Настройка pppoe mikrotik ростелеком

Обновлено: 05.07.2024

Роутер от Ростелекома Mikrotik RB2011 – это многофункциональное устройство, которое работает на специальной операционной системе RouterOS. Основным предназначением такого оборудования являет маршрутизация посредством Ethernet портов и Wi-Fi модуля. Модель оптимально подойдет для подключения к интернету офисов и интернет-кафе, где необходима стабильная и высокоскоростная связь.

Роутер Mikrotik RB2011 от Ростелекома

Роутер Микротик RB2011 помимо основных задач по созданию сети и установки стабильного подключения к интернету также поддерживает такую мультимедийную опцию, как IPTV, доступное для пользователей Ростелекома. Модель позиционирует как недорогое профессиональное решение для дома, офиса или любого заведения, где необходима высокая надежность и скорость работы соединения. Маршрутизатор Mikrotik RB2011 оснащен производительным процессором Atheros с частотой работы 600 MHz и 128мб встроенной оперативной памяти. Такое сочетание позволяет с легкостью справляться со всеми поставленными задачами.

Что расположено на корпусе устройства?

Передняя панель имеет 10 Ethernet портов для создания проводной сети и подключения компьютеров к интернету. Половина из них поддерживают скорость передачи данных до 1000 Мбит/с, остальные же имеют стандартные для сетевого оборудования характеристики – 100 Мбит/с. Наличие оптического SFP порта позволяет подключить высокоскоростной интернет от провайдера. Помимо классического варианта установки соединения тут предусмотрен разъем microUSB, который рассчитан для подключения 3G модема. Этот порт может быть использован и для считывания информации с внешних накопителей.

Помимо наличия светодиодных индикаторов, оповещающих о работе Ethernet-портов, Microtic имеет встроенный черно-белый ЖК дисплей, находящийся на верхней плоскости устройства. На нем выводится системная информация о работе оборудования.

Смотрите цифровое телевидение по Wi-Fi! Узнайте, как настроить ТВ приставку от Ростелекома через домашний роутер.
О том, как подключить маршрутизатор Keenetic DSL к интернету от провайдера можно прочитать здесь.

На задней панели находится разъем для подключения питания и COM-порт формата RJ-45. Последний используется для сервисного обслуживания устройства, а именно прошивки и ее восстановления на роутере.

Корпус устройства изготовлен из прочного метала, что отлично сказывается на его износостойкости и теплообмене. Последнее является немаловажным фактором для высокопроизводительных комплектующих, используемых в роутере.

Внимание! Интересной особенностью также является наличие двух способов подключения питания. Первый, классический, осуществляется при помощи обычного разъема для 12 В блока. Второй же позволит выполнить подключение питания используя, сетевой порт под номер 10.

Разъем поддерживает технологию PoE. Ее единственным минусом является необходимость в приобретении специального преобразователя, который отсутствует в стандартной комплектации. Технология PoE позволяет передавать пакеты данных и питание одновременно. Основными плюсами такого варианта является отказ от централизованного источника и большая надежность устройств, обусловленная отсутствием перепадов напряжения в сети.

Операционная система

Главным преимуществом модели в сравнении с другим оборудованием является наличие операционной системы RouterOS Level5. Такое ПО позволит настроить не только все основные опции Mikrotik RB2011 для Ростелекома, но также предоставит профессиональные серверные инструменты для ограничения скорости пользователей, фильтрации и защиты подключений, динамической маршрутизации и создания виртуальных частных сетей (VPN).

RouterOS Level5 – это высокопроизводительная операционная система с широким функционалом, который станет настоящей находкой для сетевого администратора. Лицензия на использование этого ПО уже включена в оборудование и имеет привязку к устройству хранения данных.

Доступ к параметрам программного обеспечения возможен несколькими методами. Первый представляет собой классический для роутеров вариант – веб-интерфейс. Остальные предлагают осуществить настройку при помощи утилит Winbox, Telnet или SSH.

Подключение и настройка Mikrotik RB2011 от Ростелекома

Перед настройкой оборудования необходимо выполнить правильное подсоединение кабелей и установку устройства.

Внимание! Роутер поддерживает настенное крепление, для которого понадобится два шурупа. Такой вариант установки позволит сэкономить место на рабочих поверхностях и обеспечить оптимальный теплообмен.

Mikrotik RB2011 поддерживает массу опций и возможных типов подключений, среди которых, конечно же, присутствует и один из популярнейших вариантов от Ростелекома PPPoE. В зависимости от типа соединения, предоставляемого провайдером, необходимо выполнить подключение маршрутизатора к интернету. Существует три варианта доступа. Первый предлагает максимальную скорость и качество. Соединение с провайдером в этом случае выполняется при помощи оптоволоконного разъема на передней панели. Второй обеспечивает подключение посредством кабеля RJ45, подведенного телекоммуникационным оператором.

Его скоростные характеристики могут отличаться в зависимости от того какую основную линию использует соединение (телефонную и оптоволоконную). Третий же представляет собой некий портативный вариант в виде 3G модема, подключаемого в USB-разъем. Этот способ станет отличным решением при необходимости подключения оборудования в загородных условиях, где отсутствуют проводные сети.

Выбрав подходящий для себя тип соединения, воспользуемся им и подключим питание, а также сетевой кабель Ethernet от компьютера.

Настройка PPPoE подключения на Mikrotik от Ростелекома

В случае необходимости настройки на роутере компании Mikrotik PPPoE client соединения от Ростелекома самым простым и быстрым вариантом станет использование программы Winbox. Приложение для настройки оборудования можно бесплатно скачать на сайте производителя, где также доступны к загрузке и все новейшие версии прошивок.

Открыв программу, перед нами появится окно, в которое будет необходимо ввести MAC-адрес маршрутизатора, логин и пароль пользователя. MAC-адрес можно узнать на наклейке на роутере или коробке от устройства. Логин по умолчанию имеет значение admin, пароль – отсутствует. Во вкладке «IP» в левой колонке можно будет сразу же узнать сетевые адреса оборудования и изменить их значения. Смена пароля и логина производится в меню «System».

Выполнив небольшую предварительную персонализацию, можно будет приступить к настройке параметров PPPoE подключения от Ростелекома в прошивке Mikrotik. Для этого понадобится перейти в меню «Interfaces» и добавить необходимый интерфейс. В процессе его создания нужно внести имя и пароль пользователя, указанные в контракте с Ростелекомом.

Не спешите закрывать приложение, так как нам еще предстоит активировать раздачу интернета по Wi-Fi. Тут также необходимо создать профиль, что можно сделать на вкладке «Wireless».

Внимание! Для объединения беспроводных устройств и компьютеров, подключенных по Ethernet кабелям, в общую локальную сеть понадобится создать мост на вкладке «Bridge». Здесь нужно добавить интерфейсы проводного и беспроводного подключения, привязав их к одной общей сети.

Дополнительные подтверждения параметров в программе Winbox не понадобятся, так что после завершения настройки можно будет просто закрыть программу.

Настройка параметров на таком профессиональном оборудовании, как роутер Mikrotik RB2011 – не простое занятие. В отличие от упрощенных вариантов домашних роутеров, где система сама выполняет активацию необходимых опций при первом включении, требуя лишь небольшого участие пользователя в виде ввода паролей и выбора подходящего пункта из списка, в RouterOS все интерфейсы требуют полного ручного редактирования.

2. Переходим во вкладку interface и добавляем PPPoe Client.

3. Выполняем настройку MTU/MRU и в окне interface выбираем наш порт, в который подключен провод от провайдера.

4. Переходим в окно Dial Out и вводим данные с карточки которую выдал нам провайдер: User и Password, убираем галочку с Dial On Demand, далее где написано Allow ставим все галочки, нажимаем Apply. И после всех настроек внизу должны увидеть Status: connected.

5. Для того чтобы пошел интернет нужно выполнить настройки Firewall. Переходим: Ip-Firewall и добавляем правило (+) в Chain ставим input, а в In. Interface выбираем наше созданное подключение PPPoe

6. Переходи во вкладку Action и ставим действие drop. Нажимем Apply.

7. В окне Firewall переходи в NAT нажимаем (+) и вносим следующее правило:

8. Переходим в Action и выбираем Masquerade. Нажимаем Apply.

Интернет в MikroTik уже появился, для автоматической раздачи Ip нужно настроить DHCP Server. Либо можете прописать статику в настройках сети ПК из подсети Вашего роутера.

И самая большая проблема таких устройств – они лежат на полках компьютерных магазинов наравне с простыми домашними устройствами «для чайников». Итого возникает интересная ситуация: разбирающиеся люди хвалят их, а вот неразбирающиеся сталкиваются с проблемами при простой настройке под своего провайдера. Наш портал в первую очередь рассчитан на простых читателей, далеких от мира технологий или просто интересующихся ими. Поэтому здесь мне хотелось показать традиционную настройку роутеров MikroTik под Ростелеком (подключение интернета PPPoE + IPTV). Будет немного не просто, но все получится!

Если есть какие-то вопросы – добро пожаловать в комментарии. Там же можно поделиться своим опытом.

Что мы будем делать?

Зарезюмирую, что стоит ждать в этой статье:

Наш роутер – любой MikroTik. Так как его операционная система RouterOS универсальна для всех устройств, эта инструкция должна подойти аналогично для любого роутера MikroTik.
Настройки проводятся на примере провайдера Ростелеком (в настоящий момент лично являюсь их клиентом).
Подключим интернет.
Раздадим Wi-Fi.
Подключим IPTV приставку, которая должна получать свои данные напрямую от провайдера, без участия роутера (речь идет именно об IPTV приставке, если вы смотрите IPTV через приложение на телевизоре SmartTV – ничего делать не нужно, главное получить интернет).

Подключение

Так как эта инструкция общая, то и способы подключения могут отличаться. Поэтому разбираем самый общий вариант:

Провод интернета подключаем в порт Internet – обычно они один и выделен.
Настройку делаем через компьютер или ноутбук по проводу – подключаем его в любой порт LAN.
IPTV приставку (при ее наличии) подключаем в любой понравившийся вам порт LAN, как и компьютер. Обычно их подключают в последний порт, например, 4-й. Рекомендую запомнить этот номер, он нам еще пригодится.
Не забываем подключить питание, убеждаемся в появлении жизни по горящим лампочкам.

Очень надеюсь, что вы подключились именно так, тогда никак проблем не будет.

Начнем с самого простого. Для входа в настройки MikroTik можно использовать привычный многим web-интерфейс или программу WinBox. Первый случай проще, второй включает в себя больше настроек. Мы воспользуемся и первым, и вторым, но начнем с простого.

На этом этапе ваш роутер должен быть «чистым», т.е. ранее никем не настраивавшимся. В противном случае рекомендую сделать сброс на заводские настройки.

Переходим по следующему адресу:

Это стандартный адрес входа для роутеров MikroTik. При первичном подключении вам должен сразу открыться мастер настройки. При вторичном подключении после задания пароля, может вылезти вот такое окно:

Если вдруг вы не знаете их, лучше сделать сброс настроек (в крайнем случае посмотрите на наклейку на дне роутера – а вдруг там написан пароль).

Настройка Wi-Fi

Идем по простому пути, настраиваем Wi-Fi через мастер быстрой настройки. После первого пункта у вас должно открыться вот такое окно:

Это настройки Wi-Fi сетей. В моем случае на борту имеется две сети – 2.4 ГГц и 5 ГГц. И настройки для них вынесены раздельно:

Network Name – Как будет отображаться сеть при поиске устройств, пишем латиницей.
WiFi Password – раскрываем этот список и задаем пароль для сети.

В самом общем случае этого более чем достаточно.

Настройка интернета – PPPoE

Теперь переходим к интернету. Ростелеком для подключения к интернету использует технологию PPPoE. Для подключения понадобятся логин и пароль из договора с провайдером. Если вдруг потеряли их – смело звоните к ним на службу поддержки. Без них интернет не появится.

Все в том же окне смотрим вот сюда:

Отмечаем переключатель в положение PPPoE.
PPPoE User – имя пользователя, логин из договора.
PPPoE Password – пароль из договора.

Перед сохранением рекомендую сделать еще одну штуку.

Защищаем роутер паролем

Помните же, что мы зашли на роутер без пароля? Вот чтобы никто другой не мог сделать так же, рекомендуется поставить на этой же странице быстрой настройки свой пароль:

В самом низу справа два раза вводим один и тот же пароль (его придется вводить при входе в настройки роутера), а уже после сохраняем настройки (кнопка Apply Configuration).

На этом этапе на роутере должны появиться интернет и Wi-Fi. Самое время заняться IPTV-приставкой.

Настройка IPTV с приставкой

В чем главная особенность подключения IPTV приставки?

Все подключенные устройства обычно берут интернет от роутера, у которого этот интернет уже есть.
IPTV-приставке же интернет не нужен вообще. Напротив, нужно сделать так, чтобы она в обход роутера по линии пыталась сама авторизоваться у провайдера (поэтому к ней и идут отдельные логин-пароль, которые вписываются в саму приставку).

Т.е. вся задача сводится к тому, чтобы отделить один порт с приставкой и пустить его логически (не физически) в обход роутера. Вот этим и займемся. На простых домашних роутерах это все делается методом установки какой-нибудь одной галочки, здесь же придется подзаморочиться. Поэтому и писал ранее, что эти машинки работают классно для многих задач, но вот нужно немного подумать.

Скачиваем с официального сайта MikroTik программу WinBox. Все детальные настройки лучше делать как раз здесь. В окне подключения вводим уже знакомые нам IP-адрес и заданные логин (admin) и пароль. Жмем Connect и подключаемся к роутеру.

Определяем для себя, к какому порту подключили приставку. На МикроТиках есть особенность, что нумерация начинается с WAN порта. Т.е. если вы подключились к последнему 4-му порту, по факту скорее всего это будет 5 порт. Переходим по меню:

Удаляем отсюда наш порт (по факту мы выкидываем его из общего моста bridge между всеми портами, чтобы потом его выделить на отдельную независимую линию). Удаление происходит по нажатию значка «минуса». Создаем новый мост:

Вот сюда мы и будем подсаживать наш порт. Задача: нужно добавить в созданные bridge-iptv два порта – первый (WAN, наш кабель провайдера) и пятый (в который воткнули приставку). Делаем вот так:

Теперь у нас нам мосту bridge-iptv должно быть два порта – WAN и приставка. Теперь можно перезагрузить роутер:

После перезагрузки делаем следующее действие:

Interfaces – Interfaces – Щелкаем два раза по красной линии pppoe-out1 – General – Interfaces (выбираем наш bridge-iptv) – Ok

После этого приставка должна заработать.

Видео по теме простой настройки

С помощью IGMP Proxy

Чуть более современный вариант, подходящий и для других устройств (не приставки). Именно так роутеры известных брендов обычно и создают подключение при установки простой «галочки». Так как мы уже наверняка хорошо познакомились с оболочкой роутера, предлагаю ускориться.

Идем на сайт MikroTik и качаем дополнительные пакеты под свою версию:

Скачивается архив. Внутри будет файл с именем «multicast». Перетягиваем его прямо в окошко WinBox – должен начать устанавливаться этот пакет.

Перезагружаем роутер. Заходим в System – Packages и лишний раз убеждаемся, что пакет успешно доставился:

Добавляем новое правило (знак плюсика). Заполняем примерно вот так. Пояснения: Interface – порт с интернетом (кабель провайдера), Upstream – ставим галку, Alternatice Subnets – в самом общем случае выставляем нули.

В том же окне создаем уже downstream. В Interface – all, а галочки Upstream выключаем.

Самое важное сделали. Теперь нужно разрешить трафик в файрволле:

Нам здесь нужно добавить правила. Добавляем через плюсик. Chain – forward. Protocol – udp. In. Interface – ether Дополнительно убедитесь, что на вкладке Action стоит Accept.

Аналогично добавляем второе правило. Chain – forward. Protocol – igmp. Interface – ether1. Action – accept.
Эти два новосозданных правила в списке Firewall перемещаем в списке выше запрещающих правил:

Теперь очистим Wi-Fi от участи трансляции multicast трафика. Идем сюда:

Bridge – Filters – Плюсик
Вкладка General: Chain – output. Out. Interface – wlan1
Вкладка Advanced: Packet Type – multicast
Вкладка Action: Action – drop

Все должно заработать.

И даже так, это очень спорная тема. Поэтому вопросы IGMP Snooping и UDP Proxy предлагаю вынести за пределы этой площадки – здесь упор сделан прежде всего на простого пользователя, который «пострадал» совершенно случайно, доверившись профессионалам.

Видео по теме IGMP Proxy

Про сброс настроек на заводские

Если что-то пошло не так, всегда можно сбросить роутер на заводские настройки. Но на роутерах MikroTik это отдельная история. Поэтому:

Это может быть интересно

У нас на сайте много статей по теме MikroTik, поэтому оставлю несколько полезных инструкций:

RouterOS — сетевая операционная система на базе Linux. RouterOS предназначена для установки на маршрутизаторы MikroTik RouterBoard. Также данная система может быть установлена на ПК, превращая его в маршрутизатор с функциями брандмауэра, VPN-сервера/клиента, QoS, точки доступа и другими. Система также может служить в качестве Captive-портала на основе системы беспроводного доступа.

WinBox Настройка WAN Настройка LAN Настройка DHCP Настройка WiFi Сброс настроек Настройка Интернет+IPTV

Скачайте: WinBOX и запустите. Разрешите доступ через файрвол если запрашивает приложение.

Двойным щелчком мыши переносим MAC адрес роутера в поле Connect To, после нажимаем на кнопку Connect.

Имя пользователя: admin

Пароль: (оставляем пустым)

Запускается интерфейс RouterOS Mikro Tik

ВАЖНО! Если в приложение WinBOX не отображается Mikro Tik проверяем настройки сетевого подключения на компьютере, отключаем посторонние сетевые устройства, оставляем только сетевое подключение с роутером. Подключение будет производиться с роутером на уровне L2 (без IP адресации)

Повторяем процесс подключения.

Установка подключения через PPPoE

Для начало создаем PPPoE клиент.

Выбираем: Interface -> PPPoE Client (Interface указываем Ethernet порт роутера в качестве WAN, рекомендуется Eth-1). Нажимаем OK.

Открываем вкладку Dial Out

Заполняем имя пользователя / пароль PPPoE подключения, устанавливаем галочку маршрут по умолчанию, после нажатия кнопки Apply будет производиться установка подключения

PPPoE. После успешного подключения нажимаем OK.

Созданный интерфейс PPPoE выглядит следующим образом.

Обратите внимание, после успешного подключения доступ в Интернет будет ограничен, это нормально.

Далее, настраиваем Firewall и службу NAT

Выбираем IP -> Firewall (вкладка NAT) нажимаем +

Out Interface выбираем созданный сервис PPPoE

Переходим на вкладку Action

Выбираем режим работы NAT Action: masquerade нажимаем OK

Правило работы NAT выглядит следующим образом

Настройка PPPoE завершено.

ВАЖНО! По умолчанию с заводскими настройками роутер работает на уровне L2, подключиться к роутеру возможно только через WinBox

Создаем правила работы для LAN Интерфейса

Выбираем: Bridge -> (нажимаем +) -> Задаем имя интерфейса (Нажимаем Apply)

Переходим на вкладку STP

ВАЖНО! Отключаем работу протокола STP для предотвращение попадание на порт коммутатора BPDU пакетов. Если оставить включенным при попадании BPDU пакетов на порту коммутатора STP провайдера автоматический переведет порт коммутатора Admin DOWN. Нажимаем Apply после OK.

Созданное правило выглядит следующим способом.

Переходим на вкладку Ports

Добавляем порты которые должны работать как LAN

Добавленные порты выглядят следующим образом

Теперь назначаем роутеру IP адрес (для примера использовано сеть 10.24.0.0/24) вы можете использовать свою сеть

Выбираем IP -> Addresses -> (Нажимаем +)

Address: Назначаем IP адрес роутеру, через дробь указываем разрядность Маки подсети (например 24 бит = 255.255.255.0)

Network: Назначаем адрес сети

Interface: Выбираем созданный интерфейс для сети LAN

Нажимаем OK чтобы сохранить.

Созданный сетевой интерфейс выглядит следующим образом

Обратите внимание: Присутствует 2 адресных листа.

Далее, настраиваем работу DHCP для динамического назначения IP адресов хостам через LAN интерфейс.

Создаем диапазон IP адресов для работы DHCP

Выбираем: IP -> IP Pool -> (Нажимаем +)

Name: Имя списка

Addresses: Указываем диапазон IP адресации, нажимаем OK.

Список выглядит следующим образом

Создаем DHCP Server (Рекомендуемый способ)

Выбираем: IP -> DHCP Server -> (Нажимаем +)

Name: Указываем имя службы

Interface: Выбираем группу LAN

Address Pool: Выбираем группу IP адресов. Нажимаем OK.

Создаем конфигурацию, для работы DHCP сервера. Нажимаем OK.

Конфигурация выглядит следующим способом.

Служба DHCP сразу назначит IP адрес после добавления, увидеть подключенные устройства возможно на вкладке: Leases

Настройка DHCP завершена.

Выбираем созданный LAN Интерфейс, нажимаем Next.

Подсеть LAN интерфейса отобразится автоматический, нажимаем Next

Адрес Шлюза (IP адрес роутера) отобразится автоматический, нажимаем Next.

Указываем количество раздаваемых адресов через DHCP Server

ВАЖНО! В диапазоне адресов DHCP нельзя указывать IP адрес Шлюза. Диапазон адресации указывается через тире. Нажимаем Next.

Вводим адреса DNS серверов. Если требуется добавить несколько адресов добавляем стрелкой вниз. Нажимаем Next.

Время жизни IP адреса оставляем по умолчанию, Нажимаем Next

Созданный DHCP Server выглядит следующим образом. Нажимаем OK.

Служба запущено и готово к работе.

По умолчанию WiFi отключен на роутере, включаем нажатием галочки

Созданный интерфейс выглядит так

Добавляем безопасность в подключение

Нажимаем Advanced Mode

ВАЖНО! После сброса настроек роутера доступ на уровне L3 будет ограничен, доступ к настройкам возможно только на уровне L2 через приложение WinBOX

Для Сброса настроек выбираем System -> Reset Configuration

Сброс настроек занимает около 2х минут после которого следует произвести повторное подключение с роутером через WinBox.

ВАЖНО! После сброса настроек, конфигурация с роутера будет удалена, Web Интерфейс будет недоступен, подключиться возможно только через WinBox

ВНИМАНИЕ. После настройки модема рекомендуется сменить стандартный логин / пароль доступа на web интерфейс.

Статья третья. Подключаем в качестве второго провайдера Ростелеком на 4-м порту. Каждый клиент из LAN будет выходить в интернет через одного из провайдеров. Внимание! Настройку необходимо производить подключившись к LAN роутера, так как шаги, описанные в этой статье, могут привести к потере связи с роутером извне!

Во второй статье мы подключились к Дом.ру на пятом порту, к Ростелекому будем подключаться на четвертом. Четвертый порт у нас в составе bridge1, а потому его надо оттуда предварительно удалить.
Открывам "Bridge", вкладка "Ports", где из списка удаляем "ether4".

- "PPP" -> "Interface" -> "Add New" -> "PPoE Client".

Interfaces = "ether4". Задаем User и Password.

Ждем, когда статус сменится на "connected".

Готово! Мы подключились к провайдеру!

В настройках каждого провайдера необходимо снять флажок "Add Default Route".
Но помните, если вы планируете использовать DNS сервер роутера, а также проверять с него обновления, то маршрут по умолчанию необходим, нужно оставить галочку на предпочтительном провайдере, а в значение параметра "Default Route Distance" записать 2.

- "IP" -> "Firewall" -> Вкладка "NAT" -> "Add New".

- Chain = srcnat
- Out.Interface = pppoe-out2
- Action = masquerade

Итого, у нас в списке должно быть два правила, для Дом.ру и Ростелекома.

После настройки для Дом.ру у нас есть только белый список, где записаны ip-адреса тех устройств, которым можно в интернет. Теперь же мы сделаем два списка, где будут разрешенные ip для каждого из провайдеров. Один и тот же IP должен быть только в одном списке. Также, нам необходим список "LAN", где будет записана локальная подсеть.

- "IP" -> "Firewall" -> Вкладка "Address Lists" -> "Add New".

Делаем список с локальной подсетью.
- Enabled = ON
- Name = LAN
- Address = 192.168.25.0/24 "Routes" -> "Add New".

Для того, чтобы правильно маршрутизировать пакеты в первого или второго провайдера, мы будем использовать маркировку пакетов на основе списков адресов, которые мы создали на предыдущем этапе, а также маркировку соединений.

- "IP" -> "Firewall" -> Вкладка "Mangle" -> "Add New".

Mangle правило номер 0

- Comment = LAN to ISP-DOMRU
- Enabled = ON
- Chain = prerouting
- Src.Address List = LAN-TO-DOMRU
- Dst.Address List = ! LAN
- Action = mark routing
- New Routing Mark = ISP-DOMRU

Как работает: если устройство с ip из списка LAN-TO-DOMRU обращается не к ip из списка LAN (т.е., ломится в интернет), то маркируем этот пакет для отправки через маршрут для провайдера Дом.ру

Mangle правило номер 1

- Comment = LAN to ISP-RT
- Enabled = ON
- Chain = prerouting
- Src.Address List = LAN-TO-RT
- Dst.Address List = ! LAN
- Action = mark routing
- New Routing Mark = ISP-RT

Как работает: если устройство с ip из списка LAN-TO-RT обращается не к ip из списка LAN (об этом говорит включенный перед LAN восклицательный знак), то маркируем этот пакет для отправки через маршрут для провайдера Ростелеком.

Следующие четыре правила нужны, если вы хотите гарантированно достучаться снаружи до админки своего роутера, и предназначены, чтобы пакеты, пришедшие от каждого провайдера, отправлялись ему же. У меня они отключены и хакеров ожидает своего рода лотерея.

Mangle правило номер 2

- Comment = input from ISP-DOMRU
- Enabled = ON
- Chain = input
- In. Interface = pppoe-out1
- Action = mark connection
- New Connection Mark = FROM-ISP-DOMRU

Как работает: если есть входящий пакет от провайдера Дом.ру, то маркируем соединение как "FROM-ISP-DOMRU".

Mangle правило номер 3

- Comment = to ISP-DOMRU
- Enabled = ON
- Chain = output
- Connection Mark = FROM-ISP-DOMRU
- Action = mark routing
- New Routing Mark = ISP-DOMRU

Как работает: все исходящие соединения, промаркированные как "FROM-ISP-DOMRU", отправляем по маршруту с меткой "ISP-DOMRU".

Mangle правило номер 4

- Comment = input from ISP-RT
- Enabled = ON
- Chain = input
- In.Interface = pppoe-out2
- Action = mark connection
- New Connection Mark = FROM-ISP-RT

Как работает: если есть входящий пакет от провайдера Ростелеком, то маркируем соединение как "FROM-ISP-RT".

Mangle правило номер 5

- Comment = to ISP-RT
- Enabled = ON
- Chain = output
- Connection Mark = FROM-ISP-RT
- Action = mark routing
- New Routing Mark = ISP-RT

Как работает: все исходящие соединения, промаркированные как "FROM-ISP-RT", отправляем по маршруту с меткой "ISP-RT".

Брандмауер. Настройки отличаются от настроек на одного провайдера.

1, 2 - правила, запрещающие "неправильные" пакеты:
- Chain = input
- Connection State = invalid
- Action = drop
----------
- Chain = forward
- Connection State = invalid
- Action = drop

3 - правило, разрешающее локальные интерфейсы:
- Chain = Input
- In.Interface = bridge1
- Action = accept

4 - правило, разрешающее IP-адресам из списка LAN-TO-DOMRU, выходить в интернет через провайдера Дом.ру:
- Chain = forward
- In.Interface = brudge1
- Src.Address List = LAN-TO-DOMRU
- Action = accept

5 - правило, разрешающее IP-адресам из списка LAN-TO-RT, выходить в интернет через провайдера Ростелеком:
- Chain = forward
- In.Interface = brudge1
- Src.Address List = LAN-TO-RT
- Action = accept

6, 7 - правила для ICMP-пакетов (у меня они заблокированы, но если вам надо делать трассировку до роутера или ping, то их нужно разрешить):
- Chain = input
- Protocol = 1 (icmp)
- Action = accept
------
- Chain = forward
- Protocol = 1 (icmp)
- Action = accept

8, 9 - правила блокирующие входящие пакеты провайдера Дом.ру:
- Chain = input
- In.Interface = ppoe-out1
- Action = drop
------
- Chain = input
- In.Interface = ether5
- Action = reject
- Reject With = icmp network unreachable

10, 11 - правила блокирующие входящие пакеты провайдера Ростелеком:
- Chain = input
- In.Interface = ppoe-out2
- Action = drop
------
- Chain = input
- In.Interface = ether4
- Action = reject
- Reject With = icmp network unreachable

12, 13 - разрешаем все установленные соединения:
- Chain = input
- Connection state = established, related
- Action = accept

15 - запрещаем все остальное
- Chain = forward
- Action = drop

Вы спросите - как после 13 правила идет сразу 15 и я вам отвечу - это фотошоп. У меня были добавлены другие правила, для проброса портов снаружи, к этой статье они не относятся и я их удалил.

Читайте также: