+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

RouterOS 5.20 - Список IP-маршрутов

RouterOS 5.20 - Список IP-маршрутов, RouterOS

tvagge

Guest

22.05.2018 11:46:00

Привет из Афин, Греция. У меня такая конфигурация: 2 WAN-интерфейса (WAN1 и WAN2) и 1 LAN. Хочу направить трафик к конкретным адресам назначения (10.10.10.1 и 10.10.10.2) через WAN1 (шлюз 192.168.1.1) и при этом заблокировать весь другой трафик, чтобы он не использовал этот WAN-интерфейс. Остальной трафик хочу направить через WAN2 (шлюз 172.10.10.1), за исключением этих двух IP, которые, конечно же, идут через WAN1. Как это реализовать?

tvagge Guest	#2 0 05.06.2018 11:55:00 Привет, ребята, возвращаюсь с этим постом. Как я и говорил, может кто-нибудь помочь мне, как разрешить весь трафик через ISP2 WAN, кроме этих двух IP: 10.10.10.1 и 10.10.10.2?

anav

Guest

05.06.2018 14:23:00

Вместо того чтобы сразу предлагать замудреные решения от гуру Mikrotik, давайте подойдем к задаче с позиции требований.
а. WAN1 должен использоваться только для двух конкретных внешних IP-адресов.
б. WAN2 — для всех остальных внешних IP-адресов.
в. WAN2 не должен использоваться для двух «особых» IP-адресов.
г. Из этого следует: отказоустойчивость (Fail Over) с 1 на 2 не требуется. Если WAN1 упадет, эти два IP-адреса будут недоступны вообще (даже через WAN2).
д. Аналогично, отказоустойчивость с 2 на 1 тоже не нужна. Если WAN2 упадет, будут доступны ТОЛЬКО эти два адреса через WAN1.

Теперь можете пытаться придумать какое-нибудь хитрое решение. Мой предположительный вариант:
предположим, что ether1 = WAN1 = ISP1,
ether2 = WAN2 = ISP2

/ip firewall address list
add special_sites address=10.10.10.1
add special_sites address=10.10.10.2

/ip firewall NAT
add chain=srcnat action=srcnat dest-address=192.168.1.1 (ether1-ISP1)
add chain=srcnat action=srcnat dest-address=172.10.10.1 (ether2-ISP2)

/ip route
add dest-address=0.0.0.0/0 gatewayIP (ISP2) distance=1
add dest-address=10.10.10.0/30 gatewayIP (ISP1) distance=1

/ip firewall filter FORWARD CHAIN
order drop invalid
accept established, connected, untracked
accept in-interface=LAN destination-address-list=special_sites out-interface=ether1
accept in-interface=LAN destination-address-list=!special_sites out-interface=ether2
log log=yes prefix=“VIEW ALL BEING DROPPED TO CONFIRM”
drop all остальное

tvagge Guest	#4 0 08.06.2018 05:33:00 Спасибо за ответ! Можете объяснить, как можно выполнить эти команды? (в консоли или в Winbox) Они основаны на иерархии?

anav

Guest

08.06.2018 10:58:00

Я использую Winbox почти для всего, а CLI (новый терминал) — для мелких команд или когда восстанавливаюсь после одного из своих слишком частых зависаний маршрутизатора, потому что забываю включить режим SAFE. В Winbox можно настроить все правила фильтрации и расставить их в нужном порядке (перетаскиванием). В целом, большинство людей держат порядок чистым, убеждаясь, что цепочки input, forward и output идут отдельными блоками (собранные вместе). Порядок внутри цепочки имеет значение.

Можно смешивать цепочки, например, группировать правила так: input — принять established, forward — принять established и так далее… Главное — соблюдать порядок правил внутри каждой цепочки во всём наборе, и тогда всё работает.

anav Guest	#6 0 08.06.2018 11:02:00 Порядок действительно важен. Очевидно, что нельзя ставить drop перед всеми остальными правилами, пока не определишь, какие правила хочешь разрешить, поскольку маршрутизатор идёт по правилам по порядку в поисках совпадения. Если пакет совпадает с правилом, это правило применяется, и пакет не рассматривает остальные правила. Вопрос, ставить ли drop для некорректных пакетов до или после accept established connected untracked — хороший вопрос, у меня нет убедительного аргумента в какую-либо сторону. Обычно по умолчанию ставят drop после, но я считаю, что лучше сразу избавляться от повреждённых пакетов. Правила для LAN могут идти в любом порядке. Правило логирования есть для того, чтобы видеть весь форвард-трафик, который не совпал ни с одним из ваших правил и будет отброшен. Мне нравится так делать, чтобы понять, не пропускается ли трафик, который я хотел бы захватить и не отбросить, чтобы потом при необходимости добавить или изменить правила, которые мог забыть. Позже это правило можно отключить или удалить.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры