+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Пользовательская таблица маршрутизации + метка маршрута не работают.

Пользовательская таблица маршрутизации + метка маршрута не работают., RouterOS

CTassisF

Guest

19.01.2022 18:54:00

(hAP ac^3 с прошивкой 7.2rc1) У меня правильно настроены сети IPv4 и IPv6. IPv4 работает с NAT, IPv6 с префиксом /64 приходит с WAN (PPPoE) через DHCPv6 PD и затем отправляется в LAN через Router Advertisements. Я хочу направлять часть исходящего трафика через VPN WireGuard с использованием NAT. Для этого я:

- создал новую таблицу маршрутизации;
- добавил маршруты 0.0.0.0/0 и ::/0 через VPN-интерфейс в эту таблицу;
- добавил правила NAT;
- добавил правила mangle для маркировки маршрутов.

Счётчик пакетов в mangle-правиле растёт, но это не работает для IPv6. Помеченный IPv6-трафик всё равно уходит напрямую в интернет, а не через VPN. Интересно, что такая же конфигурация отлично работает для IPv4.

Делаю ли я что-то не так? Или это баг в RouterOS v7?

Вот важные части моей конфигурации:

/interface wireguard
add listen-port=51820 mtu=1432 name=vpn

/interface wireguard peers
add allowed-address=0.0.0.0/0,::/0 interface=vpn

/ip address
add address=172.16.0.2 interface=vpn network=172.16.0.2

/ipv6 address
add address=fd00:a:b:c:d:e:f:1234/128 advertise=no interface=vpn

/routing table
add fib name=vpn

/ip route
add dst-address=0.0.0.0/0 gateway=vpn routing-table=vpn

/ipv6 route
add dst-address=::/0 gateway=vpn routing-table=vpn

/ipv6 firewall mangle
add action=mark-routing chain=prerouting new-routing-mark=vpn passthrough=no src-mac-address=AA:BB:CC:DD:EE:FF

/ipv6 firewall nat
add action=masquerade chain=srcnat comment=masquerade ipsec-policy=out,none out-interface=vpn

Кстати, случайно заметил, что если поиграться с /routing/rule/ (например, добавить, а потом удалить несколько правил), то помеченный трафик начинает идти через VPN, даже если все правила потом удалить. Похоже на какую-то проблему с кэшированием маршрутов?

Спасибо заранее!

eworm Guest	#2 0 19.05.2022 22:26:00 Я пытаюсь сделать точно так же, и у меня тоже не получается. Есть какие-нибудь успехи с вашей настройкой?

CTassisF

Guest

20.05.2022 01:27:00

Да! Мне удалось заставить это работать. Оказывается, чтобы всё работало, нужно сделать и mark-connection, и mark-routing:

/ipv6 firewall mangle
add action=jump chain=prerouting comment=prerouting-vpn dst-address-list=vpn jump-target=prerouting-vpn
add action=mark-connection chain=prerouting-vpn comment="mark-connection vpn" dst-address-list=!not-vpn new-connection-mark=vpn passthrough=yes
add action=mark-routing chain=prerouting-vpn comment="mark-routing vpn" connection-mark=vpn new-routing-mark=vpn passthrough=no

/ipv6 firewall nat
add action=masquerade chain=srcnat comment=masquerade ipsec-policy=out,none out-interface=vpn

(Эта конфигурация немного отличается от той, что я выкладывал раньше. В этой я использую address-lists, чтобы отмечать, какой трафик должен, а какой не должен идти через VPN-интерфейс.)

Такой способ у меня сработал идеально.

eworm Guest	#4 0 20.05.2022 20:48:00 Ну, у меня есть конфигурация, которая стабильно вызывает сбой роутера... Открыл заявку в поддержку (SUP-82649)... Буду дальше тестировать, когда это решат.

eworm Guest	#5 0 08.07.2022 21:54:00 Теперь у меня тоже всё работает. Моя проблема с сбоем была решена с помощью: *) брандмауэр — исправлена функция NAT для IPv6 при обработке GRE-трафика на устройствах TILE;

RomikB Guest	#6 0 29.01.2024 23:11:00 У меня такая же проблема, как у автора темы. Метка подключения не помогла. Отмеченный IPv6-трафик всё равно идёт напрямую в Интернет, а не через VPN. Можете подсказать решение? RouterOS 7.13.3, hap ac

CTassisF

Guest

30.01.2024 00:24:00

Мне удалось заставить это работать с кастомными таблицами маршрутизации (и даже VRF), используя такую конфигурацию:
/ip firewall mangle add action=jump chain=prerouting comment="prerouting LAN" connection-mark=no-mark connection-state=new dst-address-list=!private dst-address-type=!local in-interface-list=LAN jump-target=prerouting-lan

/ip firewall mangle add action=jump chain=prerouting-lan comment=NordVPN dst-address-list=nordvpn jump-target=prerouting-nordvpn

/ip firewall mangle add action=mark-connection chain=prerouting-nordvpn comment="mark-connection nordvpn" dst-address-list=!not-nordvpn new-connection-mark=nordvpn

/ip firewall mangle add action=mark-routing chain=prerouting comment="mark-routing nordvpn" connection-mark=nordvpn in-interface-list=LAN new-routing-mark=nordvpn-vrf passthrough=no

/ip firewall mangle add action=mark-routing chain=prerouting comment="mark-routing main" connection-mark=nordvpn in-interface=nordvpn new-routing-mark=main passthrough=no

Эти же правила работают и для IPv6. В этом примере я использую список адресов назначения (dst-address-list=nordvpn), чтобы помечать соединения, которые хочу прокидывать через VPN, но можно использовать и другие методы (например, по исходному IP). Последнее правило очень важно, чтобы трафик, ушедший через VPN, вернулся в основную таблицу, где находится моя локальная сеть.

RomikB

Guest

30.01.2024 07:54:00

Спасибо, но это мне не помогло. IPv4 работает без проблем, а IPv6 — нет. Я пытался пометить соединение раньше и пробую сейчас снова. Соединение помечено, пакеты помечены, но маршрутизация игнорируется. Может, проблема в маршрутизации? Требуется ли для маршрутизации IPv6 более сложная настройка, чем для IPv4? /ipv6 route add dst-address=::/0 gateway=vpn routing-table=vpn

KILLPC Guest	#9 0 28.03.2024 14:08:00 Мне кажется, тебе нужно что-то вроде этого примера: /routing/rule/add routing-mark=vpn table=vpn action=lookup-only-in-table

RomikB Guest	#10 0 04.07.2024 15:37:00 Что-то изменилось в последних обновлениях? Текущая конфигурация у меня больше не работает. Пожалуйста, проигнорируйте это сообщение, на этот раз это была моя ошибка в настройке сервера wireguard.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры