Вопрос по настройке маршрутизации

Вся активность

Ответить

alibek

Опубликовано 26 июня, 2019 · Жалоба

Есть офисный микротик, на нем созданы три внешних интерфейса:

pppoe - выход в интернет по умолчанию (динамический IP, не обязательно "белый").

vlan100 - выход в интернет по выделенной линии (статический IP AA.AA.AA.80).

vlan30 - выход в закрытую сеть по выделенной линии (статический IP BB.BB.BB.3).

Маршрутизация по умолчанию должна быть следующей:

1. Подсеть BB.BB.0.0/16 — через vlan30

2. Подсеть AA.AA.0.0/16 — через vlan100

3. Адреса, входящие в определенный access-list — через vlan100

4. Все остальное — через pppoe

Сейчас статикой прописаны пункты 1, 2 и 4.

Пункт 3 сделан не через access-list, а также прописан статикой (отдельные адреса).

Что хочется:

1. Время от времени через dst-nat наружу пробрасываются локальные устройства, через интерфейс vlan100. Нужно чтобы ответный исходящий трафик от этих устройств автоматически маршрутизировался через vlan100.

2. Маршрутизацию на определенные адреса через vlan100 я хочу сделать также через access-list, а не отдельными статическими записями в таблице маршрутизации.

Видимо нужно через mangle ставить определенные метки, а в route rules обрабатывать пакеты с метками.

Где об этом можно почитать подробнее и с примерами?

Поделиться сообщением

Ссылка на сообщение

Поделиться на других сайтах

maxkst

Опубликовано 27 июня, 2019 · Жалоба

В 26.06.2019 в 04:28, alibek сказал:

1. Время от времени через dst-nat наружу пробрасываются локальные устройства, через интерфейс vlan100. Нужно чтобы ответный исходящий трафик от этих устройств автоматически маршрутизировался через vlan100.

Это можно попробовать сделать добавив SRC nat правило совместно с DST nat. Тогда запросы извне будут приходить с локального адреса на роутере и ответ уходить в роутер. У меня так работает.

Поделиться сообщением

Ссылка на сообщение

Поделиться на других сайтах

alibek

Опубликовано 27 июня, 2019 · Жалоба

Не понял идеи.

Шлюз по умолчанию pppoe, туда все и уйдет.

Сейчас я к каждой записи dstnat вручную добавляю статический маршрут на /32 через vlan100. Хотелось бы уйти от "вручную".

Поделиться сообщением

Ссылка на сообщение

Поделиться на других сайтах

maxkst

Опубликовано 27 июня, 2019 (изменено) · Жалоба

36 минут назад, alibek сказал:

Шлюз по умолчанию pppoe, туда все и уйдет.

не все. маршрут по умолчанию имеет distance 1. а присоединенные маршруты - 0. DST правило поменяет адрес назначения на внутренний.

SRC правило поменяет источник тоже на внутренний. А маршрут на внутренние адреса distance - 0. Просто попробуйте добавить SRC правило сразу после DST в нат, и должно заработать.

ЗЫ: щас перечитал первый пост, похоже мой совет вам не поможет. Он сработает немного в другом случае

Изменено 27 июня, 2019 пользователем maxkst

Поделиться сообщением

Ссылка на сообщение

Поделиться на других сайтах

maxkst

Опубликовано 27 июня, 2019 (изменено) · Жалоба

Если бы VLAN 100 был на отдельном роутере, на который нет дефолтного маршрута, то сработало бы

Изменено 27 июня, 2019 пользователем maxkst

Поделиться сообщением

Ссылка на сообщение

Поделиться на других сайтах

dmitry.destroyer

Опубликовано 27 июня, 2019 · Жалоба

а зачем нужны эти вланы вообще?

если есть 3 канала во вне, то:

- повесить их на отдельные физические интерфейсы

- для pppoe убрать галку default route

- в ip route прописать маршруты в выделенные линии, потом для pppoe (за счет более мелкой маски они будут в приоритете над pppoe)

В 26.06.2019 в 12:28, alibek сказал:

Видимо нужно через mangle ставить определенные метки, а в route rules обрабатывать пакеты с метками.

в мангле пометить нужный трафик через route mark \ mark route, а в ip route rule сделать look only in table = <нужный route mark \ mark route> для нужных локальных адресов

ip route rule работает вроде произвоительней мангла, но настраивается в разных местах - если производительности хватает, есть смысл все сделать манглом

Поделиться сообщением

Ссылка на сообщение

Поделиться на других сайтах

alibek

Опубликовано 27 июня, 2019 · Жалоба

Только что, dmitry.destroyer сказал:

а зачем нужны эти вланы вообще?

Попробуйте прочитать исходный текст еще раз.

И я не понял смысла перемещения vlan-интерфейсов в физические интерфейсы. Это что-то изменит?

1 минуту назад, dmitry.destroyer сказал:

в ip route прописать маршруты в выделенные линии

Это вообще о чем?

Поделиться сообщением

Ссылка на сообщение

Поделиться на других сайтах

dmitry.destroyer

Опубликовано 27 июня, 2019 · Жалоба

1 минуту назад, alibek сказал:

Это вообще о чем?

ip route rule add dst-address=<нужная сеть> gateway= AA.AA.AA.80

3 минуты назад, alibek сказал:

Попробуйте прочитать исходный текст еще раз.

перечитал, понял точно также - извините :)

Поделиться сообщением

Ссылка на сообщение

Поделиться на других сайтах

alibek

Опубликовано 27 июня, 2019 · Жалоба

Маршруты на подсети статикой у меня и так прописаны. Или у rule есть какие-то дополнительные бонусы?

Вопрос не в прописывании маршрутов, а в том, чтобы обойтись без него — я добавляю одно правило dst-nat, и исходящий трафик соединений по этому правилу наружу ходит через vlan100 без дополнительного прописывания маршрутов.

Поделиться сообщением

Ссылка на сообщение

Поделиться на других сайтах

Saab95

Опубликовано 28 июня, 2019 · Жалоба

Что бы не прописывать маршруты, нужно OSPF включить. Сколько же можно вручную подсети указывать?

Поделиться сообщением

Ссылка на сообщение

Поделиться на других сайтах

user71

Опубликовано 28 июня, 2019 · Жалоба

On 6/27/2019 at 9:56 PM, alibek said:

rule есть какие-то дополнительные бонусы

наивысший приоритет и полный игнор всего остального

On 6/27/2019 at 9:56 PM, alibek said:

не в прописывании маршрутов, а в том, чтобы обойтись без него

без маршрутов обойтись нельзя. Маршрут должен быть всегда. Пакеты должны понимать куда им идти. Это уже просто какая то комедия, вы боитесь прописать маршрут в маршрутизаторе и верите что все обойтется каким то там натом. Нат это не маршрутизатор, он просто переписывает адреса в пакетах, но от него никак не зависит куда пакет пойдет, это определяется маршрутами. Если ваши пакеты летят не в ту дыру хоть и с правильным адресом - верный принак отсутсвия маршрута.