+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Перекрывающиеся IP-адреса в VPN "сеть-сеть"

Перекрывающиеся IP-адреса в VPN "сеть-сеть", RouterOS

anserk

Guest

28.04.2025 02:58:00

У меня есть рабочий site-to-site VPN на WireGuard между двумя домами, и там есть один и тот же IP-адрес с обеих сторон (интерфейс управления кабельным модемом). Сайт 1, понятно, имеет доступ к своему модему, но также должен иметь доступ к модему с сайта 2. Этот IP не относится ни к одной из локальных сетей, которые уже могут общаться друг с другом через статические маршруты (перекрытия нет). Я понимаю, что самый простой способ решить эту задачу — сделать dst-nat на стороне сайта 2. Но мне хотелось бы проверить, можно ли обойтись без изменений конфигурации на сайте 2.

Я реализовал следующее решение. Взял неиспользуемый IP, добавил правило маркировки маршрутизации в цепочке prerouting mangle, затем правило NAT в той же цепочке. После этого правило маршрутизации срабатывает на эту метку и отправляет NAT-трафик через WireGuard VPN.

/ip firewall mangle
add action=mark-routing chain=prerouting dst-address=10.0.0.2 in-interface=vlan101 new-routing-mark=143 passthrough=no

/ip firewall nat
add action=dst-nat chain=dstnat dst-address=10.0.0.2 to-addresses=10.0.0.1

/routing table
add disabled=no fib name=143

/ip route
add comment=modem disabled=no distance=1 dst-address=10.0.0.1/32 gateway=wg143 routing-table=143 scope=30 suppress-hw-offload=no target-scope=10

Работает отлично, но мне интересно, есть ли способ сделать это лучше или короче.

sebastia

Guest

12.05.2025 20:23:00

Привет! В этом конкретном случае можно убрать правило «mangle» и вместо него использовать расширенное правило маршрутизации, которое будет включать dst-adr. Другой вариант: сделать второй сайт с несколькими подключениями, с вторым IP-адресом, не конфликтующим с первым.

anserk Guest	#3 0 12.05.2025 20:42:00 Спасибо за идеи, но как это будет работать, если мне нужен тот же IP, который также должен быть доступен локально? Этот конфликтующий IP изменить нельзя.

sebastia

Guest

12.05.2025 21:22:00

Относительно вашего примера: удалите
/ip firewall mangle add action=mark-routing chain=prerouting dst-address=10.0.0.2 in-interface=vlan101 new-routing-mark=143 passthrough=no

замените на
/routing rule add action=lookup disabled=no routing-mark=143 table=143

замените на
/routing rule add action=lookup disabled=no dst-address=10.0.0.2 table=143

sebastia

Guest

12.05.2025 21:34:00

Если подумать, правило NAT и правило маршрутизации могут конфликтовать: не уверен, когда именно оценивается правило маршрутизации, но если это происходит после prerouting, где выполняется NAT, то оно не сработает как надо. https://help.mikrotik.com/docs/spaces/ROS/pages/328227/Packet+Flow+in+RouterOS#PacketFlowinRouterOS-Forward, проверь, пожалуйста.

anserk

Guest

13.05.2025 00:44:00

Да, правило mangle там не просто так. Я не могу полностью убрать правило NAT, потому что на другом конце ожидают 10.0.0.1, а не 10.0.0.2. Единственный способ сделать DNAT — это в pre-routing, который происходит до принятия решения о маршрутизации (как и понятно из названия). После NAT адрес назначения становится 10.0.0.1, поэтому я не могу направить этот трафик по VPN с помощью статического маршрута, ведь нужен локальный доступ к 10.0.0.1. Единственный способ, который я нашёл, чтобы повлиять на решение маршрутизации — это пометить пакеты до NAT, пока адрес назначения всё ещё .2. Это немного запутанно, поэтому для обучения я хотел бы узнать, есть ли более простой способ добиться того же результата.

sebastia Guest	#7 0 13.05.2025 20:25:00 Может быть, ещё проще: правило маршрутизации (вашего сайта) заставляет через wg (другой сайт) делать dnat на .1 (цель) → вот и растёт сложность.

anserk Guest	#8 0 14.05.2025 00:56:00 Я же сказал в первом сообщении, что это самый простой вариант, но что если у меня нет контроля над другим сайтом?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры