Безперебійний інтернет і два провайдери на MikroTik: Автоматичний Failover та симетричний Mangle
Усім привіт! Як IT-фахівець, я регулярно стикаюся з ситуаціями, коли мережа підприємства чи офісного центру має працювати 24/7 без жодних виправдань.
Звісно, розгортати та налаштовувати MikroTik — це завжди муки, головний біль і старання. Я й сам ніколи не сперечаюся і відверто кажу: MikroTik — це дійсно складно, а його налаштування нерідко перетворюється на справжній квест із безліччю підводних каменів. Тут немає красивих великих кнопок «Зробити добре в один клік», а будь-яка помилка в синтаксисі чи логіці манглів може геть відрізати вас від роутера.
Але повірте моєму досвіду: воно того варте! Один раз правильно зібрана, вистраждана та загартована конфігурація RouterOS за 100–150$ здатна замінити вам цілий громіздкий сервер, купу додаткового заліза та навіть цілий штат IT-персоналу для щоденного підтримання мережі. Вона працює роками як швейцарський годинник, переживає будь-які збої й витримує навантаження, на яких звичайні домашні роутери просто «вмирають».
Сьогодні розберемо фундаментальну задачу: як правильно об’єднати двох інтернет-провайдерів, налаштувати автоматичне перемикання при аваріях і при цьому не втратити віддалений доступ до серверів та камер.
📊 Схема маршрутизації Dual WAN
Провайдер 1 (ISP1)
Основний • Distance = 1
Провайдер 2 (ISP2)
Резервний • Distance = 2
Маршрутизатор MikroTik RouterOS
Mangle (Connection/Routing)
Логіка роботи: Роутер постійно перевіряє доступність ISP1. Якщо інтернет зникає, трафік перемикається на ISP2. Правила Mangle гарантують, що при віддаленому доступі відповіді йдуть саме через той порт, куди прийшов запит.
Проблема і головний виклик: Чому все рветься?
В умовах сьогоднішніх викликів в Україні — відключень світла, аварій на оптичних магістралях чи кібератак — тримати бізнес чи навіть власну медіамережу на одному провайдері є надто великим ризиком. Тому ми ставимо два канали: ISP1 (Основний) та ISP2 (Резервний).
Здавалося б, що складного? Прописали два маршрути — і гайда! Але тут вилізає підступна проблема: асиметрична маршрутизація.
Уявіть ситуацію: ви сидите в дорозі й намагаєтеся стукатися на RDP-сервер, відеореєстратор чи домашню медіабазу за зовнішньою IP-адресою другого (резервного) провайдера. Запит доходить до роутера через порт ISP2. Роутер приймає пакет, обробляє його, а от відповідь… намагається відправити через свій дефолтний маршрут — тобто через порт першого (основного) провайдера! Зовнішній клієнт чекає відповіді від адреси ISP2, а вона приходить від ISP1. З’єднання миттєво скидається.
Крок 1. Що я завжди обов’язково уточнюю у техпідтримки провайдерів
Перш ніж відкривати WinBox і писати правила, я роблю «допит» провайдерам. Без цих трьох пунктів навіть не починайте налаштування:
Тип підключення
Статична адреса (Static IP), динамічна (DHCP) чи PPPoE. Для серверів та віддаленого доступу статична адреса — найкращий вибір.
IP-адреса шлюзу
Точна адреса обладнання провайдера (Gateway IP), куди ваш роутер має відправляти всі вихідні пакети.
Публічний «білий» IP
Переконайтеся, що провайдер надав реальну публічну адресу, а не сховав вас за внутрішнім сірим NAT (CGNAT).
Крок 2. Як це працює «на пальцях» (Моє пояснення логіки)
Я завжди пояснюю цю схему через аналогію з двома вихідними портами або дверима в будівлі:
- Порти входу: У роутера є
Port 1 / ether1(ISP1) таPort 2 / ether2(ISP2). - Основний маршрут: Увесь вихідний трафік комп’ютерів локальної мережі за замовчуванням прямує через Порт 1.
- Аварійний перехід: Якщо лінія Порту 1 обривається або падає шлюз, роутер фіксує це і за частку секунди перенаправляє весь трафік через Порт 2.
- Маркування Mangle: Якщо запит із мережі зайшов через Порт 2, Mangle чіпляє маркер (
connection-markтаrouting-mark). Завдяки цій «мітці» роутер розуміє: «Пакунок прийшов із Порту 2, тому відповідь слід випустити строго через Порт 2!»
Крок 3. Практична конфігурація в MikroTik (CLI / Terminal)
Нижче наведено робочий чистий код для New Terminal. У прикладі використовуються інтерфейси ether1 (Основний ISP1) та ether2 (Резервний ISP2).
Замініть шлюзи 192.168.1.1 та 192.168.2.1 на реальні IP-адреси шлюзів ваших операторів.
1. Маркування вхідних запитів та симетричних відповідей (Mangle)
Ми змушуємо роутер запам’ятовувати вхідний порт для кожного нового з’єднання:
/ip firewall mangle
add chain=input in-interface=ether1 action=mark-connection new-connection-mark=From-ISP1 comment="Mark inbound ISP1"
add chain=output connection-mark=From-ISP1 action=mark-routing new-routing-mark=To-ISP1 comment="Reply via ISP1"add chain=input in-interface=ether2 action=mark-connection new-connection-mark=From-ISP2 comment="Mark inbound ISP2"
add chain=output connection-mark=From-ISP2 action=mark-routing new-routing-mark=To-ISP2 comment="Reply via ISP2"
2. Налаштування таблиці маршрутизації та авто-перемикання (IP Route)
Прописуємо пріоритети (Distance) та перевірку доступності шлюзу (check-gateway=ping):
/ip route
# 1. Основний дефолтний маршрут для всієї мережі (Distance=1)
add distance=1 gateway=192.168.1.1 check-gateway=ping comment="Main ISP1 Route"# 2. Резервний дефолтний маршрут (Distance=2, включиться якщо ISP1 впаде)
add distance=2 gateway=192.168.2.1 comment="Backup ISP2 Route"
# 3. Маршрути для симетричного повернення трафіку за мітками Mangle
add distance=1 gateway=192.168.1.1 routing-mark=To-ISP1 comment="Return ISP1"
add distance=1 gateway=192.168.2.1 routing-mark=To-ISP2 comment="Return ISP2"
Чому я роблю саме так і чому це працює на 100%:
- check-gateway=ping забезпечує миттєвий Failover: Роутер кожні кілька секунд опитує шлюз основного провайдера. Як тільки пакети зникають — маршрут №1 стає неактивним, і трафік миттєво переходить на маршрут №2.
- Повний порядок з NAT та прокиданням портів (dst-nat): Ви можете прокинути порти для RDP або веб-сервера на обох провайдерах. Завдяки маркуванню Mangle роутер буде коректно відповідати через той самий зовнішній IP, на який прийшов запит.
- Мінімальне навантаження на процесор: Використання ланцюжків
inputтаoutputдля маркування симетричного трафіку роутера практично не навантажує CPU (на відміну від важких правил уpreroutingдля всього транзитного трафіку).
— ІГОР ПУЦЬ, IT-ФАХІВЕЦЬ
Потрібна допомога чи підказка?
Якщо не хочеться самостійно розбиратися з консоллю RouterOS, маркуванням та маршрутизацією — звертайтеся, з радістю допоможу підказати правильну конфігурацію, проконсультувати або підключитися й налаштувати все під ключ для вашого офісу чи дому.