Fasttrack и маркировка пакетов для wireguard

ar0unD · 11 фев 2023, 09:38

Добрый день!
Столкнулся с проблемой, микротик hex S, настроил wireguard соединение и маркировку пакетов на ресурсы из address list.
При выключенном fasttrack все работает как надо, но от гигабита получаю только 400 мбит, т.к. CPU usage на микроте постоянно 100%, включаю fasttrack, получаю нужным мне гигабит, но соответственно перестают маркироваться пакеты для wireguard соединения.
Вопрос следующий, как правильно настроить fasttrack и firewall что бы не маркированные пакеты ходили как обычно, а маркированные через wireguard?
Если есть возможность, прошу пошагово расписать, насколько это возможно, в настройках firewall на микротике не особо шарю, только начал пытаться разобраться.

конфиг

xvo · 11 фев 2023, 11:45

Переделать маркировку на то, чтобы сначала маркировать соединения, потом уже по ним - роутинг, только для исходящих пакетов.
И добавить в fasttrack условие connection-mark=no-mark.

ar0unD · 11 фев 2023, 12:22

xvo писал(а): ↑11 фев 2023, 11:45 Переделать маркировку на то, чтобы сначала маркировать соединения, потом уже по ним - роутинг, только для исходящих пакетов.
И добавить в fasttrack условие connection-mark=no-mark.

спасибо за ответ, примерно понял что нужно сделать, несколько раз попробовал, не заработало, скорее всего где-то допустил ошибку, не затруднит Вас некую мини-инструкцию сделать? буду очень благодарен.

xvo · 11 фев 2023, 12:54

Код: Выделить всё

/ip firewall filter
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related connection-mark=no-mark hw-offload=yes

/ip firewall mangle
add action=mark-connection chain=prerouting connection-state=new dst-address-list=rkn_wg new-connection-mark=rkn_wg passthrough=yes
add action=mark-routing chain=prerouting in-interface-list=LAN connection-mark=rkn_wg new-routing-mark=wg_mark passthrough=yes

ar0unD · 11 фев 2023, 13:28

xvo писал(а): ↑11 фев 2023, 12:54

Код: Выделить всё

/ip firewall filter
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related connection-mark=no-mark hw-offload=yes

/ip firewall mangle
add action=mark-connection chain=prerouting connection-state=new dst-address-list=rkn_wg new-connection-mark=rkn_wg passthrough=yes
add action=mark-routing chain=prerouting in-interface-list=LAN connection-mark=rkn_wg new-routing-mark=wg_mark passthrough=yes

Все работает, спасибо огромное.
Насколько я понял, при такой конфигурации, все соединения к address list rkn_wg маркируются как rkn_wg, и если входящий интерфейс это LAN и у пакета есть марка rkn_wg, то мы меняем марку на wg_mark и далее уже пакет идет по wireguard туннелю, верно?
Просто хочется понять как это работает, что бы можно было на втором микротике повторить из gui, а не терминала.

xvo · 11 фев 2023, 13:31

Все так, только марку мы не меняем - это разные типы марок.
У всех пакетов этих соединений будет нужная марка соединения, но только у исходящих - марка роутинга.
У входящих пакетов никакой марки роутинга нет, и они продолжают ходить по основной таблице.

ar0unD · 11 фев 2023, 13:40

xvo писал(а): ↑11 фев 2023, 13:31 Все так, только марку мы не меняем - это разные типы марок.
У всех пакетов этих соединений будет нужная марка соединения, но только у исходящих - марка роутинга.
У входящих пакетов никакой марки роутинга нет, и они продолжают ходить по основной таблице.

После Ваших слов, перечитал команды для терминала и пришло осознание как это работает, спасибо огромное еще раз за помощь и за небольшое обучение.

xvo · 11 фев 2023, 13:44

Kolobok · 22 июн 2025, 22:54

Столкнулся с похожей проблемой - при включенном fasttrack youtube не работает, при отключенном - без проблем. При этом vpn wineguard соединение устанавливается, пинги на внутренние адреса vpn проходят, трасировка показывает, что пакеты на адреса ютуба уходят в vpn, но ютуб и другие гугловские сервисы, не только ютуб, не работают.

Добавлял правило из постов выше - не помогло.
add action=mark-connection chain=prerouting connection-state=new dst-address-list=VPN new-connection-mark=VPN passthrough=yes

Конфиг

Fasttrack и маркировка пакетов для wireguard

Вход • Регистрация