+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

IPSEC с передачей флагов QoS

IPSEC с передачей флагов QoS, RouterOS

dmr

Guest

09.02.2011 07:06:00

Здравствуйте! У меня есть IPSEC-туннель между двумя офисами. Наш провайдер учитывает биты DSCP, и я хочу маркировать пакеты в зависимости от их приоритета. Но затем пакеты идут в туннель, и их заголовки становятся невидимы для роутеров провайдера. Как можно скопировать флаги DSCP в заголовки внешних туннельных пакетов?

iperezandres Guest	#2 0 20.09.2020 10:18:00 То же самое у меня. Жаль, что прошло уже 11 лет, а ни одного ответа... Хорошо, что у меня такой же вопрос. Я помечаю свои пакеты с помощью DSCP перед IPSEC, но в IP-заголовке IPSEC вообще не видно никакого DSCP...

sindy

Guest

20.09.2020 12:20:00

Странно, потому что я регулярно использую наследование значения DSCP из полезной нагрузки для пакетов IPsec transport, и только что проверил то же самое на версии 6.46.7 (текущая долгосрочная версия на момент написания) — и у меня тоже работает. В моём тесте я устанавливаю поле DSCP у ICMP-пакетов, которые роутер отправляет сам (в цепочке mangle output), например, в значение 46, и при анализе трафика видно, что ESP-пакеты с ними передают именно это значение:

[me@myTik] > ip firewall mangle print
Flags: X - отключено, I - неверно, D - динамическое
0 chain=output action=change-dscp new-dscp=46 protocol=icmp 0 time=5.908 num=1 direction=tx src-mac=00:15:5D:FC:E9:01 dst-mac=00:15:5D:FC:E9:06 interface=ether1 src-address=192.168.227.11 dst-address=192.168.227.13 protocol=ip ip-protocol=ipsec-esp size=134 cpu=0 fp=no ip-packet-size=120 ip-header-size=20 dscp=46 identification=27223 fragment-offset=0 ttl=64

Если в правиле mangle поменять new-dscp на 34, то значение в ESP-пакете меняется соответственно, так что 46 — это не просто случайность. А какие у тебя конкретные настройки, при которых это не работает?

iperezandres

Guest

20.09.2020 17:28:00

Небольшая деталь: я использую не только IPSEC, но и L2TP+IPSEC. Я исходил из того, что свойство «inherit» у IPSEC, когда DSCP копируется в IP-заголовок, сработает и с L2TP+IPSEC. Когда я получаю ICMP-пакет, я ставлю на него пометку DSCP X с помощью правила prerouting mangle, потом этот пакет инкапсулируется и отправляется внутри туннеля, но когда я смотрю на пакеты туннеля L2TP, там пометки DSCP X уже нет.

chain=prerouting action=change-dscp new-dscp=1 passthrough=yes protocol=icmp log=no
log-prefix=""

sindy

Guest

20.09.2020 18:07:00

Ну, это большой «подробный момент». Полагаю, из-за сложности PPP (множество потоков протоколов управления вместе с транспортным) DSCP не наследуется из полезной нагрузки в транспортные пакеты PPP, а значит, дальше он не передаётся в ESP-пакеты, которые перевозят эти PPP-пакеты. Так что, если хотите избежать маршрутизации на основе политики у обычного IPsec, используйте IPIP или GRE-туннель с IPsec-шифрованием, где наследование DSCP работает полностью (если в конфигурации /interface ipip или /interface gre установлено dscp=inherit). Если нужно проходить через NAT, скорее всего, придётся настраивать уровень IPsec вручную.

iperezandres Guest	#6 0 20.09.2020 18:30:00 Да, извини, надо было сказать раньше... L2TP — это требование в этом проекте, так что мне придется подумать над другим вариантом... Спасибо!!

pe1chl Guest	#7 0 20.09.2020 18:39:00 Это не работает с L2TP/IPsec, но работает с GRE/IPsec (если установить опцию DSCP в значение «inherit»).

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры