Как на Miktotik пустить трафик для определенного сайта через Wireguard?

Question

[Praporshhik_Zadov]

На роутере MikroTik RouterOS 7.16.1 настроен WireGuard. Как сделать чтобы трафик для какого либо выбранного сайта шел через WireGuard?

Comments

[Дмитрий]

Как вариант:
- Закинуть все домены сайта в address list, где они отрезолвятся в айпишники
- в ip -> firewall -> mangle сделать mark routing по исходящему транзитному трафику на этот address-list (в цепочке prerouting)
- в Routing -> Rules создать правило, которое перекинет трафик с нужным routing mark в таблицу маршрутизации, где дефотный шлюз за интерфейсом Wireguard

[Gregory]

/routing table add disabled=no fib name=toVPN
/ip route add dst-address=0.0.0.0/0 gateway=wireguardNEW routing-table=toVPN

/ip firewall address-list
add address=mail.ru list=vpn
add address=yandex.ru list=vpn

/ip firewall mangle add action=mark-routing chain=prerouting dst-address-list=vpn new-routing-mark=toVPN passthrough=no

/ip firewall nat add action=masquerade chain=srcnat comment="WG" ipsec-policy=out,none out-interface=wireguardNEW

отключить фастрек и юзерам сделать dns например 8.8.8.8

Answer 1

[Daemon23RUS]

Ответ попадает под обход блокировок а критерием оценки информации о способах, методах обеспечения доступа к информационным ресурсам и (или) информационно-телекоммуникационным сетям, доступ к которым ограничен на территории Российской Федерации, является наличие информации, содержащей описание действий, позволяющих получить доступ к информационным ресурсам и (или) информационно-телекоммуникационным сетям, доступ к которым ограничен на территории Российской Федерации
Решение то есть, а вот как его описать и ничего не нарушить ?

Comments

[Praporshhik_Zadov]

Исправил формулировку.

[Daemon23RUS]

Praporshhik_Zadov, В первоначальном варианте BGP маршрутизация предпочтительней. (погуглите)
Еще вариант, DNS запрос к микротику, который его перенаправляет к другому днс серверу, а ответ (ip адрес) заносит в таблицу, а правило маскарада и форвардинга для IP в таблице отправляет пакеты в шлюз WG

Answer 2

[Drno]

Например по BGP - вот неплохая статья

spoiler

https://habr.com/ru/articles/775110/
https://dtf.ru/howto/3017480-tochechnaya-marshruti...

Либо если точечно нужно - например сайт интела не работает из РФ и невозможно обновить драйвера.
Точечный вариант тут -

spoiler

https://habr.com/ru/articles/467471/
https://gist.github.com/shaposhnikoff/42313fb975d9...

Ну либо свой сервер с этим...

spoiler

https://antizapret.prostovpn.org/selfhosted.html

Comments

[Praporshhik_Zadov]

Сделал как тут https://habr.com/ru/articles/775110/

/routing bgp template
add as=$YOUR_AS disabled=no hold-time=4m input.filter=bgp_in .ignore-as-path-len=yes keepalive-time=1m multihop=yes name=antifilter routing-table=main
/routing bgp connection
add disabled=no hold-time=4m input.filter=bgp_in .ignore-as-path-len=yes keepalive-time=1m local.role=ebgp multihop=yes name=antifilter_bgp remote.address=45.154.73.71/32 .as=65432 router-id=$IP routing-table=main templates=antifilter
/routing filter rule
add chain=bgp_in disabled=no rule="set gw $INTERFACE; accept;"

Маршруты приходят, но они все DbI, то есть неактивные, как я понял. Почему так может быть?

Answer 3

[Praporshhik_Zadov]

Делаю настройку BGP так:

/routing bgp template
add as=$YOUR_AS disabled=no hold-time=4m input.filter=bgp_in .ignore-as-path-len=yes keepalive-time=1m multihop=yes name=antifilter routing-table=main
/routing bgp connection
add disabled=no hold-time=4m input.filter=bgp_in .ignore-as-path-len=yes keepalive-time=1m local.role=ebgp multihop=yes name=antifilter_bgp remote.address=45.154.73.71/32 .as=65432 router-id=$IP routing-table=main templates=antifilter
/routing filter rule
add chain=bgp_in disabled=no rule="set gw $INTERFACE; accept;"

Маршруты приходят, но они все помечены как DbI. Почему такое может быть?