RouterOS: duální WAN rozbije WireGuard

[Martin-2]

Zdravím ve spolek, nově jsem nastavoval duální WAN a podle IP adresy rozdělil klienty pro jejich požadovaného ISP.
Postupoval jsem podle tohoto návodu https://www.youtube.com/watch?v=oRu03tdOrak

Nastavení používám stejné až na to, že jedno je PPPoE a druhé client DHCP pro WAN, porty 3-8 pro bridge.

Duální WAN funguje, klienti odesílají do WAN1 a WAN2 podle přidělené IPv4 adresy jak mají (IPv6 vypnuta dokud to nebude spolehlivě fungovat), všechna zařízení jsou napojena na porty 3-8 (bridge)

Problém je, že v této kombinaci přestanou fungovat všechny wireguardy a skrze winbox se připojím pouze na MAC adresu routeru. Nepodařilo se mi to vyřešit, tak jsem to vrátil zpět a nastavil jsem druhého mikrotika jako router, přepojil kabely kvůli testovaní a obě sítě propojil Wireguardem jako dočasné řešení pro vzdálený přístup (skrze wireguard -> televize nenajdou NAS, Zyxel brána se odmítá připojit, atd. prostě není to spolehlivé na dlouhodobé používání).

Je zde nějaké lepší řešení jak to nastavit nebo tento princip je správný ale je to potřeba dodělat tak aby wireguardy i LAN fungovaly jak předtím?

Cílem jsou dva ISP, klienti komunikuji ze svým ISP podle přidělené IP adresy, Všechna zařízení v LAN mají přistup do ostatních zařízení (NAS, PC, Tiskárny), Fyzicky je jen jeden rozvod kabeláže (jedna síťová infrastruktura)
Bonus: Funkční failover pro LAN zařízení kdyby některá síť vypadnula (pro wireguardy to není potřeba)

V případě že softwarově to bude problematické, napadlo mě jako druhé řešení propojit Mikrotik 2 - podružný (ISP2) s Mikrotikem 1 - Hlavní (ISP1) fyzicky kabelem ale přijde mi, že tímto si zadělávám ještě na horší problém než jeden router který se stará o vše.

Nastavení které fungovalo
Hlavní mikrotik vychází z default config včetně firewallu -> Quick set "Router mode" -> nastavené PPPoE (vlan848), wireguardy, firewally, routes wireguardů, vše nastavené pro běžný provoz s jedním ISP == + ==> Nastavení pro druhého ISP -> Z bridge odstraněný port 2 -> port 2 dán do interface list - WAN -> nastaveny informace z přiloženého videa -> Funkční WAN1 i WAN2 klienti jedou podle nastavené IP adresy -> Wireguardy nefungují, nelze se připojit na IP brány (pouze na MAC) -> zde jsem již nevěděl jak postupovat.

Nějaké návrhy ?

[Reklama]

[M_D]

No, to video je pro ROS6, v ROS7 pár věcí funguje jinak. V tom videu vše cpou do routing mark GroupA nebo GroupB podle zdrojové IP adresy, ale správně i potřebuješ odlišit provoz, který má končit lokálně (a ne se násilím cpát ven přes WANA/B). Ten nesmím nacpat do GroupA/B, ale nechat na main routovací tabulce (nebo do GroupA/B routing tabulek zdupliovat i přímé lokální routy).
Možná by stačilo jako první pravidlo do toho mangle:
/ip firewall mangle
add action=accept chain=prerouting dst-address=192.168.0.0/16
a teprve po něm to markování na GrpupA/B
To 192.168.0.0/16 je předpokládáný tvůj lokální rozsah, kde máš router, tiskárny, segment WG atd. Takže spojení k těmto IP se neomarkuje a bude routováno dle main routovací tabulky.

[Martin-2]

Zkoušel jsem přidat další mangle jak jste uvedl ale bez úspěchu. Začínám si myslet, že ten quickset udělá něco co posléze zlobí.

Po dalším pátrání jsem dohledal návod o PPC load balancing od steve tak to zkusím podle něj od úplného začátku bez default configu a quicksetu.