[已解決]如何讓數據機下的電腦與MikroTik路由器下的電腦互通??

各位前輩好,
因升級中華電信光纖300M換給我一台H660W後,
Port Forwarding的功能一直有問題(經Y-Fan大指點曾短暫可用過,不過有天突然就完全不通了),
最後決定自己弄台路由器繞過H660W來使用,
購買路由器後架構大約如下(與原本的差異即路由器的位置原本是台交換器)

[已解決]如何讓數據機下的電腦與MikroTik路由器下的電腦互通??

不過碰到了個問題,
以前用交換器所有設備都是同一個網段,
互連與使用網路印表機均沒有問題,
現在改路由器後變成兩個網段,
路由器下的電腦(PC-B1~PC-B7)無法使用網路印表機也無法與PC-A1連通,
請問用靜態路由的方法能解決這樣的問題嗎?
是否需要其他多的接線?(例如需要另一條線連接H660W與路由器兩端的LAN?)
或是有其他建議的做法呢?
不好意思因為對這塊領域還在摸索,
有些知識不太夠,
還請各位前輩指點迷津,
感謝...

補充:
1.H660W曾試著要設靜態路由來測試,但會跳出視窗說是Bridge模式無法設定,想請問H660W能設定嗎?
2.網路印表機跟PC-A1是因為路由器可用PORT不夠多才接在H660W之後,是有想過在路由器下再把原本的交換器接上把所有設備集中,應該就沒這樣的問題,但想說看能不能減少一台設備的使用,也趁機學習一下路由器的一些知識。
可以把CCR1009接到中華電信數據機下面 CCR原本的位置買一台switch來接改成都同網段
打雜的IT人員
szo0214 wrote:
各位前輩好,因升級...(恕刪)

1.將CCR1009與數據機連接的接口,用新增指定數據機網段的地址(192.168.1.254/24)

新增完192.168.0.0/24會知道當連接192.168.1.0/24時,需往192.168.1.254方向搜尋.

2.新增數據機路由表的內容,
告知192.168.1.0/24要往192.168.0.0/24連接時,往192.168.1.254方向搜尋即可

interface的欄位因廠商命名的關係有可能是br0 ,也有可能是Lan...不重要,都是相同的.


gfx wrote:
1.將CCR1009...(恕刪)


感謝gfx前輩的回覆,
不過按照此方法設定測試後碰到另一個問題,
從CCR1009下ping或tracert數據機下的設備能通,
但從數據機下的電腦ping或tracert CCR1009下的電腦則不通,
想請教這樣的情況是我可能漏掉了什麼嗎?

數據機設定如下


從數據機下的電腦ping與tracert CCR1009下的電腦的結果


設定192.168.1.254的PORT同時也是PPPOE連線的PORT會有影響嗎?(即只有一條網路線連接數據機與CCR1009)
你要在1009將防火牆打開允許
szo0214 wrote:
感謝gfx前輩的回...(恕刪)
防火牆阻礙的情況:
1.若是用192.168.1.x 對著192.168.0.1(ccr1009) ping不到...
/ip firewall filter新增:


完成後將它往上移至項目0的位置置頂.

2.若是用192.168.1.x 對著192.168.0.1(ccr1009) ping得到,但其它192.168.0.x ping不到...
那是windows防火牆的阻擋,請先將192.168.1.x與192.168.0.x桌機控制台內的防火牆都關閉,再互ping試試.
如果windows防火牆關閉就解決了,只要將對端的網段在防火牆設置例外,就可再重啟防火牆使用了.

3.若是用192.168.1.x 對著192.168.0.1(ccr1009) ping得到,但其它192.168.0.x ping不到,
關閉windows防火牆也沒成效,那問題則又回到ccr1009
/ip firewall filter新增:


遮罩注意我標的是/23 ,不是/24...別弄錯了!
新增完將它往上移至項目1的位置置頂,然後兩網段再彼此做連接測試.

設定192.168.1.254的PORT同時也是PPPOE連線的PORT會有影響嗎?
不會有影響,網卡本來就可以切割多個虛擬網卡,
而且這正也是RouterOS的長處,尤其您用的還是ccr1009這樣的旗艦路由器.

gfx wrote:
防火牆阻礙的情況:
1...(恕刪)


再次感謝gfx前輩的回覆,
我的狀況是第二種,
設定了CCR1009下Windows電腦的防火牆後就能從數據機下的電腦ping過來了。

不過想請教幾個觀念的問題:
1.開通CCR1009下的電腦防火牆,
需在遠端IP位置設定192.168.0.1或預設閘道才能通,

若在"此IP位置或子網路"設數據機下電腦的網段192.168.1.0/24則無法通,
不過防火牆不是應該要設定的是要允許那些IP連入的網段嗎?

2.雖然第三步驟沒用到,
不過另請教那樣的設定看起來是要允許192.168.0.0~192.168.1.255間能互相forward,
若網段並非連續(例如192.168.0.0/24與192.168.2.0/24),
這樣的情況下是需要設成兩條規則(src 192.168.0.0/24 dst 192.168.2.0/24與src 192.168.2.0/24 dst 192.168.0.0/24)對嗎?
或是需要設到四條規則(src 192.168.0.0/24 dst 192.168.0.0/24、src 192.168.0.0/24 dst 192.168.2.0/24、src 192.168.2.0/24 dst 192.168..0/24與src 192.168.2.0/24 dst 192.168.2.0/24)呢?

觀念不夠清楚的地方還請gfx前輩百忙中再指教,
謝謝。
szo0214 wrote:
再次感謝gfx前輩...(恕刪)

1.Windows防火牆的輸入/輸出做的很爛,新手定義常混淆..
假設電腦ip為192.168.1.100 ,
若是在輸入規則新增設定:
您要本地地址輸入:192.168.1.100 ,遠端地址輸入:192.168.0.0/24 ,並同意開放!!
若是在輸出規則新增設定:
您要本地地址輸入:192.168.0.0/24 ,遠端地址輸入:192.168.1.100 ,並同意開放!!
這兩種差別在於誰要當"來源",誰要當"目的"...以上兩種二選一設置即可.

若觀念還是轉不過來,
那不管輸入或輸出規則,本地或遠端,都給填上192.168.0.0/23 就不會犯錯啦!!


2.Router上的話,區分為Router 與Router以外的裝置.
Router的設置,在設置最上方,chain有input與output可選擇.
選擇chain=input ,就代表Router是在dst-address(目地地址)的位置,
所以192.168.1.0/24自然要放在src-address(來源地址).

選擇chain=output ,就代表Router是在src-address(來源地址)的位置,
所以192.168.1.0/24自然要放在dst-address(目的的址).

因RouterOS預設防火牆多著重在chain=input ,沒有chain=output
除非您防火牆有針對chain=output的封鎖,不然不用刻意開放.
Router以外的裝置,則一律用chain=forward規劃.
就來源(src-address)往目的(dst-address)方向設置即可.

但注意192.168.0.0/24中,192.168.0.1是Router地址.
這規則會對192.168.0.1沒作用,
因為192.168.0.1(Router)只有chain=input或output時能影響它.


-----------------------------------
如果ccr1009管理的是跳多個地址或網段,到/ip firewall address-list新增:

像上圖Lan我就新增了3個網段 ,這個Lan就代表這3個網段的群組.

然後接下就可以用群組代替地址,在設定的第二頁..

這樣就解決您的疑惑了

但注意使用了address-list ,第一頁的address就不要輸入了.
若是啟用address-list,第一頁的address又輸入地址...

如果是設在來源(src),
就代表代規則需地址同時符合src-address與src-address-list條件才能被觸發.
-----------------------------------
另外,設定的每個欄位前都有個方框...點一下會出現驚嘆號"!".
那是invert(反向器),使用的話會變成符合條件時不成立.

這時候反而address與address-list搭配就很有用.
假設address-list的Lan置放了192.168.0.0/23 ,但address設了192.168.1.100並加上反向器.

這規則就成了除192.168.1.100以外,其他192.168.0.0/23內的地址都算數.

gfx wrote:
1.Windows防...(恕刪)


感謝gfx前輩的解說,
經您解說清楚多了!!
文章分享
評分
評分
複製連結

今日熱門文章 網友點擊推薦!