Redireccion de trafico por una linea wan
Redireccionar trafico por una linea wan
Usar politicas de ruteo para redireccionar trafico es una tecnica basada en suministrar datos espesificos para reenviar y rutear paquetes de datos basados en las políticas definidas por nosotros. En efecto, el ruteo basado en políticas incluye un mecanismo para aplicar selectivamente políticas basadas en puertos , el tamaño de los paquetes o otros criterios. Las medidas que se toman pueden incluir el ruteo de paquetes en rutas definidas por nosotros.
Es comunmente usado por Wisp y Lan centers para redireccionar trafico web y descargas por una linea y dejar la otra linea exclusivamente para juegos de esta forma mejorar el rendimiento de su servicio , el ruteo que veremos se basa en puertos y se puede aplicar a interfaces de red , grupos de ips o segmentos
Veremos un ejemplo que consistira en hacer dos politicas de ruteo para que por una linea pase todo lo que es trafico web y descargas y por lo otra linea pase lo que son juegos en linea como dota League of legends etc
suponiendo que tenemos
- ether1= 10 Megas
- ether2 = 30 Megas
queremos que todo los juegos onlie usen la linea de 30 megas para poder salir a internet reduciondo el lag en los juegos onlie y dando mejor servicio a nuestros clientes mientras la linea de 10 megas se use para trafico web , descargas,videos.
Paso 1
Identificamos nuestras lienas y verificamos que esten ruteadas y nateadas
Paso 2
Nos dirigimos a IP/Routes y nos encontraremos con las dos reglas que se crearon anteriormente ,estas reglas las editamos cambiando la distancia administrativa , la de la wan 1 con distancia 1
y la wan 2 con distancia administrativa 2
creamos nuestras rutas asignandole un nombre a nuestra marca de ruteo para poder identificarlas en la configuracion del firewall ,se les asiganara los siguinetes nombres a las marcas de ruteo
to_ether1 (ira relacionada a la linea 1)
to_ether2 (ira relacionada a la linea 2)
estas marcas de ruteo nos ayudaran a identificar paquetes y enviarlos por e l gateway asociado ala a la marca de ruteo, esto nos dice que todos los paquetes que contengan la marca de ruteo to_ether1 los enviara por el gateway 192.168.1.1
agregamos otra regla de ruteo para la wan 2 esta regla nos dice todos los paquetes que contengan la marca de ruteo to_ether2 los enviara por el gateway 192.168.9.1
/ip route
add check-gateway=ping comment="Ruteo wan 1" distance=1 gateway=192.168.1.1 \
routing-mark=to_ether1
add check-gateway=ping comment="Ruteo wan 2" distance=1 gateway=192.168.9.1 \
routing-mark=to_ether2
add check-gateway=ping comment="Wan 1" distance=1 gateway=192.168.1.1
add check-gateway=ping comment="Wan 2" distance=2 gateway=192.168.9.1
Paso 3
Una ves que ya creamos nuestra marca de ruteo es hora de crear nuestras reglas de firewall para poder redirigir el trafico a cada liena wan en IP/Firewall/Mangle
Creamos una regla y marcamos la conexion de todo los paquetes 80 y 443 que bienen hacer protocolos de navegacion web , navegacion web segura como es youtube ,facebook ,whatsapp, y otros y espesificamos en In.Interface la interface lan de la red a la que queremos redirigir en este caso sera a toda nuestra red lan que esta en nuetra ether 5.
en la pestaña action elejimos la opcion mark connection y marcamos la conexion poniendo un nombre , esta regla nos dice que todo paquete antes de entrar(prerouting) al router por la interface ether5 (lan) con protocolo tcp que tengan con destino el puerto 80 y 443 ponle una marca de conexion con nombre ether1_conn
creamos otra regla tomando en cuenta algunas variaciones
un detalle al momento de crear esta regla se esta diciendo que todo los paquetes que ingresen por nuestra red lan sin excepcion todos incluyendo los de winbox seran marcados y enviados por una wan por lo tanto nose se podra acceder desde la red local al mikrotik ni por web ni por winbox
para poder solucionar este problema en Dst Address solo se pone la ip del mikoritk la que es visible desde la red lan selecionando la pestaña que esta al lado izquierdo se marcara un simbolo de admiracion que indica un excepcion que marcara todo excepto lo que baya a esa ip.
aqui hacemos nuestra segunda marca de conexion
Paso 3
Una ves marcadas las conexiones especificando los puertos usamos esas marcas de conexiones para asociaralas a la marca de ruteo esta regla nos dice que todo el trafico saliente que tenga la marca de conexion ether1_conn
se le añanede la marca de ruteo con nombre to_ether1 que es el mismo nombre que esta en el ruteo que se hiso en IP/Routers esto obligara a que salga por el gateway con el que esta asociada la marca de ruteo
Creamos otra regla indicando lo mismo pero con la otra marca de connexion y la otra marca de ruteo
Añadiendo la marca de ruteo
De esta forma nos nos quedarian nuestras politicas de ruteo.
En modo de prueva genere trafico juguando un juego online y podemos notar que la regla con la marca de conexion ether2_conn tiene mayor consumo y la de navegacion web que es la ether1_conn tiene menor consumo porque no se ha abierto muchas paginas webs o videos.
Para comprovar que nuestra configuracion funciona nos dirijimos a IP/Firewall/Connections y podemos ver que todas nuestras conexiones 80 y 4443 usan la liena con marca de conexion ether1_conn y todo lel resto de trafico usa la ether2_conn
/ip firewall mangle
add action=mark-connection chain=prerouting comment="Marcadode Conexiones" dst-port=80,443 in-interface=ether5 new-connection-mark=ether1_conn passthrough=no protocol=tcp
add action=mark-connection chain=prerouting dst-address=!10.10.10.1 in-interface=ether5 new-connection-mark=ether2_conn passthrough=no
add action=mark-routing chain=output comment="Marcado de Salida " connection-mark=ether1_conn new-routing-mark=to_ether1
add action=mark-routing chain=output connection-mark=ether2_conn new-routing-mark=to_ether2
Con esto terminariamos nuesta redireccion de trafico esto se aplica de muchas formas ,esto solo ha sido solo un ejemplo comun de su aplicacion aqui les dejo el script de la configuracion ,editenlo y usenlo a su criterio
scritp
/ip route
add check-gateway=ping comment="Ruteo wan 1" distance=1 gateway=192.168.1.1 \
routing-mark=to_ether1
add check-gateway=ping comment="Ruteo wan 2" distance=1 gateway=192.168.9.1 \
routing-mark=to_ether2
add check-gateway=ping comment="Wan 1" distance=1 gateway=192.168.1.1
add check-gateway=ping comment="Wan 2" distance=2 gateway=192.168.9.1
/ip firewall mangle
add action=mark-connection chain=prerouting comment="Marcadode Conexiones" dst-port=80,443 in-interface=ether5 new-connection-mark=ether1_conn passthrough=no protocol=tcp
add action=mark-connection chain=prerouting dst-address=!10.10.10.1 in-interface=ether5 new-connection-mark=ether2_conn passthrough=no
add action=mark-routing chain=output comment="Marcado de Salida " connection-mark=ether1_conn new-routing-mark=to_ether1
add action=mark-routing chain=output connection-mark=ether2_conn new-routing-mark=to_ether2
Una consulta que tipo de balanceo se usa con esta redirección de trafico?
ResponderEliminarBuenos dias Yeremi , esto no es un balanceo solo es una redireccion de trafico por cada linea wan conocido tambien como un ruteo estatico se usa para eleguir que tipo de trafico sale por cada liena wan.
EliminarBUEN DIA ME AGRADA COMO SE VE ESTA CONFIGURACION PODRAS APOYARME HACIENDO ALGO SIMILAR PERO LA IDEA ES QUE TENGO DOS CLIENTES Y A CADA CLIENTE QUIERO OTORGARLE UNA WAN YA QUE TENGO UN BALANCEO Y DE AHI SALGO CON UN ENLACE PARA PODER ENTREGAR EL SERVICIO PERO QUIERO QUE CADA CLIENTE TRABAJE CON UNA WAN SIN NECESIDAD DE HACER DOS ENLACES YA QUE ESTOY EN UNA ZONA MUY RUIDOSA AGRADEZCO LA ATENCION Y ESPERO SU RESPUESTA
ResponderEliminarBuenos dias disculpe la demora de mi repuesta :( ante tu consulta, a lo que tu te refieres es un balanceo de carga por ip de origen para que una ip o un segmento de ip salga espesificamente por una liena wan, la configuracion en si ya la tienes en este post solo, tienes que editar la opcion de firewall en la reglas de prerouting no poner nada en la seccion de protocol y dst_port elejir la interface de tus clientes en In_interface y en src _adrress poner la ip del cliente o el segmento que quieres que baya por esa linea, la otra regla de preoruting hacer lo mismo con la otra ip del otro cliente o el segmento.
EliminarComo hacer para cuando yo mida, la conexion, aparesca la linea sumada??
ResponderEliminarcorreo: the_ronal01@hotmail.com.
Buenos dias en realidad no existe las sumarizacion de lines , es una palabra mal usada cuando uno hace una medicion de ancho de banda sobre una red balanceada siempre toma un camino mide la linea 1 o la linea 2 no es posible mediar ambas lineas en un solo speed test ya que el balanceo balancea conexiones y cuando haces la medicion la conexion de la medicion toma un solo camino.
EliminarComo hacer, que cuando se haga el SPEEDTEST se valla por la linea con mas megas...???
EliminarTendrias que escanear las ips de los servidores que hacen los spest test en tu zona y ponerlos en un address list y en tu balanceo especificar que esas ips tengan la salida solo hacia una sola wan asi mediaran simpre la wan que tu elijas(la de mayor megas)
EliminarEn mangle, selecciona en mi caso "Conecction Marc: to_ether2?
EliminarEn tu caso seria la marca de conexion relacionada a tu interface donde este conectado fisicamente tu linea wan con mayor capacidad
EliminarEste comentario ha sido eliminado por el autor.
EliminarCon el balanceo NTH puedes lograr eso en mikrotik, al hacer el SpeedTest te saldra la "Suma de ambas lineas"
EliminarHola, como estas? muy bueno el blog!! felicitaciones!! Te queria consultar por una configuracion haber si me ayudas. tengo un mikrotik RB1100AHx2 de 13 puertos, donde arme dos balanceos PCC para dos redes LAN diferentes, funciona todo perfecto, pero como hago para aislar las redes y que solo usen las WAN de su respectivo balanceo, ahora cualquier equipo usa internet de cualquier WAN. quisiera que las compus de la red 10.10.10.1/24 solo usen las WAN del puerto 1 y puerto 2 y las de la red 192.168.88.1/24 solo usen las wan de los puertos 11 y 12 y nunca usen las otras ni se vean las computadoras entre si de cada lan. Te dejo una imagen de como lo arme: https://imgur.com/a/UfIUHkL
ResponderEliminarMuchas gracias por tu ayuda. Saludos
Buenas tardes , Gracias por las felicitaciones y estoy bien entre el trabajo, los estudios y los viajes aveces me queda corto el tiempo para poder responder las preguntas, pero siemrpe respondo y tratare de ser mucho mas activo en el blog , con respecto ha tu pregunta no entiendo bien porque haces eso ya que con un balanceo y agregando todas las redes al bridge podrias tener todos tus clientes balanceados y si en caso quieras excluir ips o segmentos de red del balanceo para redirigirlos por una wan en especifica, este punto ya se toco en el siguiente post " http://rizolatti.blogspot.com/2017/10/balanceo-de-carga-mikrotik-diferentes.html " al final del articulo con nombre "Excluir a clientes del balanceo de carga" donde se detalla el procedimiento, espero haber podido ayudarte saludos.
Eliminarhttps://ibb.co/zG2qySK
ResponderEliminarMuchas gracias por tu aporte me ha sido sumamente util, es justo lo que necesitaba breve y conciso. Hay muchas faltas de ortografia hasta en los comentarios, pero es un blog buenisimo. Gracias
ResponderEliminarGracias por tus comentarios Juanra , me da gusto que este articulo te haya sido util cualquier consulta no dudes en preguntar , y disculpa por las faltas ortograficas que puedas encontrar.
EliminarHola buen aporte, tengo un centro de juegos (Dota2, lol, fortnite ...), mi duda es si puedo hacer esta configuración dentro de la configuración de Balanceo de carga Pcc o es que causare algún conflicto??? o no es necesario el balanceo de cargas para este fin.
ResponderEliminarEl detalle es que hice estas dos configuraciones en mi microtick y estoy teniendo inconvenientes en estos ultimos meses, micro cortes en Dota2 caundo se juega en servidores sudamericanos o estadaso unidos dodne el pin es de 100 a 110, antes no tenia ese problema, la verdad no se que esta pasando.
gracias de ante mano amigo
Buenas tardes, al tener un balanceo de carga estas juntando todo le trafico en conexiones y dividiendo para que cada linea tenga una carga simetrica de trafico , lo que estas experiementando es saturacion porque no hay ninguna prioridad lo que nesecitas en una configuracion de QOS para priorizar trafico de lol,dota,fornite,etc para que no tengas problemas en los ms en el juego, o en todo caso seria bueno que sondees cada linea de internet que tengas y escojer la mas estable y redireccionar juegos por esa wan y lo demas por el balanceo o en caso tengas 2 lineas una linea para juegos y otra para trafico web espero haberte ayudado saludos amigo.
EliminarEn caso de lol si tienes 100 de ms no es tanto el problema ya que actualmente en los servidores de lan y las ha tenido saturacion nose porque, yo juego lol y el ping se eleva ha 100 pero parece de 60 o 50 casi no hay diferencia como si el contador nos diera malas lecturas, en lo que es dota o fornite no te podria decir no juego esos juego , no me queda mucho tiempo .
EliminarEn este caso use un marcado de paquetes para el juego de Fortnite y le di salida por la WAN1 en mi caso, hice lo siguiente..
Eliminar/ip firewall mangle
add action=mark-connection chain=prerouting comment="JUEGO - FORTNITE" \
dst-port=5222,5795-5847,1935,3478-3480,3074 new-connection-mark=\
fortnite_conn passthrough=yes protocol=tcp
add action=mark-routing chain=prerouting comment=\
"Salida por WAN1 - Fortnite TCP" connection-mark=fortnite_conn \
in-interface=bridgeFTTH new-routing-mark=to_wan1 passthrough=no
add action=mark-packet chain=prerouting comment="JUEGO - FORTNITE" \
connection-mark=fortnite_conn new-packet-mark=fortnite-pack passthrough=\
no
add action=mark-connection chain=prerouting comment="JUEGO - FORTNITE UPD" \
dst-port=5222,5795-5847,3074,3478-3479,88,500,3074,3544,4500 \
new-connection-mark=fortnite-connudp passthrough=yes protocol=udp
add action=mark-routing chain=prerouting comment=\
"Salida por WAN1 - Fortnite UDP" connection-mark=\
freefire-connudp in-interface=bridgeFTTH new-routing-mark=to_wan1 \
passthrough=no
add action=mark-packet chain=prerouting comment="JUEGO - FORTNITE UPD" \
connection-mark=fortnite-connudp new-packet-mark=fortnite-packudp \
passthrough=no
Mi lo puse ANTES de la regla de balanceo, pero alli viene mi duda, es correcto colocarlo ANTES de la regas de balanceo o es en otro lugar donde se ponen las marcas de paquetes?
Por cierto felicidades por tu pagina estimado Rizolatti!
Buenas tardes Koala efectivamente primero van las reglas del balanceo y debajo las reglas de tu QoS , es recomendable tener otro router el cual tenga tus reglas para administrar de tus clientes, muchas gracias por apreciar la pagina amigo saludos.
EliminarHola me sirvio mucho tu tutorial Michas gracias
ResponderEliminarqueria consultarte de como Mark Packets aca para poder hacer el respectivo queue Tree
o se puedo crear las reglas de mangle de marcado de paquetes abajo de la anterior configuración para dar prioridad y limitacion
EliminarMuchas Gracias excelente tutorial muy util
ResponderEliminarHice la configuración funciona excelente pero disculpa quisiera preguntarte
Si después de la configuración que hiciste puedo realizar el Mark connection y el Mark packet en mangle de Dota 2, Lol, y demas conecciones
para dar priorizacion y limitar las actualizaciones con Queue Tree
Muchas gracias.
a lo que me refiero es si puedo realizar el QoS abajo de la configuración que hiciste de los distintos puertos de los juegos
ResponderEliminarSi es posible hacer un qos ensima de esta configuracion pero en ocaciones se generan conflictos en las reglas y no funcionan de forma adecuada, comunmente por etica o buenas practicas se requiere un router para el balanceo o redireccion que seria tu router de borde y otro router de administracion donde este tu qos de esa manera funcionaria mucho mejor, se puede hacer lo que tu indicas pero definitivamente no lo recomiendo seria mejor hacerlo en otro router aparte , aunque si ya hicistes la redireccion ya no seria necesario un qos porque esa linea estaria exclusivamente para video juegos, espero haberte ayudado saludos....
EliminarHola muchas gracias por tu respuesta entonces necesito 2 routerboard Mikrotik para que no haya conflictos. mil disculpas una ultima pregunta es que soy un poco principiante en esto, como realizo la coneccion de internet de un mikrotik a otro mikrotik.
Eliminarpor que me interesa mucho realizar el QoS.
nuevamente muchísimas gracias
Buenas tardes , no te preocupes aqui estamos para prender con respecto al tema . si, necesitas 2 mikrotiks ahora la coneccion entre 2 mikrotik comunmente he visto que hacen doble nat un nat en el primer router y otro en el segundo algo que funciona pero no esta correcto lo que se deve hacer es hacer un ruteo estatico entre tus 2 routers para que tengan comunicacion entre ambos router esto se hace en la pestaña ip/route del mikrotik asi descartas otro nat ya que si haces un nat estarias recargando de trabajo al router empaquetando y desempaquetando cada paquete que saliese de tu red
Eliminarhola doc Rizolatti, disculpa porfa podrias dejarme tu numero whatsapp o face y asi hacerles unas consultas pequeñas q me falta xfavor ??
Eliminarescribeme al facebokk de rizo los links estan en la paguina principal del blog
EliminarHola amigo .... hice todo los pasos correpto y me sigue dando ping alto en los juegos ...cuando conecto directo a la wan juegos si tengo buen ping .... me podría mandar algún backup xfa....Saludos y gracias
ResponderEliminarTu problema es Qos, si necesitas soporte este es mi numero +1(829)712-8706 o al corrreo rnsantana1989@gmail.com
EliminarBuenas tardes disculpa la demora antes de hacer un redirecion de trafico por una linea u otra debes testear las lineas y ver cual tiene menor latencia hacia internet o los servidores de los juegos y tener en cuneta que se debe tener un gran ancho de banda sobre esta linea dependiendo la cantidad de usuariso tengas debes hacer las pruebas solo con una pc conectada ahacia la linea que quieres testear, en lo general esto funciona siempre pero si aun asi llegas ha tener problemas mi compañero Santana te podria ayudar con una configuracion de calidad de servicio ya que es lo mas comun en redes congestionadas en proximos articulos se vera como hacer esos tipos de configuraciones que por motivo de tiempo no he logrado terminarlo.
EliminarEspersmos tu tutorial de qos...
EliminarBUENOS DIAS FELICITACIONES MUY BUENO LO QUE COMPARTES, TENGO UNA CONSULTA TENGO UN MK CON DOS WAN, LO QUE PASA ES QUE POR UNA WAN INGRESA SERVICIOS COMO TELEFONIA IP Y LOS TELEFONOS IP NO FUNCIONAN SE CONECTAN Y DESCONECTAN Y NO SE ESCUCHA EN UN EXTREMO COMO PODRIA HACER PARA QUE TODOS LOS PUERTOS DE ESE TELEFONO IP SOLO SE VAYAN POR LA WAN QUE PROVEE EL SERVICIO.
ResponderEliminarMarcar todo lo que entra a esa Wan y luego enrutar por una Wan. escribeme +18297128706 para ayudarte.
EliminarHola rizolatti excelente tus blogs he aprendido mucho de ti. Tengo una consulta actualmente estoy configurando un mikrotik el cual tiene 2 enlaces WAN el principal lo voy a usar para la red corporativa que es una vlan(192.168.10.0/24) y una lan (192.168.0.0/24) además tengo una vlan que es de invitados que es la que va usar la segunda WAN . La vlan corporativa y la vlan invitados los radio por medio de un ap ubiquiti. He hecho el marcado de conexiones para que cada lan salga por su respectivo enlace y funciona pero tengo el problema de que me quedo sin comunicación entre la vlan y la LAN corporativo y necesito que estas se comuniquen quitando las reglas de marcado funcionan perfectamente la comunicación entre dichas redes.
ResponderEliminarQuiero hacer la redireccion a una wan especifica en un router de balanceo, se puede?
ResponderEliminarIP >FIREWALL>MANGLE, SRC ADDRESS (LA IP QUE QUIERES ) Y en ACTION MARKROUTING, y en NEW MARK ROUTING, seleccionas la WAN.
EliminarTengo 2 wan, y he realizado lo que dice "Morosos" para redireccionar un cliente a una wan especifica, luego de unos dias el cliente no tiene internet y hay que cambiarlo a otra WAN para que retome la conexion.
EliminarSi falla la Wan por donde redireccionas, y se queda sin internet obviamente no tendran, creo que con rutas recursivas y distancia se van por la otra Wan.
ResponderEliminarHola, el problema es que la wan sigue funcionando porque otros usuarios la siguen usando.. solo son algunas pc que se quedan sin conexion, y si me voy al firewall y chequeo la pestaña conexiones, las pc "SIN INTERNET" se quedan en estado SYNC SENT y no establecen la conexion. al cambiarlas a la otra wan , vuelven a establecer conexion.
Eliminarenvia.el script del mangle y la ruta
EliminarMira, aca te paso como lo tengo armado...
Eliminaradd action=mark-routing chain=prerouting comment=\
"PC-1 (ESTACION1) SALE POR FIBRA" in-interface=4-LAN \
new-routing-mark=WAN_FIBRA passthrough=yes src-address=140.191.200.77
add action=mark-routing chain=prerouting comment=\
"PC-2 (ESTACION2) SALE POR TELECOM" in-interface=4-LAN \
new-routing-mark=WAN_TELECOM passthrough=yes src-address=\
140.191.200.84
/ip route
add comment="CONEXION POR TELECOM" distance=1 gateway=192.168.50.1 \
routing-mark=WAN_TELECOM
add check-gateway=ping comment="CONEXION POR FIBRA" distance=2 \
gateway=192.168.35.1 routing-mark=WAN_FIBRA