Переключение Netwatch не срабатывает, потому что маршрут к внешнему IP обходит систему.

Всем привет, прежде всего спасибо, что уделили время, чтобы посмотреть мою конфигурацию, я очень признателен! Я думал, что этот маршрут ограничит IP 8.8.8.8

add distance=1 dst-address=8.8.8.8/32 gateway=10.0.2.1

Я решил использовать скрипт netwatch, потому что если роутер 10.0.2.1 теряет подключение к интернету, маршрут всё равно считается валидным. С помощью netwatch я могу пинговать интернет-адрес и убедиться, что роутер 10.0.2.1 всё ещё имеет доступ в интернет.

Я пробовал failover с рекурсивным маршрутизатором, но когда тестировал, возникали проблемы (иногда он не использовал основной маршрут, даже если тот был доступен). Планирую попробовать следующее решение, спасибо rextended, ты даже потратил время и написал для меня скрипт, ты супер! Результаты выложу, как только смогу протестировать это в лаборатории.

Привет anav, спасибо, что потратил время и посмотрел всю мою конфигурацию.

1a) Думаю, мост мне не нужен, WAN (10.0.2.1) подключён к ether1 (access-порт), остальное — к ether2 (гибридный порт).

1b) Верно, но некоторые VLAN используют только статические адреса.

1c) Некоторые VLAN были перенесены на другой роутер 192.168.10.1, он служит резервным.

1d) Мне реально нужны только два, но включение ещё одного облегчило жизнь при построении сети. 192.168.102.0 — это VPN-сеть.

Ты прав, я неправильно понял этот параметр и из-за этого разрешал telnet-доступ. Исправил через файервол, теперь понимаю нюансы лучше.

Верно, мне не нужен UPNP.

Добавляю маршруты:

/ip route  
add distance=1 gateway=10.0.2.1  
add distance=2 gateway=192.168.10.1  

Добавляю два маршрута в интернет с разной метрикой  
add distance=1 dst-address=8.8.4.4/32 gateway=192.168.10.1  
add distance=1 dst-address=8.8.8.8/32 gateway=10.0.2.1  

Маршрут 8.8.4.4 через резервный шлюз, 8.8.8.8 — через основной (думал, что это ограничит и 8.8.8.8 будет идти только через 10.0.2.1).

/tool netwatch  
add down-script="ip route disable [find dst-address=0.0.0.0/0 gateway=10.0.2.1]
\n\r  
\n/ip firewall connection remove [find]\r
\n/ip firewall mangle { disable [/ip firewall mangle find new-packet-mark~\"lte3_client\"] }
\nlog error \"ISP_lte3 is down!\"  
\n" host=8.8.8.8 interval=10s  

Если 8.8.8.8 падает — отключить маршрут 10.0.2.1 и очистить все соединения.

up-script="ip route enable [find dst-address=0.0.0.0/0 gateway=10.0.2.1]
\n\r  
\n/ip firewall mangle { enable [/ip firewall mangle find new-packet-mark~\"lte3_client\"] }
\nlog error \"ISP_lte3 is up!\"  
\n\n"  

Если 8.8.8.8 поднимается — включить маршрут 10.0.2.1.

Остальное касается очередей и неактуально.

Нет, я писал это до того, как настроил всё окончательно, оно не было нужно для этого поста, но уверен, ты найдёшь более серьёзную причину, чтобы меня уволить.

Мне не нужен NAT, следующий роутер его делает.

Мне не нужны остальные порты, есть только один гибридный порт.

Настройки VLAN моста имели бы смысл, если бы я использовал роутер как свитч, а я для этого использую уровень 2 свитч.

eth1 — WAN-доступ, eth2 — гибрид.

На самом деле я пользуюсь только ether2.

ether2 тоже WAN-порт, но вторичный, и мне не нужно четко его обозначать, потому что в финальной настройке я не использовал стандартную конфигурацию файервола.

Думаю, я это покрыл, когда закончил настройку, и не чувствую, что мне нужна помощь с этим.

i-wish-for-world-peace.rsc (9.81 КБ)

Я не совсем понимаю схему сети. Просто хочу уточнить: вы показываете два экземпляра одного и того же роутера, чтобы выделить один динамический WANIP (без NAT — верхний пузырь COSMOTE) и два динамических WANIP, которые находятся под NAT — два нижних пузыря COSMOTE. Или у вас действительно два роутера: один для COSMOTE1, а второй для COSMOTE2/3?

Два основных роутера физически соединены между собой через Ethernet? Если да, то как вы решили их связать?

Не то чтобы я назвал это сетью для новичка, ха-ха. У тебя там серьёзная работа! Браво, я бы в такую ситуацию сразу сбежал, честно говоря, ха-ха. На самом деле я хотел спросить, делят ли два роутера одну подсеть, потому что я не сильно разбираюсь, как лучше связать два таких устройства. Думаю, тебе нужно выполнить маршрутизацию на уровне 3, чтобы некоторые пользователи или устройства могли видеть друг друга.

Два маршрутизатора используют подсеть 192.169.10.0/24 для маршрутизации трафика между собой. Например, /ip route  
add distance=1 dst-address=10.0.0.0/24 gateway=192.168.10.1  
add distance=1 dst-address=10.0.1.0/24 gateway=192.168.10.1  

Маршруты для LTE-маршрутизаторов res-rtr:  
add distance=1 dst-address=192.168.14.0/24 gateway=192.168.10.1  
add distance=1 dst-address=192.168.15.0/25 gateway=192.168.10.1  

Маршруты для VLANы AP и ресторана в res-rtr. Пример: 192.168.11.101 отправляет пакет на 10.0.0.1 через шлюз 192.168.11.1.  
Коммутатор (rec-swi) добавляет к пакету VLAN тег с ID 11.  
192.168.11.1 (он же 192.168.10.2, он же rec-rtr) получает пакет на eth2.  
rec-rtr удаляет VLAN тег из пакета, использует маршрут  
/ip route  
add distance=1 dst-address=10.0.0.0/24 gateway=192.168.10.1  
и пересылает пакет на 192.168.10.1 через eth2 (исходный адрес при этом не меняется).  

192.168.10.1 (он же res-rtr) получает пакет на eth3.  
res-rtr использует динамический маршрут, который создается при назначении IP 10.0.0.10 на интерфейс eth1 (исходный адрес не меняется).  

10.0.0.1 (он же lte1-cosmote) получает пакет и решает ответить (адрес назначения — 192.168.11.101).  
lte1-cosmote использует маршрут  
/ip route  
add distance=1 dst-address=192.168.11.0/24 gateway=10.0.0.10  
и отправляет пакет на 10.0.0.10 (он же res-rtr).  

192.168.10.1 (он же res-rtr) получает пакет с интерфейса eth1 с адресом 10.0.0.10, использует маршрут  
/ip route  
add distance=1 dst-address=192.168.11.0/24 gateway=192.168.10.2  
и отправляет пакет на 192.168.10.2 через eth3.  

192.168.10.2 (он же rec-rtr) получает пакет на eth2, добавляет VLAN тег с ID 11 и отсылает его на eth2.  

192.168.10.101 получает пакет после того, как VLAN тег с него снял коммутатор (rec-swi) на порту доступа.

[deleted]