RB параллельно wan-модему

Привет, Синди! Я понял! Все работает, но у меня все еще есть проблема: мне нужен пасс-трафик (не через VPN) для URL-адресов видео с Amazon... Я искал много адресов... Я собрал их в список адресов "no-vpn", так что теперь мне, кажется, нужно правило, чтобы исключить этот трафик из VPN... Я попробую немного, но у меня все еще нет идей... Что касается других портов RB: я сейчас подключил все порты к мосту, чтобы использовать их также как обычные коммутаторные порты, или это может быть не очень хорошее решение из-за проблем с производительностью? С наилучшими пожеланиями, Оливер

Привет еще раз, у меня по-прежнему нет решения, но я над этим подумал: прежде всего, не очень удобно, что телевизоры находятся в другой подсети, поэтому было бы лучше, чтобы они тоже были в диапазоне 192.168.0.0/4, как мой основной роутер и экземпляр openhab для умного дома, чтобы также использовать Samsung SmartThings. Так что мне «только» нужно создать правила, чтобы весь трафик с IP-адресов телевизоров проходил через VPN, кроме тех адресов назначения из адресного списка (Amazon Video, Netflix и т.д., которые должны идти напрямую через роутер). Но я не имею понятия, как это реализовать... Можешь помочь с примерами, пожалуйста? С уважением, Оливер

Привет, Синди, спасибо за подсказки. Попробую разобраться. Но у меня VPN с IPSec. Может, будет гораздо проще идентифицировать трафик, который должен проходить через VPN — IP-стримы… и все действия браузера смарт-ТВ… (из-за использования иностранных медиатек…) а остальной трафик пускать напрямую. Я попробую это в ближайшие дни. Если у кого-то уже есть рабочий пример, было бы здорово. Спасибо, Олли.

На самом деле, реализация этого имеет несколько осложнений: вам нужно, чтобы телевизор находился в той же подсети, что и шлюз ISP, и Mikrotik, поэтому обычно именно телевизор должен использовать специальный маршрут через шлюз ISP для IP-адресов назначения Amazon. Но я предполагаю, что вы не можете настроить таблицу маршрутизации телевизора из его конфигурационного меню; единственный способ установить больше маршрутов, чем просто по умолчанию, в самом телевизоре — это отправить ему список маршрутов с помощью DHCP. Проблема в том, что немногие потребительские электронные продукты поддерживают этот метод. Другой способ заключается в том, что Mikrotik будет отправлять сообщения "лучший шлюз" с использованием ICMP всякий раз, когда он решит, что пакет должен обойти VPN, но, опять же, телевизор может сработать на них или нет (и что еще хуже — возможно, что Mikrotik будет отправлять эти пакеты "доступный лучший шлюз" даже для пакетов, которые должны обрабатываться VPN, я никогда не пробовал такую необычную конфигурацию). Единственное решение — разместить Mikrotik между телевизором и остальным миром, что полностью устраняет эту проблему. Классифицировать пакеты по адресу назначения несложно, но гораздо сложнее классифицировать их по доменному имени, и еще сложнее выяснить, какие дополнительные доменные имена связаны с тем, что вы знаете — например, YouTube транслирует видео из домена akamai.net (если я правильно помню). Так что, если компания не опубликует их на каких-то поддерживающих страницах, вам придется использовать анализатор пакетов, чтобы их идентифицировать, и вы не можете быть уверены, что они не изменятся на следующей неделе. Наименее сложная часть — изменить конфигурацию IPsec. Вместо того чтобы указывать src-address-list в строке /ip ipsec mode-config, вы указываете connection-mark; динамически созданное правило NAT затем будет соответствовать connection-mark, и вы можете использовать сложные условия совпадения в правилах mangle, чтобы назначить этот connection-mark только трафику, который должен передаваться через VPN.

Правило NAT предоставляется движком IPsec, не стоит беспокоиться об этом. Просто замените src-address-list=via-vpn в элементе /ip ipsec mode-config на connection-mark=via-vpn (и, возможно, отключите и снова включите идентификацию, хотя я думаю, что изменение автоматически перезапустит соединение). Затем используйте правило mangle: /ip firewall mangle add chain=prerouting src-address-list=via-vpn dst-address-list=**!**no-vpn action=mark-connection new-connection-mark=via-vpn. Таким образом, только соединения, которые приходят из правильного адреса (телевизор) и подключаются куда угодно, кроме адресов из вашего списка исключений, получат отметку соединения, с которой будет совпадать динамически созданное правило NAT. Но, как уже упоминалось, эти пакеты (которые избегают присвоения connection-mark и таким образом совпадения правила src-nat с ним) будут обрабатываться только обычной маршрутизацией, а в обычной маршрутизации IP-адрес шлюза Mikrotik к интернету находится в той же подсети, что и телевизор, поэтому Mikrotik перенаправит пакет, но отправит обратно сообщение ICMP "существует более лучший шлюз для этого адреса назначения" отправителю (это можно отключить, если телевизор игнорирует эти сообщения); wan-модем отправит ответ напрямую на телевизор, обходя Mikrotik. Так что можете попробовать, возможностей всего две: либо это сработает, либо нет...