перепроверил все по многочисленным мануалам, маркировка пакета, маршрут по маркировке, маскарадинг выходящего в vpn... все уходит, как надо, возвращается правильный ответ, кому надо... и пропадает в рутере, собака... как такое может быть - бьюсь уже не один день

Не надо метить пакеты. Надо соединения.

добрый день, какая-то магия... поднял vpn, пинг, пометил пакет, улетел через рутинг в этот vpn, вижу, что пришел reply, из рутера не выходит... смотрю, в таблице raw - есть, в mangle - есть, в nat и filter уже нет... вообще... куда он мог деться?!

да, пардон, соединение... оно все нормально уходит, поэтому вряд ли я в чем-то ошибся

Ответки в нат не будет. В мангл форварде посмотрите

посмотрел, в raw и mangle есть... нет в filter

готов показать детали, понять бы, с чего начать

вот возвращающийся пакет, 32 - от кого идет, 126 - внутренний адрес на vpn, 70 - хост, с которого пингую prerouting: in:vpn out:(unknown 0), proto ICMP (type 0, code 0), 195.201.201.32->10.121.241.126, NAT 195.201.201.32->(10.121.241.126->192.168.88.70), len 84

хм, а wireshark говорит, что reply тоже...

код 0 - это network unreachable

и в filter уже вообще никаких ICMP нет

Маршрутизацию и метки Вы так и не показали. А если я не ошибааюсь, то "аварийный" ответ идет как релейтед. Он у Вас, часом, в фильтре не рубися?

/ip route add comment="Blocked to VPN" distance=1 gateway=vpn routing-mark=vpn

/ip firewall mangle add action=mark-routing chain=prerouting dst-address-list=blocked \ new-routing-mark=vpn passthrough=yes

Вы пингуете откуда?

/ip firewall mangle add action=mark-routing chain=prerouting dst-address-list=blocked \ new-routing-mark=vpn passthrough=yes

топология 192.168.88.70 - 10.121.241.126 - 195.201.201.32 сейчас попробую пасс убрать

вот возвращающийся пакет, 32 - от кого идет, 126 - внутренний адрес на vpn, 70 - хост, с которого пингую prerouting: in:vpn out:(unknown 0), proto ICMP (type 0, code 0), 195.201.201.32->10.121.241.126, NAT 195.201.201.32->(10.121.241.126->192.168.88.70), len 84

вот, посмотрите обратно идет

поймал :( Sep 9 21:13:56 wall firewall,info forward: in:wan out:bridge, src-mac 00:00:5e:00:01:d5, proto ICMP (type 0, code 0), 195.201.201.32->192.168.88.70, NAT 195.201.201.32->(77.37.184.187->192.168.88.70), len 84 ничего не понимаю... тут он идет уже с wan... как он там оказался бы понять...

Кривая маршрутизация, скорее всего.

я вот на нее и смотрю... пока вижу фигу https://pastebin.com/CGd3AnkP

Это ни о чем но говорит. При такой маршрутизации у ВаС, при поднятии впе рекурсия бы получилась и он бы отпал. Поскольку роут до пира завернулся бы в сам впн туннель.

а, нет.. в таблице просто не видно, я раньше указывал, что Blocked to VPN с routing mark рулятся

просто возвращающееся куда-то заруливается

Привет, подскажите как в капсмене принудительно девайс привязать к одной точке , то скачет с одной на другую ?

Это не хорошая идея.

Почему? Вай фай камера после перехода роутера и точки в капсмен начала прыгать между первым и вторым этажом.

Потому, что прыгает она по своей воле. И если вы через аксесслист капсмена будете ее пускать только с определенного интерфейса (это можно), то она так же будет пытаться прыгнуть и будет только хуже.

Если сбросить в завод вай фай настройки прописать одинаковые сиды и пароли на точках только разбив например 6 11 канал то камера садиться на первом этаже hap ac2 и живет не отваливаясь, настроив капсмен даже убрав точку второго этажа почему то идет отвал от вайфай камеры

Ищите разницу в настройках и читайте логи.

Доброго дня... Есть куча простых устройств, которые подключаются удаленно к голове через L2TP+IPSEC(с обеих сторон кротики). Локальная сеть у устройств 88.0/24, при подключении L2TP головной рутер выделяет рутерам на устройствах IP из сети 135.0/24. На рутерах все что роутится к голове маскарадится в l2tp-out(т.е. в ифейс с адресом 135.X). Смотрю торчем в голове и вижу TCP пакеты из 88.0/24 сети 😳 прилетающие через L2TP интерфейсы. 😳 Как они могут проходить нат? NAT простой: все что SRC-IP=192.168.0.0/16 и OUT-IF=l2tp-out - маскарадим.

Это инвалиды, они не натятся

Это инвалиды, они не натятся

Добрый день. Поделитесь кодом на питоне, который запускает скрипт на микротик через api. Спасибо.

Привет всем. Подскажите пожалуйста, любой микротик поддерживает настройку двух провайдеров?

Привет всем. Подскажите пожалуйста, любой микротик поддерживает настройку двух провайдеров?

Если в нём есть как минимум два ethernet порта, то да

подскажите пожалуйста. поднимаю eoip туннель между двумя микротиками, на микротике 1 создаю бридж в который добавляю eoip и eth5, как только в бридж добавляю eth5 порт тухнет, из за чего это происходит?

В РоутерОС. Есть ещё СвитчОС и в ней нельзя сделать.

подскажите пожалуйста. поднимаю eoip туннель между двумя микротиками, на микротике 1 создаю бридж в который добавляю eoip и eth5, как только в бридж добавляю eth5 порт тухнет, из за чего это происходит?

eoip реально не нужен в абсолютном большинстве случаев и рекомендовал бы переделать на схему без еоипа с нормальной маршрутизацией, а не на костыле

два прова могут спуститься транком и транком же может уйти логалка. три провайдера в маплайте - только в путь