Как сделать так, чтобы при подключении к роутеру по ipsec траффик заблокированных в россии приложений и сайтов продолжал заворачиваться в WG?

Question

[Born2com_fixtf2]

у меня на микротике настроен wg сервер таким образом, чтобы в впн тоннель заворачивался траффик только приложений и сайтов, заблоченых в РФ. Как сделать так, чтобы при подключении к роутеру по ipsec траффик заблокированных в россии приложений и сайтов продолжал заворачиваться в WG?

Answer 1

[AlexVWill]

продолжал заворачиваться в WG?

Это смотря как ты это реализовал. Если через mangle + address list, то точно так же как ты прописывал правило для маркировки трафика, который надо маршрутизировать в WG, маркируем трафик IPSsec. только в правилах маркировки в src. address пишем подсеть IPSec, которую твой сервер использует для подключения. Предварительно надо еще маскарадинг для IPSec подсети будет сделать в NAT. Я именно так делал для связки SSTP - > Mikrotik -> OpenVPN (+ SSTP резервный VPN)-> Internet, правда у меня весь трафик идет в VPN, но при желании можно и для конкретных адресов и/или IP правил насоздавать, было бы желание это самое. )))

Comments

[Born2com_fixtf2]

подсеть IPSec

под подсетью вы имеете ввиду серые ip, назначаемые клиентам ipsec?

[AlexVWill]

Born2com_fixtf2, тот pool, который использует IPSec для присвоения IP своих клиентов. У меня для SSTP например это 10.10.0.10-10.10.0.90, поэтому можно написать что-то вроде 10.10.0.0/24

[Born2com_fixtf2]

только в правилах маркировки в src. address пишем подсеть IPSec

Что насчёт dst.address? или как мне указать, куда заворачивать траффик?

[AlexVWill]

Born2com_fixtf2, я же в первом сообщении написал как, a в dst.address вообще ничего не пиши, или напищи !192.168.1.0/24 (замени на внутреннюю подсеть микротика по умолчанию), чтобы локальный трафик не стучался в vpn.

[Born2com_fixtf2]

AlexVWill, правило должно быть mark connection или mark routing, и что должно стоять в поле new routing/connection mark?

[AlexVWill]

Born2com_fixtf2, mark connection или mark route, как у тебя сейчас реализовано, так и сделай. Если у тебя mark routing к примеру, то там должна быть указана таблица маршрутизации (Roiting->Tables), которой описывается маршрут до WG интерфейса.

[Born2com_fixtf2]

AlexVWill, мне создавать отдельную таблицу под это дело?

[AlexVWill]

Born2com_fixtf2, нет, используй ту, что уже есть.

[Born2com_fixtf2]

AlexVWill, когда я так настраиваю, весь траффик из ipsec тоннеля идёт в wg, а мне нужно, чтобы в wg тоннель шёл траффик только от приложений и сайтов, заблоченных в РФ.

[AlexVWill]

Born2com_fixtf2, если у тебя есть правило mangle + address list то в этом правиле указывай нужную подсеть IPSec, тогда только для этого адреса трафик IPSec пойдет в WG. Я же про это сразу написал.

[Born2com_fixtf2]

AlexVWill, Заработало. Хотя я сделал под это отдельное правило. Но всё равно спс)