MikroTik über LBS steuern | Edomi

[jonofe]

Brainstorming und nur für den Fall, dass Du es selber spannend für Dich findest

Ich hab was Besseres, nämlich eine Möglichkeit wie genau das funktioniert, was du möchtest und zwar ohne Anpassung des LBS.
Die Magie passiert über ein Skript, welches ja nicht als API Call sondern lokal als CLI im Mikrotik ausgeführt wird:

/ip firewall filter enable [find comment~"<DEIN SUBSTRING>"];
/ip firewall filter disable [find comment~"<DEIN SUBSTRING>"];

Dies (de)aktiviert Regeln anhand des regulären Ausdrucks <DEIN SUBSTRING>. Also in dem oben genannten Fall:

ENABLE:

/ip firewall filter enable [find comment~"EDOMI_AB4711"];

DISABLE:

/ip firewall filter disable [find comment~"EDOMI_AB4711"];

Diese Befehle kannst du einfach an den EXEC Eingang E9 senden und es sollte so funktionieren, wie oben beschrieben.

vento66 : Ist es eigentlich Absicht, dass die Code Tags plötzlich in winziger Schrift angezeigt werden. Ich muss jetzt immer meine Brille anziehen, um das noch lesen zu können.

[saegefisch]

ggf. mit RouterOS7

der war gut... ich habe schallend gelacht...ROS7 ist seit soooo vielen Jahren Vapo-Ware...

Spaß beiseite...immerhin sieht es seit ein paar Monaten so aus, dass ROS7 nun tatsächlich irgendwann mal kommt..das wäre fein und es wäre auch fein, wenn sie das Thema meiner Anfrage so lösen ließe. Da ich aber keine Ahnung habe, wie lange RO7 noch auf sich warten lässt, werde ich wohl bis dahin die relevanten FW-Regeln eindeutig benennen müssen... :-/ Sind aber nur ein ein paar und kein wirkliches Problem. Und zur Not könnte man sich ja auch ein/mehrerer Scripte auf dem MT machen, die man stattdessen ausführt.

Brainstorming und nur für den Fall, dass Du es selber spannend für Dich findest, nicht auch bis ROS7 zu warten: Könnte man sich nicht alle Regeln als Liste an den LBS liefern lassen (vielleicht nicht jedes Mal, aber z.B. 1x täglich und remanent vorhalten) und edomi-seitig per Regex darin suchen und dann den MirkoTik mit dem vollständigen Kommentar (oder ID) die Regel umschalten lassen?

Aber auf jeden Fall schon mal lieben Dank für Deine Mühe und Forschung, die Du damit hattest...

[jonofe]

Jetzt würde ich mir gern ein Telegram schicken, wenn die Verbindung mit NordVPN besteht, oder eben nicht.

Was meint ihr dazu, wie man dass am besten umsetzen könnte?

Man könnte eine statische Route für eine spezielle IP definieren. Und diese dann über den Hostcheck-LBS überwachen.

Bsp: Du hast eine NordVPN Verbindung nach Indien.
Dann könntest du also statische Route so definieren, dass z.B. die IP eines speziellen Servers in Indien immer über die VPN Verbindung geroutet wird. Dann geht natürlich jedes PING zu diesem Server immer über deine VPN Verbindung. Wenn der Server antwortet, dann ist sowohl deine VPN Verbindung als auch der Server verfügbar. In diesem Beispiel könntest du die IP eines NordVPN Server in Indien nehmen, also z.B.

Name: in56.nordvpn.com
Address: 165.231.253.91

Das heisst du musst folgenden Befehl auf dem MT ausführen:

/ip route add gateway=<DEIN-NordVPN-Gateway-Name> dst-address=165.231.253.91

Danach geht jedes Ping aus deinem Netz an die 165.231.253.91 über deine NordVPN Verbindung.

[jonofe]

muss man eigentlich den genauen Kommentar übergeben oder gibt es eine Möglichkeit nur einen enthaltenen String zu suchen?

ja das macht Sinn und sollte mit wenig Aufwand umsetzbar sein.

Leider zu früh gefreut. Die API gibt das leider nicht her. Das Filtering wird nicht in PHP des LBS gemacht sondern auf dem MikroTik Router. Dort ist im Terminal RegExp Matching verfügbar, nur leider wurde dies in die RouterOS-API nicht integriert. Somit ist das leider nicht kurzfristig machbar. Habe am im Mikrotik Forum gelesen, dass es ggf. mit RouterOS7 kommen soll. In der gerade hochgeladenen Version 1.3 gibt es zwar den entsprechenden neuen Eingan E21, dieser funktioniert aber noch nicht.

[stonie2oo4]

Ich nutze seit kurzem NordVPN und route einige Clients darüber,.
Danke an André für den Tipp.

Jetzt kam es leider mal aus unerklärlichen Gründen vor, dass die VPN Verbindung nicht mehr lief. Hab es dann irgendwann mal zufällig gemerkt.
Jetzt würde ich mir gern ein Telegram schicken, wenn die Verbindung mit NordVPN besteht, oder eben nicht.

Als erstes dachte ich an diesen tollen Mikrotik LBS, ob man dies darüber vielleicht abfragen könnte.
Aber ich bin mir grad nicht sicher ob es nicht besser wäre, dass im Router iwie selbst abzufragen und dann ein Remote-KO zu triggern.

Ich hab jetzt schon ein paar Scripts gefunden, die so was ähnliches machen, also ne E-Mail schicken wenn die Verbindung fehlschlägt.
Aber diese Scripts setzten alle ne IP voraus, aber ich denke die IP des VPN-Anbieters wird ja nicht fix sein...


Was meint ihr dazu, wie man dass am besten umsetzen könnte?

[saegefisch]

Hi André,
die Antwort "sorry, geht nicht" wäre ebenso okay gewesen...
Aber so ist's natürlich besser, dass es nachvollziehbar und lösbar ist...
Wegen mir aber keine Eile.

[jonofe]

oder gibt es eine Möglichkeit nur einen enthaltenen String zu suchen?

Hi Carsten,
ja das macht Sinn und sollte mit wenig Aufwand umsetzbar sein.
Kommt dann in Kürze.

[saegefisch]

Code:

/ip firewall filter|comment|<Dein FW Regel Kommentar>
Hiermit wird die Firewall Regel, welche den Kommentar <Dein FW Regel Kommentar> hat, aktiviert bzw. deaktiviert, je nach dem auf welchen Eingang du den Befehl sendest.

Hallo André,
muss man eigentlich den genauen Kommentar übergeben oder gibt es eine Möglichkeit nur einen enthaltenen String zu suchen?

Hintergrund: Im MT kommentiere ich gerne auch mal etwas mehr, damit ich später noch genau weiß, welchem Zweck es dient. Der Kommentar ist nicht nur mal etwas länger, sondern ändert sich auch mal. Das müsste ich dann in edomi stets nachziehen.

Wenn ich aber bei relevanten FW-Regeln einen spezifischen und eindeutigen String einbauen könnte (z.B. "EDOMI_AB4711"), für enable/disable, wäre das sehr hilfreich und kombiniert das Beste aus beiden Welten (eindeutig schaltbar aus edomi trotz "lebendiger" Kommentare im MT)

[jonofe]

V0.3 funktioniert wunderbar

freut mich zu hören.

[saegefisch]

Hallo André,

endlich getestet: V0.3 funktioniert wunderbar mit <clear>. Danke!

VG, Carsten

[saegefisch]

Klasse! Bin allerdings im Hotel unterwegs...geht erst am Mittwoch Abend...

[jonofe]

Aber keine Eile wegen mir

Wenn ich solche Kleinigkeiten nicht sofort mache, dann geraten sie wieder in Vergessenheit.
Einfach mal die v0.3 ausprobieren. Ich habe nur kurz getestet. Falls es Probleme gibt, einfach hier melden.

[saegefisch]

Das hört sich passgenau für unterschiedliche Szenarien an...perfekt!

Aber keine Eile wegen mir, ich kann kann wunderbar an tausend anderen Stellen meines edomi-Neubaus weiter machen..

[jonofe]

Genau, in der Liveansicht siehst du ja immer solange den Wert, bis was neues ausgegeben wird und das ist ja genau dein Problem. Der LBS gibt es nur einmal aus, danach bleibt es aber stehen und somit im nachgelagerten iKO. Also wäre mein Plan jetzt wie folgt:

1. Neuer Eingang E12 "Reset-Content"
2. Wenn Reset-Content nicht gesetzt, dann kein Reset der Ausgänge (Default)
3. Wenn Reset-Content gesetzt, dann Reset der Ausgänge mit dem String des Reset-Content Eingang
4. Wenn Reset-Content = '<clear>', dann Reset der Ausgängen mit leerem String ' ' (ohne Leerzeichen)
5. Default Belegung des Reset-Content Eingang: leer (unbelegt), somit würde beu Update das aktuelle Verhalten nicht geändert und der LBS wäre abwärtskompatibel

Dein beschriebenes Szenario würdest du dann mit <clear> an E12 lösen. Einverstanden?

[saegefisch]

hm, im oben Screenshot oben sieht es für mich im nachgelagerten LBS so aus, als wenn der Ausgang noch die MAC enthält. Sollte ich den Live-View falsch interpretiert haben?
Wo ich so drüber nachdenke - Du hast recht, für meinen Zweck ist kein Telegramm keine Option, weil das KO oder LBS danach unverändert bleibt - genau das zeigt ja der Screenshot. Sorry, Also ja: ich brauche <clear>, also ein leere Ausgabe und <noout> ist bereits der default.