+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Mangle postrouting с многоканальным интернетом не позволяет подключиться к локальному серверу LAN.

Mangle postrouting с многоканальным интернетом не позволяет подключиться к локальному серверу LAN., RouterOS

ingus16

Guest

06.03.2018 11:12:00

Всем привет. Помогите, пожалуйста, потому что уже две недели ищу решение, перепробовал кучу вариантов, перечитал тонну информации, но всё без толку. У меня два WAN-подключения с двумя локальными подсетями ISP1 и ISP2, и нужно сделать так, чтобы ISP1 был на LAN1, а ISP2 — на LAN2, при этом каждая подсеть должна иметь доступ к DNS-серверу PIHOLE в сети LAN3.

Для перенаправления каждого WAN на выделенную LAN этот скрипт работает нормально:
/ip firewall mangle
add action=mark-routing chain=prerouting new-routing-mark=to_ISP1 passthrough=yes src-address=LAN1_IP
add action=mark-routing chain=prerouting new-routing-mark=to_ISP2 passthrough=yes src-address=LAN2_IP

с маршрутами:
/ip route
add check-gateway=ping distance=1 gateway=ISP1_GW_IP routing-mark=to_ISP1
add check-gateway=ping distance=1 gateway=ISP2_GW_IP routing-mark=to_ISP2
add distance=1 gateway=ISP1_GW_IP,ISP2_GW_IP

Но главная проблема в том, что когда включаю правила mangle, то не могу получить доступ к локальному DNS-серверу или к чему-либо ещё в локальной сети вне текущей LAN-подсети.

Пожалуйста, подскажите, где можно найти действительно рабочий пример. Использую ROS 6.42. Спасибо!

Ratchadewi

Guest

16.12.2019 05:03:00

Привет! У меня есть 2 провайдера:
ISP1: 192.168.5.0/24
ISP2: 192.168.1.0/24

Адреса моей локальной сети:
LAN1: 192.168.3.1/24
LAN2: 192.168.2.1/24

Ниже настройка mangle:
/ip firewall mangle
add action=accept chain=prerouting dst-address=192.168.1.0/24 in-interface-list=LANs_Local
add action=accept chain=prerouting dst-address=192.168.5.0/24 in-interface-list=LANs_Local
add action=mark-connection chain=prerouting connection-mark=no-mark dst-address-type=!local in-interface=eth02-ISP2 new-connection-mark=connect-ISP2 passthrough=yes
add action=mark-connection chain=prerouting connection-mark=no-mark dst-address-type=!local in-interface=eth01-ISP1 new-connection-mark=connect-ISP1 passthrough=yes
add action=mark-connection chain=prerouting connection-mark=no-mark dst-address-type=!local in-interface-list=LANs_Local new-connection-mark=connect-ISP2 passthrough=yes per-connection-classifier=src-address:2/0
add action=mark-connection chain=prerouting connection-mark=no-mark dst-address-type=!local in-interface-list=LANs_Local new-connection-mark=connect-ISP1 passthrough=yes per-connection-classifier=src-address:2/1
add action=mark-routing chain=prerouting connection-mark=connect-ISP2 dst-address-type=!local in-interface-list=LANs_Local new-routing-mark=ISP2 passthrough=yes
add action=mark-routing chain=prerouting connection-mark=connect-ISP1 dst-address-type=!local in-interface-list=LANs_Local new-routing-mark=ISP1 passthrough=yes
add action=mark-routing chain=output connection-mark=connect-ISP2 new-routing-mark=ISP2 passthrough=yes
add action=mark-routing chain=output connection-mark=connect-ISP1 new-routing-mark=ISP1 passthrough=yes

Но проблема в том, что я не могу связать LANы: клиент из LAN1 не может пользоваться принтером в LAN2, а клиент из LAN2 не может подключиться к серверу в LAN1. Что мне делать? Спасибо!

Sob Guest	#3 0 16.12.2019 05:29:00 Может, сначала почитай всю тему, которую копаешь? Подскажу: там уже есть решение, которое отлично сработало бы и для тебя.

Ratchadewi

Guest

23.12.2019 06:18:00

Привет! Честно говоря, я пока новичок в Mikrotik. Предыдущая настройка была сделана до моего прихода. Я изучил все доступные уроки по mangle, и вот какие изменения я сделал. Попробовал добавить новые правила mangle, поставил их наверх, и убрал инверсию в dst-address-type, кроме PCC pre-routing (чтобы можно было заходить в Winbox по IP-адресу). Также создал правило NAT, чтобы разрешить подключение к устройствам с зарегистрированными статическими IP. Но всё равно не могу получить доступ к сетевым принтерам со статическими IP, которые уже есть в статическом списке адресов, из другого подсети. Не понимаю, где ошибаюсь. Пожалуйста, помогите. Заранее огромное спасибо! С уважением,

/ip firewall mangle
add action=accept chain=prerouting dst-address-list=Local-Addresses in-interface-list=LANs_Local
add action=accept chain=output dst-address-list=Local-Addresses

add action=accept chain=prerouting dst-address=192.168.1.0/24 in-interface-list=LANs_Local
add action=accept chain=prerouting dst-address=192.168.5.0/24 in-interface-list=LANs_Local
add action=mark-connection chain=prerouting connection-mark=no-mark dst-address-type=local in-interface=eth02-ISP2 new-connection-mark=connect-ISP2 passthrough=yes
add action=mark-connection chain=prerouting connection-mark=no-mark dst-address-type=local in-interface=eth01-ISP1 new-connection-mark=connect-ISP1 passthrough=yes
add action=mark-connection chain=prerouting connection-mark=no-mark dst-address-type=!local in-interface-list=LANs_Local new-connection-mark=connect-ISP2 passthrough=yes per-connection-classifier=src-address:2/0
add action=mark-connection chain=prerouting connection-mark=no-mark dst-address-type=!local in-interface-list=LANs_Local new-connection-mark=connect-ISP1 passthrough=yes per-connection-classifier=src-address:2/1
add action=mark-routing chain=prerouting connection-mark=connect-ISP2 dst-address-type=local in-interface-list=LANs_Local new-routing-mark=ISP2 passthrough=yes
add action=mark-routing chain=prerouting connection-mark=connect-ISP1 dst-address-type=local in-interface-list=LANs_Local new-routing-mark=ISP1 passthrough=yes
add action=mark-routing chain=output connection-mark=connect-ISP2 new-routing-mark=ISP2 passthrough=yes
add action=mark-routing chain=output connection-mark=connect-ISP1 new-routing-mark=ISP1 passthrough=yes

/ip firewall nat chain=srcnat action=accept dst-address-list=StaticIPs

Sob

Guest

23.12.2019 14:10:00

Избавься от всех параметров dst-address-type, полностью удали их. Твои последние изменения с ними всё сломали, и вообще, dst-address-type=local значит локальный адрес, назначенный роутеру, так что с этими правилами это ничего полезного не даёт. Следующий шаг: если список Local-Addresses содержит локальные подсети или отдельные адреса, к которым должен быть доступ из других LAN, тогда это правило правильное:

/ip firewall mangle
add action=accept chain=prerouting dst-address-list=Local-Addresses in-interface-list=LANs_Local

Второе правило с chain=output не нужно. Если всё равно не заработает, проверь правила в цепочке forward в “/ip firewall filter”, убедись, что они не блокируют трафик между LAN (если это твоя цель). Также можно проверить через Tools->Torch на исходящем интерфейсе, проходит ли трафик с одной LAN через роутер на другую, и есть ли ответка. Правило nat, которое ты добавил, тоже бессмысленное. Но если трафик идёт только в одну сторону и нет ответов, возможно, нужен другой srcnat для быстрого решения. Проблема может быть в том, что устройство пропускает доступ только из своей подсети. Тогда тебе либо перепрошивать его, либо использовать:

/ip firewall nat
add chain=srcnat dst-address=<printer> action=masquerade

Это скроет все соединения из других LAN за адресом роутера, который находится в той же подсети, что и целевое устройство.

nokipa Guest	#6 0 25.08.2020 02:52:00 Спасибо, чувак, это старое, но я получил ответ здесь.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры