MikroTik RouterOS (часть 3) - [128] :: В помощь системному администратору

Ладно, сейчас намеренно упростил схему до минимума.

LAN1 (192.168.2.0/24) ----РоутерБ (дефолт смотрит в сторону РоутерА ) ether1 ---- ether6 РоутерА (дефолт смотрит в сторону гейта провайдера за ether10)

Ether8 - LAN прокси
Ether9- WAN прокси

адресация
Б:

Код:

ether1 192.168.1.2/30 | dst-address=0.0.0.0/0 gateway=192.168.1.1 gateway-status=192.168.1.1 reachable ether1 distance=0

A:

Код:

ether6 192.168.1.1/30 | dst-address=192.168.2.0/24 gateway=192.168.1.2 gateway-status=192.168.1.2 reachable ether6 distance=0
ether8 10.0.0.1/30 (Прокся 10.0.0.2/30)
ether9 10.1.1.1/30 (Прокся 10.1.1.2/30)
ether10 10.0.3.107/24 (получается по DHCP) | dst-address=0.0.0.0/0 gateway=10.0.3.1 gateway-status=10.0.3.1 reachable ether10 distance=0

К качестве прокси машина с freebsd и маршрутизацией меж интерфейсами.
Как видите конфигурация простейшая, никаких дополнительных настроек.

Добавляем правила заворота на прокси.

Код:

/ip firewall mangle add chain=prerouting dst-address-list=!local action=mark-routing new-routing-mark=route_to_proxy
/ip route add dst-address=0.0.0.0/0 gateway=10.0.0.2 routing-mark=route_to_proxy
/ip firewall address-list add address=10.0.0.0/8 list=local
/ip firewall address-list add address=192.168.0.0/16 list=local
/ip firewall address-list add address=172.16.0.0/12 list=local

На проксе:

Код:

route add default 10.1.1.1
route add net 10.0.0.0/8 10.0.0.1
route add net 172.16.0.0/12 10.0.0.1
route add net 192.168.0.0/16 10.0.0.1

Правило НАТ:

Код:

chain=srcnat action=masquerade dst-address-list=!local out-interface=ether10

Оправляю пакет icmp на 8.8.8.8 c РоутерБ
Смотрю пакеты tcpdump на ЛАН интерфейсе прокси, вижу icmp src = 192.168.1.2 dst = 8.8.8.8
Смотрю пакеты на WAN интерфейсе прокси, вижу icmp src = 192.168.1.2 dst = 8.8.8.8
Все верно.
А дальше начинаются чудеса:
Смотрю пакеты на шлюзе провайдера (10.0.3.1) и вижу эти же пакеты icmp src = 192.168.1.2 dst = 8.8.8.8 которые дропаются т.к. провайдер не знает о сети 192.168.1.0 на этом интерфейсе.
Вывод: пакет по какой-то причине не попал на НАТ.
НО (!!!)
Когда я отправляю такой же пинг с самой прокси.
icmp src = 10.1.1.2 dst = 8.8.8.8.
На шлюзе провайдера я вижу: icmp src = 10.0.3.107 dst = 8.8.8.8.
В счетчиках НАТ микротик так же вижу эти пакетики.
Если я включаю дополнительно НАТ на самом прокси сервере: то мгновенно начинает работать интернет у клинтов (с РоутерБ и с LAN1).
Вывод: на НАТ микротика не попадают пакеты которые были завернуты на проксю правилом mangle. (Отмечу, через прокси все проходит корректно).

Вот такой ответ мне прислал суппорт самого микротика:

Цитата:

1st - mark routing that goes from client interfaces and route it to captive portal, that you are already doing, but your captive protal is not doing NAT, so as result, packets are sent back to captive portal till TLL=0. To avoid that, set up packet marks so that they are marking packets using destination address and incoming interface and send all these packets to your captive portal. Now packets from your captive portal router with same source address as before and are sent back. Addition of in-interface will avoid that. And then just NAT on external interface.

2nd - use bridge, so packets from users use captive portal as gateway.

1е собственно я и так повторил.
2е для меня неприемлемо совсем.

Я склоняюсь к версии что это ошибка в ROS.

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR
ShriEkeR (05-01-2012 00:59):	Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147