+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

маршрутизация трафика прямо на самом роутере через mangle

маршрутизация трафика прямо на самом роутере через mangle, RouterOS

LaZyLion

Guest

09.09.2015 07:35:00

Всем привет! Я экспериментирую с балансировкой нагрузки с помощью PCC в правилах firewall в mangle и заметил, что когда я делаю ping, tool fetch или любой другой трафик из консоли, он никак не попадает под мои правила mangle. Только что пробовал — не могу поймать трафик, идущий от самого роутера, включая DNS-запросы, ни в одной из цепочек mangle. Я использую DNS-сервера Google, и WAN-подключения у меня равнозначные, поэтому хочу избежать ситуации, когда DNS-трафик постоянно уходит одним и тем же портом. Кроме варианта делать PCC по dst-address=8.8.8.8, я что-то упускаю? Есть идеи? Спасибо. LL

iperezandres

Guest

19.04.2018 09:42:00

Пока нет, у меня такая же проблема. Я пробовал output chain и mark-routing, но это не работает. Если нет маршрута по умолчанию, пакеты, исходящие от самого роутера, не попадают ни под одно из mangle-правил и не отображаются во вкладке соединений. Есть какие-нибудь идеи? Я перепробовал много разных комбинаций цепочек, но безуспешно. Есть еще одна тема с такой же проблемой… : http://forum.mikrotik.com/t/match-router-originated-traffic/110985/5

sindy

Guest

19.04.2018 13:30:00

Эта картинка говорит сама за себя. Сначала происходит маршрутизация, только потом пакет проходит через выходную цепочку в различных таблицах (conntrack, mangle, filter), и в конце маршрутизация всё-таки «подправляется» (см. развернутую цепочку Output).

Sob

Guest

19.04.2018 14:03:00

Я уже сталкивался с этим раньше. Когда в основной таблице маршрутизации нет маршрута до нужного адресата, RouterOS просто выдает "no route to host" и не дает возможности пометить маршрут и использовать другую таблицу маршрутизации, где такой маршрут есть. Обходное решение довольно простое — нужно добавить фиктивный маршрут, например:
/interface bridge
add fast-forward=no name=bridge1 protocol-mode=none
/ip route
add gateway=bridge1 comment="fake route"
add gateway=<real gw> routing-mark=<some mark>
/ip firewall mangle
add action=mark-routing chain=output new-routing-mark=<some mark>

Таким образом, роутер будет «думать», что у него есть маршрут до любой цели, а уже вам решать, какие пакеты помечать, чтобы они выходили через реальный шлюз.

iperezandres Guest	#5 0 20.04.2018 07:15:00 Очень интересный подход, дай я попробую и потом отпишусь тебе. Спасибо!

iperezandres

Guest

20.04.2018 22:21:00

Спасибо, Sob, очень классный код! Всё сработало как по маслу. С этим фейковым мостом любое соединение с самого маршрутизатора теперь отображается во вкладке соединений фаервола, а как только оно там появляется, его ловят mangle-правила, и можно легко направить трафик через нужный WAN. Отличное предложение!!

iperezandres Guest	#7 0 21.11.2018 13:19:00 Я нашёл другой способ вместо создания фальшивого моста. Сначала добавляешь маршрут с таким количеством WAN, сколько у тебя есть, чтобы обеспечить отказоустойчивость. /ip route add dst-address=0.0.0.0/0 gateway=ether1-wan1,ether2-wan2 distance=1 check-gateway=ping comment="ros route" Потом добавляешь правило в mangle, чтобы пометить трафик, который идёт от твоих подключённых IP к тем, что не подключены: /ip firewall address-list add address=192.168.1.0/24 list=Connected # сеть WAN1 add address=192.168.88.0/24 list=Connected # сеть WAN2 add address=192.168.100.0/23 list=Connected # сеть LAN add address=192.168.100.0/23 list=LAN add address=255.255.255.255 list=LAN /ip firewall mangle add action=mark-routing chain=output dst-address-list=!Connected new-routing-mark=route1 passthrough=no src-address-list=Connected Надеюсь, поможет.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры