+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Маршрутизация на основе политики с использованием двух восходящих каналов связи

Маршрутизация на основе политики с использованием двух восходящих каналов связи, RouterOS

dineshplp

Guest

30.10.2011 14:46:00

Привет… У меня есть два выхода в интернет, и я хочу настроить маршрутизацию следующим образом… запросы с конкретного IP x.x.x.x должны идти через uplink 1, а все остальные — через uplink 2… Балансировка нагрузки или что-то подобное не нужна…

robyhr

Guest

20.04.2012 08:25:00

У меня вопрос про маршрутизацию на основе политик. У нас есть 3 провайдера и 3 интернет-соединения. Я настроил все необходимые политики, и всё работает как надо. Единственное – я не знаю, что делать с маршрутом по умолчанию. У меня на Mikrotik стоит PPTP-сервер, и часть клиентов подключается через ссылку ISP1, а другие – через ISP2. Что нужно добавить в роутер, чтобы политика маршрутизации работала для обеих ссылок и при этом мы могли принимать PPTP-клиентов с обеих сторон? Если поставить маршрут по умолчанию без маркировки маршрута на ISP1, то PPTP-соединения принимаются только через ISP1, а через ISP2 — нет. Если поменять на ISP2, то клиенты с ISP1 не смогут подключиться. Как сделать так, чтобы принимать клиентов с обоих провайдеров? Спасибо за помощь!

skillful

Guest

22.04.2012 15:41:00

В дополнение к вашим существующим настройкам, вам нужно добавить маркировку маршрутизации, которая обеспечит, чтобы все пакеты, входящие в маршрутизатор с определённого интерфейса, выходили через тот же интерфейс.
/ip firewall mangle add action=mark-connection chain=input connection-mark=no-mark disabled=no in-interface=ISP1 new-connection-mark=ISP1 passthrough=yes
add action=mark-routing chain=output connection-mark=ISP1 disabled=no new-routing-mark=ISP1 passthrough=no
add action=mark-connection chain=input connection-mark=no-mark disabled=no in-interface=ISP2 new-connection-mark=ISP2 passthrough=yes
add action=mark-routing chain=output connection-mark=ISP2 disabled=no new-routing-mark=ISP2 passthrough=no
add action=mark-connection chain=input connection-mark=no-mark disabled=no in-interface=ISP3 new-connection-mark=ISP3 passthrough=yes
add action=mark-routing chain=output connection-mark=ISP3 disabled=no new-routing-mark=ISP3 passthrough=no

Примечание: замените выделенный цветом текст на соответствующее имя интерфейса и переместите правила вверх. Теперь создайте политики маршрутизации, чтобы заставить пакеты выходить через правильный шлюз:
/ip route add check-gateway=ping disabled=yes distance=1 dst-address=0.0.0.0/0 gateway=ISP1_Gateway routing-mark=ISP1 scope=30 target-scope=10
add check-gateway=ping disabled=yes distance=1 dst-address=0.0.0.0/0 gateway=ISP2_Gateway routing-mark=ISP2 scope=30 target-scope=10
add check-gateway=ping disabled=yes distance=1 dst-address=0.0.0.0/0 gateway=ISP3_Gateway routing-mark=ISP3 scope=30 target-scope=10

Примечание: замените выделенный цветом текст на соответствующий IP-адрес шлюза.

tonci

Guest

07.07.2021 20:31:00

Всем привет! Сценарий такой: у меня есть один RB в роли defgw и один ISP (bridge pppoe). Сервисы на сервере размещены на гипервизоре, и один из них — Firewall appliance, который я хочу сделать новым defgw для выбранных рабочих станций. У FW два стандартных интерфейса — public и private, у каждого свой vlan (VL-fw-priv и VL-FW-pub).

Итого, у меня 3 vlan: 1 LAN локальный, 2 VL-FW-priv, 3 VL-FW-pub.

План такой: перенаправить трафик с LAN-локальной станции с RB на FW-private интерфейс как новый шлюз, затем с FW-public обратно на RB и оттуда к ISP (см. приложенный pdf). Трафик должен идти RB → FW-appliance → RB → ISP.

У FW настроен статический маршрут до LAN-local, поэтому NAT для трафика с рабочей станции к FW-private интерфейсу не нужен. FW может пинговать устройства LAN-local.

Я настроил routing-mark для LAN-устройств, добавил default-route для этого routing-mark, но результат очень частичный — пинг и трассировка на 8.8.8.8 проходят корректно → WorkSt → RB → FW-private → FW-pub → (RB) VL-FW-pub IP → ISP → … 8.8.8.8 отвечает быстро, поиск Google тоже, НО обычный браузинг не работает: несколько страниц грузятся очень медленно, остальные вообще не загружаются.

Если рабочую станцию поместить в vlan FW-priv и назначить IP FW-private в качестве дефолтного шлюза, всё работает отлично и в реальном времени.

Конфиг:

/ip firewall mangle
add action=mark-routing chain=prerouting in-interface=bridge-lan new-routing-mark=to-kvc passthrough=no src-address-list=kvc-client

/ip route
add distance=1 gateway=10.168.14.2 routing-mark=to-kvc scope=30

Трассировка маршрута к dns.google [8.8.8.8], максимум 30 прыжков:

1 <1 ms <1 ms <1 ms 192.168.17.1 … OK! RB-IP LAN-local defgw
2 11 ms <1 ms 1 ms 10.168.14.2 … OK! FW-priv-IP
3 1 ms 1 ms <1 ms 10.168.15.1 … OK! RB-VL-FW-pub-IP
4 1 ms 1 ms 1 ms 10.10.10.1 … OK! … ISP
5 1 ms 1 ms 1 ms 10.200.4.189
6 2 ms 1 ms 1 ms vd36-n229-h8.loc-b.akton.net [81.17.229.8]
7 2 ms 1 ms 1 ms cr72-1-n229-h40.loc-b.akton.net [81.17.229.40]

Любая помощь очень приветствуется. Спасибо большое заранее!
BR
stup-2.pdf (68.1 KB)

anav

Guest

08.07.2021 12:35:00

На самом деле в ответе на оригинальный пост есть альтернативное решение, которое проще и не требует манглинга, а значит, не теряется fastrack и прочее…

0.0.0.0/0 шлюз ISP1 check-gateway=ping distance=5
0.0.0.0/0 шлюз ISP2 distance=10

Таким образом, оба маршрута есть, но в основной таблице всегда будет выбран ISP1, так как у него меньшая дистанция. При желании, если ISP1 недоступен, может произойти переключение (failover).

Чтобы для одного или двух IP-адресов использовать только ISP2, добавьте дополнительные маршруты (копии маршрутов из основной таблицы с добавлением routing-mark):

0.0.0.0/0 шлюз ISP2 distance=10 routing-mark=user1
0.0.0.0/0 шлюз ISP2 distance=10 routing-mark=user2

Далее добавьте соответствующие правила маршрутизации:
source-address=LANIP пользователя1 Action=Lookup в таблице Table=user1
source-address=LANIP пользователя2 Action=Lookup в таблице Table=user2

ГОТОВО и без всяких манглингов.

Если изменить ACTION на lookup ТОЛЬКО в таблице, тогда при недоступности ISP2 для этих двух пользователей переключения на ISP1 не будет, и у них не будет доступа в интернет.

tonci

Guest

08.07.2021 17:16:00

anav, спасибо. Да!!! … правила маршрутизации решили всё … кажется, теперь всё работает так, как должно … Вопрос остаётся: почему это не сработало с mangle … или как бы это работало с mangle … но теперь это уже не так важно.

anav

Guest

08.07.2021 19:47:00

Mangle — это очень мощный инструмент, но для многих настройка его превращается в настоящий кошмар. Имейте в виду, что при необходимости можно идентифицировать или нацелиться на ПК по всей подсети, например, 192.168.0.0/24. Кроме того, в качестве входного источника можно использовать любой интерфейс — будь то etherport, wlan, vlan или любой созданный интерфейс.

brishisharma Guest	#8 0 22.09.2021 13:54:00 Я пробовал это сделать, но без mangle не работает. Поясните, пожалуйста, подробнее.

anav Guest	#9 0 22.09.2021 14:39:00 Пожалуйста, предоставьте ваш конфигурационный файл с помощью команды /export hide-sensitive file=любое_имя_на_ваш_выбор

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры