Добрый день.
Неспешно бьюсь несколько недель с этой проблемой, не могу понять, в чем причина.
Прошу направить в верную сторону, уже не знаю куда капнуть...
Дано:
Два ISP и у обоих белые IP (у одного нормальный прямой IP, а другой выдает в сеть клиентам серый IP и делает на него dst-nat всех пакетов с белого IP)
Цель:
Доступность из вне микротика и прокинутых железок за ним с обоих белых IP + резервирование.
Проблема:
Так вот, если приходить на белый IP первого провайдера (основной), то все работает, и доступ на микротик и nat правила работают, кидая пакеты в LAN.
Если же приходить на белый IP второго ISP, то доступ на микротик работает, а вот nat правила нет, причем счетчик тикает, но проброс не работает, висит в connection wait.
Так же заметил, что при коннекте на IP первого ISP при доступе на микротик он откликается всегда и моментально, а при обращении по порту, который пробрасывается в LAN иногда происходит задержка коннекта, допустим коннект может повисеть секунд 20, но потом начинает работать моментально.
Как настроено:
eth1 = ISP1
sfp1 = ISP2
/ip route print
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 A S 0.0.0.0/0 10.244.***.*** 4 mark=interset-isp-rt
1 A S 0.0.0.0/0 193.169.***.*** 3 mark=orbita-isp-rt
2 A S 0.0.0.0/0 193.169.***.*** 5
3 S 0.0.0.0/0 10.244.***.*** 6
4 A S 8.8.4.4/32 10.244.***.*** 1
5 A S 8.8.8.8/32 193.169.***.*** 1
/ip firewall mangle print
chain=prerouting action=mark-connection new-connection-mark=orbita-conn passthrough=yes in-interface=ether1-gateway
chain=prerouting action=mark-connection new-connection-mark=interset-conn passthrough=yes in-interface=sfp1-gateway
chain=output action=mark-routing new-routing-mark=orbita-isp-rt passthrough=yes connection-mark=orbita-conn
chain=output action=mark-routing new-routing-mark=interset-isp-rt passthrough=yes connection-mark=interset-conn
/ip firewall nat print
;;; default configuration
chain=srcnat action=masquerade out-interface=sfp1-gateway
;;; default configuration
chain=srcnat action=masquerade out-interface=ether1-gateway
;;; web allow
chain=dstnat action=dst-nat to-addresses=192.168.30.2 to-ports=80 protocol=tcp dst-address=193.169.***.*** dst-port=8080
;;; web allow
chain=dstnat action=dst-nat to-addresses=192.168.30.2 to-ports=80 protocol=tcp dst-address=10.244.***.*** dst-port=8080
;;; web to server
chain=dstnat action=dst-nat to-addresses=192.168.30.1 to-ports=80 protocol=tcp dst-address=193.169.***.*** dst-port=80
;;; web to server
chain=dstnat action=dst-nat to-addresses=192.168.30.1 to-ports=80 protocol=tcp dst-address=10.244.***.*** dst-port=80
