http://mikrotik.moscow Новое в теме Использование NoTrack для туннеля WireGuard форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sun, 02 Aug 2026 15:43:41 -0400 Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
Во время prerouting исходящий интерфейс ещё неизвестен. Поэтому ваше правило action=notrack в /ip firewall raw срабатывает только на пакеты, пришедшие через интерфейс WireGuard; пакеты в обратном направлении той же реальной сессии всё ещё обрабатываются модулем отслеживания соединений. Чтобы исключить отслеживание и для них, нужно сделать другие правила в цепочке prerouting в raw, которые будут фильтровать по src-address(-list), dst-address(-list), протоколам, портам — в зависимости от того, как вы выбираете трафик для WireGuard. Конечно, использовать connection-mark нельзя, но нельзя даже packet-mark или routing-mark, потому что они присваиваются после того, как пакет проходит через raw. А сопоставление с address-list по нагрузке примерно равно сопоставлению с connection list. Вы не предоставили достаточно информации, но похоже, что вы хотите, чтобы Mikrotik выступал как WireGuard «сервер», предоставляющий «клиенту» доступ в интернет; если это так, то добавление правила chain=prerouting in-interface=WAN dst-address=10.10.10.2 action=notrack в /ip firewall raw позволит не отслеживать любой пакет, который приходит через WAN на адрес WireGuard «клиента», и такой пакет примется в filter правилом «accept untracked». Однако, если я не ошибаюсь, это все равно не сработает — вы не сможете отключить отслеживание соединений для такого трафика, потому что вам нужно делать NAT, а NAT зависит от отслеживания соединений. Если Mikrotik выступает как WireGuard «клиент», обеспечивая зашифрованное подключение к интернету для локальных устройств через удалённый «сервер», то allowed-address в строке /interface wireguard peer должен быть 0.0.0.0/0, а не только отдельный внутренний адрес «сервера». И даже в этом случае без NAT работать не будет, потому что в этом сценарии нужно делать NAT с LAN-клиентов на 10.0.0.1. В итоге — notrack для туннеля WireGuard применять можно, но только там, где NAT не нужен, обычно это site-to-site туннели. Независимо от всего вышеперечисленного, последние два правила из вашего списка бессмысленны, так как их «перекрывает» третье правило, которое принимает любой неотслеживаемый пакет, независимо от in-interface и out-interface(-list). Условие connection-state совпадает с любым из состояний соединения (которые взаимоисключающие, так как у каждого пакета ровно одно состояние соединения).
26.09.2022 06:56:00, sindy.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402346 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402346 Mon, 26 Sep 2022 06:56:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
На этот раз нам повезло больше по сравнению с нашими соседями на востоке — Кейп-Бретоном, Островом Принца Эдуарда и некоторыми районами Ньюфаундленда. Всё нормально, просто интересно было узнать, насколько это серьёзно…
25.09.2022 20:07:00, anav.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402345 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402345 Sun, 25 Sep 2022 20:07:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
Согласен, @anav, ничего не жду, скорее всего, будет пустая трата времени, но это просто для учебы и тестирования. PS: надеюсь, что после урагана у всех всё хорошо, желаю всего самого лучшего всем канадцам.
25.09.2022 20:03:00, Simonej.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402344 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402344 Sun, 25 Sep 2022 20:03:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
Каких улучшений в производительности процессора вы ожидаете? Как вы понимаете, что производительность процессора ограничена WireGuard и это влияет на другие задачи или пользователей? Мне кажется, это пустая трата времени... если есть явное преимущество у описанного выше подхода, которое работает в большинстве случаев, то это должно быть включено в любой справочник.
25.09.2022 18:28:00, anav.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402343 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402343 Sun, 25 Sep 2022 18:28:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
Точно. Чтобы отличить одно от другого, нужна лабораторная установка — создать туннель Wireguard между двумя устройствами на столе с некоторыми правилами файрвола, включающими отслеживание соединений, использовать программу для тестирования пропускной способности (не /tool bandwidth-test на той же паре роутеров), а потом исключить пакеты Wireguard из отслеживания соединений и снова измерить пропускную способность.
26.09.2022 14:33:00, sindy.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402342 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402342 Mon, 26 Sep 2022 14:33:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
Что именно экономить — неясно, 1% от нагрузки или 20%. Для этого нужно знать, сколько CPU обычно занимает активность Wireguard. И в относительном сравнении с любым другим трафиком, чтобы понять масштаб. Потом важно знать, какая у роутера производительность CPU (возможно, стоит учесть и доступную оперативную память). Пытаюсь понять, насколько экономия существенная. Я предполагаю, что если она значительная, то все бы так и делали по умолчанию для любой настройки MT.
26.09.2022 14:20:00, anav.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402341 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402341 Mon, 26 Sep 2022 14:20:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
Чтобы сэкономить ресурсы процессора. Если подавляющее большинство трафика, который обрабатывает устройство, приходится на Wireguard, пропуск отслеживания соединений для пакетов транспортного уровня Wireguard означает, что фаервол не будет проверять каждый транспортный пакет по полному списку отслеживаемых соединений. Полностью отключить отслеживание соединений нельзя, если вам нужен NAT.
26.09.2022 14:07:00, sindy.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402340 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402340 Mon, 26 Sep 2022 14:07:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
В чём преимущество возможности не трекать транспортный слой WireGuard (а не слой полезной нагрузки) по сравнению с полным отказом от использования notrack? Другими словами, это скорее академический вопрос — интересно и круто, насколько детально можно управлять такими вещами, но вряд ли это действительно практично.
26.09.2022 13:38:00, anav.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402339 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402339 Mon, 26 Sep 2022 13:38:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
Видимо, совсем плохо объяснили, так что позвольте упростить: если требуется NAT для полезной нагрузки (как в вашем случае), то отключить отслеживание соединений для трафика Wireguard нельзя. Но вы можете исключить из отслеживания соединений транспортный трафик Wireguard, поскольку для него NAT не нужен. Полезная нагрузка – это то, что передаётся внутри туннеля; транспортный трафик – это трафик между устройствами, которые формируют туннель (он состоит из пакетов, в которые заключена полезная нагрузка).
26.09.2022 09:24:00, sindy.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402338 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402338 Mon, 26 Sep 2022 09:24:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
Очень хорошо объяснено, спасибо, @sindy. Мой случай — первый, который ты упомянула: Wireguard "сервер", предоставляющий "клиенту" доступ в интернет. Я ещё раз протестирую с твоим предложением и отчитаюсь. Нет, извини. Комментарий @msatter относится к конкретному случаю site-to-site? @msatter, не мог бы ты показать пример из своей конфигурации?
26.09.2022 09:06:00, Simonej.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402337 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402337 Mon, 26 Sep 2022 09:06:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
@msatter, то, что ты написал, касается транспортных пакетов Wireguard и, конечно, правильно, но я совсем забыл про этот уровень, так как @Simonej ставит правила в цепочку forward и ссылается на WireGuard как на входящий интерфейс в prerouting, поэтому я предположил, что он хочет отключить отслеживание соединений для пакетов с полезной нагрузкой Wireguard. @Simonej, ты видишь разницу между двумя типами пакетов, о которых шла речь выше?
26.09.2022 08:08:00, sindy.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402336 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402336 Mon, 26 Sep 2022 08:08:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
«В общем, вы можете использовать notrack для туннеля Wireguard, но только там, где не нужен NAT, то есть обычно для site-to-site подключения.» Я вижу, что RouterOS вполне справляется с этим без проблем. Вот как я это понимаю: роутер выступает в роли клиента WG, роутер инициирует UDP-соединение с сервером через NAT, RouterOS ждёт ответ после RAW/connection tracking, перехватывает возвращающееся соединение и самостоятельно с ним работает. Это касается только UDP-туннеля WG, при этом известен IP-адрес назначения и источник возвращающегося трафика WG-туннеля.
26.09.2022 07:49:00, msatter.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402335 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402335 Mon, 26 Sep 2022 07:49:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
Дорогие пользователи, пытался настроить NoTrack по советам @msatter и @sindy для WireGuard в режиме Road Warrior, перечитал несколько раз и провёл множество тестов — безуспешно. Вот часть конфигурации фаервола, которая касается этого:

/interface wireguard add listen-port=13231 name=WireGuard private-key="..." disabled=no  
/interface wireguard peers add allowed-address=10.10.10.2/32 endpoint-port=13231 interface=WireGuard public-key="..." disabled=no  
/ip address add address=10.10.10.1/30 interface=WireGuard network=10.10.10.0  

/ip firewall raw add action=notrack chain=prerouting interface=WireGuard  

/ip firewall filter add action=accept chain=input connection-state=established,related,untracked  
/ip firewall filter add action=accept chain=input dst-port=13231  
...  
/ip firewall filter add action=accept chain=forward connection-state=established,related,untracked  
/ip firewall filter add action=accept chain=forward connection-state=untracked interface=WireGuard out-interface-list=LAN  
/ip firewall filter add action=accept chain=forward connection-state=untracked interface=WireGuard out-interface=WAN  

Цель — проверить, позволит ли обход трекинга соединений сэкономить ресурсы CPU. Я могу подключиться через туннель, но при этом не получается выйти в интернет или к устройствам в LAN. Делал что-то не так?
25.09.2022 17:45:00, Simonej.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402334 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402334 Sun, 25 Sep 2022 17:45:00 -0400 RouterOS Использование NoTrack для туннеля WireGuard RouterOS в форуме RouterOS.
Я заметил, что ускорение обработки туннеля WireGuard не влияет на счётчики dummy — они не увеличиваются. Значит трафик разделяется и обрабатывается напрямую. Потом вспомнил, что то же самое делается и для IPSEC. Однако это может заметно нагрузить процессор роутера, если много туннелей и значительный трафик на каждом из них. Решение — использовать IP/Firewall/Raw для обхода отслеживания соединений, тем самым исключая необходимость фильтрующих правил, упомянутых выше, и снижая нагрузку на процессор примерно на 30%.

/ip firewall raw add action=notrack chain=prerouting src-address=10.1.101.0/24 dst-address=10.1.202.0/24  
add action=notrack chain=prerouting src-address=10.1.202.0/24 dst-address=10.1.101.0/24

Источник: https://help.mikrotik.com/docs/display/ROS/IPsec

Так что я сделал notrack для prerouting и ещё для output в RAW, и WireGuard продолжил работу как раньше. Ты не увидишь строки в connection tracking, а нагрузка, возможно, снизится. Может быть, даже до 30%, как упоминалось выше.
25.08.2022 18:58:00, msatter.]]> http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402333 http://mikrotik.moscow/forum/forum57/86022-ispolzovanie-notrack-dlya-tunnelya-wireguard/message402333 Thu, 25 Aug 2022 18:58:00 -0400 RouterOS