Jump to content
Калькуляторы

Mikrotik + 2 IP от провайдера. Нужно ходить через конкретный IP с конкретного VLAN.

Доброго дня.

Есть микротик, по шнурку от провайдера приходят 2 IP (пусть будут 1.1.1.1 (по DHCP) и 2.2.2.2 (статика /30))

Есть транковый порт, за которым управляемая сеть с несколькими VLAN, грубо говорят каждый отдел в своем VLAN. В каждом VLAN свой DHCP сервер, терминируются на микротике, маршрутизация на микротике.

Нужно сделать так, чтобы, из VLAN12 ходили в Интернет только через 2.2.2.2. Пособите с настройками.

 

Возможен вариант, если второй IP придет на второй порт (eth2).

Документ5.png

Share this post


Link to post
Share on other sites

Я вот ща прям глупость спрошу, а что в вашем понимании нормальный PBR? 

Share this post


Link to post
Share on other sites

Например Cisco. Или любой другой, в котором PBR настраивается на основе ACL, меток и флагов.

Share this post


Link to post
Share on other sites

*картинка с котом и лампой*

А в тике вам кто запрещает так делать? Мангл позволяет отлавливать пакеты/коннекты по достаточно большому количеству критериев, начиная от банальных src-address-list/port до всяких packet size.
Вот просто и заинтересовало гдеж оно таки нормальное. 

А конкретно задачу автора можно решить так

#Создаем дополнительные таблицы маршрутизации. 
/ip route
add check-gateway=ping distance=1 gateway= routing-mark=first-r-table
add check-gateway=ping distance=1 gateway= routing-mark=second-r-table
#Создаем правила трансляции адресов
/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1
add action=masquerade chain=srcnat out-interface=ether2
#Помечаем интересный трафик
/ip firewall mangle add routing-mark=firs-r-mark in-interface=vlan11
/ip firewall mangle add routing-mark=second-r-mark in-interface=vlan12

Это проканает в случае 2х интерфейсов в сторону провайдера. Хотя предполагаю что можно извернуться и одним физическим интерфейсом и даже если и шлюз будет одинаковый. Типа добавить в ip route указание perf-src.
 

Share this post


Link to post
Share on other sites

Лично мне маркировка идеологически не нравится. Не только повышенным использованием проца

Share this post


Link to post
Share on other sites
Подразумеваем, что 2.2.2.2 - адрес на интерфейсе провайдера. Локальный 2.2.2.1(?)
#Создаем правила трансляции адресов
/ip firewall nat add action=masquerade chain=srcnat out-interface=WAN1
/ip firewall nat add action=masquerade chain=srcnat out-interface=WAN2
# Создаём вторую таблицу маршрутизации с default через 2.2.2.2
/ip route add distance=1 gateway=2.2.2.2 routing-mark=ISP_2
# Создаём правило маршрутизации между VLANами если это надо для VLAN12
/ip route rule add dst-address=192.168.0.0/16 src-address=192.168.12.0/24 table=main
# Создаём правило маршрутизации остального трафика из VLAN12 в Интернет через 2.2.2.2
/ip route rule add src-address=192.168.12.0/24 table=ISP_2

Edited by nkusnetsov

Share this post


Link to post
Share on other sites
6 часов назад, alibek сказал:

Например Cisco. Или любой другой, в котором PBR настраивается на основе ACL, меток и флагов.

 

2 часа назад, myth сказал:

Лично мне маркировка идеологически не нравится. Не только повышенным использованием проца

Господа, отличные мнения, а можно вас попросить их прокомментировать? Спрашиваю не для срача, а разумения ради.
Что не так таки с PBR у тика?
alibekACL понятно, метки/флаги что под собой подразумевают?
mythкак идеологически верно должно быть?(с точки зрения текущей правящей партии)

Share this post


Link to post
Share on other sites

poisons , спасибо за ответ. Вроде работает как надо.

 

Подскажите еще такой момент: как в микротике можно сделать access порт с определенной меткой? Ну, вот допустим, по моей схеме, принимать трафик на eth2, метить VLAN10 и пихать в eth4? (Все остальное остается как есть, и на eth4 подвязано несколько VLAN.)

 

Share this post


Link to post
Share on other sites
2 часа назад, andry_9876 сказал:

как в микротике можно сделать access порт с определенной меткой?

Все, разобрался, думал, что бридж порта и VLAN делает транк.

Share this post


Link to post
Share on other sites
17 часов назад, poisons сказал:

как идеологически верно должно быть?(с точки зрения текущей правящей партии)

а-ля ip rule в линуксе

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this