Mikrotik Dual-Wan με PCC --> πρόβλημα με VPN

[puntomania]

Το βρηκα το προβλημα. Μπερδευτηκα λιγο στο magle. ΝΑΤ και route σωστα τα εβαζα.
Επαιξε.... Επιτελους "αθροιζω" το bandwidth...
Σημαντικο...... εκανα σε ΟΛΑ ενα reboot για να παιξουν. Αλλιως εβγαινα μονο με την μια WAN.

Επισυναπτω τον κωδικα οπως τον εβαλα εγω. Για οποιον μπορει να ενδιαφερεται.

Επισης αν πεσει καποια WAN απο τις δυο συνεχιζει ακαθεκτο με την αλλη. (failsafe)

/ip firewall mangle
add chain=input in-interface=WAN1 action=mark-connection new-connection-mark=WAN1_conn
add chain=input in-interface=WAN2 action=mark-connection new-connection-mark=WAN2_conn

add chain=output connection-mark=WAN1_conn action=mark-routing new-routing-mark=to_WAN1
add chain=output connection-mark=WAN2_conn action=mark-routing new-routing-mark=to_WAN2

add chain=prerouting dst-address=192.168.1.0/24 action=accept in-interface=WAN-OUT
add chain=prerouting dst-address=192.168.2.0/24 action=accept in-interface=WAN-OUT

add chain=prerouting dst-address-type=!local in-interface=WAN-OUT per-connection-classifier=both-addresses-and-ports:2/0 action=mark-connection new-connection-mark=WAN1_conn passthrough=yes
add chain=prerouting dst-address-type=!local in-interface=WAN-OUT per-connection-classifier=both-addresses-and-ports:2/1 action=mark-connection new-connection-mark=WAN2_conn passthrough=yes

add chain=prerouting connection-mark=WAN1_conn in-interface=WAN-OUT action=mark-routing new-routing-mark=to_WAN1
add chain=prerouting connection-mark=WAN2_conn in-interface=WAN-OUT action=mark-routing new-routing-mark=to_WAN2

/ip route
add dst-address=0.0.0.0/0 gateway=192.168.1.1 routing-mark=to_WAN1 check-gateway=ping
add dst-address=0.0.0.0/0 gateway=192.168.2.1 routing-mark=to_WAN2 check-gateway=ping

add dst-address=0.0.0.0/0 gateway=192.168.1.1 distance=1 check-gateway=ping
add dst-address=0.0.0.0/0 gateway=192.168.2.1 distance=2 check-gateway=ping

/ip firewall nat
add chain=srcnat out-interface=WAN1 action=masquerade
add chain=srcnat out-interface=WAN2 action=masquerade

WAN1 modem-router => 192.168.1.1/24 και στο μικροτικ => 192.168.1.2/24
WAN2 modem-router => 192.168.2.1/24 και στο μικροτικ => 192.168.2.2/24
WAN-OUT μικροτικ => 192.168.4.1/24 Απλα μετα εφτιαξα και ενα DHCP server σε αυτο το if.

και στα 2 Modem-router εκλεισα το dhcp καθως επισης και το nat.


@tsatasos ριξε μια ματια αν θες. σαν πιο εμπειρος που εισαι περιμενω σχολια.

το παραπάνω πως διαμορφώνετε αν θέλουμε το μικροτικ να κάνει και το pppoe στα ρουτερ μας?

[griniaris]

Δεν το εχω δοκιμασει... αλλα θεωρητικα οπου εχει WAN (1 ή 2 ) θα βαλεις το αντιστοιχο ΡΡΡΟΕ ( 1 ή 2 )

Στην ουσια σαν if (interface) αντιμετωπιζεται και το wan1 και το ΡΡΡΟΕ

Ο @Tsatasos νομιζω το εχει κανει με PPPOE . Ας μας δωσει τα φωτα του.

[puntomania]

δοκιμάζω αυτό τώρα...

2 wan pppoe

/interface ethernet
set [ find default-name=ether1 ] name=ether1
set [ find default-name=ether2 ] name=ether2
set [ find default-name=ether3 ] name=ether3

/ip address
add address=192.168.1.2/24 interface=ether1 network=192.168.1.0
add address=192.168.2.2/24 interface=ether2 network=192.168.2.0
add address=192.168.5.1/24 interface=ether3 network=192.168.5.0

/interface pppoe-client
add add-default-route=yes disabled=no interface=ether1 max-mtu=1480 name=pppoe-out1 password=pass use-peer-dns=no user=user

add add-default-route=yes disabled=no interface=ether2 max-mtu=1480 name=pppoe-out2 password=pass use-peer-dns=no user=user


/ip pool
add name=dhcp_pool1 ranges=192.168.5.2-192.168.5.254

/ip dhcp-server
add address-pool=dhcp_pool1 disabled=no interface=ether1 name=dhcp1

/ip dhcp-server network
add address=192.168.5.0/24 gateway=192.168.5.1


/ip dns
set allow-remote-requests=yes cache-size=15000KiB servers=\
8.8.8.8,8.8.4.4


/system note set note="Server Configuration By Christos


/ip firewall mangle
add chain=prerouting in-interface=pppoe-out1
add chain=prerouting in-interface=pppoe-out2


add action=mark-connection chain=prerouting dst-address-type=!local \
new-connection-mark=wan1_conn per-connection-classifier=\
both-addresses-and-ports:2/0
add action=mark-connection chain=prerouting dst-address-type=!local \
new-connection-mark=wan2_conn per-connection-classifier=\
both-addresses-and-ports:2/1


add action=mark-routing chain=prerouting connection-mark=wan1_conn \
new-routing-mark=to_wan1
add action=mark-routing chain=prerouting connection-mark=wan2_conn \
new-routing-mark=to_wan2



/ip firewall nat
add action=masquerade chain=srcnat out-interface=pppoe-out1
add action=masquerade chain=srcnat out-interface=pppoe-out2


add action=masquerade chain=srcnat comment="Masquerade Dhcp Network" src-address=192.168.5.0/24

/ip route
add check-gateway=ping distance=1 gateway=pppoe-out1 routing-mark=to_wan1
add check-gateway=ping distance=1 gateway=pppoe-out2 routing-mark=to_wan2
add check-gateway=ping distance=1 gateway=pppoe-out1
add distance=2 gateway=pppoe-out2

[macro]

Και....?

[puntomania]

το βρήκα εδώ...

το δοκίμασα με 2 και 3 wan

ναι φαίνεται ότι δουλεύει καλά.

στην περίπτωση μου... όλες οι γραμμές μου.. έχουν ίδια ταχύτητα... δεν ξέρω τι γίνετε όταν έχουμε διαφορετικές.

[macro]

An εχεις διαφορετικες ταχυτητες βαζεις ακομη εναν divider στη πιο μεγαλη ταχυτητα. Ακομη αντι για pppoe, μπορεις να βαλεις κατευθειαν τις ether.

π.χ. αν η wan1 ειναι η μεγαλυτερη.......

add action=mark-connection chain=prerouting dst-address-type=!local \
new-connection-mark=wan1_conn per-connection-classifier=\
both-addresses-and-ports:2/0

add action=mark-connection chain=prerouting dst-address-type=!local \
new-connection-mark=wan2_conn per-connection-classifier=\
both-addresses-and-ports:2/1

add action=mark-connection chain=prerouting dst-address-type=!local \
new-connection-mark=wan1_conn per-connection-classifier=\
both-addresses-and-ports:2/2

[puntomania]

An εχεις διαφορετικες ταχυτητες βαζεις ακομη εναν divider στη πιο μεγαλη ταχυτητα. Ακομη αντι για pppoe, μπορεις να βαλεις κατευθειαν τις ether.

π.χ. αν η wan1 ειναι η μαγαλυτερη.......

add action=mark-connection chain=prerouting dst-address-type=!local \
new-connection-mark=wan1_conn per-connection-classifier=\
both-addresses-and-ports:2/0

add action=mark-connection chain=prerouting dst-address-type=!local \
new-connection-mark=wan2_conn per-connection-classifier=\
both-addresses-and-ports:2/1

add action=mark-connection chain=prerouting dst-address-type=!local \
new-connection-mark=wan1_conn per-connection-classifier=\
both-addresses-and-ports:2/2

Ακομη αντι για pppoe, μπορεις να βαλεις κατευθειαν τις ether. άρα θα μπορούσα πχ να έχω 1 γραμμή με pppoe και 1 στατική ή δυναμική Ip?


divider???

[macro]

Nαι θα μπορουσες, ας πουμε καποτε ειχα pppoe και wlan με pcc load balance. Oτι θες μπορεις να κανεις σε αυτο το κοματι.

divider ειναι τα 2/0 2/1 που εχεις στο κωδικα. Και βαζεις αλλον εναν στη μεγαλυτερη wan που εχεις για να παιρνει πιο πολυ απο εκεινην. Δες το παραδειγμα που σου εδωσα.

[puntomania]

Τρόπος ώστε να κανου με port forward πχ voip server μας... υπαρχει? Όταν τρέχει το μικροτικ 3 wan με pppoe!!!



Για τι ότι και αν δοκίμασα... δεν!!!

[macro]

Μια χαρα κανω PF. Τι εννοεις και δε μπορεις?

[puntomania]

...θέλω απο έξω... να έχω πρόσβαση στην udp 15201 και udp 15100-15110

φτιάχνω πχ κανόνα στο NAT

0 chain=dstnat action=dst-nat to-addresses=192.168.0.240 to-ports=15201
protocol=udp port=15201 log=no log-prefix=""


..στο filter


8 chain=input action=accept protocol=udp dst-port=15201 log=no log-prefix=""


και στο mangle...

8 chain=prerouting action=accept dst-address=192.168.0.240 in-interface=Loca>
log=no log-prefix=""


κάποιες φορές δουλεύει... κάποιες όχι...

η μάλλον πιο σωστά... δουλεύει μόνο όταν τα remote extension είναι συνδεμένα στο τοπικό wifi....

- - - Updated - - -

Δωσμου ένα παράδειγμα...


vpn (pptp) με το cloud του mikrotik μπαίνω... με το no-ip οχι.

[macro]

λαθος βλεπω τις δηλωσεις σου.........

Ενας σωστος κανονας στο ΝΑΤ ειναι ο παρακατω, παρτον και διαμορφωσε τον ακριβως για σενα σε πορτες και ip.

add action=dst-nat chain=dstnat comment=Hamachi_Lapi dst-port=1320 in-interface=WAN1 protocol=tcp to-addresses=10.157.138.101 to-ports=1320

Kαι μετα για να το βγαζεις απο το firewall δοκιμασε να αφηνεις ολο το dst_nat με εναν κανονα για να μη φτιαχνεις συνεχεια καινουργια και πολλα filter rules.

Eγω το χρησιμοποιω μαζι με το τελευταιο κανονα που εχω στο firewall του"Drop everything else Forward", για να μην εχω στην ουσια ουτε αυτο το κανονα.

δλδ αντι να βαλω εναν κανονα accept>forward>connection-nat-state=dstnat που σου λεω να βαλεις για ολο το ΝΑΤ, εχω το παρακατω.

add action=drop chain=forward comment="Drop everything else Forward____!DST_NAT" connection-nat-state=!dstnat

Για να μη μπερδευεσαι εσυ εχεις βαλει στο firewall input. Forward θελει παντα το PF, επειδη στο ΝΑΤ εχει περασει ηδη απο το input.

[puntomania]

add action=drop chain=forward comment="Drop everything else Forward____!DST_NAT" connection-nat-state=!dstnat

αν βάλω αυτό... μου κόβει το ίντερνετ!!!

- - - Updated - - -

add action=dst-nat chain=dstnat comment=Hamachi_Lapi dst-port=1320 in-interface=WAN1 protocol=tcp to-addresses=10.157.138.101 to-ports=1320

αυτών αν βάλω in-interface=all ppp

σημαίνει οτι δέχεται απο όλες τις wan?

[macro]

Ναι γιατι δεν εχεις βαλει το allow all input-forward from LAN φανταζομαι. Ποσταρε το firewall που εχεις στο firewall section να το δουμε.

add action=accept chain=input comment="Allow all input from LAN" in-interface=Bridge

add action=accept chain=forward comment="Allow all forward from LAN" in-interface=Bridge

Aυτα πρεπει να μπουν ακριβως πανω απο τα 2 τελευταια Drop everything else input-forward

Για αυτο που ρωτας στο edit που εκανες........... οχι........ το all ppp ειναι μονο all ppp.

Eγω το εχω βαλει wan1 επειδη μεσω mangle το hamachi το βγαζω απο το wan1 μονο με routing mark.

Ή θα κανεις οτι και εγω, ή θα φτιαξεις και αλλους κανονες για ολα τα wan που εχεις.

[puntomania]

Ναι γιατι δεν εχεις βαλει το allow all input-forward from LAN φανταζομαι. Ποσταρε το firewall που εχεις στο firewall section να το δουμε.

add action=accept chain=input comment="Allow all input from LAN" in-interface=Bridge

add action=accept chain=forward comment="Allow all forward from LAN" in-interface=Bridge

Aυτα πρεπει να μπουν ακριβως πανω απο τα 2 τελευταια drop input-forward

Για αυτο που ρωτας στο edit που εκανες........... οχι........ το all ppp ειναι μονο all ppp.

Eγω το εχω βαλει wan1 επειδη μεσω mangle το hamachi το βγαζω απο το wan1 μονο.

Ή θα κανεις οτι και εγω, ή θα φτιαξεις και αλλους κανονες για ολα τα wan που εχεις.

0 chain=output action=drop src-address=192.168.0.249 out-interface=pppoe-out2 log=no log-prefix=""

1 chain=output action=drop src-address=192.168.0.249 out-interface=pppoe-out3 log=no log-prefix=""

2 chain=output action=drop src-address=192.168.0.247 out-interface=pppoe-out1 log=no log-prefix=""

3 chain=output action=drop src-address=192.168.0.247 out-interface=pppoe-out3 log=no log-prefix=""

4 chain=input protocol=tcp dst-port=8291

5 chain=input protocol=udp dst-port=53

6 chain=input protocol=tcp dst-port=80

7 chain=forward protocol=udp dst-port=53

8 chain=input action=accept protocol=udp dst-port=15100-15201 log=no log-prefix=""