Как сделать роутинг на микротик с доступом в другую сеть?

Question

[Евгений]

Добрый вечер.
Есть проблема с роутингом на Mikrotik CHR.
Есть 2 интернет канала.
Есть 1 локальная сеть после которой иде Kerio Control.
Есть 1 сеть которую предоставляет ЦОД для доступа к физическому серверу и esxi.

Входные данные:
1. Локальная сеть: х.х.55.0/24 gateway x.x.55.1 mask 255.255.255.0
2. Сеть ЦОДа (по DHCP): y.y.0.0/24 gateway y.y.0.1 mask 255.255.255.0

Необходимо получить доступ из локальной сети к сети ЦОДа для администрирования виртуалок на esxi.
Получил по DHCP Client ip на Mikrotik y.y.0.68
Сделал роутинг:
Dst.Address - y.y.0.0/24
Gateway - x.x.55.1
Distance - 10
Scope - 30
Target Scope - 10
Routing table - main.

Firewall Rules следующие


При попытке пинга с Mikrotik через терминал - всё ок, esxi пингуется без проблем.
При попытке пинга с Kerio Control и локальной машины с LAN, которую раздает Mikrotik - пинга нет.

Просьба помочь с этим вопросом, направить что делаю не правильно.

Comments

[Артём]

-NAT на микротике есть?
- обратный маршрут в сеть микротика есть?
- запрещающие правила фаерволов отключать пробовали?
- как это всё соединено: физически или VPN? Лучше приложите схему

[Ziptar]

Прямо таки первое, то следует сделать - это осознать, что правила в фаерволе применяются сверху вниз, и если четвёртвым правилом дропнуть вообще весь input, то правила 15-18 работать не будут. Если же там есть условия, не отображаемые в таблице, то на кой чёрт выкладывать таблицу, когда надо выкладывать экспорт?
Второе, что надо сделать - это объяснить, что куда и после чего идёт. Схему сети нарисовать, короче говоря.

[Дмитрий]

Если с микротика есть доступ к ESXi, а с других устройств за ним - нет, то проблема скорее всего в том, что на ESXi нет явного маршрута в подсеть, откуда эти устройства, вследствие чего ответный трафик ESXi отправляет в свой шлюз по умолчанию, а не в микротик. Нужно либо прописать правильный маршрут на ESXi (хотя это может быть затруднительно, т.к. на микротике динамический получнный по DHCP адрес), либо на микротике выполнять маскарадинг транзитного трафика, идущего в подсеть ЦОД (т.е. подменять реальные ip-адреса источника на ip-адрес микротика в подсети ЦОД)

[Евгений]

Ziptar, Условий других нет в Firewall Rules.

Схема сети


Необходимо попасть в сеть ether port1 для администрирования esxi.

[Евгений]

Вопрос снят. Всем спасибо.
Было в правиле Filter Rules. Добавил в InterfaceList интерфейс LAN и ЦОДа. Сделал forward - accept на In. и Out InterfaceList.

[Юрий MikroTik]

Евгений, напиши в ответ, отметим решением

[Ziptar]

Юрий MikroTik, смысл какой? Это настолько частный случай, что бесполезен кому бы то ни было ещё целиком и полностью

[Юрий MikroTik]

Ziptar, чтобы было меньше тем без решения

Answer 1

[Евгений]

Вопрос снят. Всем спасибо.
Было в правиле Filter Rules. Добавил в InterfaceList интерфейс LAN и ЦОДа. Сделал forward - accept на In. и Out InterfaceList