http://mikrotik.moscow Новое в теме Выбор маршрута выхода — Wireguard форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Fri, 31 Jul 2026 18:07:19 -0400 Выбор маршрута выхода — Wireguard RouterOS в форуме RouterOS.
Та же проблема у меня, Dual-WAN и Mangling неправильно отмечают ответ от WG. SSTP работает как надо. С помощью Routing-Rule всё работает, но WAN-подключение использует DHCP, и мне нужно написать скрипт, чтобы Routing-Rule всегда был актуален.
04.05.2024 22:42:00, Guscht.]]> http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422942 http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422942 Sat, 04 May 2024 22:42:00 -0400 RouterOS Выбор маршрута выхода — Wireguard RouterOS в форуме RouterOS.
Я знаю о проблеме с правилом prerouting/input, и планировалось как можно скорее изменить конфигурацию. Сценарий такой: сервер Wireguard с двойным WAN, доступный через оба. Когда клиент подключается, он может соединяться через любой из двух публичных WAN IP, поэтому использование input или prerouting не меняет результата. Проблема в том, что даже при использовании правила prerouting UDP-соединение не направляется на нужный WAN, потому что именно правило output не помечает маршрутизацию. Думаю, это из-за того, что ответ — это новое соединение, исходящее с WAN IP, которое не помечено как соединение, значит и не отмечено для маршрутизации. Единственный способ решить это — добавить правило маршрутизации. Спасибо.
27.11.2023 10:40:00, glat.]]> http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422941 http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422941 Mon, 27 Nov 2023 10:40:00 -0500 RouterOS Выбор маршрута выхода — Wireguard RouterOS в форуме RouterOS.
Причина, почему ваши классические правила не работают, в том, что они неправильные! Нужно так:

/ip firewall mangle add action=mark-connection chain=prerouting mark=no-mark in-interface=ether2-pppoe new-connection-mark="From WAN Telecom2" passthrough=yes  
add action=mark-routing chain=output connection-mark="From WAN Telecom2" new-routing-mark="To WAN Telecom2" passthrough=no

Типичный сценарий — это основной канал с резервным, где второй WAN может служить проходом для внешних пользователей, чтобы добраться до LAN-сервера, ИЛИ WAN 2 может использоваться для подключения к сервисам маршрутизатора, таким как VPN Wireguard.

В общем, есть способы гарантировать, что для возврата трафика используется правильный WAN (в данном случае WAN2), и под этим я имею в виду, что ожидаемый трафик содержит исходный IP-адрес WAN2 — такими способами являются mangling и маршрутизационные правила.

Общие правила на заметку для основного и резервного подключения:  
1) Если WAN IP динамический — используйте Mangling.  
2) Если хотите, чтобы один и тот же сервер был доступен на обоих WAN — используйте Mangling.  
3) В остальных случаях — используйте маршрутизационные правила.  
4) Убедитесь, что на обоих WAN применена source=nat.
26.11.2023 01:36:00, anav.]]> http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422940 http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422940 Sun, 26 Nov 2023 01:36:00 -0500 RouterOS Выбор маршрута выхода — Wireguard RouterOS в форуме RouterOS.
Решено с помощью команды: /routing rule add action=lookup disabled=no src-address=/32 table=“To WAN Telecom2”
25.11.2023 10:18:00, glat.]]> http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422939 http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422939 Sat, 25 Nov 2023 10:18:00 -0500 RouterOS Выбор маршрута выхода — Wireguard RouterOS в форуме RouterOS.
То же самое. При использовании классических правил mangle, таких как:  
/ip firewall mangle add action=mark-connection chain=input connection-state=new in-interface=ether2-pppoe new-connection-mark=“From WAN Telecom2” passthrough=yes  
add action=mark-routing chain=output connection-mark=“From WAN Telecom2” new-routing-mark=“To WAN Telecom2” passthrough=no  

отмечаются и tcp, и udp соединения, но второе правило работает только для tcp, поэтому udp-подключение WireGuard не получает маршрутную метку и идет по основной таблице маршрутизации, а не по правильной. Версия Router OS — v7.12.0.
24.11.2023 17:09:00, glat.]]> http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422938 http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422938 Fri, 24 Nov 2023 17:09:00 -0500 RouterOS Выбор маршрута выхода — Wireguard RouterOS в форуме RouterOS.
Привет всем! Кто-нибудь нашёл решение для выбора маршрута выхода? Я перепробовал все способы, которые тут упоминали, но так и не смог изменить исходящий интерфейс для цепочки output. Также проверял nat, но решение маршрута основывается на реальном IP, а не на снатированном.
17.10.2023 06:01:00, xmanxs.]]> http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422937 http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422937 Tue, 17 Oct 2023 06:01:00 -0400 RouterOS Выбор маршрута выхода — Wireguard RouterOS в форуме RouterOS.
Всем привет! У меня возникла такая проблема. Недавно обновил VPN у клиента с IPsec на Wireguard и заметил серьезные улучшения. Главный офис подключён к двум интернет-каналам: один с статическим, другой с динамическим IP. Филиалы работают с динамическими IP. Главный офис: ISP1 — динамический 100/30 Мбит/с, ISP2 — статический 50/50 Мбит/с. Понятно, почему у них настроен баланс нагрузки с помощью PCQ, и почему хочется, чтобы ISP1 был маршрутом по умолчанию с наименьшей стоимостью.

А теперь самое сложное. Подключения Wireguard приходят через ISP2 (потому что статический IP), но не устанавливаются, если у ISP1 ниже стоимость маршрута. То есть, если шлюз по умолчанию — ISP1, исходящий трафик уходит оттуда, и Wireguard не работает. Ссылка на диаграмму обработки mangle: https://help.mikrotik.com/docs/display/ROS/Mangle#Mangle-Introduction

Что я пробовал сделать для решения:

Mangle, пометка соединений. Входящие подключения через ISP2 помечаются, но так как UDP-ответ Wireguard — фактически новое соединение, он выходит через DG (шлюз по умолчанию).

Mangle, output, mark connection/routing. В диаграмме всё не очень ясно, но при выходе из bridge decision интерфейс и исходный IP уже выбран, то есть из шлюза по умолчанию. Не получается менять маршрутизацию с помощью output/mark routing/lookup только в таблице с маркировкой маршрутизации.

Политическая маршрутизация/правила маршрутизации. Создавать правило поиска в таблице ISP2 по совпадению dst-address работает. Но не потому, что меняется маршрут, а потому что изначальное решение маршрутизации было правильным. К сожалению, филиалы все с динамическими IP, поэтому нельзя добавить статичные маршруты.

Mangle, добавление dst-address в список. Можно легко добавить IP филиалов в списки адресов, но их не применить в правилах маршрутизации, например.

Src-Nat. По диаграмме вывод идет через NAT, поэтому я пробовал src-nat на адрес ISP2. Вроде логично — “заменить src IP в заголовке на адрес ISP2”. Но нет, маршрут уже выбран, вне зависимости от src-address в пакете.

Я понимаю, что немногие используют возможности RouterOS для умного управления трафиком, и если уж используют, то либо это компании из Fortune 500, либо сети с повсеместными статическими публичными IP, а не такие тупые проблемы, как эта. Но кто-то сталкивался с подобным?

Мне кажется, что «политическая маршрутизация» — расплывчатый термин, который в RouterOS включает mangle/mark route, и что «корректировка маршрутизации» из диаграммы должна работать так:

Bridge decision, lookup main table, выход через ISP1  
----------> raw, track, mangle, nat, filter  
----------> новая маркировка маршрута, lookup заново в таблице ISP2  
----------> выход на интерфейс ISP2

Спасибо, что прочитали и разделили мою боль =)
04.07.2023 12:13:00, NetWorker.]]> http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422936 http://mikrotik.moscow/forum/forum57/88049-vybor-marshruta-vykhoda-_-wireguard/message422936 Tue, 04 Jul 2023 12:13:00 -0400 RouterOS