Как правильно настроить Mikrotik RB941-2nd для работы с разными сетями и прокси-сервером?

Question

[forgoty]

Есть роутер Mikrotik RB941-2nd. Есть внешняя сеть компании 172.16.0.0\16. Конкретно этому микротику присвоен адрес 172.16.40.80 в локальной сети. Он же, в свою очередь, получает сеть через шлюз 172.16.42.10. В этой же локальной сети есть 3proxy server по адресу 172.16.42.12:3128, с помощью которого можно получить интернет.

Задача заключается в том, чтобы подключить пару клиентов к интернету через микротик. Они должны сидеть в своей локальной сети и беспрепятственно ходить в локальную сеть компании и в интернет. Логика работы такая: клиент делает какой-нибудь запрос. Далее, микротик решает куда его отправить. Если он адресован кому-нибудь в локальной сети компании, то он просто отправляет его туда через шлюз. Если он адресован в интернет - он отправляет его на прокси-сервер.

Подскажите, пожалуйста, как это все правильно настроить. Я в сетях не очень разбираюсь. Опыт настройки сетевого оборудования у меня на уровне настройки домашнего роутера. Все что мне удалось сделать, так это настроить "домашнюю сеть". А вот как правильно настроить, чтобы запросы перенаправлялись из одной сети в другую я понять не могу. Возможно, у вас есть подобный опыт. Прикрепляю картинку-схему для лучшего понимания проблемы.

Comments

[forgoty]

В решении задачи очень помогли данные материалы:
https://habrahabr.ru/post/265387/
https://habrahabr.ru/post/313342/
https://habrahabr.ru/post/182166/

А также, материалы с официальной документации и форумов.

Answer 1

[Anton]

Начну с того, что задача для Вас будет крайне трудная и потребует изучения устройства и сети.
1. В ip->addresses добавьте микротику адреса во всех подсетях, в которых он участвует (которые подключены к нему) и интерфейсы, соответствующие этим подсетям. К примеру, у меня "для интернета", строчки будут выглядеть так (377 - это VLAN от провайдера):

2. В ip->Route добавьте адреса сетей таким образом Dst. Address (куда ходить), Gateway (или шлюз или ipsec/l2tp соединение - через что ходить) и pref. source - как представляться для подсети (в пункте 1 Вы давали адреса для подсетей).
К примеру, опять же, для интернета это будет Dst.Address 0.0.0.0/0, Gateway - шлюз, предоставленный провайдером и рядом порт/интерфейс (WAN), по которому у Вас идёт этот трафик.

3. Добавьте для каждой подсети и WAN'a input-accept правила в фаерволле. Более тонкую настройку можно сделать, изучив эти правила.

Comments

[forgoty]

Спасибо за ответ. Проблема решилась. Сделал так:
1) Настроил, чтобы все клиенты из локальной сети смогли свободно выходить в сеть компании по вашим рекомендациям (не без танцев).
2) У каждого клиента настроил использование прокси-сервера. Благо, их можно по пальцем одной руки пересчитать.
Конечно, использование прокси-сервера даёт свои ограничения. Например, некоторые приложения отказывались работать. Думаю, что это связано с тем, что они используют свои порты, которые прокси-сервер не может обрабатывать. У таких приложений нету стандартных инструментов для работы с прокси.

Тем не менее, пока все работает стабильно.

[Anton]

forgoty, вайбер может не работать, к примеру. Для него и таких капризных приложений я использую proxifier.

Answer 2

[Сергей]

это не вопрос, а ТЗ!