MK - 2 verejne ip a port fw

lukasdj

Ahoj,resim jeden problem s konfigem. Mam dve verejne IP ktere jsou pomoci dmz smerovane na MK. Za mikrotikem mam jeden stroj na ktery se potrebuju dostavat z obou ip soucasne. Nastavena je maskarada z obou ip a presne tak i dstnat.

Vzdy mi funguje pristup jenom z jedne ip adresy.

Je vubec mozne nastavit aby mi fungoval pristup na ten stroj za natem z obou ip adres soucasne?

theitman

Pravděpodobně buď eproblem v tom že používáš maskaradu místo source nat

lukasdj

Pravděpodobně buď eproblem v tom že používáš maskaradu místo source nat

Ano pouzivam maskaradu. Myslis ze kdyby jsem prenastavil na srcnat tak to bude slapat?

Popripade dokazal by si mi postnout nejaky example?

On se z venku po te druhe ipcce dotaze dovnitr ale odpoved zpet jde pres tu prvni,logicky

theitman

Pošli jak to máš nastavené podle mě mít dvě maskarady je nesmysl podle mě máš mít maskaradu na provoz který tě nezajímá a potom mít src nat pro každou vip

lukasdj

Pošli jak to máš nastavené podle mě mít dvě maskarady je nesmysl podle mě máš mít maskaradu na provoz který tě nezajímá a potom mít src nat pro každou vip

;;; NAT Telekom

chain=srcnat action=masquerade src-address=192.168.101.0/24 out-interface=ether1 - Telekom log=no log-prefix=""

;;; NAT LTE

chain=srcnat action=masquerade src-address=192.168.101.0/24 out-interface=ether2 - O2 LTE log=no log-prefix=""

chain=dstnat action=dst-nat to-addresses=192.168.101.200 to-ports=80 protocol=tcp dst-address=192.168.0.2 dst-port=80 log=no log-prefix=""

chain=dstnat action=dst-nat to-addresses=192.168.101.200 to-ports=80 protocol=tcp dst-address=192.168.105.2 dst-port=80 log=no log-prefix=""

Route Gateway Distance

0.0.0.0/0 192.168.0.1 1

0.0.0.0/0 192.168.105.1 10

theitman

A jak to teď funguje? Že které sítě to funguje a že které ne? Předpokládám že z toho lte to nefunguje :)

lukasdj

A jak to teď funguje? Že které sítě to funguje a že které ne? Předpokládám že z toho lte to nefunguje :)

Mas pravdu. Za normalnych okolnosti ne,jakmile vypnu telekom a nabehne lte tak samizrejme slape pres lte.

Pozrebuju dosahnout toho aby jsem se z venku dostal dovnitr pomoci obou ipcek

zero

PCC je odpoved: https://wiki.mikrotik.com/wiki/Manual

theitman

Problém je v tom, že ten trafik co ti přijde přes LTE odchází přes TELEKOM když TELEKOM funguje, takže budeš muset značkovat provoz ale tam ti moc neporadím s nastavením :)

zero

Problém je v tom, že ten trafik co ti přijde přes LTE odchází přes TELEKOM když TELEKOM funguje, takže buď použít PCC, nebo možná značkovat provoz ale tam ti moc neporadím s nastavením :)

ano, problém je ten asymetrical routing. Jak jsem psal, PCC je ideál. MK by konečně mohl začít makat na SD-WAN

hapi

jak vyřeší PCC to aby z venku byly dostupný obě veřejky zároveň? PCC přece řeší trafik ven, ne dovnitř. Dovnitř potřebuje connection mark + routing mark. Označkuješ si příchozí spojení a pak ho zase pošleš ven stejnym iface.

zero

jak vyřeší PCC to aby z venku byly dostupný obě veřejky zároveň? PCC přece řeší trafik ven, ne dovnitř. Dovnitř potřebuje connection mark + routing mark. Označkuješ si příchozí spojení a pak ho zase pošleš ven stejnym iface.

tak si to vyzkousej. Pri PPC taky znackujes conexe a mimo to si jeste muzes balancovat ten traffic smerem ven. Pouzivam to tak bezne,

lukasdj

jak vyřeší PCC to aby z venku byly dostupný obě veřejky zároveň? PCC přece řeší trafik ven, ne dovnitř. Dovnitř potřebuje connection mark + routing mark. Označkuješ si příchozí spojení a pak ho zase pošleš ven stejnym iface.

tak si to vyzkousej. Pri PPC taky znackujes conexe a mimo to si jeste muzes balancovat ten traffic smerem ven. Pouzivam to tak bezne,

Takze jsem to skusil a nastavil. smerem dovnitr je to presne tak, jak jsem chtel ale problem je smerem z LAN to net. Automaticky me hodi pres tu druhou,sekundarni, ipcku ....

theitman

postni sem nastavení

lukasdj

postni sem nastavení

Je to nastavene presne podle toho navodu na mk strankach

https://wiki.mikrotik.com/wiki/Manual

theitman

postni sem tvoje nastavení a neřeš jestli to je nebo není podle návodu :)

noxus28

No lebo cely návod ti je na 2 veci keď nechceš load balancing.

Stačí ti značkovanie čo vstupuje z vonkajšieho interface aby rovnakým aj odišlo. Písal ti to už hapi.

add chain=prerouting in-interface=ISP1 connection-mark=no-mark action=mark-connection new-connection-mark=ISP1_conn

add chain=prerouting in-interface=ISP2 connection-mark=no-mark action=mark-connection new-connection-mark=ISP2_conn

add chain=prerouting connection-mark=ISP1_conn in-interface=LAN action=mark-routing new-routing-mark=to_ISP1

add chain=prerouting connection-mark=ISP2_conn in-interface=LAN action=mark-routing new-routing-mark=to_ISP2

add chain=output connection-mark=ISP1_conn action=mark-routing new-routing-mark=to_ISP1

add chain=output connection-mark=ISP2_conn action=mark-routing new-routing-mark=to_ISP2

/ ip route

add dst-address=0.0.0.0/0 gateway=10.111.0.1 routing-mark=to_ISP1 check-gateway=ping

add dst-address=0.0.0.0/0 gateway=10.112.0.1 routing-mark=to_ISP2 check-gateway=ping

lukasdj

No lebo cely návod ti je na 2 veci keď nechceš load balancing.

Stačí ti značkovanie čo vstupuje z vonkajšieho interface aby rovnakým aj odišlo. Písal ti to už hapi.

add chain=prerouting in-interface=ISP1 connection-mark=no-mark action=mark-connection new-connection-mark=ISP1_conn

add chain=prerouting in-interface=ISP2 connection-mark=no-mark action=mark-connection new-connection-mark=ISP2_conn

add chain=prerouting connection-mark=ISP1_conn in-interface=LAN action=mark-routing new-routing-mark=to_ISP1

add chain=prerouting connection-mark=ISP2_conn in-interface=LAN action=mark-routing new-routing-mark=to_ISP2

add chain=output connection-mark=ISP1_conn action=mark-routing new-routing-mark=to_ISP1

add chain=output connection-mark=ISP2_conn action=mark-routing new-routing-mark=to_ISP2

/ ip route

add dst-address=0.0.0.0/0 gateway=10.111.0.1 routing-mark=to_ISP1 check-gateway=ping

add dst-address=0.0.0.0/0 gateway=10.112.0.1 routing-mark=to_ISP2 check-gateway=ping

OK skusim a napisu. Kazdopadne dekuju moc!

lukasdj

No lebo cely návod ti je na 2 veci keď nechceš load balancing.

Stačí ti značkovanie čo vstupuje z vonkajšieho interface aby rovnakým aj odišlo. Písal ti to už hapi.

add chain=prerouting in-interface=ISP1 connection-mark=no-mark action=mark-connection new-connection-mark=ISP1_conn

add chain=prerouting in-interface=ISP2 connection-mark=no-mark action=mark-connection new-connection-mark=ISP2_conn

add chain=prerouting connection-mark=ISP1_conn in-interface=LAN action=mark-routing new-routing-mark=to_ISP1

add chain=prerouting connection-mark=ISP2_conn in-interface=LAN action=mark-routing new-routing-mark=to_ISP2

add chain=output connection-mark=ISP1_conn action=mark-routing new-routing-mark=to_ISP1

add chain=output connection-mark=ISP2_conn action=mark-routing new-routing-mark=to_ISP2

/ ip route

add dst-address=0.0.0.0/0 gateway=10.111.0.1 routing-mark=to_ISP1 check-gateway=ping

add dst-address=0.0.0.0/0 gateway=10.112.0.1 routing-mark=to_ISP2 check-gateway=ping

OK skusim a napisu. Kazdopadne dekuju moc

P.S. asi ta nejhloupejsi otazka,ale konkretne kvuli cemu je treba chceck-gateway ? Melo by to slapat i bez toho ne?

noxus28

ano. je to keď máš v zápise routes 2+ default brány, pokiaľ jedna neodpovedá, hodí sa nedosiahnuteľná a routing sa prepne na ďalšiu s najnižším distance. Aj keď to samozrejme na prepínanie netu na záložný nie je veľmi spoľahlivé nakoľko brána ti odpovedať môže ale nevieš aké veci za ňou ti nefungujú že :)

Další stránka »