MikroTik RouterOS (часть 3) - [127] :: В помощь системному администратору

BigElectricCat не-а
Модифицировал правила несколько под себя (ВПН пока оставим в покое роутерБ подключен напрямую в порт6 микротика)
Посему переделал следующим образом:

/ip firewall filter
add action=accept chain=forward "from Ether 2 Proxy" disabled=no in-interface=ether6 out-interface=ether8
add action=accept chain=forward "from Proxy 2 Ether " disabled=no in-interface=ether8 out-interface=ether6
add action=accept chain=forward comment="from Inernet 2 Proxy" disabled=no in-interface=ether10 out-interface=ether9
add action=accept chain=forward comment="From Proxy 2 Internet" disabled=no in-interface=ether9 out-interface=ether10
add action=drop chain=forward disabled=no

/ip firewall mangle
add action=mark-routing chain=prerouting disabled=no dst-address-list=!local in-interface=ether6 new-routing-mark=route_to_proxy passthrough=no
/ip firewall nat
add action=masquerade chain=srcnat disabled=no out-interface=ether10
/ip route
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=172.24.2.2 routing-mark=route_to_proxy scope=30 target-scope=10

Вроде правильно и должно работать.
Но трассировка останавливается на IP адресе интерфейса ether6

Смотрю счетчики правил фаервола:
[admin@M1] /ip firewall filter> print stats
Flags: X - disabled, I - invalid, D - dynamic
# CHAIN ACTION BYTES PACKETS
0 forward accept 900 15
1 forward accept 0 0
2 ;;; from Inernet 2 Proxy
forward accept 0 0
3 ;;; From Proxy 2 Internet
forward accept 900 15
4 forward drop 7 148 15

Тоесть все пакеты попадают под правило дроп.
Отключая трассировку с роутераБ и снова получаю петлю.

Делал по сценарию предложенному Вами.

Добавлено:
Кстати, вот какой ответ мне пришел из микротика:

1st - mark routing that goes from client interfaces and route it to captive portal, that you are already doing, but your captive protal is not doing NAT, so as result, packets are sent back to captive portal till TLL=0. To avoid that, set up packet marks so that they are marking packets using destination address and incoming interface and send all these packets to your captive portal. Now packets from your captive portal router with same source address as before and are sent back. Addition of in-interface will avoid that. And then just NAT on external interface.

2nd - use bridge, so packets from users use captive portal as gateway.

"so as result, packets are sent back to captive portal till TLL=0." - вот эта фраза особенно не понятна. С какого бы перепуга пакет послывался обратно?
Мне удалось получить доступ к GW который находится за ether10 (читай гейт провайдера)
И я вижу что пакеты из локальных сетей уходят не пройдя нат, тоесть с оригинальным src.

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR
ShriEkeR (05-01-2012 00:59):	Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147