Mikrotik/RouterOS — Advanced Routing Failover without Scripting, что там писать в mangle?

Question

[fotonboxx]

Добрый день!

Вопрос вот по этому.

Then, we have some policy routing rules, so all outgoing traffic is marked with ISP1 (which goes to GW1) and ISP2 (which goes to GW2) marks.

Эта фраза мне очень нравится, потому что подразумевает, что человек понимает, как это делать (и это в вики коммерческого продукта).

Буду очень признателен, если кто-то скинет\выложит, какие команды нужно забить в мангл, чтобы отмаркировать траффик в соотвествиии с цитатой.

Спасибо

Answer 1

[Кирилл Васильев]

осилили или разжевать?

Comments

[fotonboxx]

@vasilevkirill Разжуйте. Входящий трафик у меня маркируется и ответ на него идет на тот интерфейс, с которого пришел.
А вот как маркировать исходящий трафик?
Поясню, у меня сейчас есть:
0.0.0.0/0 GW_ISP1 1 ISP1
0.0.0.0/0 GW_ISP2 1 ISP2
0.0.0.0/0 GW_ISP1 1
0.0.0.0/0 GW_ISP2 2
Так вот если маршруты без маркировки отключить, естесственно, роутер не поймет куда направлять трафик.

[Кирилл Васильев]

@fotonboxx Исходящие это output
или же вы имеете ввиду проходящий трафик
если проходящий
то вы сначала моркируете connect нужные вам forward трафика
а потом это соединение prerouting mark routing

[fotonboxx]

@vasilevkirill проходящий отмаркировал, но есть еще и исходящий без соединения снаружи. Можете команды скинуть, если у вас это где-то реализовано?

[Кирилл Васильев]

@fotonboxx маршрутизатор это не скрипт и не программа, я бы на вашем месте подтянул теорию wiki.mikrotik.com/wiki/Manual:Packet_Flow_v6

[fotonboxx]

@vasilevkirill RouterOS - это именно что программа =) Как и линукс, на котором она работает.
И, вообще, говоря, я удивлен политикой Микротика. Они могли бы делать более дорогие версии лицензий, в которые впилены типовые востребованные решения. Несколько линков в Этой Страна для более-менее серьезных задач - это необходимость.

Вернемся к конкретике:
0 ;;; ISP1
chain=input action=mark-connection new-connection-mark=In-WAN1 passthrough=no in-interface=WAN1

1 ;;; ISP2
chain=input action=mark-connection new-connection-mark=In-WAN2 passthrough=no in-interface=WAN2

2 ;;; ISP1
chain=output action=mark-routing new-routing-mark=WAN1 passthrough=no connection-mark=In-WAN1

3 ;;; ISP2
chain=output action=mark-routing new-routing-mark=WAN2 passthrough=no connection-mark=In-WAN2

Эти правила работают, когда есть соединение извне и нужно ответить на правильный интерфейс.

А какие правила нужны, чтобы маркировать исходящий трафик и как его маркировать, если мы не знаем, по какому интерфейсу он пойдет, поскольку маршрут по умолчанию выбирается в зависимости от доступности неких нами выбранных хостов?

/ip route
add dst-address=Host1 gateway=GW1 scope=10
add dst-address=Host2 gateway=GW2 scope=10

/ip route
add distance=1 gateway=Host1 routing-mark=ISP1 check-gateway=ping
add distance=2 gateway=Host2 routing-mark=ISP1 check-gateway=ping

[Кирилл Васильев]

Исходящий трафик в его и маркируете цепочкой output
Может вы все-таки имеете ввиду трафик который идет из за маршрутизатора т.е. Тот который проходит NAT? Тогда цепочка forward.
А если вам нужно типовые настройки то dir-300

[fotonboxx]

@vasilevkirill Так, и применительно к задаче, весь исходящий трафик должен быть отмаркирован либо ISP1 либо ISP2, потому что:
add distance=1 gateway=Host1 routing-mark=ISP1 check-gateway=ping
add distance=1 gateway=Host2 routing-mark=ISP2 check-gateway=ping
Как мне понять, какой меткой маркировать весь исходящий трафик, если я заранее не знаю, какой активный маршрут, с марком ISP1 или ISP2?
Forward или Output - это не суть важно, у вас эта схема реализована? Вы как трафик маркируете?

"А если вам нужно типовые настройки то dir-300"
При чем тут г-линки? Вопрос мой начался с того, что в официальной вики дана неполная информация, и как реализовать отсутствующий кусок мне непонятно.

[Кирилл Васильев]

В данном случае не виду смысла маркировать сделай к два так же маршрута. Только без маркировки

[Кирилл Васильев]

Ой ой прошу прощения не то написал, сделайте еще по два маршрута с большей дистанцией и поменяйте у них маркировки местами. Прошу прощения с телефона пишу

[fotonboxx]

@vasilevkirill Я понял где у нас с вами непонимание:
1. Я пингую микротик извне, с помощью правил ответ уходит с того же интерфейса, что и пришел.
0 ;;; ISP1
chain=input action=mark-connection new-connection-mark=In-WAN1 passthrough=no in-interface=WAN1
1 ;;; ISP2
chain=input action=mark-connection new-connection-mark=In-WAN2 passthrough=no in-interface=WAN2
2 ;;; ISP1
chain=output action=mark-routing new-routing-mark=WAN1 passthrough=no connection-mark=In-WAN1
3 ;;; ISP2
chain=output action=mark-routing new-routing-mark=WAN2 passthrough=no connection-mark=In-WAN2
2. Я с роутера или с устройства за натом пингую 8.8.8.8.
У меня есть следующие маршруты (из вики):
add distance=1 gateway=Host1 routing-mark=ISP1 check-gateway=ping
add distance=2 gateway=Host2 routing-mark=ISP1 check-gateway=ping
add distance=1 gateway=Host2 routing-mark=ISP2 check-gateway=ping
add distance=2 gateway=Host1 routing-mark=ISP2 check-gateway=ping

Как видно, все они с routing-mark, а значит, мой запрос должен тоже ее иметь.
В мангле mark-routing можно делать только для цепочек output и pre-routing.
Ок, пусть будет output.
Как мне маркировать мой исходящий запрос на 8.8.8.8, если я не знаю, какой из маршрутов сейчас активный, с routing-mark=ISP1 или ISP2? Или есть возможность маркировать сразу двумя метками один и тот же трафик?

0 chain=output action=mark-routing new-routing-mark=ISP1 passthrough=no src-address=10.0.0.0/16 src-address-list=""
0 chain=output action=mark-routing new-routing-mark=ISP2 passthrough=no src-address=10.0.0.0/16 src-address-list=""

10.0.0.0/16 - это локальная сеть за натом.

[Кирилл Васильев]

@fotonboxx вы смотрели ссылку которую я вам кидал? по всей видимости нет.

трафик который находится за натом и проходит через него это forward он единственный который подподает под routing

я всё равно не понимаю.
и так ваш комп 10.0.0.2
ваш микротик 10.0.0.1
ISP1 9.9.9.9/29 gw 9.9.9.8
ISP2 7.7.7.7/29 gw 7.7.7.6

10.0.0.2 посылает ICMP на 8.8.8.8
надо чтобы он вышел через ISP1, но если ISP1 не работает то вышел через ISP2

не вижу смысла в данной конструкции вообще в маркировки, ну если вам так надо то

мангле
chain=forward action=mark-connection new-connection-mark=->forward-local-TO-MARK passthrough=no src-address=10.0.0.2 dst-address-list=!Not-Local

chain=prerouting action=mark-routing new-routing-mark=Local-MARK passthrough=no connection-mark=->forward-local-TO-MARK

маршруты
dst-address=0.0.0.0/0 gateway=9.9.9.8 gateway-status=9.9.9.8 unreachable check-gateway=ping distance=1 scope=30 target-scope=10 routing-mark=Local-MARK

dst-address=0.0.0.0/0 gateway=7.7.7.6 gateway-status=7.7.7.6 unreachable check-gateway=ping distance=2 scope=30 target-scope=10 routing-mark=Local-MARK

Я сообразил, вы маркируете по принципу провайдера, а должны по смыслу трафика

[Андрей]

Добрый день, Кирилл!

Воспользовался Вашей статьей на для реализации работы через резервного провайдера. Всё замечательно, работает!

Но вот до филиала, подключенного по туннелю IPIP "достучаться" не получается. Маршрут до него не работает. Сам туннель подключен.

6 A S ;;; MSK-TL
192.168.1.0/24 192.168.5.1 MSK 1

Подскажите, как пакеты для этого маршрута не выпускать в мир, а заворачивать в туннель?

[fotonboxx]

@vasilevkirill
"не вижу смысла в данной конструкции вообще в маркировки, ну если вам так надо то"
Это было не мне надо, а, напомню, официальной вики.
Зачем тут маркировка и правда непонятно, я дико затупил, за что приношу извинения.
Все на самом деле просто:
HostN - Гугл, Яндекс и прочие ресурсы с аптаймом, стремящимся к 100%
GWn - шлюзы наших ISP.

Для каждого провайдера по два хоста:
/route add dst-address=Host1 gateway=GW1 scope=10
/route add dst-address=Host2 gateway=GW1 scope=10
/route add dst-address=Host3 gateway=GW2 scope=10
/route add dst-address=Host4 gateway=GW2 scope=10

Собственно, маршруты:
/route add dst-address=0.0.0.0/0 gateway=Host1 distance=1 check-gateway=ping
/route add dst-address=0.0.0.0/0 gateway=Host2 distance=2 check-gateway=ping
/route add dst-address=0.0.0.0/0 gateway=Host3 distance=3 check-gateway=ping
/route add dst-address=0.0.0.0/0 gateway=Host4 distance=4 check-gateway=ping

Т.е. трафик пойдер через GW2 только если будут непингабельны Host1 и Host 2.

Огромное спасибо за дискуссию =)

[Кирилл Казаков]

Подскажите, а почему не приемлим такой вариант ?

/route add dst-address=0.0.0.0/0 gateway=GW1 distance=1 check-gateway=ping
/route add dst-address=0.0.0.0/0 gateway=GW2 distance=2 check-gateway=ping

В этом случае, если GW1 недоступен, то трафик идет через GW2 и наоборот.
Зачем дополнительные правила ?

[Кирилл Казаков]

Кирилл Казаков: При появлении подключения на GW1 трафик снова идет через GW1

[Александр Р]

Кирилл Казаков: Потому что GW1 может быть и доступен, а вот интернет через него нет. К примеру у провайдера с инетом проблемы.

А вот автор вопроса прав и мне тоже не понятно для чего маркировать эти маршруты. Они попадают совсем в другую таблицу и просто не работают. Если убрать маркировку, то маршруты попадают в главную таблицу и работают.

Answer 2

[nimbo]

habrahabr.ru/post/186284

Comments

[Кирилл Казаков]

Да, спасибо большое , нашел уже )
Так же вот habrahabr.ru/post/244385