Самый простой вариант резервирования канала. На примере hAP (RB951Ui-2nd) и модема Huawei E173, оператор Lifecell

Introduction

In this article, we will look at another advanced method of failover using recursive routing and scopes from the routing section. Recursive routing occurs when a route (either static or dynamically learned) has a next-hop that is not directly connected to the local router. In RouterOS, nexthop lookup is done only in the main routing table, even for routes with different values of routing-mark. It is necessary to restrict a set of routes that can be used to look up immediate next-hops. Nexthop values of RIP or OSPF routes, for example, are supposed to be directly reachable and should be looked up only using connected routes. This is achieved using a scope and target-scope properties.

Введение

На Telegram-канале Mikrotik сэнсей можно получить доступ к закрытой информации от официального тренера MikroTik. В апреле и мае 2023 будут разбираться темы Wi-Fi и QoS. Подписывайтесь

Setup Overview

Before a detailed example overview, in a setup where we have private IP addresses behind the public IP, we should configure source NAT:

Let`s start with marking traffic by configuring routing tables and firewall mangle rules, so we will have everything preconfigured when we go to the routing section:

We will split the routing configuration into three parts. First, we will configure Host1 and Host2 as destination addresses in the routing section:

Now configure routes that will be resolved recursively, so they will only be active when they are reachable with ping:

Configure similar recursive routes for the second gateway:

Подключение и первоначальная настройка Huawei E173

При подключении модема в System – Ports появится новая запись с названием usb1, это и есть наш модем. В разделе «Interfaces» появится новое подключение, по-умолчанию это ppp-out1 (PPP Client).

Кликаем по новому подключению. В открывшемся окне нам необходимо произвести настройку подключения, в соответствии с требования оператора. Искать эту информацию необходимо на официальном сайте.

Для lifecell указано 3 параметра:

• номер дозвона: *99#
• параметры инициализации: AT+CGDCONT=1,»IP»,»internet»
• имя точки доступа APN: internet

Итак, вводим эти параметры в настройки ppp-подключения. Первым делом в правой части окошка нажмите «Advanced Mode», чтобы перейти в расширенный режим настройки модема.

В поле «Modem Init.» вводим параметры инициализации – AT+CGDCONT=1,»IP»,»internet».

В поле «APN» по-умолчанию уже присутствует запись «internet». Остальные параметры на вкладке «General» пока не трогаем.

Переходим на вкладку «PPP», в поле «Phone» необходимо указать номер для дозвона, в нашем случае это *99#.

В правой части нажимаем «Enable» для включения интерфейса. Если всё проделано верно, в нижней части вы увидите «enabled / running / Status: connected» (интерфейс включен, установлено соединение).

Советую снять галочку «Dial On Demnd» (установка соединения по требованию), чтобы модем всегда был активен.

Перед тем как приступить к описанию процесса настройки, позволю себе немного предыстории, чтобы было более понятно «что это и зачем оно».

Не так давно на одном из небольших филиалов у нас возникли проблемы с интернет-провайдером. Суть проблемы следующая. Есть государственное учреждение, на первом этаже которого есть небольшой филиал. В данном месте существует только 1 вариант подключения к Интернет – по кабелю от местного провайдера. Для того, чтобы подключить Интернет, потребовалось разрешение этого учреждения.

Сошлись на том, что бюджетники согласились дать разрешение, при условии, что наша оптика зайдет в главный коммуникационный ящик учреждения, и уже оттуда мы получим доступ к Интернет по витой паре.

За счёт компании, в которой я работаю, местный провайдер провел оптику, установил дополнительный коммуникационный щиток и поставил в него коммутатор. Система без каких-либо серьёзных сбоев проработала несколько лет. Далее начались постоянные проблемы с доступом в Интернет – провайдер стал винить в проблемах администратора госучреждения, сам сотрудник стал вести себя так, будто коммутатор и оптоволоконное подключение собственность этого госучреждения, игнорируя как наши обращения, так и обращения провайдера. Бывали случаи, когда этот администратор отключал от коммутатора наш кабель и в освободившийся порт подключал то, что необходимо ему. Полагаю, всякого рода проблемы возникают у многих, к сожалению, в этой стране возможно всё что угодно. Но сейчас не об этом.

Доступ к Интернет на филиале используется для синхронизации базы данных, а также для подачи отчетов в налоговую службу с кассового аппарата. Предприятия в сфере торговли, находящиеся на общей системе налогообложения обязаны иметь кассовый аппарат с КЛЭФ (контрольная лента в электронном формате). Собственно эта КЛЭФ и передается в налоговую. Система устроена таким образом, что аппарат автоматически блокируется, если в течение 72 часов отчет не отправлен.

По сути, у вас есть 3 сутки, чтобы решить вопрос. Если проблема проявилась в пятницу, в понедельник у вас уже возникнут проблемы, т.к. в субботу и воскресенье выходные и 2 сутки выпадают сразу же.

Как же быть? Альтернатив нет, только 3G. Т.к. у нас в городе сразу три оператора имеют соответствующее покрытие, мы решили протестировать все 3 сети. Сделать это достаточно просто – необходимо иметь смартфон с поддержкой 3G и соответствующий стартовый пакет. В процессе проверки выяснилось, что в указанном месте наилучшее качество покрытия у оператора Lifecell (бывший Life), у Vodafone (МТС) и Киевстар качество и скорость в данной локации достаточно плохое.

При выборе того или иного опера рекомендую провести реальный тест и не доверять официальным картам покрытия.

   В данной статье рассмотрим настройку маршрутизатора Mikrotik на работу с USB-модемом. Будем считать, что у нас есть один основной проводной канал. При его отказе должен быть автоматически включен USB-модем (мы для примера взяли МТС) и возобновлен доступ к сети интернет. В первый порт маршрутизатора будет подключен основной провайдер, остальные четыре нужно использовать для локальной сети. Так как почти все действия в первой половине статьи повторяют предыдущую часть, мы будем выполнять их из терминала.

1. Настройка интерфейсов.

#удаляем все текущие настройки роутера (нужно подтвердить нажатием "y")
system reset-configuration no-defaults=yes
#задаем названия интерфесам
/interface ethernet
set [ find default-name=ether1 ] comment=ISP1 name="ether1 - internet I (main)"
set [ find default-name=ether2 ] name="ether2 - local"
set [ find default-name=ether3 ] name="ether3 - local"
set [ find default-name=ether4 ] name="ether4 - local"
set [ find default-name=ether5 ] name="ether5 - local"
#отключаем wi-fi
interface wireless disable wlan1
#создаем bridge
interface bridge add auto-mac=yes name=LAN
#добавляем в bridge порты 
/interface bridge port
add bridge=LAN interface="ether2 - local"
add bridge=LAN interface="ether3 - local"
add bridge=LAN interface="ether4 - local"
add bridge=LAN interface="ether5 - local"

2. Настройка ip-адрсесов и dhcp

#добавляем ip-адрес для локальной сети
ip address add address=192.168.88.1/24 interface=LAN network=192.168.88.0
#получаем настройки по dhcp от первого провайдера
ip dhcp-client add default-route-distance=0 dhcp-options=hostname,clientid disabled=no interface="ether1 - internet I (main)"
#создаем пул адресов для локальной сети
ip pool add name=pool-LAN ranges=192.168.88.5-192.168.88.235
#создаем dhcp-сервер для локальной сети
ip dhcp-server add address-pool=pool-LAN disabled=no interface=LAN name=lan-dhcp
#задаем настройки dhcp
ip dhcp-server network add address=192.168.88.0/24 dns-server=8.8.8.8,10.7.0.77,10.7.48.77 gateway=\
    192.168.88.1
#добавляем маршрут в интернет через первого провайдера
ip route add comment=ISP1 distance=1 gateway=10.7.0.1
#маршрут на 8.8.4.4 для проверки канала
ip route add comment=test_ip distance=1 dst-address=8.8.4.4/32 gateway=10.7.0.1

3. Настройка фаервола

#скрываем внутреннюю сеть за NAT
ip firewall nat add action=masquerade chain=srcnat comment=NAT src-address=192.168.88.0/24
#запрещаем соединения со статусом invalid
/ip firewall filter add action=drop chain=input comment="Deny invalid connections" connection-state=invalid
#разрешаем использование протокола icmp
add chain=input comment="Permit icmp" protocol=icmp
#разрешаем все уже установленные соединения
add chain=input comment="Permit established connections" connection-state=established
#разрешаем все зависимые соединения
add chain=input comment="Permit related connections" connection-state=related
#блокируем все новые соединения со всех интерфейсов, кроме LAN
add action=drop chain=input comment="Deny new connections" connection-state=new in-interface=!LAN
#запрещаем ping 8.8.4.4 через ppp-интерфейсы
add action=drop chain=output comment="Deny 8.8.4.4 to reserved internet-channel" dst-address=8.8.4.4 out-interface=all-ppp protocol=icmp

4. Подключение модема

   Подключаем модем к роутеру и проверяем, появился ли он в списке доступных устройств:

[admin@MikroTik] > system resource usb print 
 # DEVICE VENDOR                 NAME           SPEED                 
 0 1:1    Linux 3.3.5 ehci_hcd   RB400 EHCI     480 Mbps              
 1 1:2    HUAWEI Technology      HUAWEI Mobile  480 Mbps              

      Смотрим порты и количество каналов (3 канала от 0 до 2):

[admin@MikroTik] > port print 
Flags: I - inactive 
 #   DEVICE NAME    CHANNELS USED-BY      BAUD-RATE
 0   1:2    usb1          3                9600     

5. Настройка модема

   Скорее всего модем будет работать должным образом и с настройками по-умолчанию, однако, на всякий случай, приведем здесь основные команды для его настройки (доступно только через терминал). Подключаемся к модему (канал выбираем перебором, ожидая на ввод команды AT ответ OK).

system serial-terminal port=usb1 channel=1
[Ctrl-A is the prefix key]
AT
OK

   Во время установленного соединения в консоль будет выводиться некоторая отладочная информация, по которой можно отслеживать запуск устройства и передачу данных. Для настройки модема доступны следующие команды:

   Выбор режима работы модема:

 6. Настройка ppp-соединения

   После подключения модема в меню «Interfaces» появляется новое соединение с названием «ppp-out1». Для того, чтобы настроить все требуемые параметры необходимо переключиться в расширенный режим настроек, нажав кнопку «Advanced Mode»

   Необходимо задать следующие параметры (можно уточнить у вашего оператора связи):

• APN
• Phone
• User
• Password
• порт, к которому подключен модем

 7. Настройка переключения каналов 

   Переход системы на резервный канал будем осуществлять с помощью встроенной утилиты Netwatch, с помощью которой будем отслеживать доступность хоста 8.8.4.4 .

8. Настройки безопасности:

   Как и во всех других частях обязательным шагом является задание правильных параметров безопасности и установка сложного пароля администратора

Маршруты с разным приоритетом

Раскрываем в меню IP:

. и переходим в Routes:

Добавляем 2 маршрута. Первый через одного Интернет провайдера со следующими настройками:

* мы указываем шлюз от нашего провайдера (в данном примере 1.1.1.1), задаем настройку проверки шлюза (Check Gateway) с помощью утилиты ping, задаем приоритет (Distance 10).

Для второго провайдера мы задаем, практически, аналогичные настройки:

* обратите внимание, что в отличие от первого маршрута, в данном указана большая дистанция и другой шлюз (для второго провайдера).

После удаляем старые маршруты. Должны остаться только те, что мы добавили.

Как это работает?

В штатной ситуации весь трафик идет по первому маршруту, через основное подключение, т.к. у него самый высокий приоритет – 1.

Как только вы отключите кабель, шлюз основного провайдера станет недоступным, а весь трафик пойдет по второму маршруту с более низким приоритетом (2).

Как только шлюз станет доступным, всё восстановится и трафик пойдет через основного провайдера.

Всё просто. Но есть у такого варианта и недостаток – переключение на резервный канал не произойдет, если шлюз доступен, а интернета нет. Подобное случается довольно часто, локальная сеть работает, IP назначился, шлюз доступен, но интернета нет.

Как реализовать автоматическое переключение провайдера при отсутствии доступа к интернет-ресурсам? Об этом мы поговорим во второй части публикации.
Источник

Полезные материалы по MikroTik

На Telegram-канале Mikrotik сэнсей можно получить доступ к закрытой информации от официального тренера MikroTik. В апреле и мае 2023 будут разбираться темы Wi-Fi и QoS. Подписывайтесь

Adding Multiple Hosts

In the case where Host1 and Host2 fail, the corresponding link is considered failed too. In this section, we will use two additional hosts for redundancy. In our example, we will use OpenDNS servers Host1B (208.67.222.222) and Host2B (208.67.220.220):

Then, let’s create destinations for «virtual» hops to use in further routes. We will use 10.10.10.1 and 10.20.20.2 as an example, but you can use different ones, be sure they do not override other configured IP addresses in your setup:

Do not forget to add routes with routing marks:

Быстрый способ

Казалось бы всё, но нет…

Если вы попробуете проверить информацию о подключении через функцию «Info» в настройках ppp-подключения, RouterOS выдаст ошибку «Couldn’t continue — modem did not respond (6)» и ничего не произойдет.

Дело в том, что для Huawei E173 настройки каналов по-умолчанию не подходят, правильная настройка каналов:

• Data Channel = 0
• Info Channel = 2

Изменяем настройки и вуаля, PPP Info работает.

Читайте также

Данная информация также может быть полезной:

Использование сценария, запускаемого в Netwatch

Данный метод поможет настроить резервирование канала, если один из провайдеров выдает динамические адреса в разных подсетях, например, подключение через 4G-модем.

1. Задаем описания

Сначала необходимо задать описание для маршрутов. Это понадобиться для сценария, который будет работать с последними через данные описания.

Раскрываем в меню IP:

. и переходим в Routes:

2. Настраиваем узел для проверки канала

Мы настроим узел, который будет пинговать провайдер 1. Если пинг пропадает, то необходимо переключать активный Интернет-канал на провайдера 2. Также мы должны заблокировать возможность пинговать проверочный узел с провайдера 2.

И так, переходим к настройке маршрутов:

Добавляем новый маршрут к проверочному узлу, например 77.88.8.2 (DNS Яндекса):

* в данной настройке мы задали маршрут к проверочному узлу через шлюз 1.1.1.1 (в нашем примере это шлюз от провайдера 1).

Переходим в IP — Firewall:

Создаем новое правило для запрета пинга проверочного узла через провайдера номер 2:

. в качестве действия выбираем drop:

3. Настройка задания в Netwatch

Переходим в Tools — Netwatch:

Создаем новое правило. На вкладке Host прописываем следующее:

* в данном примере мы будем проверять узел 77.88.8.2 раз в минуту.

На вкладке Up пропишем:

. а на вкладке Down следующее:

Резервирование Интернет-канала на Mikrotik

В данной инструкции мы рассмотрим пример настройки двух Интернет-каналов одновременно на роутере Mikrotik с целью отказоустойчивости — при разрыве соединения основной канал будет меняться на резервный. В нашем случае будет задействован один WAN Ethernet, второй — LTE. Итого, два провайдера и две сети.

Есть два способа настройки отказоустойчивости:

1. Настройка балансировки между шлюзами (разные приоритеты для интерфейсов). Данный метод можно использовать, если у нас оба провайдера предоставляют настройки со статическим адресом шлюза. Настройка выполняется без скриптов через конфигурирование нескольких шлюзов с разным весом.
2. Проверка доступности основного Интернет-канала и переключение на резервный при наличии проблем. Это универсальный метод настройки отказоустойчивости. Для настройки используется утилита Netwatch, которая выполняет скрипт проверки и, при необходимости, смены основного шлюза для доступа к сети Интернет.

Мы рассмотрим оба варианта. Настройки выполним в программе winbox. Настройка в веб-интерфейсе аналогична.

Перед началом, убедитесь, что по отдельности микротик раздает Интернет от обоих провайдеров.

Настройка двух Интернет-каналов (резервирование)

Материал из MikroTik Wiki

Failover

У нас появился резервный канал, в который можно направить трафик при отказе основного. Но как сделать, чтобы mikrotik понял, что канал упал?

Простейшее резервирование каналов

Простейший failover можно настроить, используя приоритет маршрута (distance у mikrotik/cisco, metric в linux/windows), а так же механизм проверки доступности шлюза — check-gateway.

В приведенной ниже конфигурации весь интернет трафик по умолчанию ходит через 10.100.1.254 (ISP1). Но как только адрес 10.100.1.254 станет недоступным (а маршрут через него неактивным) — трафик пойдет через 10.200.1.254 (ISP2).

конфигурация: простейший failover

check-gateway=ping для mikrotik обрабатывается так:

Обеспечение failover с более глубоким анализом канала

В прошлом примере все замечательно, кроме ситуации, когда шлюз провайдера виден и пингуется, но интернета за ним нет. Нам бы это здорово помогло, если бы можно было принимать решение о жизнеспособности провайдера, пингуя не сам шлюз, а что-то за ним.

Я знаю два варианта решения этой инженерной задачи. Первый и самый распространенный — использовать скрипты, но так как в этой статье мы скрипты не трогаем, остановимся подробнее на втором. Он подразумевает не совсем корректное использование параметра scope, но поможет нам прощупать канал провайдера глубже, чем до шлюза.
Принцип прост:
Вместо традиционного указания default gateway=шлюз провайдера, мы скажем роутеру что default gateway это какой-то из всегда_доступных_узлов (например 8.8.8.8 или 8.8.4.4) и он в свою очередь доступен через шлюз провайдера.

конфигурация: failover с более глубоким анализом канала

Теперь разберем, что происходит чуть подробнее:
Хитрость в том, что шлюз провайдера не знает о том, что 8.8.8.8 или 8.8.4.4 — это роутер и направит трафик по обычному пути.
Наш mikrotik считает, что по умолчанию весь интернет трафик нужно отправлять на 8.8.8.8, который напрямую не виден, но через 10.100.1.254 доступен. А если пинг на 8.8.8.8 пропадает (напомню что путь к нему у нас жестко указан через шлюз от ISP1) то mikrotik начнет слать весь интернет трафик на 8.8.4.4, а точнее на рекурсивно определенный 10.200.1.254 (ISP2).

Но у меня пару раз возникала ситуация, когда интернет через шлюз провайдера работает, а вот конкретный узел или сеть нет. В таких случаях вышеописанный метод не очень-то помогает и для обеспечения бесперебойной работы мне приходилось проверять доступность узла уже с помощью скриптов. Кстати, если кто знает решение файловера на один внешний хост без применения скриптов и протоколов динамической маршрутизации — поделитесь рецептом.

Проверка

Для проверки отказоустойчивости лучше всего отключить кабель основного провайдера (вытащить провод из WAN-разъема) — через небольшой промежуток времени Mikrotik должен начать раздавать Интернет второго провайдера. Проверить, что внешний канал изменился можно с помощью различных сайтов, например, 2ip.ru.

Комплексный способ

Проверка

Для проверки отказоустойчивости лучше всего отключить кабель основного провайдера (вытащить провод из WAN-разъема) — через небольшой промежуток времени Mikrotik должен начать раздавать Интернет второго провайдера. Проверить, что внешний канал изменился можно с помощью различных сайтов, например, 2ip.ru.

Выбираем маршрутизатор Mikrotik

Особых вариантов помимо Mikrotik, как таковых нет. Конечно, вы можете купить роутер от Asus или Zyxel, и ковырять его, но не думаю, что это будет хорошим вариантом.

Итак, нам нужен роутер, который:

• оснащен портами на 100 Мбит;
• имеет беспроводной интерфейс (wlan);
• оснащен портом USB и имеет поддержку модемов 3G/4G;
• имеет возможность создания подключения по L2TP;

Под эти параметры идеально подходит маршрутизатор Mikrotik hAP (RB951Ui-2nD) – компактный, функциональный и недорогой. Лично мне он обошелся в 42 у.е., в рознице данную модель можно найти за 43-49 у.е., в зависимости от магазина. Сильно сомневаюсь, что за такую цену можно найти более оптимальный вариант?

Есть еще RB951Ui-2nD и RB952Ui-5ac2nD (hAP ac lite), за них придётся отдать чуть больше. В последней модели есть поддержка 802.11ac – выбор за вами, подбирайте маршрутизатор, исходя из ваших личных потребностей.

Единственное обязательное условие – наличие порта USB.

Использование сценария, запускаемого в Netwatch

Данный метод поможет настроить резервирование канала, если один из провайдеров выдает динамические адреса в разных подсетях, например, подключение через 4G-модем.

1. Задаем описания

Сначала необходимо задать описание для маршрутов. Это понадобиться для сценария, который будет работать с последними через данные описания.

Раскрываем в меню IP:

. и переходим в Routes:

2. Настраиваем узел для проверки канала

Мы настроим узел, который будет пинговать провайдер 1. Если пинг пропадает, то необходимо переключать активный Интернет-канал на провайдера 2. Также мы должны заблокировать возможность пинговать проверочный узел с провайдера 2.

И так, переходим к настройке маршрутов:

Добавляем новый маршрут к проверочному узлу, например 77.88.8.2 (DNS Яндекса):

* в данной настройке мы задали маршрут к проверочному узлу через шлюз 1.1.1.1 (в нашем примере это шлюз от провайдера 1).

Переходим в IP — Firewall:

Создаем новое правило для запрета пинга проверочного узла через провайдера номер 2:

. в качестве действия выбираем drop:

3. Настройка задания в Netwatch

Переходим в Tools — Netwatch:

Создаем новое правило. На вкладке Host прописываем следующее:

* в данном примере мы будем проверять узел 77.88.8.2 раз в минуту.

На вкладке Up пропишем:

. а на вкладке Down следующее:

Конфигурация сети или что нам требуется от Mikrotik?

• Местный провайдер предоставляет подключение с DHCP, т.е. достаточно просто воткнуть кабель в WAN-порт (ether1) и Интернет заработает.
• На маршрутизаторе также запущена сеть Wi-Fi, чтобы сотрудники могли подключить свой смартфон.
• Дополнительно присутствует открытая гостева сеть Wi-Fi (wlan2, Virtual AP), настроенная в соответствии с предыдущей публикацией. Гостевая сеть изолирована от основной.
• Для соединения с центральным офисом используется L2TP.
• В качестве резервного канала будет использоваться 3G-модем.

Failover (WAN Backup)

Do not forget to add routes with routing marks

Раздаем интернет с 3G-модема в локальную сеть

На самом маршрутизаторе доступ к Интернет посредством подключения 3G уже работает. Для того, чтобы пользователи локальной сети смогли им воспользоваться, необходимо внести небольшие изменения в настройки.

Открываем IP – Firewall, переходим на вкладку «NAT». Нажимаем на «+» и добавляем новое правило.

• Chain: srcnat
• Out. Interface: ppp-out1 (выбираем интерфейс нашего модема)
• Во вкладке «action» (действие) выбираем «masquerade».

Нажимаем ОК – интернет появился.

Пробуем проверить скорость подключения. Почти 6 Мбит на прием и чуть менее 3 Мбит на отправку – неплохо.

Записки IT специалиста

Технический блог специалистов ООО»Интерфейс»

• Главная
• Резервирование каналов в Mikrotik при помощи рекурсивной маршрутизации

Резервирование Интернет-канала на Mikrotik

В данной инструкции мы рассмотрим пример настройки двух Интернет-каналов одновременно на роутере Mikrotik с целью отказоустойчивости — при разрыве соединения основной канал будет меняться на резервный. В нашем случае будет задействован один WAN Ethernet, второй — LTE. Итого, два провайдера и две сети.

Есть два способа настройки отказоустойчивости:

1. Настройка балансировки между шлюзами (разные приоритеты для интерфейсов). Данный метод можно использовать, если у нас оба провайдера предоставляют настройки со статическим адресом шлюза. Настройка выполняется без скриптов через конфигурирование нескольких шлюзов с разным весом.
2. Проверка доступности основного Интернет-канала и переключение на резервный при наличии проблем. Это универсальный метод настройки отказоустойчивости. Для настройки используется утилита Netwatch, которая выполняет скрипт проверки и, при необходимости, смены основного шлюза для доступа к сети Интернет.

Мы рассмотрим оба варианта. Настройки выполним в программе winbox. Настройка в веб-интерфейсе аналогична.

Перед началом, убедитесь, что по отдельности микротик раздает Интернет от обоих провайдеров.

Load Balancing

Теперь давайте рассмотрим другую схему:

В ней второй второй канал уже не резервный, а равноценный. Почему бы не использовать оба канала одновременно, повысив таким образом пропускную способность?

Начинаем настраивать Load Balancing

Первое правило Load Balancing — следить за соединениями: на пришедшее извне соединение отвечать с того же адреса, на который оно пришло. Для исходящих соединений — отправлять пакеты только через тот адрес, с которым установилось соединение.

Второе, что тоже важно понимать — нужно разделять понятия входящего и исходящего трафика. Дело в том, что для исходящего трафика роутер может решать, по какому пути он пойдет, а входящий трафик для него как «трафик Шредингера». Пока его нет, наш mikrotik не знает, через какой интерфейс он придет, а когда пришел — менять интерфейс уже поздно.

Третье — балансировка каналов не является резервированием. Это две отдельные функции.

Кстати почему при разделе трафика мы оперируем соединениями, а не пакетами?

Готовимся принять «трафик Шредингера»

Итак, при любом варианте балансировки канала нам нужно сначала подготовиться к принятию входящего трафика и научить mikrotik отвечать на входящие соединения в тот же канал, из которого они пришли. С помощью маркировки соединений и последующей маркировки маршрутов для них мы, по сути, делаем несколько таблиц маршрутизации, отдельных для каждого внешнего адреса.

начальная конфигурация для load balancing с двумя внешними IP адресами

Таким образом mikrotik будет проводить каждый пакет помеченного соединения по соответствующей таблице маршрутизации и внешние адреса (10.100.1.1, 10.200.1.1) будут доступны извне без путаницы в каналах и маршрутах.

Делим исходящий трафик

Для распределения исходящего трафика по интерфейсам, нам всего-то нужно повесить соответствующую марку маршрута на соединение. Сложность в том, что нужно решить на какое соединение вешать метку ISP1, а на какое ISP2.

Существует несколько вариантов разделения соединений по группам:

1) Делим исходящий трафик, прикручивая марку намертво

Правила, балансирующие трафик мы можем прописать жестко:
Например мы хотим настроить важные для нас протоколы HTTP(80 port), HTTPS (443 port), POP (110 port), SMTP (25 port) через ISP1, а весь остальной трафик пустить через второго провайдера:

конфигурация с балансировкой канала по жестко прописанным правилам

2) Делим исходящий трафик, выбирая каждое Н-ое соединение

Можем делить соединения по-порядку. Первые налево, вторые — направо. Все просто.

конфигурация с балансировкой канала по Н-ному соединению:

3) Делим исходящий трафик, используя PCC (per connection classifier)

PCC подходит к дележу трафика чуть сложнее. Он разделяет трафик по группам, основываясь на данных TCP заголовка (src-address, dst-address, src-port, dst-port).

конфигурация с балансировкой канала по PPC:

Делим исходящий трафик, используя ECMP (equal cost multipath routing)

На мой взгляд самый простой и вкусный вариант разделения траффика:

конфигурация с балансировкой канала по ECMP

Mikrotik сам поделит трафик по шлюзам, используя round-robin алгоритм.

Кстати, в версии 6.Х RouterOS mikrotik поломал check-gateway в ECMP, так что использовать конструкцию
/ip route add gateway=10.100.1.254,10.200.1.254 check-gateway=ping можно и логично, но абсолютно бесполезно.
Для пометки неживых маршрутов в ECMP нужно создать дополнительные маршруты, которые используют каждый из gateway по-отдельности. С включенным check-gateway разумеется. Помечая маршрут неактивным, mikrotik делает это для всех.

И последнее немаловажное замечание про скорость каналов

Возьмем 2 неравнозначных канала, например, 100 мбит и 50 мбит. Сбалансируем их через Nth, PCC или ECMP. Какую суммарную пропускную способность получим?

На самом деле — где-то около 100 мбит (самый слабый канал Х раз).
Происходит это потому, что mikrotik понятия не имеет о пропускной способности каналов, он ее не измеряет. Он просто делит трафик на относительно равные группы.

Побороть этот нюанс можно правильно проектируя группы исходящего трафика, с учетом пропускной способности каналов.

в ECMP это можно сделать указав более скоростной шлюз несколько раз, тем самым повышая частоту его использования.

Схема сети

Выбор 3G-модема для Mikrotik

Оператор Lifecell (Life) в своих фирменных магазинах предлагает 2 модели модемов и 1 модель Wi-Fi роутера.

В качестве Wi-Fi роутера, оператор предлагает модель Huawei E5356s-2. Выбор USB-модемов не велик, название первой модели точно не помню, но в списке поддерживаемых в RouterOS она не значилась.

Зато Huawei E173 в списке поддерживаемых модемов (http://wiki.mikrotik.com/wiki/Supported_Hardware ) присутствует, так что наш выбор очевиден.

На момент написания данной инструкции, акционная стоимость модема составляет 399 грн., в то время как в интернет-магазинах его можно найти в полтора раза дороже – от 750 грн. Акционный модем потому, что «залочен» под конкретного мобильного оператора.

На Huawei E173, поставляемого Lifecell, установлена прошивка 21.158.77.00.388, судя из обсуждений на тематических форумах, данная модель не поддается разблокировке стандартными методами (unlocker). Так что имейте это в виду при покупке модема. Работать он будет только с SIM-картой Lifecell (life).

На официальном сайте Mikrotik отсутствуют дополнительные параметры, так что модем должен «завестись» без проблем.

Резервирование каналов в Mikrotik при помощи рекурсивной маршрутизации

Значение интернета в повседневной жизни и деятельности предприятий всех форм и размеров с каждым днем только растет, особенно сейчас, когда весь мир переходит на дистанционные методы работы в связи с пандемией короновируса. Но этот вопрос актуален также и для торговых предприятий, платежные карты используются практически каждым вторым покупателем и отсутствие интернета мгновенно скажется на выручке предприятия. В данной статье мы рассмотрим, каким образом можно организовать резервный канал и обеспечить быстрое переключение на него и обратно штатными средствами RouterOS.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Теория

Действительно, маршрутизация достаточно сложная тема, поэтому мы сознательно упростили многие моменты для того, чтобы обеспечить понимание процессов начинающими в объеме необходимом для решения поставленной задачи.

Что такое маршрутизация? Это процесс определения пути следования данных в сетях связи. Его можно сравнить с прокладкой маршрута с использованием навигатора, вы задаете начальную и конечную точку и получаете несколько вариантов проезда с указанием всех промежуточных точек. В некоторых точках маршрут может разделяться на несколько вариантов, из которых вы можете выбрать наиболее оптимальный, исходя из оценки текущей дорожной обстановки.

Для каждого узла маршрута, а наш роутер является одним из них, решение о маршрутизации принимается на основании таблицы маршрутизации. Рассмотрим ее простейший вариант, за основу мы взяли стандартный вывод в терминале Mikrotik и добавили дополнительные данные, сейчас они могут быть непонятны, но ниже мы будем к ним обращаться.

Прежде всего разберемся как заполняется таблица маршрутизации. Это может происходить несколькими способами:

• Непосредственно присоединенные сети — в данном случае они имеют флаг С — connect — это сети к которым физически подключен маршрутизатор, они добавляются при подключении интерфейса и удаляются при его отключении.
• Статические маршруты — добавляются системным администратором, либо динамически, при подключении коммутируемого соединения или получения сетевых параметров по DHCP. В этом случае к флагу S -static, добавляется флаг D — dynamic.
• Динамические маршруты — маршруты добавляемые при помощи протоколов динамической маршрутизации, таких как OSPF, RIP и т.д. Не следует путать их с динамически добавляемыми статическими маршрутами и маршрутами непосредственно присоединенных сетей. Флаг D — dynamic в Mikroitk обозначает только то, что маршрут добавлен автоматически, без участия пользователя. А динамические маршруты обозначаются флагами r — rip, b — bgp, o — ospf, m — mme, однако их рассмотрение выходит за рамки данной статьи.

К одной цели могут вести несколько маршрутов, приоритетом их выбора является значение административной дистанции, чем ниже это значение, тем выше приоритет у маршрута. Если вернуться к нашей аналогии с навигатором, то он может проложить нам несколько маршрутов, но приоритет получит самый короткий. Но если на этом маршруте возникнут серьезные затруднения, скажем, пробка или авария, то мы можем выбрать более длинный маршрут. Также и здесь, если маршрут с наименьшей административной дистанцией недоступен, то выбирается маршрут с более высокой дистанцией.

Теперь разберемся как все это работает. Допустим мы хотим обратиться к узлу 8.8.8.8, роутер берет таблицу маршрутизации и осуществляет в ней поиск наилучшего маршрута к запрашиваемому узлу. В нашем случае искать особо нечего и это будет «нулевой» маршрут со шлюзом 192.168.3.1. Но маршрутизаторы крупных сетевых узлов могут содержать тысячи и десятки тысяч маршрутов и поэтому поиск может оказаться совсем не простым и дешевым действием.

Коротко напомним о том, что такое «нулевой» маршрут или шлюз по умолчанию, он используется в том случае, если в таблице для узла назначения не было найдено ни одного подходящего маршрута. Проще говоря, если роутер не знает куда отправить данные, он отправляет их шлюзу по умолчанию. Особой записи для узла 8.8.8.8 в нашей таблице нет, поэтому будет использоваться «нулевой» маршрут.

Хорошо, адрес шлюза мы определили, но это не решило основной задачи — куда отправить данные. Почему? Вернемся к нашей аналогии, вы решили поехать из Белгорода в Москву, карта показывает, что сначала вам нужно приехать в Курск. Отлично, но как именно в него попасть? Навигатор услужливо подскажет нам, что требуется ехать на север по федеральной трассе М2 «Крым».

В нашем случае основной задачей маршрутизатора будет определить интерфейс выхода, т.е. куда именно физически нужно направить данные, чтобы они добрались до требуемого места назначения. Поэтому роутер снова начинает поиск в таблице маршрутизации чтобы определить каким образом следует добраться до искомого адреса шлюза 192.168.3.1, согласно таблице, будет найден маршрут к сети 192.168.3.0/24 через интерфейс ether5. Так как интерфейс выхода определен, то поиск прекращается и роутер формирует необходимый тип данных для передачи на канальном уровне.

Здесь тоже следует дать краткие пояснения, если интерфейс выхода является сетью Ethernet, то роутер выполнит ARP-запрос для адреса шлюза и сформирует Ethernet-кадр, а если это туннельный интерфейс точка-точка (VPN, PPPoE), то выполнит инкапсуляцию IP-пакета и отправит его на другую сторону туннеля.

И здесь мы приходим к следующим соображениям: таблица маршрутизации может быть большая и поиск по ней может быть затратным, в тоже время шлюз будет располагаться в одной из непосредственно присоединенных сетей, возможно следует ограничить поиск только по ним?

Для решения этой проблемы в Linux, а следовательно, и в RouterOS, введены понятия области маршрута — Scope, и области поиска — Target-scope. Теперь вернемся к нашей таблице маршрутизации, «нулевой» маршрут имеет область — 30 и область поиска — 10. Следовательно дальнейший поиск будет вестись только среди маршрутов с областью 10.

По умолчанию данные опции имеют следующее значение:

• Непосредственно присоединенные сети: Scope — 10, Target Scope не имеет смысла, так как данный маршрут указывает на интерфейс выхода
• Динамические маршруты — OSPF, RIP, MME: Scope — 20, Target Scope — 10
• Статические маршруты: Scope — 30, Target Scope — 10

Mikrotik имеет возможность проверять доступность шлюза, используя для этого пинг, если шлюз оказывается недоступным, то маршрут становится неактивным. Это хорошо, но позволяет выявлять только проблемы в сети провайдера, и если шлюз остается доступным, то маршрут будет продолжать оставаться активным, несмотря на остуствие доступа в интернет. Но что, если указать в качестве шлюза удаленный высокодоступный узел?

Давайте рассмотрим следующую таблицу маршрутизации:

Теперь разберемся как это работает. Когда мы хотим связаться с каким-либо узлом в сети интернет маршрутизатор выполнит поиск по таблице маршрутизации и, если не указано иных маршрутов, выберет «нулевой» в котором указан шлюзом 1.1.1.1, так как найден адрес, то поиск будет продолжен, чтобы определить интерфейс выхода. Так как указанный нами шлюз не находится ни в одной из непосредственно присоединенных сетей, то сделать это не удастся и такой маршрут работать не будет.

Поэтому мы «подскажем» маршрутизатору как достичь указанного нами узла и добавим маршрут к 1.1.1.1 через сеть провайдера, а чтобы он участвовал в поиске его область должна быть меньше или равна области поиска «нулевого» маршрута, т.е. 10. Это очень важный момент, если вы неправильно укажете область второго маршрута — рекурсивная маршрутизация работать не будет.

Итак, роутер находит адрес первого шлюза — 1.1.1.1 и начинает искать маршрут к нему с среди маршрутов с областью 10, там он находит второй маршрут и получает из него новое значение шлюза — 192.168.3.1 — который является шлюзом нашего провайдера, затем еще раз выполняет поиск и находит связанный с ним интерфейс выхода — ether5. После чего пакет отправляется провайдеру, а удаленный узел 1.1.1.1 используется нами только как способ проверки наличия интернета через данный канал. Это и есть рекурсивная маршрутизация.

Практика

Будем считать что на вашем роутере уже настроен доступ к двум провайдерам и мы не будем останавливаться на этапе базовой настройки, если вы испытываете затруднения с этим, то обратитесь к нашей статье: Базовая настройка роутера MikroTik.

В нашем примере будут использоваться два условных провайдера, основной и резервный, подключенные к интерфейсам ether5 и ether4, тип интерфейса и подключения в данном случае никакой роли не играют. Откроем таблицу маршрутизации IP — Routes, в простейшем виде она будет выглядеть приблизительно так:

У нас есть два нулевых маршрута с разными административными дистанциями (1 для основного провайдера, 2 для резервного) и три маршрута для непосредственно присоединенных сетей, где 192.168.3.0/24 — сеть основного провайдера, а 192.168.16.0/24 — резервного.

Перед тем, как переходить к дальнейшим настройкам нам нужно выяснить и запомнить адреса шлюзов провайдеров, для этого можно заглянуть на закладку Nexthops, для коммутируемых подключений (VPN, PPPoE) следует проверить свойства соответствующего соединения.

Внимание! Дальнейшие действия следует производить имея физический доступ к устройству!

Прежде всего отключим автоматическое создание нулевых маршрутов для сетей провайдеров, для этого следует снять флаг Add Default Route в свойствах подключения, либо установить одноименную опцию в значение — no.

После этого доступ в интернет по обоим каналам пропадет. Имейте это ввиду при планировании работ.

В первую очередь создадим маршруты к этим узлам. Для этого снова перейдем в IP — Routes и создадим новый маршрут:

Где Dst. Address — 1.1.1.1 — узел для проверки первого провайдера, Gateway — 192.168.3.1 — шлюз первого провайдера, Distance — 1, Scope — 10. Обратите внимание на значение области (Scope), если вы оставите там значение по умолчанию — 30, то рекурсивная маршрутизация работать не будет! Затем добавим второй аналогичный маршрут, но уже к узлу 9.9.9.9 через шлюз второго провайдера.

Эти же действия через терминал:

Затем добавим два рекурсивных «нулевых» маршрута. Для первого провайдера:

Dst. Address оставляем по умолчанию — 0.0.0.0/0, Gateway — 1.1.1.1 — высокодоступный узел для первого провайдера, Check Gateway — ping — указываем проверку доступности шлюза, Distance — 1.

Для второго провайдера:

Dst. Address — 0.0.0.0/0, Gateway — 9.9.9.9, Check Gateway — ping , Distance — 2. Обратите внимание на значение административной дистанции второго маршрута, она должна быть больше, чем у основного провайдера, в нашем случае — 2.

То же самое быстро в терминале:

Теперь таблица маршрутизации будет выглядеть следующим образом:

Наши маршруты добавились как рекурсивные и активным является маршрут через основного провайдера. Теперь имитируем аварию у первого провайдера, буквально через 10-20 секунд таблица маршрутизации изменится и рабочим станет маршрут через резервный канал:

После того, как первый провайдер устранит неисправность снова произойдет изменение маршрутов и рабочим снова станет основной канал.

Как видим на практике все оказалось достаточно просто, но мы уверены, что слепое повторение инструкций без понимания сути производимых действий никого и никогда ни к чему хорошему не приводило, поэтому настоятельно советуем не пренебрегать теоретической частью материала.

Рекурсивная маршрутизация и PPPoE

При использовании PPPoE подключения вы рано или поздно столкнетесь с проблемой изменения адреса шлюза провайдера, это может произойти даже при наличии выделенного IP адреса. После чего маршрут к высокодоступному узлу перестает работать, что приводит к полной неработоспособности этого провайдера. Диагностика такой неисправности может оказаться весьма затруднительной если вы не сталкивались с данной проблемой ранее и недостаточно четко представляете себе принципы работы рекурсивных маршрутов.

Для этого перейдем в PPP — Profiles и создадим новый профиль, укажем для него понятное имя и зададим параметр — Remote Address, адрес можно указать любой, единственное условие — он не должен пересекаться с вашими внутренними сетями, в нашем случае это 10.253.252.251. Также установите переключатель Change TCP MSS в положение yes.

В терминале это можно сделать так:

После чего назначим этот профиль вашему PPPoE соединению:

И после его перезапуска убедимся, что удаленный адрес соединения теперь соответствует назначенному нами:

Теперь можно использовать данный адрес как шлюз для этого провайдера, не беспокоясь о возможных изменениях.

Рекурсивная маршрутизация и DHCP

Затем перейдем в настройки DHCP-клиента — IP — DHCP Client — и на закладке Advanced внесем в соответствующее поле короткий скрипт:

Теперь при каждом новом получении адреса по DHCP скрипт будет находить наш маршрут и изменять в нем значение шлюза на реально полученный адрес. Попробуем смоделировать данную ситуацию и выдадим нашему роутеру адрес первого провайдера из другого диапазона. Как видим, все автоматически изменилось согласно вновь полученных настроек:

Таким образом мы снова успешно решили задачу поддержания маршрутной информации в актуальном состоянии несмотря на ее возможные изменения со стороны провайдера.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Дополнительные материалы:

Mikrotik

The Dude

Помогла статья? Поддержи автора и новые статьи будут выходить чаще:

Читайте также

Данная информация также может быть полезной:

Самый простой вариант резервирования интернет-канала в Mikrotik

Обратившись к Google, вы найдете десятки вариантов резервирования и автоматического переключения. От самого простого варианта конфигурации до использования сложных скриптов.

Предлагаю вашему вниманию самый простой вариант настройки резервирования, настройка которого займет менее 5 минут и не требует дополнительных знаний!

Итак, открываем IP – DHCP Client, ищем WAN-подключение, для конфигурации по-умолчанию это ether1 (либо eth1).

В параметрах подключения выбираем «Add Default Route: yes» (этот параметр установлен по-умолчанию), и задаем «Default Route Distance» = 1.

Если кратко, данная настройка позволяет автоматически создавать маршруты, а Distance=1 присваивает данному подключению наивысший приоритет.

Далее открываем параметры подключения модема – ppp-out1. По-умолчанию, тут также установлена опция «Add Default Route», параметр «Default Route Distance» задаем 2.

Маршруты можно задать и вручную, в разделе IP – Ruters, создав статические записи для Dst. Address 0.0.0.0/0 и соответствующего шлюза для каждого подключения. Новые версии RouterOS позволяют указывать имя интерфейса, вместо IP, что очень удобно. Само собой, в этом случае нужно предварительно отключить автоматическое добавление маршрутов (Add Default Route) для каждого интернет-подключения. В рамках данной публикации, мы опустим статические маршруты.

Маршруты с разным приоритетом

Раскрываем в меню IP:

. и переходим в Routes:

Добавляем 2 маршрута. Первый через одного Интернет провайдера со следующими настройками:

* мы указываем шлюз от нашего провайдера (в данном примере 1.1.1.1), задаем настройку проверки шлюза (Check Gateway) с помощью утилиты ping, задаем приоритет (Distance 10).

Для второго провайдера мы задаем, практически, аналогичные настройки:

* обратите внимание, что в отличие от первого маршрута, в данном указана большая дистанция и другой шлюз (для второго провайдера).

После удаляем старые маршруты. Должны остаться только те, что мы добавили.

Mikrotik. Failover. Load Balancing.

Когда у меня встала необходимость разобраться, как сделать failover или load balancing, имея два и более каналов в мир, я нашел множество статей и инструкций, в которых описывались рабочие конфигурации. Но почти нигде не нашел разъяснения, как все работает, и описания отличий разных вариантов. Хочу исправить эту несправедливость и собрать простейшие варианты построения failover и load balancing конфигураций в одной статье.

Итак, у нас есть роутер, который соединяет нашу локальную сеть и два канала в интернет (основной ISP1 и резервный ISP2).

Давайте рассмотрим что же мы можем сделать:

Сразу предупрежу: несмотря на то, что в этой статье буду все описывать для mikrotik, не буду касаться темы скриптов