Как настроить интернет + sip (2 отдельных провода) на микротик?

Question

[matews]

Добрый день!
Добрые люди, прошу помощи, пожалуйста☺
Прошу сильно не ругаться, сети и их настройки знаю не очень хорошо... Итак суть проблемы:
Есть Микротик CCR1009-7G-1C-1S+. В него воткнуты
* провод провайдера в ETH1 с IP адресом, например, 88.88.88.123
* провод провайдера для телефонии в ETH3 с IP адресом, например, 10.227.203.225
* внутреннее оборудование (компьютеры, телефоны, сервера и т.д.) в ETH4 и ETH5 посредством коммутаторов CRS354-48G-4S+2Q+ и CSS326-24G-2S+
На микротике настроен VLAN 113 для телефонии внутри сети. 2 недели назад все работало хорошо. Выключил все сетевое оборудование на несколько часов для обслуживания, затем включил и телефония перестала работать.
Если шнурок телефонии воткнуть в отдельный компьютер и на нем прописать соответствующие сетевые настройки, то ДНС телефонии 217.24.177.2 нормально пингуется, а с микротика не хочет пинговаться (интерфейс явно указывал, через который надо пинговать).
Скорее всего проблема с маршрутами.
Пробовал:
* Прошивку Микротика обновил до 7.12
* Откатывал конфигурацию Микротика до августовского бэкапа (тогда точно все работало)
* обращался к человеку, который более-менее понимает микротики☻
* звонил провайдеру – там сказали, что проблема у меня на микротике, что пока не будет пинговаться их ДНС – работать не сможет; также сказали, что у них нет специалистов, которые могут мне помочь ((
* искать решение в интернете
* воткнуть телефонию в другой порт (соответственно настроить его)
Конфигурацию приложил ниже

# 2023-11-16 09:46:26 by RouterOS 7.12
# software id = ****-****
# model = CCR1009-7G-1C-1S+
# serial number = *
/interface bridge
add admin-mac=00:00:00:00:00:01 auto-mac=no name=bridge-WAN protocol-mode=none
add admin-mac=00:00:00:00:00:02 auto-mac=no fast-forward=no name=bridge-guest
add admin-mac=00:00:00:00:00:03 arp=proxy-arp auto-mac=no name=bridge-local
/interface ethernet
set [ find default-name=combo1 ] name=ether00
set [ find default-name=ether1 ] comment="Internet " name=ether01
set [ find default-name=ether2 ] name=ether02
set [ find default-name=ether3 ] comment=SIP name=ether03
set [ find default-name=ether4 ] name=ether04
set [ find default-name=ether5 ] name=ether05
set [ find default-name=ether6 ] name=ether06
set [ find default-name=ether7 ] name=ether07
set [ find default-name=sfp-sfpplus1 ] disabled=yes
/interface vlan
add interface=bridge-local name="VLAN-113(SIP)" vlan-id=113
/interface list
add name=WAN
/interface lte apn
set [ find default=yes ] ip-type=ipv4 use-network-apn=no
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip ipsec proposal
set [ find default=yes ] auth-algorithms=sha256,sha1 enc-algorithms=\
aes-256-cbc,aes-128-cbc,des lifetime=12h pfs-group=modp2048
/ip pool
add name=pool-168-224.x ranges=192.168.4.10-192.168.4.200
add name=newSIP ranges=172.31.31.100-172.31.31.200
/ip dhcp-server
add address-pool=pool-168-224.x interface=bridge-local lease-time=8m name=server-168.224.x
add address-pool=newSIP interface="VLAN-113(SIP)" name=DHCP_SIP
/port
set 0 name=serial0
set 1 name=serial1
/routing bgp template
set default disabled=no output.network=bgp-networks
/routing ospf instance
add disabled=no name=default-v2
/routing ospf area
add disabled=yes instance=default-v2 name=backbone-v2
/routing table
add fib name=vpn-spk
add name=sip-connection
add disabled=no fib name=SIPnew
/interface bridge port
add bridge=bridge-local ingress-filtering=no interface=ether04
add bridge=bridge-local ingress-filtering=no interface=ether05
add bridge=bridge-local ingress-filtering=no interface=ether06
add bridge=bridge-WAN ingress-filtering=no interface=ether00
add bridge=bridge-WAN ingress-filtering=no interface=ether01
add bridge=bridge-local ingress-filtering=no interface=ether02
add bridge=bridge-local disabled=yes ingress-filtering=no interface=ether03
add bridge=bridge-local disabled=yes interface=eoip-tunnel
/ip neighbor discovery-settings
set discover-interface-list=!dynamic
/ip address
add address=88.88.88.123/27 comment="Internet (firemni net)" interface=bridge-WAN network=88.88.88.96
add address=192.168.4.1/24 comment="::: local computers via ethernet" interface=bridge-local network=192.168.4.0
add address=10.227.203.225/24 interface=ether03 network=10.227.203.0
add address=172.31.31.10/24 interface="VLAN-113(SIP)" network=172.31.31.0
/ip dhcp-server network
add address=172.31.31.0/24 dns-server=172.31.31.10 gateway=172.31.31.10 netmask=24 ntp-server=172.31.31.10
add address=192.168.4.0/24 dns-server=192.168.4.1 gateway=192.168.4.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=1.1.1.1
/ip firewall address-list
add address=192.168.4.0/24 list=new_private
/ip firewall filter
add action=passthrough chain=input comment="Interfaces internet Dow/Upl" in-interface=bridge-WAN
add action=passthrough chain=output out-interface=bridge-WAN
add action=passthrough chain=input comment="Interfaces Bridge-local Dow/Upl" in-interface=bridge-local
add action=passthrough chain=output out-interface=bridge-local
add action=accept chain=forward comment="Forward | established | related connections" connection-state=established in-interface=bridge-WAN
add action=accept chain=forward connection-state=related in-interface=bridge-WAN
add action=accept chain=input comment="Accept | established | related connections" connection-state=established in-interface=bridge-WAN
add action=accept chain=input connection-state=related in-interface=bridge-WAN
add action=accept chain=input comment="Accept & Drop icmp input flow" protocol=icmp
add action=accept chain=input comment="L2TP/IPSec VPN" dst-port=500,1701,4500 in-interface=bridge-WAN protocol=udp
add action=accept chain=input in-interface=bridge-WAN protocol=ipsec-esp
add action=accept chain=input in-interface=bridge-WAN protocol=ipsec-ah
add action=accept chain=input comment="EoIP tunnel RU" dst-address=88.88.88.123 src-address=128.88.88.123
add action=accept chain=output dst-address=128.88.88.123 src-address=88.88.88.123
add action=accept chain=input dst-address-list=new_private in-interface=eoip-tunnel
add action=accept chain=output out-interface=eoip-tunnel src-address-list=new_private
add action=accept chain=forward dst-address-list=new_private in-interface=eoip-tunnel
add action=accept chain=forward log-prefix="GRE | OUT" out-interface=eoip-tunnel src-address-list=new_private
add action=accept chain=input comment="Allowed subnets" in-interface=bridge-local
add action=accept chain=forward in-interface=bridge-local
add action=accept chain=input in-interface=bridge-guest
add action=accept chain=forward in-interface=bridge-guest out-interface=bridge-WAN
add action=accept chain=input in-interface=all-ppp src-address-list=new_private
add action=accept chain=output dst-address-list=new_private out-interface=all-ppp
add action=accept chain=forward in-interface=all-ppp out-interface=bridge-local
add action=accept chain=forward in-interface=all-ppp out-interface=bridge-WAN
add action=accept chain=input disabled=yes in-interface="VLAN-113(SIP)"
add action=accept chain=forward disabled=yes in-interface="VLAN-113(SIP)"
add action=accept chain=input src-address=127.0.0.1
add action=accept chain=input comment="Allow PPTP" protocol=gre
add action=accept chain=input dst-port=1723 protocol=tcp
add action=drop chain=forward comment="Blocked guest to private" in-interface=bridge-guest out-interface=bridge-local
add action=drop chain=forward in-interface=bridge-local out-interface=bridge-guest
add action=drop chain=input comment="Accept invalid | established | related connections" connection-state= invalid in-interface=bridge-WAN log-prefix="DROP INPUT ::: "
add action=drop chain=forward comment="Forward invalid | established | related connections" connection-state=invalid in-interface=bridge-WAN log-prefix="DROP FORWARD ::: "
add action=drop chain=input comment="Drop all input / forwarding" log-prefix=\
"DROP INPUT ::: "
add action=drop chain=forward log-prefix="DROP FORWARD ::: "
/ip firewall nat
add action=masquerade chain=srcnat comment="masquerade new" out-interface=\
bridge-WAN src-address-list=new_private
add action=masquerade chain=srcnat out-interface=ether03 src-address=\
172.31.31.0/24
/ip ipsec policy
/ip route
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=88.88.88.97 \
pref-src="" routing-table=main scope=30 suppress-hw-offload=no \
target-scope=10
add comment="Location Moscow" distance=1 dst-address=192.168.10.0/24 \
gateway=eoip-tunnel pref-src=192.168.0.1
add distance=1 dst-address=192.168.12.0/24 gateway=eoip-tunnel pref-src=\
192.168.2.1
add distance=1 dst-address=192.168.14.0/24 gateway=eoip-tunnel pref-src=\
192.168.4.1
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=10.227.203.1 \
pref-src="" routing-table=SIPnew scope=30 suppress-hw-offload=no \
target-scope=10

Comments

[Valentin Barbolin]

* звонил провайдеру – там сказали, что проблема у меня на микротике, что пока не будет пинговаться их ДНС – работать не сможет; также сказали, что у них нет специалистов, которые могут мне помочь ((

А инструкцию в общих чертах как это должно работать предоставляет?

Answer 1

[matews]

Спасибо желающим помочь. Нанял специалиста, мне помогли.

Answer 2

[Юрий MikroTik]

Смотреть в сторону 2WAN, считая сеть для sip отдельным оператором
Направить трафик sip в эту сеть

Comments

[matews]

В целом я уже понял, что туда смотреть. А можно, пожалуйста, немного поконкретнее?

[Юрий MikroTik]

matews, для начала прописать маршрут в сеть телефонии через второй шлюз

[matews]

так в конфиге приложено (почти в самом низу):
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=10.227.203.1 \
pref-src="" routing-table=SIPnew scope=30 suppress-hw-offload=no \
target-scope=10

[Юрий MikroTik]

matews, кроме вас никто тут читать конфиг такого размера не будет :) по этому нужны выжимки сути.

Где правило которое направляет в таблицу маршрутизации SIPnew?

[matews]

как примерно оно должно выглядеть?

[Юрий MikroTik]

matews, в Mangle такой-то трафик маркируем таким марк роутингом

[matews]

chaing = prerouting
src adress = 172.31.31.0/24
action = mark routing
New Routing Mark = SIPnew
так?

[Юрий MikroTik]

matews, да, ещё бы указать сеть где сервер телефонии

[matews]

в in-interface указать VLAN?

[Юрий MikroTik]

matews, лучше список телефонов

[Joyz]

matews вам быстрее и надежнее будет нанять специалиста чтобы он вам удаленно все настроил.. ;)

[Юрий MikroTik]

Joyz, может человек хочет сам разобраться)

[matews]

Было бы хорошо самому разобраться.... а специалиста я совсем не против нанять. Главное, чтобы с ЮЛ мог работать, чтобы по счету оплатить)

[Юрий MikroTik]

matews, тогда контакты у меня в профиле