[研究所] MikroTik RouterOS 學習 (持續更新) (第343頁)

gfx
個人積分：1603分
文章編號：55516664

1603分

3421樓

2015-04-25 0:34

小弟最近研究EOIP/GRE/IPIP Site-to-Site
替朋友設定時依Mikrotik官網說明輕輕鬆鬆就達陣;
但自己與網路另一端連結卻似乎撞到看不見的牆,怎樣都弄不好...

這問題困擾小弟兩個月,終於在前些日子突破盲點了.
問題卡在WAN的路由標記上.

小弟有設兩個PPPoE撥號,分別是1.1.1.1(浮動) ,與2.2.2.2(固定)
1.1.1.1是預設路由,電腦皆是由這個出口與網際網路連接.
2.2.2.2是預備路由,是新增用來與遠端建立Site-to-Site.

這是EOIP/GRE/IPIP的設定畫面:

Local-Address是本地地址 ,Remote-Address是遠端地址.

設定好卻無法聯結,小弟深感挫折.
於是到/ip firewall connection觀察conn連線狀況,

竟發現與3.3.3.3(遠端地址)嘗試連結的ip ,竟非設定的2.2.2.2 ,
而是1.1.1.1(預設路由) !?

當下小弟似乎被敲醒了,第一思考即路由的問題.
所以小弟添了幾筆路由器標記策略:
/ip firewall mangle
add action=mark-connection chain=prerouting \
dst-address=2.2.2.2 new-connection-mark=pppoe2_conn
add action=mark-routing chain=output connection-mark=pppoe2_conn \
new-routing-mark=to_pppoe2 passthrough=no
add action=mark-routing chain=output new-routing-mark=to_pppoe2 \
passthrough=no src-address=2.2.2.2

匯入當下, EOIP/GRE/IPIP Site-to-Site就被我連通啦!

這也就是為何替朋友設定時很容易,自己卻弄不好的原因.

因為朋友是單WAN ,做Site-to-Site直接用預設路由即可;
但在路由器多WAN的情況,則必需考量路由器進出策略,就這樣

jeremy9678

jeremy9678
個人積分：67分
文章編號：55516943

67分

3422樓

2015-04-25 1:10

gfx wrote:
小弟最近研究EOIP...(恕刪)

gfx大你的這個問題就跟我公司那台公司和4g網卡一樣都出在預設路由上面
我目前預設4g網卡的部份所以公司內網前一兩星期一直有問題

但這次看到你有用make-comm部份囉,還有chin你都選output為何不是選路由前(prerouteing)呢?

gfx

gfx
個人積分：1603分
文章編號：55517255

1603分

3423樓

2015-04-25 2:02

jeremy9678 wrote:
gfx大你的這個問...(恕刪)

您不能把電腦與路由器,PPPoE的入口與出口皆混為一談.

add action=mark-connection chain=prerouting \
dst-address=2.2.2.2 new-connection-mark=pppoe2_conn
是標記目的地址為2.2.2.2(PPPoE2)進來的封包.

add action=mark-routing chain=output connection-mark=pppoe2_conn \
new-routing-mark=to_pppoe2 passthrough=no
從PPPoE2到"路由器"標記的封包 ,要從原PPPoE2的入口返回.

若是從PPPoE2到"電腦"標記的封包,要從原PPPoE2的入口返回則是這麼做:
add action=mark-routing chain=prerouting connection-mark=pppoe2_conn \
new-routing-mark=to_pppoe2 passthrough=no src-address=192.168.88.0/24
這很重要,但不在Site-to-Site範疇所以被省缺.
但在設定Mangle時 ,這是必要的.不添加的話對於PPPoE2,它的PortForward映射會沒作用

add action=mark-routing chain=output new-routing-mark=to_pppoe2 \
passthrough=no src-address=2.2.2.2
上面的皆為輸入原則,從這開始則是"路由器"輸出原則.
若路由器來源地址為2.2.2.2 ,出口即指向PPPoE2 回報你