Mikrotik. 2 Провайдера. Входящие соединения, а также проброс DST-NAT в локальную сеть, через любого из 2-х провайдеров

Ссылки

https://radio.obninskiy.net/blog/internet/1588.html

Входные данные

• Имеется 2 провайдера, у обоих есть статический внешний IP-адрес
• 192.168.1.0/24 - локальная сеть
• bridge-local (192.168.1.1) - интерфейс микротика, смотрящий в локалку
• ether3-wan1 - интерфейс ISP1
• ether4-wan2 - интерфейс ISP2
• 193.34.13.97 - шлюз ISP1
• 172.18.0.129 - шлюз ISP2

Задача

• Необходимо чтобы сам маршрутизатор отвечал (например на ICMP запрос на внешний провайдерский IP-адрес) во внешку по тому провайдеру, по которому запрос пришел
• Необходимо чтобы при подключении с внешнего провайдерского интерфейса до внешнего IP-адреса любого из 2-х провайдеров, мы могли подключиться до внутреннего сервера через проброс dst-nst

Настройка

Переменные:

:global ifaceWan1 "ether3-wan1";

:global ifaceWan2 "ether4-wan2";

:global gw1 "193.34.13.97";

:global gw2 "172.18.0.129";

Маркируем соединения, приходящие в INPUT микротика с интерфейса каждого провайдера (например ICMP запросы на сам микрот с внешки)

/ip firewall mangle

add action=mark-connection chain=input comment=conn-input-from-ISP1 in-interface=$ifaceWan1 new-connection-mark=conn-input-from-ISP1 passthrough=yes

add action=mark-connection chain=input comment=conn-input-from-ISP2 in-interface=$ifaceWan2 new-connection-mark=conn-input-from-ISP2 passthrough=yes

Маркируем соответствующим routing маркером соединения, которые пришли из соответствующего провайдера (это маркировка для INPUT)

/ip firewall mangle

add action=mark-routing chain=output comment=from-ISP1-route-via-ISP1 connection-mark=conn-input-from-ISP1 new-routing-mark=from-ISP1-route-via-ISP1 passthrough=no

add action=mark-routing chain=output comment=from-ISP2-route-via-ISP2 connection-mark=conn-input-from-ISP2 new-routing-mark=from-ISP2-route-via-ISP2 passthrough=no

Маркируем соединения, приходящие в FORWARD микротика с интерфейса каждого провайдера (например запрос до локального веб-сервера 192.168.1.50)

/ip firewall mangle

add action=mark-connection chain=forward comment=conn-forward-from-ISP1 in-interface=$ifaceWan1 new-connection-mark=conn-forward-from-ISP1 passthrough=yes connection-nat-state=dstnat

add action=mark-connection chain=forward comment=conn-forward-from-ISP2 in-interface=$ifaceWan2 new-connection-mark=conn-forward-from-ISP2 passthrough=yes connection-nat-state=dstnat

Маркируем соответствующим routing маркером соединения, которые пришли из соответствующего провайдера (это маркировка для DST-NAT, то есть для проброса портов с любого провайдера на локальную машину)

/ip firewall mangle

add action=mark-routing chain=prerouting comment=from-ISP1-route-via-ISP1 connection-mark=conn-forward-from-ISP1 in-interface=bridge-local new-routing-mark=from-ISP1-route-via-ISP1 passthrough=no

add action=mark-routing chain=prerouting comment=from-ISP2-route-via-ISP2 connection-mark=conn-forward-from-ISP2 in-interface=bridge-local new-routing-mark=from-ISP2-route-via-ISP2 passthrough=no

Говорим системе, что соединения с определенной маркировкой отправлять через соответствующий шлюз

/ip route

add comment=from-ISP1-route-via-ISP1 distance=1 gateway=$gw1 routing-mark=from-ISP1-route-via-ISP1

add comment=from-ISP2-route-via-ISP2 distance=1 gateway=$gw2 routing-mark=from-ISP2-route-via-ISP2

Готово

Пробуем пинговать с внешки внешние IP-адреса провайдеров

Каждый должен пинговаться

Пробуем ходить с внешки на IP-адреса провайдеров по порту 80

По каждому провайдеру проходим до веб-сервера 192.168.1.50