Mikrotik. 2 Провайдера. Входящие соединения, а также проброс DST-NAT в локальную сеть, через любого из 2-х провайдеров

Входные данные

• Имеется 2 провайдера, у обоих есть статический внешний IP-адрес
• ether3-wan1 - интерфейс ISP1
• ether4-wan2 - интерфейс ISP2
• 193.34.13.97 - шлюз ISP1
• 172.18.0.129 - шлюз ISP2

Задача

• Необходимо чтобы сам маршрутизатор отвечал (например на ICMP запрос на внешний провайдерский IP-адрес) во внешку по тому провайдеру, по которому запрос пришел
• Необходимо чтобы при подключении с внешнего провайдерского интерфейса до внешнего IP-адреса любого из 2-х провайдеров, мы могли подключиться до внутреннего сервера через проброс dst-nst

Настройка

Актуальная рабочая конфигурация

https://mum.mikrotik.com/presentations/RU18M/presentation_6157_1554717194.pdf

Создаем группу WAN интерфейсов

/interface list

add name=-WAN-

/interface list member

add interface=ether3-wan1 list=-WAN-

add interface=ether4-wan2 list=-WAN-

SRC-NAT на группе WAN интерфейсов

/ip firewall nat

add action=masquerade chain=srcnat comment=NAT_masquerade_wan-all out-interface-list=-WAN-

Маркировка входящих соединений в INPUT самого микрота (например, WINBOX)

/ip firewall mangle

add action=mark-connection chain=input comment=conn-input-from-ISP1 in-interface=ether3-wan1 new-connection-mark=conn-input-from-ISP1

add action=mark-connection chain=input comment=conn-input-from-ISP2 in-interface=ether4-wan2 new-connection-mark=conn-input-from-ISP2

Маркировка входящих соединений DST-NAT (для пробросов порта на хост в локальной сети)

/ip firewall mangle

add action=mark-connection chain=prerouting comment=conn-input-from-ISP1 connection-mark=no-mark in-interface=ether3-wan1 new-connection-mark=conn-input-from-ISP1 passthrough=yes

add action=mark-connection chain=prerouting comment=conn-input-from-ISP2 connection-mark=no-mark in-interface=ether4-wan2 new-connection-mark=conn-input-from-ISP2 passthrough=yes

Маркировка соответствующих каждому провайдеру маршрутов на основании маркированных входящих соединений

/ip firewall mangle

add action=mark-routing chain=prerouting comment=from-ISP1-route-via-ISP1 connection-mark=conn-input-from-ISP1 in-interface-list=!-WAN- new-routing-mark=from-ISP1-route-via-ISP1 passthrough=no

add action=mark-routing chain=prerouting comment=from-ISP2-route-via-ISP2 connection-mark=conn-input-from-ISP2 in-interface-list=!-WAN- new-routing-mark=from-ISP2-route-via-ISP2 passthrough=no

Маршрут исходящий для соответствующего входящего соединения через соответствующего провайдера (в WAN интерфейс пришел - через шлюз, соответствующий WAN интерфейсу, вышел)

/ip firewall mangle

add action=mark-routing chain=output comment=from-ISP1-route-via-ISP1 connection-mark=conn-input-from-ISP1 new-routing-mark=from-ISP1-route-via-ISP1

add action=mark-routing chain=output comment=from-ISP2-route-via-ISP2 connection-mark=conn-input-from-ISP2 new-routing-mark=from-ISP2-route-via-ISP2

Говорим системе, что соединения с определенной маркировкой отправлять через соответствующий шлюз

/ip route

add comment=from-ISP1-route-via-ISP1 distance=1 gateway=$gw1 routing-mark=from-ISP1-route-via-ISP1

add comment=from-ISP2-route-via-ISP2 distance=1 gateway=$gw2 routing-mark=from-ISP2-route-via-ISP2

Готово

Пробуем пинговать с внешки внешние IP-адреса провайдеров

Каждый должен пинговаться

Пробуем ходить с внешки на IP-адреса провайдеров по порту 80

По каждому провайдеру проходим до веб-сервера 192.168.1.50

НЕ ИСПОЛЬЗОВАТЬ! Устаревший мануал. С ним не работает проброс DST-NAT по RDP

Переменные:

:global ifaceWan1 "ether3-wan1";

:global ifaceWan2 "ether4-wan2";

:global gw1 "193.34.13.97";

:global gw2 "172.18.0.129";

Маркируем соединения, приходящие в INPUT микротика с интерфейса каждого провайдера (например ICMP запросы на сам микрот с внешки)

/ip firewall mangle

add action=mark-connection chain=input comment=conn-input-from-ISP1 in-interface=$ifaceWan1 new-connection-mark=conn-input-from-ISP1 passthrough=yes

add action=mark-connection chain=input comment=conn-input-from-ISP2 in-interface=$ifaceWan2 new-connection-mark=conn-input-from-ISP2 passthrough=yes

Маркируем соответствующим routing маркером соединения, которые пришли из соответствующего провайдера (это маркировка для INPUT)

/ip firewall mangle

add action=mark-routing chain=output comment=from-ISP1-route-via-ISP1 connection-mark=conn-input-from-ISP1 new-routing-mark=from-ISP1-route-via-ISP1 passthrough=no

add action=mark-routing chain=output comment=from-ISP2-route-via-ISP2 connection-mark=conn-input-from-ISP2 new-routing-mark=from-ISP2-route-via-ISP2 passthrough=no

Маркируем соединения, приходящие в FORWARD микротика с интерфейса каждого провайдера (например запрос до локального веб-сервера 192.168.1.50)

/ip firewall mangle

add action=mark-connection chain=forward comment=conn-forward-from-ISP1 in-interface=$ifaceWan1 new-connection-mark=conn-forward-from-ISP1 passthrough=yes connection-nat-state=dstnat

add action=mark-connection chain=forward comment=conn-forward-from-ISP2 in-interface=$ifaceWan2 new-connection-mark=conn-forward-from-ISP2 passthrough=yes connection-nat-state=dstnat

Маркируем соответствующим routing маркером соединения, которые пришли из соответствующего провайдера (это маркировка для DST-NAT, то есть для проброса портов с любого провайдера на локальную машину)

/ip firewall mangle

add action=mark-routing chain=prerouting comment=from-ISP1-route-via-ISP1 connection-mark=conn-forward-from-ISP1 in-interface=bridge-local new-routing-mark=from-ISP1-route-via-ISP1 passthrough=no

add action=mark-routing chain=prerouting comment=from-ISP2-route-via-ISP2 connection-mark=conn-forward-from-ISP2 in-interface=bridge-local new-routing-mark=from-ISP2-route-via-ISP2 passthrough=no

Говорим системе, что соединения с определенной маркировкой отправлять через соответствующий шлюз

/ip route

add comment=from-ISP1-route-via-ISP1 distance=1 gateway=$gw1 routing-mark=from-ISP1-route-via-ISP1

add comment=from-ISP2-route-via-ISP2 distance=1 gateway=$gw2 routing-mark=from-ISP2-route-via-ISP2