标签: routeros

RouterOS 文档展示了如何通过 RouterOS 内置的 HTTP 代理透明地代理所有 Web 流量：

/ip firewall nat 
add in-interface=ether1 dst-port=80 protocol=tcp action=redirect to-ports=8080 chain=dstnat 
/ip proxy
set enabled=yes port=8080

我想在另一台机器上运行代理，以便我可以利用 Squid 等中提供的更复杂的过滤规则。但是，如果我使用 NAT 将流量重定向到另一台运行 Squid 的计算机，它将不起作用，因为需要重写 HTTP 请求才能成为代理 HTTP 请求；仅重定向流量就会从 Squid 中产生错误的请求错误。

我有一个 MikroTik RouterOS 6.23 设备，我的网络如下：

Router
  |
  |-- bridge1_LAN (wlan1 + ether1) (192.168.0.210) -- LAN (192.168.0.0/24)
  |   Here is where computers are. Those include some servers and some users.
  |   Users should be able to navigate always, and servers should
  |   be reachable online always.
  |
  |-- ether2_ADSL (192.168.2.2) -- ADSL router (192.168.2.1) -- WAN
  |   Users should navigate through here because there is no traffic limit.
  |   Incoming traffic should work exactly as with ether3_3G, as a temporary
  | …

我在和接口上有 2 个静态地址（a.b.c.72/24和a.b.c.128/24）。ISP 有一个网关 。我只能在 上使用，只能在 上使用。gateway1gateway2a.b.c.1a.b.c.72gateway1a.b.c.128gateway2

如何让 abc128 工作？我想通过第二个接口路由一些本地机器。我知道一些通过 mikrotik 中不同网关进行路由的方法。在 linux 中，我可以指定dev参数进行路由。

我添加了路由表和规则，但它仍然通过 gateway2 路由。

 /ip dhcp-client print
Flags: X - disabled, I - invalid 
 #   INTERFACE           USE ADD-DEFAULT-ROUTE STATUS        ADDRESS           
 0   gateway1            yes no                bound         X.Y.164.72/24  
 1   gateway2            yes no                bound         X.Y.164.128/24 



/ip route
add distance=51 gateway=X.Y.164.1 pref-src=X.Y.164.128 routing-mark=gate2
add distance=1 dst-address=X.Y.164.0/24 gateway=gateway2 pref-src=X.Y.164.128 routing-mark=gate2
add distance=52 gateway=X.Y.164.1 pref-src=X.Y.164.72 routing-mark=gate1
add distance=1 dst-address=X.Y.164.0/24 gateway=gateway1 …

我想达到的目标

我想将现有的内部子网安全地分布在多个建筑物上。这意味着我有两个位置的虚拟机需要位于同一子网中。这个想法是虚拟机（具有静态 IP）可以从一个位置迁移到另一个位置。

（物理）主机连接到每个位置的交换机。所以，如果没有任何安全或成本问题，我只需用网线连接两个交换机：

[机器]---[交换机A]<----长电缆--->[交换机B]---[机器]

我想要的是使用两个不需要关心 IP 地址或路由的网关将这条长电缆替换为加密隧道，只需将任何传入数据包加密并通过加密隧道将它们发送到另一个网关。另一个网关然后解密数据包并将它们发送到远程交换机。这在物理上看起来像这样：

[机器]---[交换机A]---[网关A] <-- 互联网--> [网关B]--[交换机B]---[机器]

我想避免网关需要子网内的任何 IP 地址。规则应完全基于端口：

• 端口 1 的传入数据：通过隧道接口路由
• 隧道接口处的传入数据：通过端口 1路由