Mikrotik — проброс порта через два провайдера?

Question

[Николай]

Есть маршрутизатор изначально настроенный по мануалу https://geektimes.com/post/186284/

Нужно несколько портов пробросить сразу на все 3 провайдера.

Сейчас если продублировать правило, то оно работает только на основном провайдере.
Нужно чтобы все порты одновременно были доступны сразу с 3 провайдеров.

Comments

[Wexter]

>Сейчас если продублировать правило, то оно работает только на основном провайдере.
Значит по какой-то причине у вас неправильно маркируются пакеты на входе/выходе, выкладывайте полный конфиг файрвола

[Николай]

Wexter,

[admin@MikroTik] /ip firewall mangle> print
Flags: X - disabled, I - invalid, D - dynamic 
 0    chain=input action=mark-connection new-connection-mark=ISP 1 -> Input passthrough=no dst-address=93.XX.XX.XX in-interface=vlan101 log=no 
      log-prefix="" 

 1    chain=input action=mark-connection new-connection-mark=ISP 3 -> Input passthrough=no dst-address=93.XX.XX.XX in-interface=vlan103 log=no 
      log-prefix="" 

 2    chain=input action=mark-connection new-connection-mark=ISP 2 -> Input passthrough=no dst-address=185.XX.XX.XX in-interface=vlan102 log=no 
      log-prefix="" 

 3    chain=output action=mark-routing new-routing-mark=ISP 1 passthrough=no connection-mark=ISP 1 -> Input log=no log-prefix="" 

 4    chain=output action=mark-routing new-routing-mark=ISP 2 passthrough=no connection-mark=ISP 2 -> Input log=no log-prefix="" 

 5    chain=output action=mark-routing new-routing-mark=ISP 3 passthrough=no connection-mark=ISP 3 -> Input log=no log-prefix="" 


 6    chain=prerouting action=mark-routing new-routing-mark=Office passthrough=no src-address=192.168.0.0/24 dst-address-list=!LocalNet log=no 
      log-prefix="" 

7    ;;; allow vpn to lan
      chain=forward action=accept src-address=192.168.5.0/24 in-interface=!vlan101 out-interface=ether2 log=no log-prefix="" 

8   ;;; allow vpn to lan
      chain=forward action=accept src-address=192.168.5.0/24 in-interface=!vlan102 out-interface=ether2 log=no log-prefix=""

[admin@MikroTik] /ip firewall nat> print
Flags: X - disabled, I - invalid, D - dynamic 
 0    ;;; ISP 1
      chain=srcnat action=masquerade out-interface=vlan101 log=no log-prefix="" 

 1    ;;; ISP 2
      chain=srcnat action=masquerade out-interface=vlan102 log=no log-prefix="" 

 2    ;;; ISP 2 In 8070/tcp
      chain=dstnat action=dst-nat to-addresses=192.168.0.26 to-ports=8070 protocol=tcp dst-address=185.XX.XX.XX dst-port=8070 log=no log-prefix="" 

 3    ;;; ISP 3
      chain=srcnat action=masquerade out-interface=vlan103 log=no log-prefix="" 

 4    ;;; ISP 3 In 8070/tcp
      chain=dstnat action=dst-nat to-addresses=192.168.0.26 to-ports=8070 protocol=tcp dst-address=93.XX.XX.XX dst-port=8070 log=no log-prefix=""

4 работает, а 2 нет

[Wexter]

Николай Задоя, а в таблице маршрутизации что?

[Николай]

Wexter,

[admin@MikroTik] /ip route>> print detail      
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, B - blackhole, U - unreachable, P - prohibit 
 0 A S  dst-address=0.0.0.0/0 gateway=93.XX.XX.XX gateway-status=93.XX.XX.XX reachable via  vlan101 distance=1 scope=30 target-scope=10 routing-mark=ISP 1 

 1 A S  dst-address=0.0.0.0/0 gateway=185.XX.XX.XX gateway-status=185.XX.XX.XX reachable via  vlan102 distance=1 scope=30 target-scope=10 routing-mark=ISP 2 

 2 A S  dst-address=0.0.0.0/0 gateway=93.XX.XX.XX gateway-status=93.XX.XX.XX reachable via  vlan103 distance=1 scope=30 target-scope=10 routing-mark=ISP 3 

 3 A S  ;;; 1
        dst-address=0.0.0.0/0 gateway=93.XX.XX.XX gateway-status=93.XX.XX.XX reachable via  vlan101 check-gateway=arp distance=10 scope=30 target-scope=10 routing-mark=Office 

 4   S  ;;; 2
        dst-address=0.0.0.0/0 gateway=185.XX.XX.XX gateway-status=185.XX.XX.XX reachable via  vlan102 check-gateway=arp distance=11 scope=30 target-scope=10 routing-mark=Office 

 5 A S  dst-address=0.0.0.0/0 gateway=93.XX.XX.XX gateway-status=93.XX.XX.XX reachable via  vlan101 distance=1 scope=30 target-scope=10 

 6   S  dst-address=0.0.0.0/0 gateway=185.XX.XX.XX gateway-status=185.XX.XX.XX reachable via  vlan102 distance=1 scope=30 target-scope=10 

 7 ADC  dst-address=93.XX.XX.XX.0/25 pref-src=93.XX.XX.XX gateway=vlan103 gateway-status=vlan103 reachable distance=0 scope=10 

 8 ADC  dst-address=93.XX.XX.XX.128/25 pref-src=93.XX.XX.XX gateway=vlan101 gateway-status=vlan101 reachable distance=0 scope=10 

 9 ADC  dst-address=185.XX.XX.XX/24 pref-src=185.XX.XX.XX gateway=vlan102 gateway-status=vlan102 reachable distance=0 scope=10 

10 ADC  dst-address=192.168.0.0/24 pref-src=192.168.0.1 gateway=ether2 gateway-status=ether2 reachable distance=0 scope=10

[Николай]

Wexter, что-то еще нужно?

[Wexter]

Николай Задоя, в маркированных маршрутах нет опечатки в адресе? в правилах mangle тоже?

Answer 1

[Никита Сизов]

Мутно у вас в конфиге mangle. Зачем-то маркировка соединений идет в цепочке input, хотя более правильно делать её на prerouting.
Я бы делал так:
/ip firewall mangle
add action=mark-connection chain=prerouting connection-mark=no-mark in-interface=vlan101 new-connection-mark = cm-ISP101 passthrough=yes
***повторить для двух других провайдеров.
Это правило обработает как соединения, адресованные роутеру (input) так и всё, что предназначено для передачи в nat

/ip firewall mangle
add action=mark-routing chain=prerouting connection-mark=cm-ISP101 new-routing-mark=rm101 passthrough=yes
** повторить для двух других провайдеров.
Это правило должно быть расположено ниже предыдущего. Оно поставит метку маршрутизации для пакетов в соединениях, которые мы выше пометили как cm-ISP101 - cm-ISP103. Для тех, которые

/ip firewall mangle
add action=mark-routing chain=output connection-mark=cm-ISP101 new-routing-mark=rm101 passthrough=yes
** повторить для двух других провайдеров.
Это правил повторяет предыдущее, но относится к тем пакетам, которые роутер формирует сам - они не проходят цепочку prerouting.
Правила NAT и таблица маршрутизации у вас вроде бы нормальные.