http://mikrotik.moscow Новое в теме IPSEC с передачей флагов QoS форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 04 Aug 2026 23:39:57 -0400 IPSEC с передачей флагов QoS RouterOS в форуме RouterOS.
Это не работает с L2TP/IPsec, но работает с GRE/IPsec (если установить опцию DSCP в значение «inherit»).
20.09.2020 18:39:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431677 http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431677 Sun, 20 Sep 2020 18:39:00 -0400 RouterOS IPSEC с передачей флагов QoS RouterOS в форуме RouterOS.
Да, извини, надо было сказать раньше... L2TP — это требование в этом проекте, так что мне придется подумать над другим вариантом... Спасибо!!
20.09.2020 18:30:00, iperezandres.]]> http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431676 http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431676 Sun, 20 Sep 2020 18:30:00 -0400 RouterOS IPSEC с передачей флагов QoS RouterOS в форуме RouterOS.
Ну, это большой «подробный момент». Полагаю, из-за сложности PPP (множество потоков протоколов управления вместе с транспортным) DSCP не наследуется из полезной нагрузки в транспортные пакеты PPP, а значит, дальше он не передаётся в ESP-пакеты, которые перевозят эти PPP-пакеты. Так что, если хотите избежать маршрутизации на основе политики у обычного IPsec, используйте IPIP или GRE-туннель с IPsec-шифрованием, где наследование DSCP работает полностью (если в конфигурации /interface ipip или /interface gre установлено dscp=inherit). Если нужно проходить через NAT, скорее всего, придётся настраивать уровень IPsec вручную.
20.09.2020 18:07:00, sindy.]]> http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431675 http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431675 Sun, 20 Sep 2020 18:07:00 -0400 RouterOS IPSEC с передачей флагов QoS RouterOS в форуме RouterOS.
Небольшая деталь: я использую не только IPSEC, но и L2TP+IPSEC. Я исходил из того, что свойство «inherit» у IPSEC, когда DSCP копируется в IP-заголовок, сработает и с L2TP+IPSEC. Когда я получаю ICMP-пакет, я ставлю на него пометку DSCP X с помощью правила prerouting mangle, потом этот пакет инкапсулируется и отправляется внутри туннеля, но когда я смотрю на пакеты туннеля L2TP, там пометки DSCP X уже нет.

chain=prerouting action=change-dscp new-dscp=1 passthrough=yes protocol=icmp log=no  
log-prefix=""
20.09.2020 17:28:00, iperezandres.]]> http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431674 http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431674 Sun, 20 Sep 2020 17:28:00 -0400 RouterOS IPSEC с передачей флагов QoS RouterOS в форуме RouterOS.
Странно, потому что я регулярно использую наследование значения DSCP из полезной нагрузки для пакетов IPsec transport, и только что проверил то же самое на версии 6.46.7 (текущая долгосрочная версия на момент написания) — и у меня тоже работает. В моём тесте я устанавливаю поле DSCP у ICMP-пакетов, которые роутер отправляет сам (в цепочке mangle output), например, в значение 46, и при анализе трафика видно, что ESP-пакеты с ними передают именно это значение:

[me@myTik] > ip firewall mangle print
Flags: X - отключено, I - неверно, D - динамическое  
0 chain=output action=change-dscp new-dscp=46 protocol=icmp 0 time=5.908 num=1 direction=tx src-mac=00:15:5D:FC:E9:01 dst-mac=00:15:5D:FC:E9:06 interface=ether1 src-address=192.168.227.11 dst-address=192.168.227.13 protocol=ip ip-protocol=ipsec-esp size=134 cpu=0 fp=no ip-packet-size=120 ip-header-size=20 dscp=46 identification=27223 fragment-offset=0 ttl=64

Если в правиле mangle поменять new-dscp на 34, то значение в ESP-пакете меняется соответственно, так что 46 — это не просто случайность. А какие у тебя конкретные настройки, при которых это не работает?
20.09.2020 12:20:00, sindy.]]> http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431673 http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431673 Sun, 20 Sep 2020 12:20:00 -0400 RouterOS IPSEC с передачей флагов QoS RouterOS в форуме RouterOS.
То же самое у меня. Жаль, что прошло уже 11 лет, а ни одного ответа... Хорошо, что у меня такой же вопрос. Я помечаю свои пакеты с помощью DSCP перед IPSEC, но в IP-заголовке IPSEC вообще не видно никакого DSCP...
20.09.2020 10:18:00, iperezandres.]]> http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431672 http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431672 Sun, 20 Sep 2020 10:18:00 -0400 RouterOS IPSEC с передачей флагов QoS RouterOS в форуме RouterOS.
Здравствуйте! У меня есть IPSEC-туннель между двумя офисами. Наш провайдер учитывает биты DSCP, и я хочу маркировать пакеты в зависимости от их приоритета. Но затем пакеты идут в туннель, и их заголовки становятся невидимы для роутеров провайдера. Как можно скопировать флаги DSCP в заголовки внешних туннельных пакетов?
09.02.2011 07:06:00, dmr.]]> http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431671 http://mikrotik.moscow/forum/forum57/88914-ipsec-s-peredachey-flagov-qos/message431671 Wed, 09 Feb 2011 07:06:00 -0500 RouterOS