Mikrotik RouterOS; два провайдера - балансировка, маршрутизация, firewall (без скриптов)

04.12.2012
Поделиться в:

Мы уже рассматривали вариант подключения двух провайдеров Интернет к одному маршрутизатору, под управлением операционной системы Mikrotik RouterOS. Однако, это был самый простой вариант. Который не всегда может подойти в тех или иных условиях. Поэтому сегодня, мы возьмем ряд конкретных примеров настройки маршрутизатора с условием подключения к двум провайдерам, и более подробно остановимся на некоторых нюансах настройки Firewall, NAT, маршрутизации и балансировки нагрузки или использования второго канала в качестве резервного.

И так как дальнейший рассказ будет с конкретными примерами, то и начнем его с конкретных условий. У нас есть 2 провайдера. Связь с обоими устанавливается посредством протокола PPPoE. Как настроить соединение с провайдером, подробно описано в этой статье, поэтому этот процесс мы пропустим. Обозначив лишь то, что провайдер №1 у нас подключен к порту Ether1, и имя его PPPoE подключения - ISP1. Провайдер №2, подключен к порту Ether2 и имеет имя PPPoE подключения - ISP2.

Единственный момент, это то, что мы в дальнейшем, будем самостоятельно создавать правила маршрутизации, поэтому при создании подключений к провайдерам, необходимо убрать галочку с пункта Add Default Route на вкладке Dial Out для PPPoE соединения.

PPPoE client RouterOS

NAT

Чтобы наша сеть правильно работала и имела доступ в интернет, нам необходимо настроить NAT. Для этого открываем раздел IP -> Firewall, переходим на вкладку NAT и кнопкой “+”, добавляем новое правило.

На вкладке General, цепучку Chain выбираем scrnat. Значение поля Out. Interface, в данном случае, мы оставляем не заполненным, так как у нас два провайдера, и соответственно 2 разных интерфейса.

New NAT Rule RouterOS

Затем на вкладке Action, в качестве параметра для поля Action, ставим значение masquerade.

New NAT Rule RouterOS

Сохраняем правило кнопкой OK. Настройку NAT, можно считать законченной.

NAT Rules RouterOS

Firewall

 Следующий наш шаг, это настройка функции Firewall, которая призвана защитить нашу локальную сеть.

 Переходим на вкладку Filter Rules, где нам предстоит создать ряд основных правил, согласно которым, будет организованно прохождение пакетов через наш маршрутизатор.

Если у вас есть в этом разделе какие либо правила, то их следует сперва удалить.

 Новые правила, можно добавлять нажатием кнопки “+”, после чего, например для правила разрешающего ping - chain=input protocol=icmp action=accept, на вкладке General, мы выбираем цепочку Chain - input, а протокол Protocol - icmp.

New Firewall Rule RouterOS

После чего, на вкладке Action, в качестве параметра для поля Action, выбираем acept.

New Firewall Rule RouterOS

Это действие, необходимо повторить порядка 14 раз, для четырнадцати разных правил.

Разрешаем Ping

chain=input protocol=icmp action=accept

chain=forward protocol=icmp action=accept

 Разрешаем установленные соединения

chain=input connection-state=established action=accept

chain=forward connection-state=established action=accept

 Разрешаем родственные соединения

chain=input connection-state=related action=accept

chain=forward connection-state=related action=accept

 Запрещаем не удачные соединения

 chain=input connection-state=invalid action=drop

chain=forward connection-state=invalid action=drop

Разрешаем соединения по протоколу UDP

chain=input protocol=udp action=accept

chain=forward protocol=udp action=accept

 Открываем доступ в Интернет для нашей локальной сети. Для тех, у кого префикс локальной сети, отличается от 192.168.0.0/24, поставить вместо этого, свои адрес.

chain=forward src-address=192.168.0.0/24 action=accept

 Разрешаем доступ к роутеру, только из локальной сети, как и выше - 192.168.0.0/24 стоит заменить своим адресом.

chain=input src-address=192.168.0.0/24 action=accept

 И в конце, запрещаем все остальное

chain=input action=drop

chain=forward action=drop

Понятное дело, что открывать каждый раз новое окно, и заполнять все необходимые поля, это довольно утомительно, поэтому, я рекомендую открыть New Terminal и по одной задать команды перечисленные ниже. Это займет гораздо меньше времени.

New Terminal Firewall Rules RouterOS

ip firewall filter add chain=input protocol=icmp action=accept

ip firewall filter add chain=forward protocol=icmp action=accept

ip firewall filter add chain=input connection-state=established action=accept

ip firewall filter add chain=forward connection-state=established action=accept

ip firewall filter add chain=input connection-state=related action=accept

ip firewall filter add chain=forward connection-state=related action=accept

ip firewall filter add chain=input connection-state=invalid action=drop

ip firewall filter add chain=forward connection-state=invalid action=drop

ip firewall filter add chain=input protocol=udp action=accept

ip firewall filter add chain=forward protocol=udp action=accept

ip firewall filter add chain=forward src-address=192.168.0.0/24 action=accept

ip firewall filter add chain=input src-address=192.168.0.0/24 action=accept

ip firewall filter add chain=input action=drop

ip firewall filter add chain=forward action=drop

 Но каким бы методом, мы это не делали, в итоге, мы должны получить следующее.

Firewall Rules RouterOS

Routing

Последним, но одним из самых важных действий, осталось создание маршрутов. Начнем с того, что пометим наши соединения с провайдером. Это необходимо для того, чтобы все пришедшие на интерфейс того или иного провайдера запросы, уходили именно на его интерфейс. Это довольно критично в том случае, если у нас за NAT, есть какие либо ресурсы, к которым необходимо обеспечить доступ из глобальной сети Интернет. Например web-сервер или почтовый сервер и т.д. О том как организовать работу таких сервисов, мы уже рассматривали в статье Расширенные настройки Mikrotik RouterOS: перенаправление портов - dstnat.

 Для этого, нам необходимо создать два отдельных правила, для каждого провайдера в разделе IP -> Firewall на вкладке Mangle.

 На вкладке General, выбираем цепочку Chain как forward, а в качестве In.Interface выбираем интерфейс PPPoE подключения первого провайдера ISP1.

New Mangle Rule RouterOS

А на вкладке Action, в качестве параметра Action, выбираем mark connection и в появившемся ниже поле New Connection Mark, вписываем имя метки для этого соединения, например ISP1-con.

New Mangle Rule

То же самое, повторяем для второго провайдера. Только в качестве In.Interface выбираем ISP2, а в поле New Connection Mark, вписываем метку для второго соединения ISP2-con.

 Теперь, чтобы отправить ответ на пришедший запрос через интерфейс того же провайдера, нам необходимо создать еще 2 правила, которые будут помечать маршруты.

 Здесь же, создаем новое правило в котором в качестве цепочки Chain, выбираем значение prerouting, в поле Scr.Address вписываем префикс нашей локальной сети 192.168.0.0/24, а Cjnnection Mark выбираем метку соединения нашего первого провайдера ISP1-con.

New Mangle Rule RouterOS

Переходим на вкладку Action и в поле Action, выбираем mark routing, а в появившемся ниже поле New Routing Mark, присваиваем метку для маршрута этого провайдера, например ISP1-rt.

New Mangle Rule

Точно такое же привило, создаем и для второго соединения. Только, соответственно, в качестве Connection Mark выбираем ISP2-con, а в качестве New Routing Mark, вписываем ISP2-rt.

 И теперь, если у нас есть какие либо ресурсы, доступ к которым необходимо обеспечить исключительно через интерфейс того или иного провайдера, нам нужно создать список этих ресурсов и пометить все соединения с адресами из этого списка, для дальнейшей правильной маршрутизации.

 Например у провайдера №2 - ISP2 есть локальные ресурсы имеющие диапазон адресов 181.132.84.0/22. А через провайдера №1, пинг к игровым серверам онлайн игр, гораздо меньше. И мы знаем что IP адреса этих серверов 90.231.6.37 и 142.0.93.168.

 Переходим на вкладку Address Lists раздела IP -> Firewall. И по одному добавляем эти IP адреса или подсети целиком, с именами to-ISP1 или to-ISP2, в зависимости от того, через какого провайдера должно быть обращение к этим ресурсам.

New Address List RouterOS

И так как большинство провайдеров используют собственные DNS сервера, доступ к которым зачастую запрещен из других сетей, то в эти списки, крайне важным будет добавить и адреса DNS серверов каждого из провайдеров, для того чтобы запросы доменных имен уходили на них именно через интерфейс конкретного провайдера.

Узнать DNS адреса не сложно, например у самого провайдера на сайте в разделе по настройке оборудования.

В итоге, мы должны иметь ряд адресов для каждого из списков

Address Lists RouterOS

Для того чтобы пометить маршруты для этих списков, возвращаемся на вкладку Mangle., где создаем еще 2 правила. Для ISP1 и списка to-ISP1, правило будет выглядеть так: на вкладке General, Chain - prerouting, Connection State - new.

New Mangle Rule RouterOS

На вкладке Advanced, Dst.Address List - наш список адресов для первого провайдера to-ISP1.

New Mangle Rule RouterOS

А на вкладке Action, Action - mark routing, New Routing Mark - ISP1-rt.

New Mangle Rule RouterOS

Повторяем тоже самое, для списка адресов второго провайдера. Но соответственно в качестве Dst.Address List, указываем список адресов для второго провайдера to-ISP2. А в качестве метки для маршрута New Routing Mark - ISP2-rt.

 И приступаем к самой основной части настройки маршрутизации - созданию статических правил маршрутизации в разделе IP -> Routes.

 Здесь, на вкладке Routes, создаем новый маршрут.

Если каналы наших обоих провайдеров, практически равны, то добавляем вот такой маршрут: но вкладке General, окна создания маршрута, для Dst.Address пишем 0.0.0.0/0, а в качестве Getway выбираем интерфейсы наших провайдеров ISP1 и ISP2. Все остальные параметры, оставляем без изменений.

В таком варианте, нагрузка на обоих провайдеров, будет распределяться равномерно.

New Route RouterOS

Если же мы хотим сделать так, что бы второй провайдер у нас был запасным, и “включался” только в случае, когда не доступен или сильно загружен первый, то создаем два маршрута.

 Первый Dst.Address - 0.0.0.0/0, Gateway - ISP1.

А второй Dst.Address - 0.0.0.0/0, Gateway - ISP2, Distance - 2.

New Route RouterOS

И еще, необходимо создать два отдельных маршрута, для каждого из провайдеров, куда будут уходить помеченные нами ранее маршруты. Отличатся они будут тем, что в поле Routing Mark будет указана метка, которую мы присваивали ранее, для того или иного провайдера.

 Первый будет иметь Dst.Address - 0.0.0.0/0, Gateway - ISP1, Routing Mark - ISP1-rt, а второй, соответственно Dst.Address - 0.0.0.0/0, Gateway - ISP2, Routing Mark - ISP2-rt

New Route RouterOS

Теперь работа с двумя провайдерами, настроена должным образом. Все входящие соединения помечаются и ответы на них уходят через тот интерфейс, на который пришел запрос. Обращения к тем или иным ресурсам, распределены, и нагрузка на оба канала - сбалансирована.

Алексей С., специально для LanMarket

logo
Mikrotik RouterOS; два провайдера - балансировка, маршрутизация, firewall (без скриптов)
Отзывы покупателей
Рейтинг покупателей
5 / 5 5 5 159
На основе 159 оценок покупателей
20.1%
0%
0%
0%
0%
Отзыв
Отлично
Заголовок*
Достоинства
Недостатки
Комментарий*
Представьтесь
Комментарий
Алексей, Если полностью отключится, то переключение не произойдет. Если при этом подключение не пропадает, то ничего и не переключится."
Комментарий
Алексей, Сам спросил - сам ответил )Для эмуляции "отключения за неуплату" поменял МАС-адрес интерфейса.Да, произошло переключение на запасного провайдера.метод проверки - ping unicast"
Комментарий
Ситуация:два провайдера: ISP1 ISP2Ставим destination 1 и 2 соответственно.ISP1 отключает интернет за неуплату или у него пропадает канал. При этом, естественно, его шлюз доступен.Произойдет ли переключение на ISP2?
Комментарий
Александр, Для pptp нужны еще 2 правила: 1 - action=accept chain=forward disabled=no dst-port=1723 protocol=tcp 2 - action=accept chain=forward disabled=no protocol=gre"
Комментарий
Алексей, подскажите такой момент. Настроено все по инстукции - работает,Включен pptp, но входящие pptp соединения не устанавливаются. Виключаю дропи в фаере - соединения заводятся на несколько минут, потом пропадают. Каким образом отстроить правила?
Комментарий
Спасибо большое за статью.Почему-то у меня не заработало сразу, при включении двух интерфейсов, интернет пропадал, работал только при отключении одного.Провайдеры DHCP, совет про ИП вместо интерфейсов учел (было бы неплохо добавить его в статью).Помогло только вот это (соответственно шлюзы и названия поменял для своих провайдеров):/ ip routeadd dst-address=0.0.0.0/0 gateway=10.111.0.1,10.112.0.1 check-gateway=ping / ip firewall nat add chain=srcnat out-interface=wlan1 action=masqueradeadd chain=srcnat out-interface=wlan2 action=masquerade/ ip firewall mangleadd chain=input in-interface=wlan1 action=mark-connection new-connection-mark=wlan1_connadd chain=input in-interface=wlan2 action=mark-connection new-connection-mark=wlan2_connadd chain=output connection-mark=wlan1_conn action=mark-routing new-routing-mark=to_wla1 add chain=output connection-mark=wlan1_conn action=mark-routing new-routing-mark=to_wla2 / ip routeadd dst-address=0.0.0.0/0 gateway=10.111.0.1 routing-mark=to_wla1 add dst-address=0.0.0.0/0 gateway=10.112.0.1 routing-mark=to_wla2
Комментарий
Сергей, Да. Как вариант."
Комментарий
Алексей, Разобрался, нашел на другом форуме похожую проблему - http://local.com.ua/forum/topic/61846- (не сочтите за рекламу) помогло добавление в правило маскарада src-address=192.168.88.0/24"
Комментарий
Сергей, тяжело с ходу сказать... Нужно посмотреть на других. Просто, сколько уже людей пользуется этой конфигурацией, не у кого таких проблем не возникало. NAT всегда давал внешний адрес."
Комментарий
Статья полезная, настроил - имею доступ к компьютерам из под нат(проброс портов) с обеих внешних интерфейсов, но есть одна особенность...Есть сервер source игры от стим(не важно какой), к которому игроки могут свободно подключаться, проблема заключается в том, что сервер логирует их как подключенных по айпи 192.168.88.1 (айпи микротика), также в трансмиссии" порой появляется в пирах айпи роутера. Как-то можно это исправить? Вообще в какой стороне копать?"

Возврат к списку


Популярное оборудование

Авторизуйтесь, чтобы добавить отзыв

x