http://mikrotik.moscow Новое в теме Специальная маршрутизация форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 14 Jul 2026 06:02:29 +0300 Специальная маршрутизация RouterOS в форуме RouterOS.
Использовать CRS312 с простыми правилами фаервола вполне нормально, так как он может перенаправлять fasttrack на аппаратный уровень. Это значит, что фаервол задействует процессор только для обработки пакетов, которые запускают новые соединения (а такие обычно нечастые… если только какое-то устройство из локальной сети не начнёт DoS-атаку на L3 маршрутизатор).
08.01.2024 09:07:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398500 http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398500 Mon, 08 Jan 2024 09:07:00 +0300 RouterOS Специальная маршрутизация RouterOS в форуме RouterOS.
Спасибо за информацию. В целом, я уже использую CRS312-4C+8XG-RM в качестве основного коммутатора, к которому подключены мои серверы Proxmox через LACP-бонд. Пока всё работает довольно хорошо, но так как мне нужны ещё и правила файрвола, например, чтобы DMZ-VLAN не имел доступа к некоторым хостам из других VLAN, этот коммутатор, скорее всего, очень быстро загрузит процессор на 100%.  

Главная проблема, из-за которой я начал эту тему — это то, что я получаю только 5 Гбит/с из-за виртуальной OPNsense с всего двумя физическими интерфейсами. Если я запускаю iperf3 с одного VLAN в другой, пропускная способность делится пополам, потому что трафик приходится дважды гонять по кабелям.
08.01.2024 07:36:00, An5teifo.]]> http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398499 http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398499 Mon, 08 Jan 2024 07:36:00 +0300 RouterOS Специальная маршрутизация RouterOS в форуме RouterOS.
Да, я только что отредактировал свой предыдущий пост, добавив немного идей и полезных советов.
08.01.2024 07:30:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398498 http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398498 Mon, 08 Jan 2024 07:30:00 +0300 RouterOS Специальная маршрутизация RouterOS в форуме RouterOS.
Так что лучше всего либо оставить как есть, либо взять другой роутер для маршрутизации VLAN?
08.01.2024 07:24:00, An5teifo.]]> http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398497 http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398497 Mon, 08 Jan 2024 07:24:00 +0300 RouterOS Специальная маршрутизация RouterOS в форуме RouterOS.
Итак, трафик от клиентов (V)LAN в интернет будет проходить через CCR дважды (сначала от клиента к Opensense, затем от Opensense к интернету, и аналогично в обратном направлении). Это требует маркировки пакетов для маршрутизации в зависимости от входящего интерфейса. Процессор маршрутизатора тоже это не легко переварит. Добавление VRF в эту схему никак не облегчает жизнь CCR. И я не уверен, что CCR сможет маршрутизировать на скорости 10 Гбит/с, официальные тесты показывают реальную пропускную способность около 4,5 Гбит/с (а у вас настройка будет намного сложнее средней, так что я бы ожидал ещё меньшую производительность в вашем конкретном случае). Если вам нужна простая маршрутизация между VLAN на стороне LAN у Opensense, то, возможно, стоит посмотреть в сторону хорошего L3-коммутатора… MT предлагает несколько моделей, обратите внимание на руководство по аппаратному разгрузке L3, там есть таблицы возможностей. Только учтите: при подсчёте количества маршрутов (префиксов), напрямую подключённые сети считаются большим числом маршрутов/префиксов, каждый хост учитывается отдельно (то есть /32 для IPv4 и /128 для IPv6). Это значит, что таблицу маршрутизации очень легко переполнить, и тогда L3-коммутатор начнёт маршрутизировать на своём (слабом) процессоре, из-за чего производительность упадёт до нуля.
08.01.2024 07:23:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398496 http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398496 Mon, 08 Jan 2024 07:23:00 +0300 RouterOS Специальная маршрутизация RouterOS в форуме RouterOS.
Единственная причина, по которой я использую OPNsense — это IDS/IPS через Suricata и немного геоблокировки, чтобы не пускать азиатских ботов в мою сеть.
08.01.2024 06:59:00, An5teifo.]]> http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398495 http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398495 Mon, 08 Jan 2024 06:59:00 +0300 RouterOS Специальная маршрутизация RouterOS в форуме RouterOS.
CCR отвечает за мои VPN-туннели, NAT/проброс портов и вообще за весь WAN-трафик. Использую его, потому что мой провайдер разрешает только один MAC-адрес на интерфейсе. OPNsense в режиме HA такого не поддерживает, и у меня с этим возникали проблемы.
07.01.2024 20:14:00, An5teifo.]]> http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398494 http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398494 Sun, 07 Jan 2024 20:14:00 +0300 RouterOS Специальная маршрутизация RouterOS в форуме RouterOS.
Если все маршрутизационные функции выполняют ваши устройства Opensense, что тогда остается делать CCR? Только коммутацию?
07.01.2024 18:25:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398493 http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398493 Sun, 07 Jan 2024 18:25:00 +0300 RouterOS Специальная маршрутизация RouterOS в форуме RouterOS.
Кто-нибудь подскажет? Я пытался поиграться с VRF, но, к сожалению, как только включаю любой VRF, у меня перестает быть доступ к другим устройствам (как к устройствам через VPN, так и к самому OPNsense).
07.01.2024 18:22:00, An5teifo.]]> http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398492 http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398492 Sun, 07 Jan 2024 18:22:00 +0300 RouterOS Специальная маршрутизация RouterOS в форуме RouterOS.
Привет! Я использую маршрутизатор CCR2004 в качестве основного интернет-маршрутизатора. Сразу за ним у меня работают два виртуальных фаервола OPNsense в режиме HA, которые также занимаются маршрутизацией между VLAN. Все устройства обмениваются сетевой информацией через OSPF в одной области (0.0.0.0). Поскольку производительность межвлановой маршрутизации в OPNsense оставляет желать лучшего (около 4.5 Гбит вместо примерно 10 Гбит), я бы хотел реализовать что-то вроде разделённой маршрутизации: WAN → CCR2004 → OPNsense (для основной защиты) → CCR2004 (для маршрутизации VLAN). Как лучше всего этого добиться?
18.12.2023 08:45:00, An5teifo.]]> http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398491 http://mikrotik.moscow/forum/forum57/85638-spetsialnaya-marshrutizatsiya/message398491 Mon, 18 Dec 2023 08:45:00 +0300 RouterOS