Mikrotik как разделить трафик между двумя провайдерами для конкретных пользователей?

Question

[Caspergreen]

Здравствуйте. Как разделить провайдеров для конкретных юзеров в сети?
Например имеется два ISP, один работает через pppoe, второй по ipoe.
Нужно к примеру пользователя с локальным IP 192.168.1.100 пустить через ISP2.

Answer 1

[Drno]

Маркировка трафика, далее с помощью роутинга

Answer 2

[AkaZLOY]

Обязательно маркировка трафика через Mangle, далее в роутинге настраиваете таблицу маршрутизации для маркерованного трафика, и 2 правила НАТа для двух исходящих интерфейсов.
Конкретно для вашего примера, маркеруем нужные пакеты, где bridge1 - интерфейс, где летает пакет:

ip firewall mangle add chain=prerouting src-address=192.168.1.100 in-interface=bridge1 action=mark-packet new-packet-mark=gateway2

Добавляем маршрут для маркированного трафика, где ISP2 адрес шлюза:

ip route add dst-address=0.0.0.0/0 gateway=ISP2 routing-mark=gateway2

И правило ната для исходящего трафика, где ip - выданный провайдером адрес:

ip firewall nat add chain=srcnat out-interface=ISP2 action=src-nat to-addresses=IP
(если адрес серый-динамический, то заменить на action=masquerade)

Answer 3

[Ивор Барханский]

Ну вы же натите трафик? Два правила НАТ-а: одних на одного провайдра, других - на другого. И всё.

Comments

[Dmitry]

ващет нет. NAT происходит после принятия решения о маршрутизации, т.е. когда решение об исходящем интерфейсе уже принято.

[Ивор Барханский]

Dmitry, вам шашечки или ехать? Если в NAT в сорц-адресах явно указать кому в какой провайдер можно, то пусть он хоть супер-решения напринимает, наружу его либо пустит разрешающее правило под него, либо он не найдёт выходи и вообще туда не попадёт.

[Dmitry]

Игорь, крайне рекомендую внимательно изучить packet flow в linux в целом и микротика в частности.

[Ивор Барханский]

Dmitry, значит шашечки.

ТС спрашивает "как сделать", а не "подробное и всестороннее исследование как это в теории в принципе должно работать в голом линуксе". Почувствуйте разницу.

[Dmitry]

Игорь, не понимаю, о каких шашечках и теории вы пишете, но зато неплохо понимаю packet flow в микротике, и могу с уверенностью сказать, что невозможно с помощью NAT разделить трафик по разным каналам, как это предлагаете вы.

TC следует сделать в mangle mark connection по source-адресу, после чего mark routing на основании помеченных коннекций (хотя можно и сразу помечать пакеты mark routing или воспользоваться новой фичей route, но православнее всё-же через пометку коннекций), в таблице маршрутизации должны быть дефолтные шлюзы для пакетов с этими роут-метками через соответствующие интерфейсы , метрики (distance в терминологии микротик) должны быть меньше дефолтных шлюзов обслуживающих пакеты без меток. И да, если оба канала смотрят в интернет, нужно сделать маскарад, но к разделению трафика он не имеет никакого отношения.

А диаграмму изучите, это не "шашечки", это именно то, как оно работает.

[Ивор Барханский]

Dmitry,

могу с уверенностью сказать, что невозможно с помощью NAT разделить трафик по разным каналам, как это предлагаете вы.

Значит у меня уже семь микротиков в нескольких городах делают физически невозможные в природе вещи.

[AkaZLOY]

Игорь, NAT - подменяет src. ip addr., а не решает куда и по какому маршруту идти пакету. Вам тыкают в документацию, а вы про "шашечки".

[Ивор Барханский]

AkaZLOY, ну чёрт с вами, если хотите играться, маркировать каждый ходящий по сети пакет отслеживать что куда входит, что куда выходит - играйтесь. Два разных НАТа для двух разных подсетей просто физически не дадут не той сети выйти не в тот интернет. Можно делать сколько угодно сложное, кмплексное решение, хоть обмазаться документацией и красивыми графиками, включить, например, нат-маскарадинг, тогда у вас всё одним скопом пойдёт куда надо и маркируйте на здоровье. А если сделать src-nat с определённой подсети на определённого провайдера. И оно пойдёт куда вам надо не потому что оно решает кому и по какому маршруту идти, а потому что банально предоставляет единственный возможный путь, по которому вообще можно пойти. И это — более быстрое и простое решение чем то, с чем вы все хотите играться.

Если взять аналогию, например, надо разделить две сети навсегда без исключений. Можно сделать круто и технологично — вланами, правилами, настройками роутеров, красиво, по учебничку, а можно просто физически не соединять разные сети между собой. Первое круче, правильнее, технологичнее? Да, несомненно. Второе же — проще, надёжнее и дубовее.

Вам тыкают в простое, дубовое решение, решающее задачу максимально простым и железобетонным способом. Вы же предлагаете автору осилить тонну мануалов, изучать вот эти вот все графики. Ещё бы тест-лаб собрать предложили и погонять тесты на устройствах мониторя всё каким нибуть вайршарком, ей богу...

Поэтому я и говорю, что вам всем важнее шашечки.

Answer 4

[DDwrt100]

Посмотрите в сторону настройки vrf на устройстве.

Answer 5

[Korben5E]

Сделать 2 NAT для разных адресов и всё.
Соответственно провайдеров в один Interface List не втыкать.