы перенаправляло все запросы по 80 порту в Интернет от должников на порт прокси -3128. Правило должно быть выше основного правила ната.

Код: Выделить всё

/ip firewall nat> 
add action=dst-nat chain=dstnat comment="Page for debitors" disabled=no \
    dst-address-list=!local dst-port=80 in-interface=LAN protocol=tcp \
    src-address-list=debitors to-addresses=192.168.0.20 to-ports=3128

3. Добавляем правило в фильтр которое бы блокировало весь остальной трафик от должников, правило должно быть ниже разрешающих. Можно прописать и через drop.

Код: Выделить всё

/ip firewall filter> 
add action=reject chain=forward comment="reject debitors" disabled=no \
    dst-port=!80 dst-address-list=!local in-interface=LAN reject-with=\
    icmp-admin-prohibited src-address-list=debitors
add action=reject chain=input comment="" disabled=no dst-port=3128 \
    in-interface=!LAN protocol=tcp reject-with=icmp-network-unreachable

4. Возвращаемся опять к прокси и прописываем редирект всех проходящих через прокси на старничку локального веб-сервера.

Код: Выделить всё

/ip proxy
add action=deny comment="" disabled=no redirect-to=\
    "192.168.0.100/index.php\debitors" \
    src-address=192.168.0.0/24

где 192.168.0.20 - рутер ,
192.168.0.100 веб-сервер,
192.168.0.100/index.php\debitors - адрес веб-странички неплатильщиков
local=192.168.0.0/24

вроде ничего не забыл.

[Igoras]

Неплохо б еще на всякий случай добавить дроп с внешнего интерфейса на локальный порт 3128, чтобы с внешки порт не казался открытым и на него не ломились всякие роботы...

[BuTaMuH]

добавил

[young]

а зачем так заморачиваться ? можно ведь просто на самом мт редиректить тех, кто не в нужном списке, на 80-й порт, но самого же микротика, где вместо его родной странички лежит уже подправленное тобой файло с предупреждением об оплате.
плюсы: не надо заморачиваться с прокси, не надо ставить ещё локальную машину с веб-сервером.
минусы: надо уметь править локальную страницу, нет статистики по задолженности - только обычная страница по твоей фантазии.

[BuTaMuH]

минус в том что нельзя будет лезть на свой веб сервер в локалке где есть форум, новости , объявления, ЧаВо, нельзя будет админить его с работы.

[young]

2 BuTaMuH:
ыыы ... ты название темы прочитай
как бы под то, что требовалось, оно и подходит, ведь так ?

теперь далее - почему нельзя админить с работы ? или ты всё ещё про админство форума и т.п. ?

[BuTaMuH]

Да помню были косяки с форвардом 80 на локальный веб сервер при включённом вебе микротика. Веб я через джумлу сделал. Поэтому админю вэб с внешки по 80-му порту. В принципе, может ты и прав но у большинства сетей есть файловая помойка, и удобнее повесить веб (я и про веб сайт сети, и про страничку неуплаты естесвенно тоже) туда же, на отдельный пк в локалке.