Jump to content

Выделение нескольки адресов для NAT (mikrotik)

Tapac)

By Tapac),
in For newbies

 Share Followers 5

Recommended Posts

Tapac)

Tapac) 0

Posted
Posted

подскажите  как сделать чтоб  локальные клиенты, допустим 192.168.88.0/24, на выходе из микротика в инет подписывались разными белыми адресами?

Link to post
Share on other sites
Kiano

Kiano 616

Posted
Posted
  On 10/23/2017 at 6:33 AM, Sandorik said:

использовать РСС - https://wiki.mikrotik.com/wiki/Manual:PCC

сильно по процу ударит, по собственному опыту утверждаю

 

 

  On 10/23/2017 at 11:20 AM, DemonidZe said:

или натить в пул может хотели ?

самый простой и рабочий вариант

но лучше не в пул, а каждое правило под каждый ип

главное в условиях укажите кого куда

Link to post
Share on other sites
Tapac)

Tapac) 0

Posted
  • Author
Posted
  On 10/23/2017 at 11:33 AM, Kiano said:

 

  On 10/23/2017 at 6:33 AM, Sandorik said:

использовать РСС - https://wiki.mikrotik.com/wiki/Manual:PCC

сильно по процу ударит, по собственному опыту утверждаю

 

 

  On 10/23/2017 at 11:20 AM, DemonidZe said:

или натить в пул может хотели ?

самый простой и рабочий вариант

но лучше не в пул, а каждое правило под каждый ип

главное в условиях укажите кого куда

 

я так и сделать ))

Link to post
Share on other sites
BlackVS

BlackVS 35

Posted
Posted (edited)
  Quote
PCC (ну или ECMP) - могут быть спецэффекты (к примеру, каждые 10 минут может меняться белый ип для клиента %) Игроки за такое просто убъют).

 

Исправлюсь.

Спецэффекты при ECMP (там периодически может сбрасываться ECMP cache. Из-за чего не факт, что в следующий раз для того же клиента будет выбран тот же гейт).

А вот в случае PCC этого уже нет - для того же набора src/dst (IP:port) должен выбираться тот же гейт.

В случае NAT походу тот же принцип.

PS: я у себя через маркировку + src-nat раскидываю по разным каналам/адресам, но у меня нагрузка совсем не та, что у провайдеров %). 40 челоевк в офисе это не пару тысяч.

Edited by BlackVS
Link to post
Share on other sites
DemonidZe

DemonidZe 15

Posted
Posted
  On 10/26/2017 at 9:02 AM, BlackVS said:

 

  On 10/23/2017 at 11:33 AM, Kiano said:

 

  On 10/23/2017 at 11:20 AM, DemonidZe said:

или натить в пул может хотели ?

самый простой и рабочий вариант

но лучше не в пул, а каждое правило под каждый ип

главное в условиях укажите кого куда

Голосую за этот вариант.

Но при условии, что все белые ип на одном интерфейсе (так как src-nat в postrouting).

Если на разных, то, наверное, проще всего через Route Rules привязать, кто кудой.

PCC (ну или ECMP) - могут быть спецэффекты (к примеру, каждые 10 минут может меняться белый ип для клиента %) Игроки за такое просто убъют).

 

не микротик скорее всего натит с опцией  --persistent мы используем пулы от 5-10 ипишек ни разу небыло проблем, за натом по 1-3к абонов

Link to post
Share on other sites
byteplayer

byteplayer 0

Posted
Posted

Короче.

На Микротике NAT Pool M серых на N белых делается с помощью action "same" с указанием диапазона типа белых адресов nat to: "х.х.х.х-у.у.у.у" либо сети с маской (например, х.х.х.х/24), если блок белых адресов укладывается в эту подсеть.

Ставится галочка "not by dst"

Желаемый результат гарантирую.

Link to post
Share on other sites
byteplayer

byteplayer 0

Posted
Posted
  On 10/26/2017 at 2:48 PM, byteplayer said:

Короче.

На Микротике NAT Pool M серых на N белых делается с помощью action "same" с указанием диапазона типа белых адресов nat to: "х.х.х.х-у.у.у.у" либо сети с маской (например, х.х.х.х/24), если блок белых адресов укладывается в эту подсеть.

Ставится галочка "not by dst"

Желаемый результат гарантирую.

посмотрел -- там не "nat to", а "To Addresses:"

Link to post
Share on other sites
byteplayer

byteplayer 0

Posted
Posted
  On 10/26/2017 at 5:29 PM, AndreyRn79 said:

выше подсказали, но для более понятного ответа

 

chain=srcnat action=src-nat to-addresses=1.1.1.13 src-address=192.168.0.101-192.168.0.110 

так не будет то, что нужно

беру свой кусок конфига:

 

/ip firewall address-list
add address=10.0.96.0/19 list=grey_pool
add address=***.***.***.***/28 list=service
add address=***.***.***.***/25 list=service
 
/ip firewall nat
add action=same chain=srcnat comment="NAT Pool ***.***.***.1-***.***.***.254" dst-address-list=!service same-not-by-dst=yes src-address-list=grey_pool to-addresses=***.***.***.1-***.***.***.254
Link to post
Share on other sites
pavlabor

pavlabor 1,977

Posted
Posted

А чем плоха классика?

Например

nat 8001 config if vlan1 same_ports deny_in ip 194.0.0.31

nat 8002 config if vlan2 same_ports deny_in ip 194.0.0.32
nat 8003 config if vlan3 same_ports deny_in ip 194.0.0.33
add 10011 nat 8001 ip from 10.180.101.0/24 to not 10.180.101.0/24 out xmit vlan1
add 10012 nat 8001 ip from any to 194.0.0.31 in via vlan1

 add 10021 nat 8002 ip from 10.180.102.0/24 to not 10.180.102.0/24 out xmit vlan2
add 10022 nat 8002 ip from any to 194.0.0.32 in via vlan2

add 10031 nat 8003 ip from 10.180.103.0/24 to not 10.180.103.0/24 out xmit vlan3
add 10032 nat 8003 ip from any to 194.0.0.33 in via vlan3

 

На данном уровне все равно балансировка трафика происходит статически.

Link to post
Share on other sites
Kiano

Kiano 616

Posted
Posted
  On 10/27/2017 at 4:55 AM, pavlabor said:

А чем плоха классика?

Например

nat 8001 config if vlan1 same_ports deny_in ip 194.0.0.31

nat 8002 config if vlan2 same_ports deny_in ip 194.0.0.32

nat 8003 config if vlan3 same_ports deny_in ip 194.0.0.33

add 10011 nat 8001 ip from 10.180.101.0/24 to not 10.180.101.0/24 out xmit vlan1

add 10012 nat 8001 ip from any to 194.0.0.31 in via vlan1

 add 10021 nat 8002 ip from 10.180.102.0/24 to not 10.180.102.0/24 out xmit vlan2

add 10022 nat 8002 ip from any to 194.0.0.32 in via vlan2

add 10031 nat 8003 ip from 10.180.103.0/24 to not 10.180.103.0/24 out xmit vlan3

add 10032 nat 8003 ip from any to 194.0.0.33 in via vlan3

 

На данном уровне все равно балансировка трафика происходит статически.

сорян конечно, но каким боком оно к микротику?))

Link to post
Share on other sites
AndreyRn79

AndreyRn79 1

Posted
Posted
  On 10/26/2017 at 5:58 PM, byteplayer said:

 

  On 10/26/2017 at 5:29 PM, AndreyRn79 said:

выше подсказали, но для более понятного ответа

 

chain=srcnat action=src-nat to-addresses=1.1.1.13 src-address=192.168.0.101-192.168.0.110 

так не будет то, что нужно

беру свой кусок конфига:

 

/ip firewall address-list
add address=10.0.96.0/19 list=grey_pool
add address=***.***.***.***/28 list=service
add address=***.***.***.***/25 list=service
 
/ip firewall nat
add action=same chain=srcnat comment="NAT Pool ***.***.***.1-***.***.***.254" dst-address-list=!service same-not-by-dst=yes src-address-list=grey_pool to-addresses=***.***.***.1-***.***.***.254

 

как раз то что нужно, просто и все работает

post-27896-0-93799500-1509118808_thumb.png

Link to post
Share on other sites
byteplayer

byteplayer 0

Posted
Posted
  On 10/27/2017 at 3:40 PM, AndreyRn79 said:

 

  On 10/26/2017 at 5:58 PM, byteplayer said:

 

  On 10/26/2017 at 5:29 PM, AndreyRn79 said:

выше подсказали, но для более понятного ответа

 

chain=srcnat action=src-nat to-addresses=1.1.1.13 src-address=192.168.0.101-192.168.0.110 

так не будет то, что нужно

беру свой кусок конфига:

 

/ip firewall address-list
add address=10.0.96.0/19 list=grey_pool
add address=***.***.***.***/28 list=service
add address=***.***.***.***/25 list=service
 
/ip firewall nat
add action=same chain=srcnat comment="NAT Pool ***.***.***.1-***.***.***.254" dst-address-list=!service same-not-by-dst=yes src-address-list=grey_pool to-addresses=***.***.***.1-***.***.***.254

 

как раз то что нужно, просто и все работает

 

У каждого свои задачи и свои вкусы, как он это хочет видеть.

Мне больше по душе 1 строка в закладке NAT, чем мелкая дрочь из сотни строк.

Кому-то нравится по-другому.

Мне надо огромное количество серых адресов занатить в /24 и не думать о ручных балансировках, кто через какой адрес ходит -- оно всё делает за меня само.

И не бояться, что у кого-то при посещении одного и того же ресурса вдруг сменится внешний ай-пи и будут глюки -- эта строка сама всё сама учитывает, и у всех геймеров, видеоманов и т.д. всё работает.

Мне не надо контролировать мелкие подсети, чтоб натились в определённый адрес.

Динамических пулов для выдачи на интерфейс абонента нет -- есть привязка серого адреса к абоненту. Если кого-то надо потом найти -- для этого всё собирается через netflow и потом можно посмотреть, кто, куда и когда ходил.

У кого-то другие задачи и вкусы -- делайте по-своему.

ТЧК.

Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
 Share
Followers 5
Go to topic listing

  • Recently Browsing   0 members

    No registered users viewing this page.

  • Similar Content

    • U.O.S.
      IPv4
      By U.O.S.
      Є блоки в продажу. 
      Також можемо запронувати Вам сдати Ваші айпі в оренду з розрахунком в Україні.
       
    • x-net
      Продам вживаний Mikrotik CRS326-24S+2Q+ (24х10G, 2x40G, 2xPSU)
      By x-net
      Продам вживаний Mikrotik CRS326-24S+2Q+ : 24 порти 10Г, 2 порти 40Г, 2 блоки живлення. Прошу 15 тис.
    • Игорь2025
      Требуется ремонт внешней точки доступа Mikrotik
      By Игорь2025
      Требуется ремонт  внешней точки доступа Mikrotik
      Точка доступа RBwAPG-5HacD2HnD
    • fitros
      Пропоную ремонт MikroTik, Ubiquity, зварювальні , сколювачі
      By fitros
      Вітаю всіх!
      Професійно займаюсь ремонтом зварювальних апаратів, сколювачів, обладнання MikroTik та Ubiquiti. Маю великий досвід і ґрунтовні знання в ремонті та обслуговуванні вказаного обладнання. Звертайтесь із запитаннями — завжди радий допомогти!
       
       
    • zababaha
      Нужен ремонт MikroTik RB4011GS+RM
      By zababaha
      Всем привет.
      В один прекрасный день отвалился MikroTik RB4011GS+RM. При включении загорается индикация питания и всё. 
      Попытки сбросить до заводских настроек, играться с netisntall в надежде перезалить в него прошивку никак не помогли. Поведение не меняется.
      Пробежался по интернетам в попытках найти авторизованный сервис для диагностики и, если живой, то ремонта - не помогли.
      Несколько лет назад покупал его на ntema, позвонил им, но ребята сказали, что негарантийным ремонтом не занимаются.
       
      Подскажите, плиз, кого-нибудь, кто возьмётся за диагностику и ремонт, если он ремонтопригоден? Цацка не копеечная, сразу в утиль отправлять будет грустно.
       
      З.Ы.: За 15 лет дружбы с тиками у меня этот первый, кто взял - и сдох на ровном месте(
×
×
  • Create New...