Cache paralelo entre um MK e um BFW

Relembrando a primeira mensagem :

Boa tarde pessoal

Como conssegui colocar um MK e um BFW funcionando belezinha em cascata vou postar aqui o que fiz para quem não ta consseguindo ok

1º

- instale o BFW em um PC com 2 placas de rede
- ligue o PC na placa de rede do BFW e faça as configurações desejadas
- no BFW ainda va em ->configurações ->dns ->configurações coloque um dns de sua preferência(aqui uso 8.8.8.8 e 208.67.220.220) e deixe marcado a opção “Permitir acesso externo aos servidores de resolução de nomes” salve.
- va em ->configurações ->dhcp ->configurações e desative o dhcp salve
- configurações ->portas ->acesso externo e deixe ativado para acesso externo as opções “22-ssh,3128-squid,8181-webmin, adicione mais um acesso externo porta 3129 protocolo todos coloque um nome de sua preferncia”
- configurações -> conexões -> lógica na opção “internet” clique em editar e deixe o tipo de conexão como estático, preencha os campos com sua preferência (aqui usso assim: ip 192.168.201.2 mascara 255.255.255.0 gateway 192.168.201.1) salve
- configurações -> salvar configuraçoes .
- desligue o BFW e retire a placa de rede (geralmente eth0)
- ligue novamente e conecte um cacbo de rede na placa que restou e ligue em uma porta no MK.

2°

Agora no MK
-coloque nome nas suas interfaces (para deixar tudo organizado)
- coloque ip nas interfaces (na interface que vai ligar o BFW deixe assim: 192.168.201.1/30 setado na interface do BFW)
- crie a rota para internet
- va no terminal e adicione essas regras:

/ip firewall filter
add action=accept chain=forward comment="Aceita BFW" disabled=no \
src-address=192.168.201.0/30

/ip firewall nat
add action=dst-nat chain=dstnat comment="Redirect BFW Cache" disabled=yes \
dst-port=80 protocol=tcp src-address=”coloque o ip da placa de seus clientes” to-addresses=\
192.168.201.2 to-ports=3129

/ip firewall mangle
add action=mark-connection chain=postrouting comment="BFW CACHE FULL =====\
==========================================================================\
=======================" content="X-Cache: HIT from BFW Cache" disabled=no \
new-connection-mark=bfw-connection passthrough=yes protocol=tcp \
src-address=192.168.201.2
add action=mark-packet chain=postrouting comment="" connection-mark=\
bfwcache-connection disabled=no new-packet-mark=bfwcache-packs passthrough=\
yes
add action=mark-connection chain=postrouting comment="TOS 12==================\
==========================================================================\
=========================" disabled=no dscp=12 new-connection-mark=\
proxy-hits passthrough=yes protocol=tcp src-address=192.168.201.2
add action=mark-packet chain=postrouting comment="" connection-mark=\
proxy-hits disabled=no new-packet-mark=proxy-squid passthrough=yes

/queue tree
add burst-limit=0 burst-threshold=0 burst-time=0s disabled=no limit-at=0 \
max-limit=100M name="T -cache_hits" packet-mark=proxy-squid parent=\
global-out priority=4 queue=default
add burst-limit=0 burst-threshold=0 burst-time=0s disabled=no limit-at=0 \
max-limit=100M name=BFW Cache packet-mark=bfwcache-packs parent=\
global-out priority=4 queue=default

/ip firewall address-list
add address=69.147.95.0/24 comment="\"\"\"\"YAHOO MAIL\"\"\"\"" disabled=no \
list=nobalance
add address=209.191.106.0/24 comment="\"\"\"\"YAHOO MAIL\"\"\"\"" disabled=no \
list=nobalance
add address=74.6.228.0/24 comment="\"\"\"\"YAHOO MAIL\"\"\"\"" disabled=no \
list=nobalance
add address=98.136.131.0/24 comment="\"\"\"\"YAHOO MAIL\"\"\"\"" disabled=no \
list=nobalance
add address=200.143.37.0/24 comment="\"\"\"\"WEBMOTORS\"\"\"\"" disabled=no \
list=nobalance
add address=65.54.0.0/16 comment=MSN1 disabled=no list=nobalance
add address=207.46.0.0/16 comment=MSN2 disabled=no list=nobalance
add address=64.4.0.0/16 comment=MSN3 disabled=no list=nobalance
add address=200.143.0.0/16 comment=Pagdigital disabled=no list=nobalance
add address=201.88.0.0/16 comment=f2b disabled=no list=nobalance
add address=200.201.0.0/16 comment="caixa economica" disabled=no list=\
nobalance
add address=170.66.0.0/16 comment="bb do brasil" disabled=no list=nobalance
add address=200.155.0.0/16 comment=bradesco disabled=no list=nobalance
add address=200.196.0.0/16 comment=itau disabled=no list=nobalance
add address=200.208.0.0/16 comment=sudameris disabled=no list=nobalance
add address=200.220.0.0/16 comment=santander disabled=no list=nobalance
add address=201.63.0.0/16 comment="wwws bradesco" disabled=no list=nobalance
add address=65.55.0.0/16 comment=MSN4 disabled=no list=nobalance
add address=74.52.0.0/16 comment="caixa economica" disabled=no list=nobalance
add address=174.133.0.0/16 comment="caixa economica" disabled=no list=\
nobalance
add address=200.219.137.0/24 comment="" disabled=no list=nobalance
add address=200.252.8.0/24 comment="" disabled=no list=nobalance
add address=201.2.207.0/24 comment="" disabled=no list=nobalance
add address=200.196.226.0/24 comment="" disabled=no list=nobalance
add address=201.24.72.0/24 comment="" disabled=no list=nobalance
add address=78.46.46.139 comment="" disabled=no list=nobalance

/ip firewall nat
add action=accept chain=dstnat comment=\
"\"\"\"\"\"\"Sites FORA DO PROXY\"\"\"\"\"\"" disabled=no \
dst-address-list=nobalance dst-port=80 protocol=tcp

pronto se tudo deu certo abra um navegador e digite o endereço ip do BFW (192.168.201.2:8181) você terá acesso ao webmin do servidor de cachê.
Agora faça o teste você tem um servidor MK controlando a sua rede e um servidor BFW fazendo cachê paralelo.

Agradeço ao Chicao por ter me ajudado e ao Geronimo por ter postado o vídeo cachê full
É isso ai flw pessoal

/ip firewall connection tracking
set enabled=yes generic-timeout=10m icmp-timeout=10s tcp-close-timeout=10s \
tcp-close-wait-timeout=10s tcp-established-timeout=1d tcp-fin-wait-timeout=\
10s tcp-last-ack-timeout=10s tcp-syn-received-timeout=5s \
tcp-syn-sent-timeout=5s tcp-syncookie=no tcp-time-wait-timeout=10s \
udp-stream-timeout=3m udp-timeout=10s
/ip firewall filter
add action=passthrough chain=unused-hs-chain comment="place hotspot rules here" \
disabled=yes
/ip firewall mangle
add action=mark-connection chain=prerouting comment="hotspot full" disabled=no \
new-connection-mark=conn_hotspot passthrough=yes protocol=tcp src-port=\
64872-64875
add action=mark-connection chain=output disabled=no new-connection-mark=\
conn_hotspot passthrough=yes protocol=tcp src-port=64872-64875
add action=mark-packet chain=prerouting connection-mark=conn_hotspot disabled=\
no new-packet-mark=pacotes_hotspot passthrough=yes
add action=mark-packet chain=output connection-mark=conn_hotspot disabled=no \
new-packet-mark=pacotes_hotspot passthrough=yes
add action=mark-connection chain=prerouting comment="CONTROLE P2P" disabled=no \
new-connection-mark=conexao-p2p p2p=all-p2p passthrough=yes
add action=mark-packet chain=prerouting connection-mark=conexao-p2p disabled=no \
new-packet-mark=Pacotes-P2P p2p=all-p2p passthrough=yes
/ip firewall nat
add action=redirect chain=dstnat comment=MANUTENCAO disabled=yes dst-port=80 \
protocol=tcp to-ports=64873
add action=passthrough chain=unused-hs-chain comment="place hotspot rules here" \
disabled=yes
add action=masquerade chain=srcnat comment="masquerade hotspot network" \
disabled=no src-address=192.168.100.0/24
/ip firewall service-port
set ftp disabled=no ports=21
set tftp disabled=no ports=69
set irc disabled=no ports=6667
set h323 disabled=no
set sip disabled=no ports=5060,5061 sip-direct-media=yes
set pptp disabled=no

SR ALVARENGA
respondendo a uma pergunta que voçe me fez sobre os logs de acesso respondo que tem como sim é so ir no squid e ativar os logs depois va em addon e instale o mysar pronto feito isso ja tera os logs de acesso.
lembrando que o armazenamento de logs gera muito recurso do squid entao o ideal será ativar e ir monitorando para ver como fica a navegaçao.
att

vilc olhando meio por cima ja adianto que esta faltando regras ai a noite dou uma olhada com mais tempo e posto o resultado

vilc escreveu:/ip firewall connection tracking
set enabled=yes generic-timeout=10m icmp-timeout=10s tcp-close-timeout=10s \
tcp-close-wait-timeout=10s tcp-established-timeout=1d tcp-fin-wait-timeout=\
10s tcp-last-ack-timeout=10s tcp-syn-received-timeout=5s \
tcp-syn-sent-timeout=5s tcp-syncookie=no tcp-time-wait-timeout=10s \
udp-stream-timeout=3m udp-timeout=10s
/ip firewall filter
add action=passthrough chain=unused-hs-chain comment="place hotspot rules here" \
disabled=yes
/ip firewall mangle
add action=mark-connection chain=prerouting comment="hotspot full" disabled=no \
new-connection-mark=conn_hotspot passthrough=yes protocol=tcp src-port=\
64872-64875
add action=mark-connection chain=output disabled=no new-connection-mark=\
conn_hotspot passthrough=yes protocol=tcp src-port=64872-64875
add action=mark-packet chain=prerouting connection-mark=conn_hotspot disabled=\
no new-packet-mark=pacotes_hotspot passthrough=yes
add action=mark-packet chain=output connection-mark=conn_hotspot disabled=no \
new-packet-mark=pacotes_hotspot passthrough=yes
add action=mark-connection chain=prerouting comment="CONTROLE P2P" disabled=no \
new-connection-mark=conexao-p2p p2p=all-p2p passthrough=yes
add action=mark-packet chain=prerouting connection-mark=conexao-p2p disabled=no \
new-packet-mark=Pacotes-P2P p2p=all-p2p passthrough=yes
/ip firewall nat
add action=redirect chain=dstnat comment=MANUTENCAO disabled=yes dst-port=80 \
protocol=tcp to-ports=64873
add action=passthrough chain=unused-hs-chain comment="place hotspot rules here" \
disabled=yes
add action=masquerade chain=srcnat comment="masquerade hotspot network" \
disabled=no src-address=192.168.100.0/24
/ip firewall service-port
set ftp disabled=no ports=21
set tftp disabled=no ports=69
set irc disabled=no ports=6667
set h323 disabled=no
set sip disabled=no ports=5060,5061 sip-direct-media=yes
set pptp disabled=no

essas regras que postei estão sem as regras de cache....

Esta regra aceita as conexoes para o BFW
/ip firewall filter
add action=accept chain=forward comment="Aceita BFW" disabled=no \
src-address=192.168.201.0/30

esta aqui direciona para o BFW
/ip firewall nat
add action=dst-nat chain=dstnat comment="Redirect BFW Cache" disabled=yes \
dst-port=80 protocol=tcp src-address=”coloque o ip da placa de seus clientes” to-addresses=\
192.168.201.2 to-ports=3129

esta marca os pacotes
/ip firewall mangle
add action=mark-connection chain=postrouting comment="BFW CACHE FULL =====\
==========================================================================\
=======================" content="X-Cache: HIT from BFW Cache" disabled=no \
new-connection-mark=bfw-connection passthrough=yes protocol=tcp \
src-address=192.168.201.2
add action=mark-packet chain=postrouting comment="" connection-mark=\
bfwcache-connection disabled=no new-packet-mark=bfwcache-packs passthrough=\
yes
add action=mark-connection chain=postrouting comment="TOS 12==================\
==========================================================================\
=========================" disabled=no dscp=12 new-connection-mark=\
proxy-hits passthrough=yes protocol=tcp src-address=192.168.201.2
add action=mark-packet chain=postrouting comment="" connection-mark=\
proxy-hits disabled=no new-packet-mark=proxy-squid passthrough=yes

esta limita a velocidade do que sai do BFW
/queue tree
add burst-limit=0 burst-threshold=0 burst-time=0s disabled=no limit-at=0 \
max-limit=100M name=BFW Cache packet-mark=bfwcache-packs parent=\
global-out priority=4 queue=default

esta é para nao ir para o BFW
/ip firewall address-list
add address=69.147.95.0/24 comment="\"\"\"\"YAHOO MAIL\"\"\"\"" disabled=no \
list=nobalance
add address=209.191.106.0/24 comment="\"\"\"\"YAHOO MAIL\"\"\"\"" disabled=no \
list=nobalance
add address=74.6.228.0/24 comment="\"\"\"\"YAHOO MAIL\"\"\"\"" disabled=no \
list=nobalance
add address=98.136.131.0/24 comment="\"\"\"\"YAHOO MAIL\"\"\"\"" disabled=no \
list=nobalance
add address=200.143.37.0/24 comment="\"\"\"\"WEBMOTORS\"\"\"\"" disabled=no \
list=nobalance
add address=65.54.0.0/16 comment=MSN1 disabled=no list=nobalance
add address=207.46.0.0/16 comment=MSN2 disabled=no list=nobalance
add address=64.4.0.0/16 comment=MSN3 disabled=no list=nobalance
add address=200.143.0.0/16 comment=Pagdigital disabled=no list=nobalance
add address=201.88.0.0/16 comment=f2b disabled=no list=nobalance
add address=200.201.0.0/16 comment="caixa economica" disabled=no list=\
nobalance
add address=170.66.0.0/16 comment="bb do brasil" disabled=no list=nobalance
add address=200.155.0.0/16 comment=bradesco disabled=no list=nobalance
add address=200.196.0.0/16 comment=itau disabled=no list=nobalance
add address=200.208.0.0/16 comment=sudameris disabled=no list=nobalance
add address=200.220.0.0/16 comment=santander disabled=no list=nobalance
add address=201.63.0.0/16 comment="wwws bradesco" disabled=no list=nobalance
add address=65.55.0.0/16 comment=MSN4 disabled=no list=nobalance
add address=74.52.0.0/16 comment="caixa economica" disabled=no list=nobalance
add address=174.133.0.0/16 comment="caixa economica" disabled=no list=\
nobalance
add address=200.219.137.0/24 comment="" disabled=no list=nobalance
add address=200.252.8.0/24 comment="" disabled=no list=nobalance
add address=201.2.207.0/24 comment="" disabled=no list=nobalance
add address=200.196.226.0/24 comment="" disabled=no list=nobalance
add address=201.24.72.0/24 comment="" disabled=no list=nobalance
add address=78.46.46.139 comment="" disabled=no list=nobalance

esta valida as regras acima
/ip firewall nat
add action=accept chain=dstnat comment=\
"\"\"\"\"\"\"Sites FORA DO PROXY\"\"\"\"\"\"" disabled=no \
dst-address-list=nobalance dst-port=80 protocol=tcp


cole as regras no new terminal testa e poste o resultado.
as sus regras me parace que esta tudo certo entao nao tem como dar errado
blz

vilc faz um teste onde o usuario nao passe pelo hotspot ou que o profile dele seje em default e veja se é isso

continua a mesma coisa... no bfw a tela de status da internet fica escrito: aguradando conexão..

eita tópico complicado..., kkk

é pq tudo é thunder aí a galera nem s interessa

Não entendi, o título do tópico é "Cache paralelo entre um MK e um BFW" e o cara coloca as regras para configuração em Cascata.

cascata floris?????? onde voçe viu isso?

Pessoal quem utilizou as regras e deu certo?
Posta ai pra gente saber

paulosjbv escreveu:Pessoal quem utilizou as regras e deu certo?
Posta ai pra gente saber

"Boa tarde pessoal

Como conssegui colocar um MK e um BFW funcionando belezinha em cascata vou postar aqui o que fiz para quem não ta consseguindo ok"

em cascata nen precisa de regras é só colocar o BFW antes do MK

qual seria a forma correta?

vilc escreveu:qual seria a forma correta?

Se voce quer apenas fazer cache para "economizar" seu link, pode ser em cascata ou paralelo. Agora, se quer que o conteúdo do cache sai numa velocidade maior que a contratada (cache full), ai tem que ser em paralelo.

de uma olhada so no meu cache
[Tens de ter uma conta e sessão iniciada para poderes visualizar este link]
isso comprova as regras que coloquei

Alguem tem o passo a passo do MK paralelo com BFW. eu tenho 2 profiles "cabo" e "wirelles". Preciso melhorar minha conexão com urgência.

William, faça o procedimento que te disse que dá certo

floris escreveu:William, faça o procedimento que te disse que dá certo

paulo fiquei 2 dias quebrando a cabeça com suas regras e n deu serto mesmo porem fiz da minha maneira modificando somento o ip na sua regra dai funcionou aqui

quem sabe isso sera util para muitos aqui que estão usando suas regras

ficou assim aqui

modem bridged>>bfw disca para modem e gera um ip >>mikrotik pega ip do bfw3

modem=bridged

bfw3=192.168.201.1 gerando ip 192.168.201.0/24

mikrotik local clientes=192.168.88.0/24

sendo assim o bfw fica normal usando as 2 placas de rede uma para o modem fazer a discagem

outra pra gerar o ip pro mikrotik

primeiramente istalei o bfw com apenas uma placa de rede assim dive acesso direto a ele se istalar com 2 placas n sei porque aqui n pega ...

depois de istalado coloquei a segunda placa de rede e ele proprio começou a gerar o ip nesta segunda placa sem eu mecher em nada dai ja tive acesso a 192.168.0.1:8181 assim modifiquei como falei acima esta dica é importante pois se istalar com as duas placas ele n gera ip e n da acesso logo de cara pelomenos aqui não deu ..mesmo citando um ip fixo no pc

usei seu proprio ip porem mantive ele em 192.168.201.1 e não 2 alterei na sua regra apenas isso mas nada mandei pro mikrotik e logo de cara deu tudo serto esta fazendo o cache perfeitamente aqui desta maneira marcando os pagotes e tudo

vale lembrar que fiz por minha conta porem funcionou perfeitamente

Assim é em cascata; o pessoal quer em paralelo para o cache sair full.

Qual o processo de fazer em paralelo? coloquei a regra citada acima por [Tens de ter uma conta e sessão iniciada para poderes visualizar este link] e não deu certo. Os usuarios ficam sem internet. O que deve esta fazedo de errado? Me ajudem.

WILLIAM ANDRADE escreveu:Qual o processo de fazer em paralelo? coloquei a regra citada acima por [Tens de ter uma conta e sessão iniciada para poderes visualizar este link] e não deu certo. Os usuarios ficam sem internet. O que deve esta fazedo de errado? Me ajudem.

cara uma dica importe agora fiz com apenas uma placa rede mesmo veja as regras estõa corretas porem falta detalhes

primeiro antes de tudo pega o mikrotik e prepara a interfaçe de rede que vai ligar seu bfw3 coloque o ip em andress e faça o mascaramento tbm que os ip do seu bfw3 pra ter serteza que tem net nesta interface depois de pronta ligue o cabo do pc nela e seta o ip do seu bfw no seu pc e testa se tiver net pronto ja é um ponto importante ..

depois com o bfw3 tenha cuidado com uma coisa tem que deixar apenas a interfaçe wan nela eu fiz assim istalei com apenas uma placa mesma ela saiu lan logico pra mim poder acessar ele fiz todas as alteraçoes nele exlui a porta lan deixei apenas a wan coloquei lá em estatico setei o ip como fiz no pc (antes de teste) atenção faça tudo que tem que fazer antes de reiniciar o bwf3 pois depois n tera a porta lan pra acessar sem o mikrotik .

depois foi só ligar na interfaçe do mikrotik e pude ter acesso pela porta wan ja fiquei feliz depois testei a net e tudo sertinho funcionado blz ..

[Tens de ter uma conta e sessão iniciada para poderes visualizar este link] o modem tem que estar roteado para fazer este processo?

WILLIAM ANDRADE escreveu:[Tens de ter uma conta e sessão iniciada para poderes visualizar este link] o modem tem que estar roteado para fazer este processo?

isso n importa veja aqui quem disca ainda é o mikrotik isso é indiferente para o caso de paralelo o mikrotik tera que fornecer a internet pro bfw3