Маркировка маршрутов и NAT При использовании Route Marking и NAT возникают интересные вещи. Например, Route Marking позволяет вам точно указать, какой трафик соответствует какому маршруту, а NAT (Network Address Translation) позволяет вам скрыть внутренн

Всё в порядке. Passthrough может быть либо yes, либо no. Это важно только в том случае, если какое-то последующее правило может изменить метку, и вы этого не хотите. В вашем случае, поскольку вы используете src-address для идентификации трафика, вы можете просто настроить это в правилах маршрутизации (/ip route rule) вместо mangle. Я настроил два шлюза: dst-address=0.0.0.0/0 gateway=x.x.x.x scope=255 target-scope=10 routing-mark=public1 dst-address=0.0.0.0/0 gateway=y.y.y.y scope=255 target-scope=10 routing-mark=public2. Это правильно, но помните, что у вас также будет основная таблица, в которой будут все ваши локальные (DC) маршруты. Вам нужно учесть это в правилах (см. ниже). Masquarade обе сети … chain=srcnat out-interface=public1 routing-mark=public1 action=masquerade chain=srcnat out-interface=public2 routing-mark=public2 action=masquerade. И – только один исходящий интерфейс работает, второй не работает – счетчики показывают 0. Не уверен, но может быть, для NAT мне не нужно указывать эти routing-marks, поскольку пакеты уже идут через правильный интерфейс? Вам не нужно указывать routing mark в src-nat. Хорошей практикой является указание src-address, но это не требуется для того, чтобы это работало. Вот пример, используя следующую информацию: public1 IP:10.10.10.1/30 public1 gateway:10.10.10.2 ether1 public2 IP:10.10.11.1/30 public2 gateway:10.10.11.2 ether2 клиенты: 192.168.1.0/24 на ether3 использовать public1 192.168.2.0/24 на ether4 использовать public2. Конфигурация: /ip firewall nat add chain=src-nat out-interface=public1 action=masquerade add chain=src-nat out-interface=public2 action=masquerade (ВНИМАНИЕ: возможно, вам стоит указать src-address в вышеупомянутых двух правилах). /ip route add gateway=10.10.10.2 add gateway=10.10.11.2 routing-mark=public2 add gateway=10.10.10.2 routing-mark=public1 /ip route rule add dst-address=10.10.10.0/30 action=lookup table=main add dst-address=10.10.11.0/30 action=lookup table=main add dst-address=192.168.0.0/16 action=lookup table=main add src-address=192.168.1.0/24 action=lookup table=public1 add src-address=192.168.2.0/24 action=lookup table=public2. Это можно сделать и с routing marks, но мне нравится то, как я это показал. Если вы используете routing marks, вы настраиваете правила (и метки) так: /ip firewall mangle add chain=prerouting dst-address=10.10.10.0/30 action=mark-routing new-routing-mark=maintable add chain=prerouting dst-address=10.10.11.0/30 action=mark-routing new-routing-mark=maintable add chain=prerouting dst-address=192.168.0.0/16 action=mark-routing new-routing-mark=maintable add chain=prerouting src-address=192.168.1.0/24 action=mark-routing new-routing-mark=public1 add chain=prerouting src-address=192.168.2.0/24 action=mark-routing new-routing-mark=public2 /ip route rule add routing-mark=maintable action=lookup table=main add routing-mark=public1 action=lookup table=public1 add routing-mark=public2 action=lookup table=public2. Обратите внимание: необходимость добавления правил для основной таблицы – это то, чего, кажется, чаще всего не хватает людям. Было несколько версий (я не помню, что именно), где этот тип политической маршрутизации, казалось, работал без использования правил для указания маршрутизатору использовать основную таблицу. Надеюсь, это поможет.

Вы правы, что NAT применяется после принятия решения о маршрутизации. Эти правила распространяются на всё, что выходит через интерфейс public1 (или public2). Это не является частью политики маршрутизации. Вам не нужно указывать src-address, если вы не хотите. Я добавил эту заметку для ясности. /ip route add gateway=10.10.10.2 add gateway=10.10.11.2 routing-mark=public2 add gateway=10.10.10.2 routing-mark=public1 Интересно… есть ли необходимость в первой строке? Есть ли еще какие-нибудь сети, которым нужен маршрут по умолчанию (0.0.0.0/0), которые не принадлежат к public1 или public2? В этом случае нет необходимости в маршруте по умолчанию в первой строке. Это моя личная практика, чтобы убедиться, что в "основной" таблице маршрутизации есть маршрут по умолчанию, и вот для чего нужна первая строка.