Как настроить NAT loopback на Mikrotik c двумя провайдерами?

Question

[Soundmax]

Добрый день.
Ситуация следующая - есть микротик, настроенный на работу через двух провайдеров, где одна подсеть ходит через ISP1, а вторая через ISP2 .
Настройка произведена согласно этой статьи (только без резервного ISP3)
https://habr.com/ru/post/186284/

Однако при такой настройке не получается организовать доступ из локальной сети по внешнему IP адресу.
Я так понимаю это из-за правила маркировки маршрута и последующей маршрутизации

chain=prerouting action=mark-routing new-routing-mark=office 1 passthrough=no src-address=192.168.101.0/24 
     dst-address-list=!LocalNet

dst-address=0.0.0.0/0 gateway=172.25.25.1  check-gateway=arp distance=10 routing-mark=office 1
dst-address=0.0.0.0/0 gateway=192.168.99.1 check-gateway=arp distance=11 routing-mark=office 1

Подскажите, как в таком случае реализовать доступ на внешний IP из локалки?

Answer 1

[brlumen]

Что значит

организовать доступ из локальной сети по внешнему IP адресу.

Не могли бы вы рассказать подробнее, что у вас не получается сделать?

Comments

[hint000]

Что значит организовать доступ из локальной сети по внешнему IP адресу.

Эту схему чаще называют "hairpin NAT", автор выбрал чуть менее распространённый термин "NAT loopback".

[brlumen]

hint000, где автор упомянул термин NAT loopback?

Answer 2

[profesor08]

Firewall -> NAT

Src. Address: 192.168.0.0/24
Dst. Address: 55.66.77.88 // целевой внешний адрес
Dst. Port: 5555
In. Interface: bridge // тут надо выбрать нужный интерфейс
Action: netmap
To Address: 192.168.0.20 // целевой локальный адрес
To Ports: 5555

Получается ты перехватываешь и перенаправляешь сигнал куда тебе нужно. Я не думаю, что механизм будет как-то отличаться, если сетей много, так как суть то одна.

P.S. Как это должно выглядеть в консоли не знаю, настроено через gui.

Comments

[Александр Карабанов]

netmap ресурсоёмкое действие, не стоит его использовать для обычного dst-nat.
Если целевой порт не меняется, то его можно не указывать в To Ports

Да и суть вопроса вы не поняли - автор хочет настроить hairpin NAT при условии, что провайдеров несколько.

Answer 3

[Александр Карабанов]

Например:

/ip firewall address-list
add address=<ваш IP 1> list=inet-IP
add address=<ваш IP 2> list=inet-IP
add address<ваша подсеть 1>/24 list=LocalNet
add address<ваша подсеть 2>/24 list=LocalNet

/ip firewall nat
add action=dst-nat chain=dstnat comment="To WEB-Server" dst-address-list=inet-IP dst-port=80,443 protocol=tcp to-addresses=<IP адрес>
add action=masquerade chain=srcnat comment="Hirepin NAT" out-interface-list=LAN src-address-list=LocalNet

Comments

[Soundmax]

Не получается. И ума не хватает, чтобы отойти от инструкции и переделать под свою задачу.

Так трафик маркируется

/ip firewall mangle
add action=mark-connection chain=input dst-address=93.1.1.20 \
    in-interface=wan-ISP1 new-connection-mark="ISP1" passthrough=\
    no
add action=mark-routing chain=output connection-mark="ISP1" \
    new-routing-mark="ISP1" passthrough=no

add action=mark-routing chain=prerouting dst-address-list=!LocalNet \
    new-routing-mark=Office-Lan1 passthrough=no src-address=172.16.0.0/24

Так выглядит маршрутизация

/ip route

add distance=1 gateway=93.1.1.1 routing-mark="ISP1"

add check-gateway=arp distance=10 gateway=93.1.1.1 routing-mark=\
    Office-Lan1

Настройка NAT для статического WAN, а так же правила проброса и hirepin NAT

/ip firewall nat

add action=src-nat chain=srcnat comment="NAT ISP" \
    out-interface=wan ISP1 to-addresses=93.1.1.20

add action=dst-nat chain=dstnat dst-address=93.1.1.20 dst-port=9780,9786 \
    protocol=tcp to-addresses=172.16.0.10

add action=masquerade chain=srcnat src-address-list=LocalNet

удается подключиться на внешний IP из локальной сети только если вот это правило маркировки отключить: add action=mark-routing chain=prerouting dst-address-list=!LocalNet \
new-routing-mark=Office-Lan1 passthrough=no src-address=172.16.0.0/24

[Александр Карабанов]

Пока непонятно зачем это правило нужно. Нельзя ли обойтись прописыванием маршрута?
Диссонанс вызывают dst-address-list=!LocalNet и new-routing-mark=Office-Lan1 что это? Попытка направить трафик через конкретного провайдера?

[Soundmax]

Да.

Выдержка из статьи на хабре

Но прежде предусмотрительно подготовим один маленький но тонкий нюанс, так как мы будет использовать prerouting то трафик перед «Попаданием» в таблицу маршрутизации, необходимо отфильтровать.
Необходимо создать адрес листы с сетями которые не должны маркироватся.
Я обычно называю его LocalNet и в этот раз поступим также.

Перед тем как пакет покинет маршрутизатор: если адрес отправителя состоит в сети 192.168.101.0/24 и адрес назначения не числится в листах, то маркируем маршрут именем office 1
Совсем просто, это весь трафик который принадлежит офису 1 и не идёт до наших других локальных подсетей.

Схема такая. Две сети Office-lan1 и Office-lan2 и два провайдера ISP1 (белый), ISP2 (серый).
Office-lan1 использует ISP1, а в случае недоступности переключается на ISP2
Office-lan2 использует ISP2, а в случае недоступности переключается на ISP1

Задача - из сети Office-lan1 получать доступ к внешнему IP ISP1

[Александр Карабанов]

Во https://habr.com/ru/post/463813/