3 провайдера манглирование

[typ6alet]

Вобщем есть 3 провайдера. Разбирался разбирался с тем, чтобы правильно настроить паралельную работу их и вконце запутался.

add action=mark-connection chain=input in-interface=WAN1 new-connection-mark=\
WAN1-mark passthrough=yes
add action=mark-routing chain=output comment="WAN1 Mark" connection-mark=\
WAN1-mark new-routing-mark=WAN1-mark passthrough=no
add action=mark-routing chain=prerouting new-routing-mark=WAN1-mark \
passthrough=yes src-address=172.20.2.0/24
add action=mark-connection chain=input in-interface=WAN2 new-connection-mark=\
WAN2-mark passthrough=yes
add action=mark-routing chain=output comment="WAN2 Mark" connection-mark=\
WAN2-mark new-routing-mark=WAN2-mark passthrough=no
add action=mark-routing chain=prerouting new-routing-mark=WAN2-mark \
passthrough=yes src-address=172.20.2.0/24
add action=mark-connection chain=input in-interface=WAN3 new-connection-mark=\
WAN3-mark passthrough=yes
add action=mark-routing chain=output comment="WAN3 Mark" connection-mark=\
WAN3-mark new-routing-mark=WAN3-mark passthrough=no
add action=mark-routing chain=prerouting new-routing-mark=WAN3-mark \
passthrough=yes src-address=172.20.2.0/24

Вышла вот такая чехарда. Что из этого правильно, а что нет?)

[xvo]

Ну в 3,6,9 правилах не хватает условий на наличие connection-mark.
В 1,4,7 желательно добавить условие на connection-state=new.
Плюс не хватает правил которые бы определяли политику для исходящего трафика.

[typ6alet]

Ну в 3,6,9 правилах не хватает условий на наличие connection-mark.
В 1,4,7 желательно добавить условие на connection-state=new.
Плюс не хватает правил которые бы определяли политику для исходящего трафика.

add action=mark-routing chain=output connection-state=new new-routing-mark=WAN1-mark passthrough=yes out-interface=WAN1

Так для исходящего?

И правильно я понимаю, что потом в роутинге все три маршрута нужно гнать через разные Routing table?

[xvo]

Так для исходящего?

Нет.
output - это исходящий с самого роутера.

Я про те соединения, что исходят от ваших клиентов.
Вы же их как-то должны распределить по провайдерам.
Либо случайным образом, либо согласно какой-то политике.

И правильно я понимаю, что потом в роутинге все три маршрута нужно гнать через разные Routing table?

У вас кроме основной таблицы должно быть ещё 3, в каждой по дефолтному маршруту.
+ желательно добавить три /ip route rule что для каждого из внешних ip-адресов жестко определена его таблица.

[typ6alet]

Так для исходящего?

Нет.
output - это исходящий с самого роутера.

Я про те соединения, что исходят от ваших клиентов.
Вы же их как-то должны распределить по провайдерам.
Либо случайным образом, либо согласно какой-то политике.

И правильно я понимаю, что потом в роутинге все три маршрута нужно гнать через разные Routing table?

У вас кроме основной таблицы должно быть ещё 3, в каждой по дефолтному маршруту.
+ желательно добавить три /ip route rule что для каждого из внешних ip-адресов жестко определена его таблица.

/ip firewall mangle add src-address=10.1.1.0/24 action=mark-routing chain=prerouting new-routing-mark=lan_out_ISP1 per-connection-classifier=src-address-and-port:2/0
/ip firewall mangle add src-address=10.1.1.0/24 action=mark-routing chain=prerouting new-routing-mark=lan_out_ISP2 per-connection-classifier=src-address-and-port:2/1
/ip firewall mangle add src-address=10.1.1.0/24 action=mark-routing chain=prerouting new-routing-mark=lan_out_ISP3 per-connection-classifier=src-address-and-port:2/2

Это?

И по второму вопросу:

add comment=ISP-1 disabled=no dst-address=0.0.0.0/0 gateway=WAN1 \
pref-src="" routing-table=main scope=30 suppress-hw-offload=no \
target-scope=10
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=WAN2 \
routing-table=main scope=30 suppress-hw-offload=no target-scope=10
add comment=ISP-2 disabled=no dst-address=0.0.0.0/0 gateway=WAN3 \
pref-src="" routing-table=main scope=30 suppress-hw-offload=no \
target-scope=10
add comment=ISP-1 disabled=no dst-address=0.0.0.0/0 gateway=WAN1 \
pref-src="" routing-table=WAN1-mark scope=30 suppress-hw-offload=no \
target-scope=10
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=WAN2 \
routing-table=WAN2-mark scope=30 suppress-hw-offload=no target-scope=10
add comment=ISP-2 disabled=no dst-address=0.0.0.0/0 gateway=WAN3 \
pref-src="" routing-table=WAN3-mark scope=30 suppress-hw-offload=no \
target-scope=10

Правильно понимаю?

[xvo]

Это?

Да.
Только там тоже должны помечаться соединения, и тоже только новые.

По маршрутам все ок.

[typ6alet]

Это?

Да.
Только там тоже должны помечаться соединения, и тоже только новые.

По маршрутам все ок.

Вобщем весь набор мангла такой получается

add action=mark-connection chain=input connection-state=new in-interface=WAN1 \
new-connection-mark=WAN1-mark passthrough=yes
add action=mark-connection chain=input connection-state=new in-interface=WAN2 \
new-connection-mark=WAN2-mark passthrough=yes
add action=mark-connection chain=input connection-state=new in-interface=WAN3 \
new-connection-mark=WAN3-mark passthrough=yes
add action=mark-routing chain=output comment="WAN1 Mark" connection-mark=\
WAN1-mark new-routing-mark=WAN1-mark passthrough=no
add action=mark-routing chain=output comment="WAN2 Mark" connection-mark=\
WAN2-mark new-routing-mark=WAN2-mark passthrough=no
add action=mark-routing chain=output comment="WAN3 Mark" connection-mark=\
WAN3-mark new-routing-mark=WAN3-mark passthrough=no
add action=mark-routing chain=prerouting connection-mark=WAN1-mark \
new-routing-mark=WAN1-mark passthrough=yes src-address=172.20.2.0/24
add action=mark-routing chain=prerouting connection-mark=WAN2-mark \
new-routing-mark=WAN2-mark passthrough=yes src-address=172.20.2.0/24
add action=mark-routing chain=prerouting connection-mark=WAN3-mark \
new-routing-mark=WAN3-mark passthrough=yes src-address=172.20.2.0/24
add action=mark-routing chain=output connection-state=new new-routing-mark=\
WAN1-mark out-interface=WAN1 passthrough=yes
add action=mark-routing chain=output connection-state=new new-routing-mark=\
WAN2-mark out-interface=WAN2 passthrough=yes
add action=mark-routing chain=output connection-state=new new-routing-mark=\
WAN3-mark out-interface=WAN3 passthrough=yes
add action=mark-routing chain=prerouting connection-state=new \
new-routing-mark=WAN1-mark passthrough=yes per-connection-classifier=\
src-address-and-port:2/0 src-address=172.20.2.0/24
add action=mark-routing chain=prerouting connection-state=new \
new-routing-mark=WAN2-mark passthrough=yes per-connection-classifier=\
src-address-and-port:2/1 src-address=172.20.2.0/24
add action=mark-routing chain=prerouting connection-state=new \
new-routing-mark=WAN3-mark passthrough=yes per-connection-classifier=\
src-address-and-port:2/2 src-address=172.20.2.0/24

Еще один вопрос. Что случится при данной конфигурации, когда один из провайдеров отвалится?

[typ6alet]

Что-то видимо где-то не так. Ибо начинаются затыки с Инетом

[xvo]

Несколько замечаний:

1) Первые три правила должны быть тоже в цепочке prerouting
2) Правила размечающие роутинг в цепочке prerouting должны идти ниже, чем те, которые размечают исходящие соединения по PCC

Еще один вопрос. Что случится при данной конфигурации, когда один из провайдеров отвалится?

Трафик, который должен бы пойти через отвалившегося провайдера пойдет по основной таблице - какой маршрут там будет активен, это уже сами решайте метрикой.
Да, желательно на всех дефолтных маршрутах включить check-gateway если gateway это позволяет.
Ну и вот я уже упоминал - добавить три правила вида
/ip route rule add action=lookup-only-in-table src-address=внешний_адрес_1/32 table=WAN1-mark

[typ6alet]

Несколько замечаний:

1) Первые три правила должны быть тоже в цепочке prerouting
2) Правила размечающие роутинг в цепочке prerouting должны идти ниже, чем те, которые размечают исходящие соединения по PCC

Еще один вопрос. Что случится при данной конфигурации, когда один из провайдеров отвалится?

Трафик, который должен бы пойти через отвалившегося провайдера пойдет по основной таблице - какой маршрут там будет активен, это уже сами решайте метрикой.
Да, желательно на всех дефолтных маршрутах включить check-gateway если gateway это позволяет.
Ну и вот я уже упоминал - добавить три правила вида
/ip route rule add action=lookup-only-in-table src-address=внешний_адрес_1/32 table=WAN1-mark

Любое перемещение правил РСС, хоть в самый верх - сразу затык с Инетом.