Поддержка WAN-соединений для нескольких каналов связи

Извините за долгое молчание — я сейчас заканчиваю с этой темой. Речь идет о том, как правильно обрабатывать входящий трафик на MikroTik от двух провайдеров. Я добавил по два маршрута по умолчанию в два разных таблицы маршрутизации:

/ip route/print detail, где dst-address="0.0.0.0/0"  
Флаги: D — динамический; X — отключён; I — неактивный; A — активный; c — connect; s — static; r — rip; b — bgp; o — ospf; d — dhcp; v — vpn; m — modem; y — copy; H — hw-offloaded; + — ecmp  
0  As  dst-address=0.0.0.0/0 routing-table=main pref-src="" gateway=x.x.x.x immediate-gw=x.x.x.x%vlan3730_WAN distance=1 scope=30 target-scope=10 suppress-hw-offload=no  
1  As  dst-address=0.0.0.0/0 routing-table=LTE pref-src="" gateway=y.y.y.y immediate-gw=y.y.y.y%vlan10_LTE distance=1 scope=30 target-scope=10 suppress-hw-offload=no  
 
/routing/table/print  
Флаги: D — динамический; X — отключён; I — недействительный; U — используется  
0 D  name="main" fib  
1    name="LTE" fib  

Конфигурация Mangle: /ip firewall mangle  
add action=mark-connection chain=prerouting connection-mark=no-mark in-interface=vlan10_LTE log=yes log-prefix=LTE_conn new-connection-mark=LTE_conn passthrough=yes  
add action=mark-routing chain=output connection-mark=LTE_conn log=yes log-prefix=LTE_route new-routing-mark=LTE passthrough=yes  

И наконец, когда я пингую с интернета на адрес интерфейса vlan10_LTE, ответ идёт через шлюз из vlan3730_WAN — то есть, ссылки работают через основную таблицу маршрутизации:

firewall,info LTE_conn prerouting: in:vlan10_LTE out:(unknown 0), connection-state:new src-mac a0:50:43:e5:11:02, proto ICMP (type 8, code 0), x.x.x.x->y.y.y.y, len 60  
firewall,info LTE_route output: in:(unknown 0) out:vlan3730_WAN, connection-mark:LTE_conn connection-state:established proto ICMP (type 0, code 0), x.x.x.x->y.y.y.y, len 60  

Я вообще не понимаю, что делаю не так.  
Заранее спасибо за помощь!

Здравствуйте, дело не в локальном сетевом сервисе. Речь о том, чтобы иметь возможность попасть на сам MikroTik через один из двух активных каналов. Чтобы трафик к клиенту, инициирующему соединение, всегда возвращался по тому же каналу, с которого был начат.

Здравствуйте, спасибо за ответ — наконец удалось разобраться с темой, ниже выкладываю финальные правила mangle:

/ip firewall mangle  
add action=mark-connection chain=prerouting connection-mark=no-mark in-interface=vlan10_LTE new-connection-mark=LTE_conn passthrough=yes  
add action=mark-routing chain=output connection-mark=LTE_conn new-routing-mark=LTE passthrough=yes

Однако возникла другая проблема. К MikroTik подключено несколько сетей, и в итоге через WAN1 или WAN2 мы хотим подключаться по WireGuard для доступа к ним. Также должен добавить, что я проверял доступ к любому WAN-интерфейсу MikroTik через SSH, и ответ уже корректно возвращается.

С другой стороны, при использовании WireGuard возврат UDP-пакетов по туннелю проходит через шлюз основной таблицы маршрутизации (WAN1), даже если инициировано это было с WAN2. Я считаю, что тут не должно быть проблем, ведь WireGuard — это внутренний процесс RouterOS, так что если пакеты от, например, SSH возвращаются правильно, то и пакеты от WireGuard тоже должны возвращаться нормально.

Я изменил второе правило (mark-routing output) на passthrough=no. Нужно ли создавать правила для WAN1, если он работает в основном массиве, и обычно с внешней связью проблем нет? Что касается рукопожатия WireGuard, раз SSH-соединение по тому же каналу работает отлично, то и WireGuard должен тоже. При этом я на самом деле заметил странную вещь — при попытке подключиться к заданному пиру таймер не начинает отсчет (всё время 00:00:00), но при этом видно данные tx-rx.



По поводу твоего последнего предложения — если нужно, могу выслать экспорт дополнительных настроек. Извини, если я что-то делаю не так, просто скажи об этом.