Какой обход Fasttrack + IPsec более предпочтителен на Mikrotik, маркировка Mangle или добавить 2 правила Filter перед Fasttrack?

Question

[bassoon48]

Ну к примеру я захочу добавить ipsec в домашнюю сеть между RB5009 и HAP ax3 между квартирами.
Предпочтительно метками разгребать или и правила можно добавить?
Я же так понимаю ситуации разные бывают. 2 провайдера к примеру или ещё.
Или в целом похрен, это как с Honeypot. Кто то через Mangle кто то через Filter, + некоторые ещё tarpit добавляют.
П. С. Вот кусок моего файрволла

Comments

[bassoon48]

Или добавлять 2 правила перед Fasttrack на in ipsec и out ipsec?

[CityCat4]

Я делаю через mangle

[bassoon48]

CityCat4, принципиальная разница?

Допустим если мне надо убдет промаркировать 10 соединений, то только отказываться от fasttrack?

[CityCat4]

bassoon48, У меня просто ситуация проще :) Мне нужно обойти NAT для исходящего IPSec и обойти блокировку RFC1918-адресов (которую я ставлю, чтобы от меня случайно чего не улетело и ко мне фигня не летела) для входящего и исходящего.

Answer 1

[brar]

Правильный вариант это добавить правила для ipsec выше правила fasttrack.

add action=accept chain=forward comment="IPsec before fasstrack" ipsec-policy=in,ipsec
add action=accept chain=forward comment="IPsec before fasstrack" ipsec-policy=out,ipsec

P.S. Вот не плохая статья, кстати с пояснениями. https://interface31.ru/tech_it/2021/09/pravilnoe-i...

Comments

[bassoon48]

с какими пояснениями? ты думаешь я её не читал?

Там показан единственный вариант и не объясняется другой.

Я считаю что правильно через Mangle. Гугли.

Mangle срабатывает РАНЬШЕ чем Filter. По сути разницы никакой, но через маркировку на мой взгляд правильнее.

[bassoon48]

А RAW срабатывает ещё раньше чем Mangl.

Я использую RAw для honeypot

[bassoon48]

Вот тебе официальная wiki если в английский могёшь.

так это описывается.

https://help.mikrotik.com/docs/display/ROS/IPsec

Оба варианта рабочие. Но Mangle по самой идее лучше так как РАНЬШЕ отрабатывает.

А так ты по тупому засираешь табилцу Filter и грузишь CPU.

[bassoon48]

Ты так CPU на 30% сильнее загрузишь.

Читай читай и вникай.

[brar]

bassoon48, с торможением в один месяц после своего вопроса, ты хорошо поговорил сам с собой. Молодец.

[bassoon48]

brar, ну лучше поздно чем никогда узнать чего-то новое для себя (тебя) и не пороть чушь в будущем за "ПРАВИЛЬНЫЙ" вариант.

Который ты походу считаешь ещё и единственно верным

[brar]

bassoon48, ты несешь чушь. Еще раз внимательно читай и изучай. Плохо получилось у тебя.

[bassoon48]

brar, ладно хорошо молодец

[bassoon48]

brar, следующий

П. С. вот так тебе скажут когда будешь умничать перед эйчаром а я тебя брать к себе на работу

[brar]

bassoon48,