Настройка DUAL WAN?

Синтаксис правил фаервола может показаться довольно запутанным для новичка. Каждое правило фаервола содержит следующие типы параметров:

action — что делать с пакетом, если он соответствует условиям правила  
chain — в какой цепочке внутри «таблицы» (raw, mangle, nat, filter) размещено правило  
match conditions — названия «физических» полей заголовка пакета (например, dst-address или protocol), либо метаполей пакета, которые не содержатся в самом пакете, а добавлены к нему на предыдущих стадиях обработки фаерволом (например, packet-mark или connection-bytes). Каждое такое имя поля сопровождается списком значений, диапазонов или префиксов, которым должно соответствовать значение в поле, чтобы условие было выполнено. Правило считается сработавшим, если все его условия совпали.

action parameters — обычно новые значения полей заголовка пакета или метаданных пакета, которые присваиваются при выполнении действия

Группа, к которой принадлежит данный параметр, явно не указывается (даже в документации), поэтому приходится читать описание поля в документации, здраво рассуждать и экспериментировать, если первых двух недостаточно. В частности, connection-mark — это условие совпадения, а **new-**connection-mark — параметр действия; dst-address — условие совпадения, а to-addresses — параметр действия, задающий новое значение либо адреса назначения, либо источника в зависимости от того, используется ли правило в цепочке dstnat или srcnat таблицы nat.

Например, правило в /ip firewall mangle с параметрами chain=prerouting action=mark-connection connection-mark=none new-connection-mark=my-mark присваивает метку соединения my-mark любому пакету, поступающему на инспекцию, при условии, что у него в метаданных ещё нет connection-mark (none — зарезервированное значение для совпадения).  

Connection-mark — это специфическое метаполе, которое используется для того, чтобы все пакеты, относящиеся к одному «соединению», то есть TCP-сессии или двунаправленному UDP-потоку, обрабатывались одинаково. Как только правило фаервола присваивает connection-mark пакету, эта метка сохраняется в метаданных самого соединения, поэтому каждый последующий пакет, относящийся к этому соединению, автоматически получает ту же метку при прохождении через connection tracker — «скрытую», но очень важную часть фаервола, расположенную между raw и mangle стадиями.  

Особенно при использовании PCC можно работать только с LAN->WAN-соединениями, поэтому connection-mark не нужен, так как правила PCC исследуют те же поля каждого пакета, что и connection tracker, и все пакеты одного направления одного соединения совпадают с одним и тем же правилом PCC. Но если вы используете nth или random для выбора WAN, или когда нужно, чтобы соединения, инициированные устройством из интернета, отвечали через тот же WAN-интерфейс, через который пришли, вам потребуется connection tracking, чтобы гарантировать маршрутизацию всех пакетов соединения через один и тот же корректный WAN.

Подробности смотрите здесь.

Привет! Как тебе удалось проверить, что действительно объединилась пропускная способность wan1 и wan2? Ты упоминал, что пропускная способность Wan1 — 400 Мбит/с, Wan2 — 200 Мбит/с, и что хочешь получить в итоге 600 Мбит/с. Я настроил все нужные шаги, и балансировка по нагрузке через PCC работает, но не знаю, как это проверить.