Как разделить входящий трафик по портам на mikrotik?

Question

[idsergey_alexandrov]

Есть 2 интернета нужно чтобы по первому шел трафик по одним портам, а по второму другой по другим портам

Comments

[АртемЪ]

Не совсем понятна задача.
Речь идет про входящий трафик, или про исходящий?

[HawK]

Каким образом маршрутизатор может выбирать куда ему принимать входящий трафик?)

Answer 1

[Dmitry Tallmange]

/ip route add dst-address=0.0.0.0/0 gateway=1.2.3.4 routing-mark=ISP1-r
/ip firewall mangle add chain=prerouting dst-port=80 protocol=tcp action=mark-connection new-connection-mark=ISP1-с
/ip firewall mangle add chain=prerouting connection-mark=ISP1-c action=mark-routing new-routing-mark=ISP1-r

где 1.2.3.4 - шлюз провайдера 1.

Данный набор правил направит весь трафик на 80 порт через ISP1

Comments

[Dmitry Tallmange]

А вообще, если добавить два шлюза к маршруту по умолчанию, то в работу вступит ECMP. Тогда каждое новое соединение будет идти то в первый, то во второй порт.

[Ziptar]

Dmitry Tallmange,
А как ECMP поступает с related соединениями?

[Dmitry Tallmange]

Константин Антонов, держит на том же канале, во всяком случае в моих конфигурациях проблем с этим не было никогда.

[Ziptar]

Dmitry Tallmange,
Спасибо.

[Dmitry Tallmange]

Константин Антонов, ляпнул, а только потом додумал. Есть одна оговорка: в моем случае на обоих концах было мое оборудование. То есть каналы вели от моего микротика к моему микротику. Через два разных провадера в интернеты ECMP не строился. Простите, поторопился по поводу related. Надо пробовать)

[Ziptar]

Dmitry Tallmange,
Спасибо за уточнение))

Answer 2

[Gansterito]

Такое разделение чревато. Если разделять по портам удаленного сервера, то запрос на 80ый порт может придти с одного IP (через первый канал), а на 443 - с другого (второй канал). Если брать локальные порты - аналогично, с одного локального ПК может быть установлено две TCP-сессии с одним и тем же сервером, но с разных адресов. Что-то может пойти не так, особенно, если cookie на сайте привязываются к IP-адресам.
Альтернативные варианты - разделить "весь интернет" (0.0.0.0/0) на две почти равные части - 0.0.0.0/1 и 128.0.0.0/1, и смаршрутизировать их через разных провайдеров.

Comments

[Dmitry Tallmange]

на две почти равные части - 0.0.0.0/1 и 128.0.0.0/1, и смаршрутизировать их через разных провайдеров

очень красиво! Откровенно говоря, никогда не приходило такое решение в голову