http://mikrotik.moscow Новое в теме RouterOS 5.20 - Список IP-маршрутов форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 16:09:01 -0400 RouterOS 5.20 - Список IP-маршрутов RouterOS в форуме RouterOS.
Порядок действительно важен. Очевидно, что нельзя ставить drop перед всеми остальными правилами, пока не определишь, какие правила хочешь разрешить, поскольку маршрутизатор идёт по правилам по порядку в поисках совпадения. Если пакет совпадает с правилом, это правило применяется, и пакет не рассматривает остальные правила. Вопрос, ставить ли drop для некорректных пакетов до или после accept established connected untracked — хороший вопрос, у меня нет убедительного аргумента в какую-либо сторону. Обычно по умолчанию ставят drop после, но я считаю, что лучше сразу избавляться от повреждённых пакетов. Правила для LAN могут идти в любом порядке. Правило логирования есть для того, чтобы видеть весь форвард-трафик, который не совпал ни с одним из ваших правил и будет отброшен. Мне нравится так делать, чтобы понять, не пропускается ли трафик, который я хотел бы захватить и не отбросить, чтобы потом при необходимости добавить или изменить правила, которые мог забыть. Позже это правило можно отключить или удалить.
08.06.2018 11:02:00, anav.]]> http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382644 http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382644 Fri, 08 Jun 2018 11:02:00 -0400 RouterOS RouterOS 5.20 - Список IP-маршрутов RouterOS в форуме RouterOS.
Я использую Winbox почти для всего, а CLI (новый терминал) — для мелких команд или когда восстанавливаюсь после одного из своих слишком частых зависаний маршрутизатора, потому что забываю включить режим SAFE. В Winbox можно настроить все правила фильтрации и расставить их в нужном порядке (перетаскиванием). В целом, большинство людей держат порядок чистым, убеждаясь, что цепочки input, forward и output идут отдельными блоками (собранные вместе). Порядок внутри цепочки имеет значение.

Можно смешивать цепочки, например, группировать правила так: input — принять established, forward — принять established и так далее… Главное — соблюдать порядок правил внутри каждой цепочки во всём наборе, и тогда всё работает.
08.06.2018 10:58:00, anav.]]> http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382643 http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382643 Fri, 08 Jun 2018 10:58:00 -0400 RouterOS RouterOS 5.20 - Список IP-маршрутов RouterOS в форуме RouterOS.
Спасибо за ответ! Можете объяснить, как можно выполнить эти команды? (в консоли или в Winbox) Они основаны на иерархии?
08.06.2018 05:33:00, tvagge.]]> http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382642 http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382642 Fri, 08 Jun 2018 05:33:00 -0400 RouterOS RouterOS 5.20 - Список IP-маршрутов RouterOS в форуме RouterOS.
Вместо того чтобы сразу предлагать замудреные решения от гуру Mikrotik, давайте подойдем к задаче с позиции требований.  
а. WAN1 должен использоваться только для двух конкретных внешних IP-адресов.  
б. WAN2 — для всех остальных внешних IP-адресов.  
в. WAN2 не должен использоваться для двух «особых» IP-адресов.  
г. Из этого следует: отказоустойчивость (Fail Over) с 1 на 2 не требуется. Если WAN1 упадет, эти два IP-адреса будут недоступны вообще (даже через WAN2).  
д. Аналогично, отказоустойчивость с 2 на 1 тоже не нужна. Если WAN2 упадет, будут доступны ТОЛЬКО эти два адреса через WAN1.  

Теперь можете пытаться придумать какое-нибудь хитрое решение. Мой предположительный вариант:  
предположим, что ether1 = WAN1 = ISP1,  
ether2 = WAN2 = ISP2  

/ip firewall address list  
add special_sites address=10.10.10.1  
add special_sites address=10.10.10.2  

/ip firewall NAT  
add chain=srcnat action=srcnat dest-address=192.168.1.1 (ether1-ISP1)  
add chain=srcnat action=srcnat dest-address=172.10.10.1 (ether2-ISP2)  

/ip route  
add dest-address=0.0.0.0/0 gatewayIP (ISP2) distance=1  
add dest-address=10.10.10.0/30 gatewayIP (ISP1) distance=1  

/ip firewall filter FORWARD CHAIN  
order drop invalid  
accept established, connected, untracked  
accept in-interface=LAN destination-address-list=special_sites out-interface=ether1  
accept in-interface=LAN destination-address-list=!special_sites out-interface=ether2  
log log=yes prefix=“VIEW ALL BEING DROPPED TO CONFIRM”  
drop all остальное
05.06.2018 14:23:00, anav.]]> http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382641 http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382641 Tue, 05 Jun 2018 14:23:00 -0400 RouterOS RouterOS 5.20 - Список IP-маршрутов RouterOS в форуме RouterOS.
Привет, ребята, возвращаюсь с этим постом. Как я и говорил, может кто-нибудь помочь мне, как разрешить весь трафик через ISP2 WAN, кроме этих двух IP: 10.10.10.1 и 10.10.10.2?
05.06.2018 11:55:00, tvagge.]]> http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382640 http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382640 Tue, 05 Jun 2018 11:55:00 -0400 RouterOS RouterOS 5.20 - Список IP-маршрутов RouterOS в форуме RouterOS.
Привет из Афин, Греция. У меня такая конфигурация: 2 WAN-интерфейса (WAN1 и WAN2) и 1 LAN. Хочу направить трафик к конкретным адресам назначения (10.10.10.1 и 10.10.10.2) через WAN1 (шлюз 192.168.1.1) и при этом заблокировать весь другой трафик, чтобы он не использовал этот WAN-интерфейс. Остальной трафик хочу направить через WAN2 (шлюз 172.10.10.1), за исключением этих двух IP, которые, конечно же, идут через WAN1. Как это реализовать?
22.05.2018 11:46:00, tvagge.]]> http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382639 http://mikrotik.moscow/forum/forum57/84041-routeros-5.20-_-spisok-ip_marshrutov/message382639 Tue, 22 May 2018 11:46:00 -0400 RouterOS