Как избавиться от второго NAT?

Question

[Михаил]

Добрый день!
Имею два микротика, на каждый приходит по провайдеру. На первом микротике есть клиентский бридж 192.168.1.0 на втором микротике 192.168.2.0.
Оба роутера связаны одним линком 192.168.10.0 с ip 192.168.10.1 у первого и 192.168.10.2 у второго.
Задача была сделать взаимное резервирование интернета на обоих роутерах с ручным переключением. Провайдеры раздают адреса по DHCP с маршрутом по умолчанию с distance 1, резервный канал (шлюз 192.168.10.2 для первого и 192.168.10.1 для второго роутера) имеет маршрут по умолчанию с distance 2.
При переходе на резервный маршрут (когда основной провайдер физически отключен) интернет есть, но в таком случае имеется двойной NAT (на первом и на втором роутере).
Как настроить роутеры чтобы оставить только один NAT на роутере с провайдером при переходе на резервный канал 192.168.10?

UPD: добавил схему

Comments

[Akina]

На первом микротике есть клиентский бридж 192.168.1.0 на втором микротике 192.168.2.0.
Оба роутера связаны одним линком 192.168.10.0 с ip 192.168.10.1 у первого и 192.168.10.2 у второго.

А с какой целью? Что мешает иметь общую подсеть? DHCP оставить на одном, ну или на обоих, но тогда разделить диапазоны выдаваемых адресов. Для ручного переключения - просто изменяем выдаваемый дефолтный шлюз.

Да и вообще, чем вам двойной NAT так не нравится-то?

[Михаил]

Akina, роутеры должны работать в разных подсетях, такие требования.
Двойной нат работает и ладно, но так не должно быть. Вопрос в том, как можно от него избавиться и можно ли в принципе?

[Drno]

Михаил, так у тебя есть 1й роутер со своей подсетью, ЗА ним стоит 2й роутер со своим dhcp и подсетью...
куда должен изчезнуть из этой схемы 2й NAT ?))))

[Akina]

Михаил, я думаю, вам пора нарисовать схему. Потому как я не понимаю, откуда в вашей схеме появляется второй NAT.

Например, есть клиент 192,168,1,100. У него дефолтный шлюз 192,168,1,1. Соответственно его Инет-трафик NATится первым роутером прямо в инет. Отключаем от него кабель провайдера. Переписываем на нём дефолтный шлюз со шлюза первого прова на 192,168,10,2. Теперь клиент по-прежнему шлёт Инет-трафик в 192,168,1,1, но он в соответствии с таблицей маршрутизации маршрутизируется первым роутером через 192,168,10,1 в 192,168,10,2, а второй роутер NATит его в Инет.
Само собой, на втором роутере должен быть маршрут в 192,168,1,0 через 192,168,10,1.

Кстати, после гашения интерфейса к прову (не выдёргивание кабеля, а отключение самого порта) маршрут через этот интерфейс - остаётся или удаляется?

[Михаил]

Akina, добавил схему. Если погасить интерфейс или выдернуть кабель маршрут станет UNREACHABLE

[Valentin Barbolin]

r1 добавить марштур

/ip route add disabled=no distance=1 dst-address=192.168.2.0/24 gateway=192.168.10.2 routing-table=main

r2 добавить маршрут

/ip route add disabled=no distance=1 dst-address=192.168.1.0/24 gateway=192.168.10.1 routing-table=main

и выключить нат, или исключить из НАТ внутренние сети

То есть на R1

/ip firewall nat add action=masquerade chain=srcnat dst-address=!192.168.2.0/24 out-interface=ether2 src-address=192.168.1.0/24

R2

/ip firewall nat add action=masquerade chain=srcnat dst-address=!192.168.1.0/24 out-interface=ether2 src-address=192.168.2.0/24

[Akina]

Михаил, дык в этой схеме всё вообще должно работать "сабо самой". При условии, что NAT - исключительно на интерфейсе к прову, и вы добавите маршруты к "чужим" клиентам.
Пока интерфейс к прову жив, пакеты идут к нему и NATятся. Когда он гасится, то маршрут к нему дохнет, и пакеты идут по второму маршруту на второй роутер, и НЕ NATятся, а тот уже их NATит в Инет. Ну и у каждого роутера должен быть маршрут в подсеть клиентов другого роутера через адрес в 192.168.10.0.

[Михаил]

Akina, должно, но не работает без NAT к десятой подсети, поэтому вопрос и возник. Похоже надо обратные маршруты к подсетям 1 и 2 добавить, забыл про них

[Akina]

Михаил,

Похоже надо обратные маршруты к подсетям 1 и 2 добавить

Конечно, надо. Иначе ответные пакеты полетят не на второй роутер, а в дефолтный шлюз.

[Dieman666]

а что вообще мешает поднять все на одном шлюзе нормальном?
а потом вланами разделить сетку?

[Михаил]

Сети независимые и по питанию тоже. Такие условия

Answer 1

[Артем]

Настроить маршруты на r1 в сеть r2 через 192.168.10.2 и в обратную сторону на r2 в сеть r1, отключить src-nat на интерфейсах 192.168.10.1 и 192.168.10.2

Comments

[Михаил]

Делал на r1 маршрут по умолчанию на 192.168.10.2, но без src-nat для этого интерфейса не было интернета. Или надо на обеих сторонах отключить src-nat?

[Юрий MikroTik]

Михаил, сети друг друга знают по маршрутизации?
Firewall не блокирует?

[Михаил]

сети 192.168.1.0 и 192.168.2.0 не знают друг о друге. Firewall пустой

[Akina]

Михаил,

сети 192.168.1.0 и 192.168.2.0 не знают друг о друге.

Им это и не требуется. А вот роутеру (192.168.1.1 / 192.168.10.1) необходимо знать, что подсеть 192.168.2.0 доступна через 192.168.10.2. И наоборот.

Ну и файрволы, наверное, должны знать, что от 192.168.1.0 к 192.168.2.0 и обратно форвардить нельзя... или можно? это уже самостоятельно решайте.

PS. И в 192.168.10.0 я бы маску сделал 30-ю.