Jump to content
Калькуляторы

перенаправить трафик,ОС Mikrotik странности с маркировкой пакетов

Есть два Gateway.

1)на который идет весь трафик

2)на который нужно зарульить 3 подсети.

 

Допустим нужно зарулить подсеть 1.0.0.0/15 на 2-й шлюз.

 

Маркирую пакеты идущие на 1.0.0.0/15

 

chain=prerouting action=mark-routing new-routing-mark=1.0.0.0/15 passthrough=no dst-address=1.0.0.0/15

 

Теперь создаю правило маскарадинга на интерфейс смотрящий на нужный шлюз,ether3.

 

chain=srcnat action=masquerade routing-mark=1.0.0.0/15 out-interface=ether3

 

Пакеты маркирует,а Натить не хочет. Гонит через первый шлюз.

 

Подскажите что делаю не так?

Edited by g7001

Share this post


Link to post
Share on other sites

может не "на 1.0.0.0/15" а "с 1.0.0.0/15" ?

Share this post


Link to post
Share on other sites

mangle

chain=prerouting action=mark-routing new-routing-mark=1.0.0.0/15 passthrough=no src-address=1.0.0.0/15

 

nat

chain=srcnat action=masquerade src-address=1.0.0.0/15 out-interface=ether3

Share this post


Link to post
Share on other sites

Да нет все верно. Со стороны пользователей 1.0.0.0/15 Это dst-adress.

 

Для простоты понимания.

 

Есть 2 провайдера. У одного из низ есть более интересные рессурсы. К ним есть и дуступ с мира. Соответсвенно нужно пакеты пользователей перенаправить на нужный интерфейс,что бы они пошли именно на хозяина ресурса,а не через мир.

 

nat

chain=srcnat action=masquerade dst-address=1.0.0.0/15 out-interface=ether3 не работает.Трэйс говорит что идет так как надо,начинаешь качать идет через мир.

post-44068-1273248257_thumb.jpg

Share this post


Link to post
Share on other sites

у так логично, трейс у тебя показывает маршрут до 1.0.0.0/15, ты уверен что провайдерская сеть 1.0.0.0/15 знает что твой ИП (ether3) находится за красным роутером (на рисунке), а не за зеленым.

Share this post


Link to post
Share on other sites

я делал по другому. ставил два маршрута 0.0.0.0 для разных маркировок, и далее маркировал траффик по нужным мне правилам.

 

я делал по другому. ставил два маршрута 0.0.0.0 для разных маркировок, и далее маркировал траффик по нужным мне правилам.

Share this post


Link to post
Share on other sites

кстати , да, какой у тебя роут для маркированных пакетов ??

Share this post


Link to post
Share on other sites

/ip route> print 
Flags: X - disabled, A - active, D - dynamic, 
C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, 
B - blackhole, U - unreachable, P - prohibit 
#      DST-ADDRESS        PREF-SRC        G GATEWAY              DISTANCE IN..
0 A S  0.0.0.0/0                          r 70.11.23.1        1        vl..
1 ADC  10.10.10.10/32     10.10.10.1                             0        <p..
2 ADC  10.10.10.12/32     10.10.10.1                             0        <p..
3 ADC  10.10.10.14/32     10.10.10.1                             0        <p..
4 ADC  10.10.10.28/32     10.10.10.1                             0        <p..
5 ADC  10.10.10.30/32     10.10.10.1                             0        <p..
6 ADC  10.10.10.40/32     10.10.10.1                             0        <p..
7 ADC  10.10.10.49/32     10.10.10.1                             0        <p..

 

По умолчанию стоит роут на шлюз первого провайдера 70.11.23.1,через ether2 70.11.23.2.

 

Сответсвенно через 70.11.23.1 ходит подсеть 70.125.87.99/27.

 

/ip firewall nat> print 
Flags: X - disabled, I - invalid, D - dynamic 

1  chain=srcnat action=src-nat to-addresses=74.125.87.100 src-address=192.168.100.3 

2  chain=dstnat action=dst-nat to-addresses=192.168.100.3 dst-address=74.125.87.100 

3 chain=srcnat action=masquerade src-address=192.168.89.0/24 out-interface=vlan1

4 chain=srcnat action=src-nat to-addresses=74.125.87.102 to-ports=0-65535 protocol=tcp src-address=10.10.10.0/24 

5  chain=dstnat action=dst-nat to-addresses=10.10.10.0/24 dst-address=74.125.87.102

 

я делал по другому. ставил два маршрута 0.0.0.0 для разных маркировок, и далее маркировал траффик по нужным мне правилам.

ether3 подключен к другому прову. ether3 60.10.134.109/24 gateway 60.10.134.254.

 

Соответсвенно нужно что бы пользователь когда идет на 60.0.0.0/15 пошел через 60.10.134.254,а не через 70.11.23.1.

 

 

я делал по другому. ставил два маршрута 0.0.0.0 для разных маркировок, и далее маркировал траффик по нужным мне правилам.

Если так делать то на шлюз второго прова 60.10.134.254 идет подсеть 70.125.87.99/27 ,сответсвенно ничего непроисходит,так как маршрут для подсети не прописан. Пока нет возможности попросить прописать маршрутизацию,поэтому нужно сделать как то по другому.

А подругому это только натить маркированые пакеты,а оно нифига не натится.

Edited by g7001

Share this post


Link to post
Share on other sites

добавь через консоль

/ip route add dst-address=60.0.0.0/15 gateway=60.10.134.254 routing-mark=1.0.0.0/15 (твоя мареировка в примере выше)

Share this post


Link to post
Share on other sites

 

Кроме НАТа создай рауты на 3 сети через гейт второго прова и укажи в тех раутах в routing-mark твои отмаркированные пакеты.

 

Такое не раз делал - работает.

 

 

Share this post


Link to post
Share on other sites

Спасибо.Попробую еще разок. Может нужно его ребутить,а то странности какие то есть,вроде должно работать,а не хочет.

 

Share this post


Link to post
Share on other sites

Вобщем вопрос так и остался открытым.

 

/ip route add dst-address=60.0.0.0/15 gateway=60.10.134.254 routing-mark=1.0.0.0/15 (твоя мареировка в примере выше)
Кроме НАТа создай рауты на 3 сети через гейт второго прова и укажи в тех раутах в routing-mark твои отмаркированные пакеты.

 

Такое не раз делал - работает.

Это не совсем коректо работает,как уже и говорил-оно шлет пакеты от имени посети 70.125.87.99/27,а нужно что бы шло от имени 60.10.134.109.

 

Остается только вариант НАТить подсеть 70.125.87.99/27,через 60.10.134.109.

 

ВНИМАНИЕ ВОПРОС!

Как сделать приоритетизацию? т.е. чтобы сначало оно натило ,а потом роутило? иначе получается наоборот.

 

 

 

Share this post


Link to post
Share on other sites

блин, все работает, никаких проблем с твоей схемой нет, или давай доступ к роутеру или я сомневаюсь что ктото полностью понял что нужно и что есть.

Сначала будет роутинг (маркировка пакетов) а потом нат, только так и не иначе, и ничего не сделаешь с этим, так пакеты идут

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this