Почему не работает маркировка пакетов для отправки через другой маршрут на Mikrotik через OpenVPN?

Question

[Евгений Воробьев]

Привет всем!
На микротике настроен ovpn клиент (ovpn-out1)
/ip firewall address-list add address=8.8.8.8 list=through_vpn
/ip firewall mangle add action=mark-routing chain=prerouting dst-address-list=through_vpn in-interface=bridge1 new-routing-mark=through_vpn passthrough=yes
/ip route add distance=1 gateway=ovpn-out1 routing-mark=through_vpn
/ip firewall nat add action=masquerade chain=srcnat out-interface=ovpn-out1

Трассирую с самого микротика 8.8.8.8 - пакеты идут обычным образом.
Если создаю маршрут вручную через ovpn-out1 до адреса 8.8.8.8 - все идет через vpn (то есть gateway там рабочий).
Причем если включить логирование на mangle правиле - в логах ничего нет.
Можете подсказать почему?

В данном случае 8.8.8.8 - для теста.

Answer 1

[nApoBo3]

Потому что у вас в mangle in interface указан. Это для forward трафика, а с самого mikrotik у вас output трафик.

Comments

[Евгений Воробьев]

если я убираю интерфейс - все так же.
Делал кстати на примере этой статьи. Что там не так?

[nApoBo3]

Если вы хотите настраивать mikrotik изучите диаграмму прохождения пакетов.
https://www.mikrotik-trainings.com/trainings_files...
Output пакеты не попадают в mangle prerouting.

[Valentin Barbolin]

Евгений Воробьев, Ответ в самом начале твое ссылки (Задача: настроить так, чтобы КЛИЕНТЫ локальной сети, находящейся за mikrotik, на отдельные сайты выходили бы через внешний VPN-сервер).

Для клиентов это правило будет работать, но не для самого микротика.

[Евгений Воробьев]

Andrey Barbolin, проверить пока не могу, поэтому проверял с самого микротика. Вы уверены что это так? Разве сам микротик не является членом своей же локальной сети?

[nApoBo3]

Евгений Воробьев, для настройки mikrotik понимание диаграммы прохождения пакетов является обязательным. Посмотрите диаграмму по ссылке.
Пакеты самого mikrotik это input и output. Пакеты проходящие через mikrotik это forward.( Сам "mikrotik" на диаграмме это local process ).

[Евгений Воробьев]

Andrey Barbolin, проверил. Спасибо. Вы оказались правы. Только я сменил фильтр с in-interface=bridge1 на src_address=192.168.[локальная сеть]