Mikrotik dualwan failover - mangle provozu

pelirob

Mikrotik, dvě konektivity - zkouším několikátou variantu failover konfigurace. Procházím předchozí verze a učím se z chyb. Když mangluju příchozí provoz jsou následující dvě pravidla "ekvivalentní", nebo má některé z nich výhodu při dalším zpracování?
/ip firewall mangle add chain=input in-interface=ISP_1 connection-state=new action=mark-connection new-connection-mark=Incoming-ISP1
případně
/ip firewall mangle add chain=input in-interface=ISP_1 connection-mark=no-mark action=mark-connection new-connection-mark=Incoming-ISP1

5nik

Dle mého názoru první varianta označí pouze spojení navázaná z internetu, druhá varianta označí spojení navázaná zvenčí i zevnitř skrze ISP_1 ven. Záleží na ostatních pravidlech a co má být přesně účelem. Nelze takto jednoznačně říci, co je výhodnější.

theitman

5nik přesně tak, taky je důležité omanglovat i forward 🙂

pelirob

Sorry, moje blbost - tím pravidlem markuju INPUT provoz na ISP1/ISP2 kvůli routování (co přijde přes ISP1 musí zase přes ISP1 odejít). Celé (a analogicky i pro ISP2):

/ip firewall mangle add chain=input in-interface=ISP_1 connection-state=new action=mark-connection new-connection-mark=Incoming-ISP1
/ip firewall mangle add chain=output connection-mark=Incoming-ISP1 action=mark-routing new-routing-mark=via-ISP1

nebo

/ip firewall mangle add chain=input in-interface=ISP_1 connection-mark=no-mark action=mark-connection new-connection-mark=Incoming-ISP1
/ip firewall mangle add chain=output connection-mark=Incoming-ISP1 action=mark-routing new-routing-mark=via-ISP1

Jestli to myslím dobře, tak mě v tuto chvíli skutečně zajímají jen connection-state=new spojení, ale ty dva příklady nakonec dělají totéž (nebo skoro totéž), nebo ne?

pelirob

Vypadá to, že problém který řeším je nakonec úplně jinde, na eth2..... :-)
K eth1 je připojený wifi klient, do eth2 je zapojený VDSL router v režimu bridge (PPPoE Dial On Demand sestavuje mikrotik). Všechna pravidla ve firewallu mám navázaná na eth2. Když jsem si to zkoušel doma na stole, kde nemám VDSL, tak mi záložní konektivitu simuloval LTE modemem a všechno fungovalo. Ale při nasazení VDSL začaly problémy, protože Mikrotik provoz na eth2 ignoruje ===> mangle provozu se musí dělat na rozhraní pppoe-WAN2 !

5nik

pelirob při nasazení VDSL ... mangle provozu se musí dělat na rozhraní pppoe-WAN2 !

Přesně tak! Veškerý provoz leze z pppoe rozhraní, takže na něj aplikovat pravidla. A nebo se vyhnout zadávání rozhraní v pravidlech a vztáhnout to jen k IP (ne vždy to ale jde).

theitman

5nik nebo si vytvořit interface list WAN1 a WAN2 a na ně aplikovat mangle a do nich přiřadiWAN 1 eth1 + ppp1 a eth2 + ppp2 do WAN2 🙂

vodny

Zdravím mohu oživit prosím toto téma? Bojuji s mangle a tady mi to přijde, že se dělo něco podobného. Moje situace je taková, že mám WAN1 (bez veřejné IP) a WAN2 (s veřejnou IP) pak LAN. Řeším to, že když se připojím na kamery přes WAN2 tak je to ok ale data odesílá WAN1. Nemůžu se "domanglovat" k tomu, aby co přijde na Wan1 odešlo také Wan1 a stejně pro Wan2. Vytvořím pro každý van mangle s INPUT chain s potřebným interface a connection mark est, related a new. Akce mark_connection. Dále pak output s conection mark příslušné značky z předchozího příkazu a action mark routing kterou pak přiradím v routes k jednotlivým cestám ale je to úplně bez efektu... Jdu alespoň správným směrem? nebo co všechno musím "omanglovat" prosím.

vodny

Tak už to mám :-) 2x input 2x output chain. Problém byl v označení NEW,EST a related. Když jsem tam nedal žádnou z položek začalo to jezdit. Sice tomu nerozumím ale chová se to teď podle představ zatím...