Два провайдера

Обсуждение ПО и его настройки
Stas788
Сообщения: 66
Зарегистрирован: 18 окт 2017, 01:43

Здравствуйте!

есть mikrotik RB-951ui-2nd
требуется написать работоспособную конфигурацию для подключения РТК ethernet и МТС модем.
Т.е. универсальная конфигурация - хочешь - подключаешь РТК, перезагружаешь роутер и вперед. Или отключаешь РТК и втыкаешь модем МТС и вперед.
Однако смущает присутствие двух интерфейсов при написании правил фаервола и ната. Беру правила для РТК и дублирую их тут же для МТС модема.
Но при подключении модема не вижу правил с написанным интерфейсом МТС.... что я делаю не так?

Код: Выделить всё

# nov/23/2017 15:30:26 by RouterOS 6.40.4
# software id = 6RA0-8YY5
#
# model = 951Ui-2nD
# serial number = 71A3010BB1B8
:delay 10s
/interface bridge
add admin-mac=6C:3B:6B:D6:B1:8F auto-mac=no fast-forward=no name=br1-lan
/interface ethernet
set [ find default-name=ether1 ] mac-address=6C:3B:6B:D5:91:FD name=eth1-wan
set [ find default-name=ether5 ] mac-address=6C:3B:6B:D5:92:01 name=eth5-lan
/interface pppoe-client
add add-default-route=yes disabled=no interface=eth1-wan keepalive-timeout=60 \
max-mru=1492 max-mtu=1400 name=tap1-wan password=password use-peer-dns=yes user=username
/port
set 0 name=usb1
/interface ppp-client
add apn=kkm.sygroup.dv dial-on-demand=no disabled=no info-channel=1 name=\
    ppp-out1 password=mts phone=*99# port=usb1 user=mts
/interface ethernet
set [ find default-name=ether2 ] mac-address=6C:3B:6B:D6:B1:A0 master-port=\
    eth5-lan name=eth2-lan
set [ find default-name=ether3 ] mac-address=6C:3B:6B:D5:91:FF master-port=\
    eth5-lan name=eth3-lan
set [ find default-name=ether4 ] mac-address=6C:3B:6B:D5:92:00 master-port=\
    eth5-lan name=eth4-lan
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
add authentication-types=wpa2-psk eap-methods="" management-protection=allowed mode=dynamic-keys name=\
    wpa2-protected supplicant-identity=MikroTik wpa-pre-shared-key=\
    1234 wpa2-pre-shared-key=1234
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n disabled=no l2mtu=2290 mode=\
    ap-bridge name=wlan3 security-profile=wpa2-protected ssid=RS \
    wireless-protocol=802.11
/interface wireless nstreme
set wlan3 enable-polling=no
/ip hotspot profile
set [ find default=yes ] html-directory=flash/hotspot
/ip pool
add name=dhcp-pc ranges=192.168.88.10-192.168.88.20
/ip dhcp-server
add address-pool=dhcp-pc authoritative=after-2sec-delay disabled=no \
    interface=br1-lan lease-time=8h name=dhcp-pc
/interface bridge port
add bridge=br1-lan interface=eth5-lan
add bridge=br1-lan interface=wlan3
/ip address
add address=192.168.88.1/24 interface=eth5-lan network=192.168.88.0
/ip cloud
set ddns-enabled=yes
/ip dhcp-client
add dhcp-options=hostname,clientid disabled=no interface=eth1-wan
/ip dhcp-server network
add address=192.168.88.0/24 dns-server=192.168.88.1 gateway=192.168.88.1 \
    netmask=24
/ip dns
set allow-remote-requests=yes servers=192.168.160.2
/ip dns static
add address=192.168.88.1 name=router
/ip firewall filter
add action=accept chain=input protocol=icmp
add action=accept chain=input dst-port=8291 in-interface=tap1-wan protocol=\
    tcp
add action=accept chain=input dst-port=8291 in-interface=ppp-out1 protocol=\
    tcp
add action=accept chain=forward protocol=icmp
add action=accept chain=input connection-state=established
add action=accept chain=forward connection-state=established
add action=accept chain=input connection-state=related
add action=accept chain=forward connection-state=related
add action=accept chain=input in-interface=!eth1-wan src-address=\
    192.168.88.0/24
add chain=forward action=accept protocol=tcp in-interface=!eth1-wan dst-port=5900
add chain=forward action=accept protocol=tcp in-interface=!eth1-wan dst-port=5938
add action=drop chain=input connection-state=invalid
add action=drop chain=forward connection-state=invalid
add action=accept chain=forward comment="\E4\EE\F1\F2\F3\EF \E2 \E8\ED\F2\E5\
    \F0\ED\E5\F2 \E8\E7 \EB\EE\EA\E0\EB\FC\ED\EE\E9 \F1\E5\F2\E8" \
    dst-address=82.162.116.102 in-interface=!tap1-wan \
add action=accept chain=forward comment="\E4\EE\F1\F2\F3\EF \E2 \E8\ED\F2\E5\
    \F0\ED\E5\F2 \E8\E7 \EB\EE\EA\E0\EB\FC\ED\EE\E9 \F1\E5\F2\E8" \
    dst-address=82.162.116.102 in-interface=!ppp-out1 \
    out-interface=ppp-out1 protocol=tcp
add action=accept chain=forward comment="\E4\EE\F1\F2\F3\EF \EA ftp" \
    dst-address=82.162.116.98 dst-port=21 in-interface=!tap1-wan \
    out-interface=tap1-wan protocol=tcp
add action=accept chain=forward comment="\E4\EE\F1\F2\F3\EF \EA ftp" \
    dst-address=82.162.116.98 dst-port=21 in-interface=!ppp-out1 \
    out-interface=ppp-out1 protocol=tcp
add action=accept chain=forward comment="\E4\EE\F1\F2\F3\EF \EA ofd.ru" \
    dst-address=185.15.172.18 in-interface=!tap1-wan out-interface=tap1-wan \
    protocol=tcp
add action=accept chain=forward comment="\E4\EE\F1\F2\F3\EF \EA ofd.ru" \
    dst-address=185.15.172.18 in-interface=!ppp-out1 out-interface=ppp-out1 \
    protocol=tcp
add action=accept chain=forward comment="\E4\EE\F1\F2\F3\EF \EA Royal Bank" \
    dst-address=193.200.10.119 in-interface=!tap1-wan out-interface=tap1-wan \
    protocol=tcp
add action=accept chain=forward comment="\E4\EE\F1\F2\F3\EF \EA Royal Bank" \
    dst-address=193.200.10.119 in-interface=!ppp-out1 out-interface=ppp-out1 \
    protocol=tcp
add action=accept chain=forward comment="\E4\EE\F1\F2\F3\EF \EA Royal Bank" \
    dst-address=193.200.10.120 in-interface=!tap1-wan out-interface=tap1-wan \
    protocol=tcp
add action=accept chain=forward comment="\E4\EE\F1\F2\F3\EF \EA Royal Bank" \
    dst-address=193.200.10.120 in-interface=!ppp-out1 out-interface=ppp-out1 \
    protocol=tcp
add action=drop chain=forward
add action=drop chain=input in-interface=tap1-wan
add action=drop chain=input in-interface=ppp-out1
add action=drop chain=input dst-port=53 protocol=tcp
/ip firewall nat
add action=masquerade chain=srcnat out-interface=tap1-wan
add action=netmap chain=dstnat dst-port=5900 in-interface=tap1-wan protocol=\
    tcp to-addresses=192.168.88.2 to-ports=5900
add action=netmap chain=dstnat dst-port=8291 in-interface=tap1-wan protocol=\
tcp to-addresses=192.168.88.1 to-ports=8291
add action=masquerade chain=srcnat out-interface=ppp-out1
add action=netmap chain=dstnat dst-port=5900 in-interface=ppp-out1 protocol=\
    tcp to-addresses=192.168.88.2 to-ports=5900
add action=netmap chain=dstnat dst-port=8291 in-interface=ppp-out1 protocol=\
    tcp to-addresses=192.168.88.1 to-ports=8291
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www-ssl disabled=no
set api disabled=yes
set api-ssl disabled=yes
set www disabled=yes
set ssh disabled=yes
/system clock
set time-zone-autodetect=no time-zone-name=Asia/Vladivostok
/tool mac-server
set [ find default=yes ] disabled=yes
add interface=br1-lan
/tool mac-server mac-winbox
set [ find default=yes ] disabled=yes
add interface=br1-lan
/ip neighbor discovery
set eth1-wan discover=no
/system ntp client
set enabled=yes primary-ntp=88.147.254.228 secondary-ntp=192.168.160.2
/tool netwatch
add comment="Reboot USB modem when Internet is down" down-script=\
    "/system routerboard usb power-reset duration=40s" host=8.8.8.8
/system ntp server
set enabled=yes
/user add name=admin group=full password=12345
/user remove admin


vqd
Модератор
Сообщения: 3605
Зарегистрирован: 26 сен 2013, 14:20
Откуда: НСК
Контактная информация:

Делалось уже такое, правда решалось скриптами, хотя в ваше случае можно и без перезагрузок роутера сделать. Пишите сделаю под ключь


Есть интересная задача и бюджет? http://mikrotik.site
kt72ru
Сообщения: 141
Зарегистрирован: 23 июн 2017, 07:55

Stas788 писал(а):Однако смущает присутствие двух интерфейсов при написании правил фаервола и ната.

не надо смущаться, будет 10 укажите 10, в этом нет ничего плохого.
Если уж так сильно смущает, используйте interface list

Stas788 писал(а):Беру правила для РТК и дублирую их тут же для МТС модема.

правильно

Stas788 писал(а):Но при подключении модема не вижу правил с написанным интерфейсом МТС....

каких именно правил не видите? и что подразумевается под невижу.


enzain
Сообщения: 291
Зарегистрирован: 26 дек 2017, 22:30

Можно без перезапуска.
Просто РТК по умолчанию и по приоритету. а вот когда его выдераете работает уже модем.
В принципе не сложно делается.


Stas788
Сообщения: 66
Зарегистрирован: 18 окт 2017, 01:43

[/quote]
каких именно правил не видите? и что подразумевается под невижу.[/quote]

"не вижу" это означает, что в конфиге у меня правила фаервола продублированы для обоих провайдеров, а при заливке в Микротик, правила для МТС модема не отобразились.... и почему-то интерфейс ppp-out1 для модема оказался отключен, пришлось вручную его активировать... как можно в конфе указать сразу активированный интерфейс?


Stas788
Сообщения: 66
Зарегистрирован: 18 окт 2017, 01:43

enzain писал(а):Можно без перезапуска.
Просто РТК по умолчанию и по приоритету. а вот когда его выдераете работает уже модем.
В принципе не сложно делается.


как это РТК по умолчанию? как это выставляется в микротике? и как он автоматом перепрыгнет на модем если РТК пропал?


Stas788
Сообщения: 66
Зарегистрирован: 18 окт 2017, 01:43

enzain писал(а):Можно без перезапуска.
Просто РТК по умолчанию и по приоритету. а вот когда его выдераете работает уже модем.
В принципе не сложно делается.


имеете в виду за денежку? =) мне бы хотелось разобраться что к чему на безвозмездной основе, так сказать из спортивного интереса...


Аватара пользователя
Vlad-2
Модератор
Сообщения: 2531
Зарегистрирован: 08 апр 2016, 19:19
Откуда: Петропавловск-Камчатский (п-ов Камчатка)
Контактная информация:

Stas788 писал(а):как это РТК по умолчанию? как это выставляется в микротике? и как он автоматом перепрыгнет на модем если РТК пропал?

СТОП! СТОП! СТОП!
Вы задаёте вопросы, ну а понять логику и как вообще работает сеть (именно сетевые технологии) пока не пытаетесь.

1) при работе двух провайдеров с логикой "первый" и "второй", выставляется приоритет, что один провайдер
гланый (первый) и второй - запасной. На основании этих приоритетов и будет работать логика/маршрутизация.

2) У любого подключения есть внешний интерфейс, это может быть интерфейс физический, или псевдо-интерфейс,
или интерфейс сеансового протокола (L2TP/PPTP). Поэтому уточните, какие внешние интерфейсы у Вас представлены
в системе? На счёт Ростелекома понятно мне, это рррое-out1-RTK (я так у себя называю), а вот на счёт МТСа я не знаю
как у Вас там, скорее всего будет lte1.
Для чего я Вам так подробно пишу - чтобы Вы поняли, тупо скопировать правила мало, надо сделать так, чтобы правила
были применимы для интерфейсов...поэтому надо точно видеть какой интерфейс, как называется и чтобы он был.
Если правила ссылаются на несуществующий интерфейс, они или не добавляться(при импорте/вставке) или будут красными(не рабочими).

2.1) чтобы упростить жизнь себе в будущем, и делать красиво и рационально и не копировать одно и тоже (как в вашем случае)
по несколько раз, проще создать список интерфейсов, туда привязать оба провайдеров, и уже под этот список
сделать одни единые правила файрвола и защиты.

3) на счёт приоритетов, с которых я начал - если кратко: поднимаете (подключаете) 2х провайдеров, прописываете
два шлюза и вот у этих шлюзов и будет приоритеты, маршрут на первого провайдера - приоритет 1, маршрут на второго провайдера
- маршрут 2. Если банально не будет связи с провайдером1, маршрут первого провайдера будет не рабочий, второй автоматом
станет активным (главным, или по-умолчанию). (упрощённо-логическое описание, без аналитики что куда и когда...).



На работе(ах): 2xCCR1016-12G, RB3011UiAS и hAP lite (RB941)
Дома: CCR1016-12G, RBcAP2n (standalone), RB wAP LTE kit
Для тестов(под рукой): RB3011UiAS, hAP mini (RB931) и что-то ещё по мелочи
MTCNA
MTCRE
enzain
Сообщения: 291
Зарегистрирован: 26 дек 2017, 22:30

Stas788 писал(а):
enzain писал(а):Можно без перезапуска.
Просто РТК по умолчанию и по приоритету. а вот когда его выдераете работает уже модем.
В принципе не сложно делается.


имеете в виду за денежку? =) мне бы хотелось разобраться что к чему на безвозмездной основе, так сказать из спортивного интереса...


Разве я что-то сказал про денюжку? Нет же :)


enzain
Сообщения: 291
Зарегистрирован: 26 дек 2017, 22:30

Vlad-2 писал(а):Если банально не будет связи с провайдером1, маршрут первого провайдера будет не рабочий, второй автоматом
станет активным (главным, или по-умолчанию). (упрощённо-логическое описание, без аналитики что куда и когда...).


Ээээ.. а если там просто деньги кончились, то связь с провайдером то как бы будет, но интернета не будет ... не?


Ответить