+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Протекание маршрутов VRF OSPF

Протекание маршрутов VRF OSPF, RouterOS

ggs331

Guest

05.09.2022 06:41:00

Привет! У меня на одном роутере с ROS настроено несколько VRF, и я хочу сделать "протекание" маршрутов OSPF между всеми VRF. Судя по документации, импорт/экспорт поддерживает только маршруты BGP, а OSPF — нет. Есть ли какой-то другой способ обмена маршрутами OSPF между VRF? Кстати, я подумываю, может ROS поддерживает настройку veth или какого-нибудь другого логического туннеля между VRF, чтобы по этому интерфейсу запускать OSPF и передавать трафик. Я использовал veth на роутере с FRR, и знаю, что ROS тоже поддерживает veth, но там, похоже, немного иначе, чем в Linux. https://help.mikrotik.com/docs/pages/viewpage.action?pageId=328206

CTassisF Guest	#2 0 04.01.2023 13:53:00 Привет, @ggs331, ты удалось это запустить? Я следую инструкции «Leaking routes between VRFs», но у меня не получается — соседи так и не появляются.

nichky Guest	#3 0 05.01.2023 03:00:00 Что ты пытаешься добиться?

nichky

Guest

05.01.2023 03:16:00

В общем, @sindy предлагает решение, чтобы можно было перенаправлять трафик от одного VRF к другому. Как ты это делаешь и как тестируешь? Кстати, если у тебя есть одна подсеть в одном VRF, а другая в основной таблице маршрутизации, то можно поиграться с ip firewall mangle или ip route rule.

CTassisF

Guest

05.01.2023 15:19:00

У меня дома в роутере стоит RB5009UG. Подключаюсь к Интернету через PPPoE и получаю блок IPv6 (/64) через DHCPv6-PD. NAT использую только для IPv4. Всё это работает в основной VRF. Ещё у меня есть туннель Wireguard, и часть трафика я перенаправляю через этот туннель, используя отдельную таблицу маршрутизации (не VRF) с названием “vpn”. Чтобы это работало, я также делаю NAT для IPv6, когда выходящий интерфейс — vpn. Вот небольшой фрагмент моей конфигурации:
# Некоторые настройки здесь не показаны, например Firewall Filters, чтобы избежать FastTrack при connection-mark=warp
/interface wireguard add listen-port=51820 mtu=1432 name=vpn
/routing table add fib name=vpn
/ip firewall nat add action=masquerade chain=srcnat comment=masquerade ipsec-policy=out,none out-interface=pppoe-client
/ip firewall nat add action=masquerade chain=srcnat comment=masquerade ipsec-policy=out,none out-interface=vpn
/ip route add distance=10 dst-address=0.0.0.0/0 gateway=vpn routing-table=vpn
/ipv6 route add distance=10 dst-address=::/0 gateway=vpn routing-table=vpn
/ipv6 firewall nat add action=masquerade chain=srcnat comment=masquerade ipsec-policy=out,none out-interface=vpn
/routing rule add action=lookup-only-in-table comment=Private dst-address=10.0.0.0/8 table=main
/routing rule add action=lookup-only-in-table comment=Private dst-address=100.64.0.0/10 table=main
/routing rule add action=lookup-only-in-table comment=Private dst-address=169.254.0.0/16 table=main
/routing rule add action=lookup-only-in-table comment=Private dst-address=172.16.0.0/12 table=main
/routing rule add action=lookup-only-in-table comment=Private dst-address=192.168.0.0/16 table=main
/routing rule add action=lookup comment=VPN dst-address=192.0.2.0/24 table=vpn
/routing rule add action=lookup-only-in-table comment=Private dst-address=fc00::/7 table=main
/routing rule add action=lookup-only-in-table comment=Private dst-address=fe80::/10 table=main
/routing rule add action=lookup comment=VPN dst-address=2001:db8::/32 table=vpn

Всё работает отлично. И IPv4, и IPv6 работают для любого назначения (и в основной таблице, и в vpn). NAT для IPv6 делается только для трафика с routing-mark=warp, как и ожидается. Проблема возникает, когда я пытаюсь перевести эту схему на VRF (VRF с именем vpn, интерфейсами vpn). Насколько я успел разобраться, проблема в обратном маршруте для IPv6. Пакет вроде бы нормально уходит через vpn VRF, а когда возвращается обратно, роутер путается и не меняет пакет обратно на основную VRF, откуда он исходил.

Я не могу добавить статическое правило маршрутизации для IPv6, как сделал для IPv4, потому что пакет инициируется клиентами с динамическим блоком IPv6 /64, который я получаю от провайдера через DHCPv6-PD (префикс не статичный, меняется при каждом переподключении). Вот почему я хочу как-то "сливать" маршруты из одной VRF в другую, чтобы правильный обратный маршрут всегда был доступен.

Пробовал настроить по инструкции от MikroTik — не сработало. Я буквально скопировал и вставил их конфиг с заглушечными интерфейсами, но в /routing/ospf/neighbor ничего не отображалось. Пробовал вариант от @sindy — тоже безуспешно. Поэтому и спросил @ggs331, удалось ли у них заставить это работать, потому что у меня пока нет.

nichky Guest	#6 0 06.01.2023 09:40:00 То, что было указано выше, не впишется в вашу конфигурацию, вам нужно сделать что-то вроде этого: /ip firewall mangle add action=mark-routing chain=prerouting dst-address=subnet_in_main new-routing-mark=vpn passthrough=yes src-address=subnet_in_vrf add action=mark-routing chain=prerouting dst-address=subnet_in_vrf new-routing-mark=main passthrough=no src-address=subnet_in_main

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры