Несколько публичных IP-адресов и шлюз.

У меня похожая ситуация с медленной загрузкой страниц в Интернете. Два канала: ADSL роутер — ISP1; LTE модем-стик — ISP2. Сейчас я не могу продлить период использования Интернета у мобильного оператора (роуминг), но из его интерфейса ping 8.8.8.8 проходит, и MT определяет подключение к Интернету через него. В правиле defconf fasttrack включён с connection-mark=no-mark.

Окей MikroTik-7BFD-20230726-1146.rsc (21 КБ)

Потому что я решил разделять трафик по тому, был ли он помечен маршрутизатором или нет. Я не думал использовать, например, new, а придерживаюсь того, что знаю, что работает. Возможно, в некоторых ситуациях new может не подойти… но у меня нет достаточного уровня знаний, чтобы утверждать это со стопроцентной уверенностью.

Спасибо. Я ищу способ упростить и оптимизировать свою конфигурацию. Использование new state кажется логичным, но ты прав — уверен, что найдутся ситуации, когда это не сработает.

(1) Установите обнаружение интернета хотя бы на стороне WAN в значение NONE. Его функциональность вызывает сомнения и раньше уже приводила к проблемам у некоторых пользователей.  
(2) Насколько я понимаю, любая очередь отключает использование fasttrack (что похоже на mangle, но без вариантов обхода). Также я не уверен, что очереди — хорошая идея для dual WAN PCC соединений. РЕКОМЕНДУЮ ОТКЛЮЧИТЬ ИЛИ УДАЛИТЬ очереди пока что!!  
(3) Если не используете ipv6 — отключите его!!!  
(4) Лично я бы использовал правило файрвола, приведённое ниже... Всё остальное не нужно, а в некоторых случаях ваши правила опасны и явно показывают, что вы не до конца понимаете, что делаете… Например, добавьте:  
add action=accept chain=input comment=“myconf: accept WinBox” dst-port=8291 protocol=tcp  
+++++++++++++++++++++++++++++++++++++++++++++++++++  
/ip firewall address-list  
add address=Admin-Desktop-IP list=Authorized  
add address=Admin-Laptop-IP list=Authorized  
add address=Admin-Smartphone-IP list=Authorized  
и так далее…  

/ip firewall filter {Input Chain} (правила по умолчанию)  
add action=accept chain=input comment=“defconf: accept established,related,untracked” connection-state=established,related,untracked  
add action=drop chain=input comment=“defconf: drop invalid” connection-state=invalid  
add action=accept chain=input comment=“defconf: accept ICMP” protocol=icmp  
add action=accept chain=input comment=“defconf: accept to local loopback (for CAPsMAN)” dst-address=127.0.0.1  

(админские правила)  
add action=accept chain=input in-interface-list=LAN src-address-list=Authorized comment=“access to router”  
add action=accept chain=input comment=“Allow LAN DNS & NTP queries - UDP” dst-port=53,123 in-interface-list=LAN protocol=udp  
add action=accept chain=input comment=“Allow LAN DNS queries - TCP” dst-port=53 in-interface-list=LAN protocol=tcp  
add action=drop chain=input comment=“drop all else”  

{forward chain} (правила по умолчанию)  
add action=fasttrack-connection chain=forward comment=“defconf: fasttrack” connection-state=established,related disabled=yes  
add action=accept chain=forward comment=“defconf: accept established,related, untracked” connection-state=established,related,untracked  
add action=drop chain=forward comment=“defconf: drop invalid” connection-state=invalid  
add action=accept chain=forward comment=“allow internet traffic” in-interface-list=LAN out-interface-list=WAN  
add action=accept chain=forward comment=“port forwarding” connection-nat-state=dstnat  
add action=drop chain=forward comment=“drop all else”  
++++++++++++++++++++++++++++++++++++++++++++++++++++++++  

(5) ПРОВЕРЬТЕ правила MANGLE… Нет необходимости указывать в правилах файрвола или mangle “NEW”, это у вас уже достаточно корректно обрабатывается без маркировки… В правилах на выход (Output) параметр passthrough должен быть установлен в NO. В остальном mangle выглядит нормально.  

Но меня сбивает с толку, зачем вам заставлять трафик WAN1 и WAN2 выходить через один и тот же WAN… (первые четыре правила). Я не вижу у вас серверов, к которым бы заходили извне, да и VPN на роутере нет, где это имело бы значение?? Поэтому “optional” в синем цвете не нужен!!  

/ip firewall mangle  
add action=mark-connection chain=prerouting comment=“all new connections from ISP1 marked with ISP1” connection-mark=no-mark in-interface=ether1 new-connection-mark=ISP1_conn passthrough=yes  
add action=mark-connection chain=prerouting comment=“all new connections from ISP2 marked with ISP2” connection-mark=no-mark in-interface=lte1 new-connection-mark=ISP2_conn passthrough=yes  
add action=mark-routing chain=output comment=“route ISP1 connections back through ISP1” connection-mark=ISP1_conn new-routing-mark=ISP1 passthrough=no  
add action=mark-routing chain=output comment=“route ISP2 connections back through ISP2” connection-mark=ISP2_conn new-routing-mark=ISP2 passthrough=no  
add action=mark-connection chain=prerouting comment=“divide traffic from LAN into two groups” connection-mark=no-mark dst-address-type=!local in-interface=bridge new-connection-mark=ISP1_conn passthrough=yes per-connection-classifier=src-address-and-port:3/0  
add action=mark-connection chain=prerouting comment=“divide traffic from LAN into two groups” connection-mark=no-mark dst-address-type=!local in-interface=bridge new-connection-mark=ISP1_conn passthrough=yes per-connection-classifier=src-address-and-port:3/1  
add action=mark-connection chain=prerouting comment=“divide traffic from LAN into two groups” connection-mark=no-mark dst-address-type=!local in-interface=bridge new-connection-mark=ISP2_conn passthrough=yes per-connection-classifier=src-address-and-port:3/2  
add action=mark-routing chain=prerouting comment=“route ISP1 connections through ISP1” connection-mark=ISP1_conn in-interface=bridge new-routing-mark=ISP1 passthrough=yes  
add action=mark-routing chain=prerouting comment=“route ISP2 connections through ISP2” connection-mark=ISP2_conn in-interface=bridge new-routing-mark=ISP2 passthrough=yes

Тогда вы должны понимать, что даёте доступ к своему роутеру всем в интернете, если только MT не находится за NAT... добавьте action=accept chain=input comment="myconf: accept WinBox" dst-port=8291 protocol=tcp Рад, что всё работает!