Доступ по рдп в локалку

[vqd]

вы весь конфиг покажите...

[evgeniy7676]

vqd
Спасибо все работает

[evgeniy7676]

up

[vqd]

как правило 3-й уже лишний.

В даннном скрипте просто добавить переменную и условия, я бы переписал на функции

[evgeniy7676]

Код: Выделить всё

# feb/17/2016 17:24:12 by RouterOS 6.34

/interface ethernet
set [ find default-name=ether1 ] name=ISP1
set [ find default-name=ether2 ] name=ISP2
set [ find default-name=ether3 ] name=LAN

/ip address
add address=192.168.1.254/24 interface=LAN network=192.168.1.0
add address=1.1.64.142/30 interface=ISP2 network=1.1.64.140
add address=2.2.111.10/24 interface=ISP1 network=2.2.111.0

/ip dns
set allow-remote-requests=yes servers=8.8.8.8,8.8.4.4

/ip firewall address-list
add address=192.168.1.0/24 list=LocalNet
add address=192.168.1.1 disabled=yes list=to_ISP2
add address=192.168.1.2 disabled=yes list=to_ISP2


/ip firewall mangle
add action=mark-connection chain=input in-interface=ISP1 new-connection-mark=\
    ISP1_in
add action=mark-routing chain=output connection-mark=ISP1_in \
    new-routing-mark=ISP1_rout
add action=mark-connection chain=input in-interface=ISP2 new-connection-mark=\
    ISP2_in
add action=mark-routing chain=output connection-mark=ISP2_in \
    new-routing-mark=ISP2_rout
add action=mark-connection chain=forward in-interface=ISP1 \
    new-connection-mark=ISP1_for
add action=mark-routing chain=prerouting connection-mark=ISP1_for \
    new-routing-mark=ISP1_rout src-address-list=LocalNet
add action=mark-connection chain=forward in-interface=ISP2 \
    new-connection-mark=ISP2_for
add action=mark-routing chain=prerouting connection-mark=ISP2_for \
    new-routing-mark=ISP2_rout src-address-list=LocalNet
add action=mark-routing chain=prerouting comment=to_ISP2 connection-mark=\
    no-mark disabled=yes dst-address-list=!LocalNet new-routing-mark=\
    ISP2_rout src-address-list=to_ISP2

/ip firewall nat
add action=dst-nat chain=dstnat dst-address=2.2.111.10 dst-port=3389 log=\
    yes log-prefix=rdp_ protocol=tcp to-addresses=192.168.1.1 to-ports=3389
add action=dst-nat chain=dstnat dst-address=1.1.64.142 dst-port=3389 log=\
    yes log-prefix=rdp_ protocol=tcp to-addresses=192.168.1.1 to-ports=3389

add action=src-nat chain=srcnat out-interface=ISP1 src-address-list=LocalNet \
    to-addresses=2.2.111.10
add action=src-nat chain=srcnat out-interface=ISP2 src-address-list=LocalNet \
    to-addresses=1.1.64.142

/ip route
add comment=ISP1_rout distance=1 gateway=2.2.111.1 routing-mark=ISP1_rout
add comment=ISP2_rout distance=1 gateway=1.1.64.12 routing-mark=ISP2_rout
add comment=GW1 distance=1 gateway=2.2.111.1
add comment=GW2 disabled=yes distance=2 gateway=1.1.64.12

vqd проверьте плиз конфиг ище вопрос у меня во всех правилах мангл стоит галочка passthrough=yes это правильно? И самое последнее правило в манглах его выше подымать не нужно ?
А эти правила нужно добавить для каждого провайдера /ip route rule add routing-mark=ISP1_rout table=ISP1_rout action=lookup-only-in-table

[vqd]

passthrough=yes - означает что микротик продолжит выполнять остальные правила в случае если это сработает.
Если вы создали правило после которого ничего делать не нужно то ставим passthrough=no

Например на том же форварде отправили соединение через нужный канал, далее нет смысла обрабатывать данное соединение и потому в этом правило можно воткнуть passthrough=no

-----------------------------------------

Насчет выше или ниже сами смотрите, микротик их выполняет по порядку.

-----------------------------------------

/ip route rule add routing-mark=ISP1_rout table=ISP1_rout action=lookup-only-in-table
Я добавляю всегда ибо логика работы микротика такая, если нет таблицы то отправить в main

Таким образом если вы накатите скрипт который проверяет каналы на доступность и в случае если интерфейс отвалится то без этих правил у вас скрипт толком не отработает ибо пинг пройдет

[evgeniy7676]

Например на том же форварде отправили соединение через нужный канал, далее нет смысла обрабатывать данное соединение и потому в этом правило можно воткнуть passthrough=no

Честно не понял в каких правилах нужно это использовать , во всех кроме первых четырех ?

[vqd]

в тех правилах после которых обработка не требуется

[evgeniy7676]

спасибо ,а конкретно я моей конфигурации вы бы на каких правилах отключили ?

[vqd]

Да там в принципе везде отключать можно