Как подружить тик и sqid находящийся в другой сетке?

Question

[Никита Решетняк]

Доброго времени суток! ИМеется значит 3 офиса в каждом по тику + сервак в ЦОДе на ком в виртуалке развернуть SQUID. Вопрос как с тиков завернуть трафик на спрута.
Пробовал по данному мануалу
https://docs.diladele.com/tutorials/mikrotik_trans...

Затык на маршруте к спруту, моя сеть 192.168.3.0/24 в ЦОДе 192.168.0.0/24 cспрут непосредственно на адресе 192.168.0.10

Тик говорит unreachable (0,0,0,0 через 192,168,0,10) )хотя доступ в ту сетку есть

ПыСы
Спрут нужен только для ограничения доступа

Answer 1

[Ruslan-Strannik]

https://forummikrotik.ru/viewtopic.php?f=1&t=4319
вот тут через дстнат достаточно просто описывают решение..

а машина со сквидом не ограничена в доступе в инет?

Comments

[Никита Решетняк]

Нет, пингует все что можно, и прокся при указывание в браузере работает

[Ruslan-Strannik]

я так понимаю и прокси используется от diladele?
интересно потестировать.
я заворачивал трафик на убунту сервер со сквидом. недавно совсем. можно маршрутом, а можно и с нат.
пробовал маркировать, но мне проще получилось так сделать :)
add action=dst-nat chain=dstnat disabled=no dst-port=80,8080 protocol=tcp src-address=192.168.1.22 to-addresses=192.168.100.70 to-ports=3128
add action=dst-nat chain=dstnat disabled=no dst-port=443 protocol=tcp src-address=192.168.1.22 to-addresses=192.168.100.70 to-ports=3129
ну и в /ip firewall filter дал доступ хостам и прокси выход в инет.
192.168.1.22 - хост для примера
при этом прокси пришлось выносить в другую подсеть. иначе траблы возникали

[Никита Решетняк]

Нет там просто центос и накаченный на него спрут

Answer 2

[20ivs]

говорит unreachable (0,0,0,0 через 192,168,0,10) )хотя доступ в ту сетку есть

у вас 2 правила для 0,0,0,0? у Микрота есть свой дефолтный маршрут в инет, и плюс ваш маршрут 0,0,0,0 через 192,168,0,10? тогда всё правильно пишет, что unreachable, потому что у вашего метрика 1, а у дефолтного 0, у него больший приоритет.

Comments

[Никита Решетняк]

В том и проблема что народу много, и каждому выписать прокси не очень, по сему нужно завернуть весь трафик с тика в прокси

[20ivs]

Никита Решетняк, для таких случаев используют групповые политики, а не заворачивают трафик на прокси. это же не маршрутизатор.

[20ivs]

Никита Решетняк, вот по вашей ссылке схема сети -

схема

[Никита Решетняк]

20ivs, Почти сквид находится в цоде у него другая сеть

[Никита Решетняк]

20ivs, С политиками согласен, но гостей политикой не завернешь

[20ivs]

Никита Решетняк, другая или та же, в данном случае, роли не играет. Сквид - прокси, а не маршрутизатор. Он запросы обрабатывает, а не трафиком рулит. Адрес сквида указывайте в качестве прокси у пользователей, а шлюзом остается Микрот.
Ну либо делайте из центоса полноценный маршрутизатор вдобавок к роли прокси. Только в этом случае все равно маршрут

(0,0,0,0 через 192,168,0,10)

работать не будет и вам придется у всех пользователей прописывать шлюзом центос, что тоже так себе идея по сравнению раздачи прокси групповыми политиками.

[20ivs]

Никита Решетняк, гостям гостевые сети =)
на DHCP сервере настраиваете опцию 252, это при раздаче адреса пропишет гостю и прокси.

[Никита Решетняк]

20ivs, СОгласен но тем гостям нужно быть в основной... ))) Лан буду пробывать перенаправление крутить

[20ivs]

Никита Решетняк, я предыдущий свой коммент подредактировал насчет прокси гостям.

[Никита Решетняк]

20ivs, Ага.. Щас буду пробовать

[Ruslan-Strannik]

не факт что он есть. этот маршрут.
если он берется из подключения к прову (рррое например), то в настройках подключения достаточно снять галочку "add defoult route" и маршрут добавить вручную уже с метриков 2, к примеру.
а unreachable может быть по разным причинам... может конфиг выложишь уже? :)
unreachable маршрут - выбран неверный интерфейс, на котором он ищет прокси. или выбранный интерфейс включен в бридж какой-либо. а может выбрана опция "check gateway" а ICMP на него запрещены.

[Ruslan-Strannik]

# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 ADS 0.0.0.0/0 pppoe-out1 1
1 DS 0.0.0.0/0 10.0.0.1 2
2 ADC 10.0.0.0/24 10.0.0.10 lte1 0
вот. маршруты 0 и 1 оба ричебл, независимо от метрики

[20ivs]

Ruslan-Strannik, так-то да, согласен. я предположил самую дефолтную ошибку с маршрутом. и так оно и есть, скорее всего. но тут дело вообще в другом, тут этот маршрут не нужен вовсе. см переписку выше.

[Никита Решетняк]

20ivs, Ruslan-Strannik, Решение было найдено на основе WPAD/PAC сейчас тестирую наблюдаю

[20ivs]

Никита Решетняк, стоит учесть, что при использовании WPAD проксю можно будет изменить самому у себя в системе, например рукастый юзер может просто ее выключить. поэтому не стоит пренебрегать групповыми политиками для своих юзеров. а гости, вероятнее всего, даже и не заметят WPAD.

[Никита Решетняк]

20ivs, Согласен уже подстраховался