RouterOS透明模式

Routeros 星雨 2937℃ 0评论

1、设置pppoe拨号上网,建立pppoe_out,取消默认网关、默认DNS;
/interface pppoe-client –> pppoe_out(联通互联网)
2、建立pppoe-out到VPN-server的专用route通道;
/ip route
add dst-address=x.x.x.x/32 gateway=pppoe_out
3、设置pptp连接,建立pptp_out,取消默认网关、默认DNS;
/interface pptp-client –> pptp_out(linode-pptp)
4、设置被墙IP address-list,建立GFWed(要包含被干扰的境外DNS的ip);

/ip firewall 
add address-list –> GFWed

5、标记防火墙规则,建立路由标记to_pppoe和to_pptp;

/ip firewall mangle
add action=mark-routing chain=prerouting disabled=no in-interface=LAN new-routing-mark=to_pppoe passthrough=yes dst-address-list=!GFWed
add action=mark-routing chain=prerouting disabled=no in-interface=LAN new-routing-mark=to_pptp passthrough=yes dst-address-list=GFWed

6、设置路由分流规则,依据路由标记to_pppoe和to_pptp进行路由;

/ip route
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=pppoe_out routing-mark=to_pppoe scope=30 target-scope=10
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=pptp_out routing-mark=to_pptp scope=30 target-scope=10
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=pppoe_out,pptp_out scope=30 target-scope=10

7、设置防火墙,根据规则进行地址伪装。

/ip firewall nat
add action=masquerade chain=srcnat disabled=no out-interface=pppoe_out
add action=masquerade chain=srcnat disabled=no out-interface=pptp_out

8、traceroute测试。测试8.8.8.8/8.8.4.4或是GFWed列表里面的ip是否能够通过vpn;测试202.102.134.68/202.102.152.3等其他国内ip不通过vpn。
/tools traceroute
=======================以上针对被墙IP进行分流处理===========================

9、设置被墙域名分析规则,建立layer-7分析结果标记to_google_DNS;

/ip firewall layer7-protocol
add name=to_google_DNS regexp=”google.com|twitter.com|youtube.com|ytimg.com|blogger.com|blogspot.com|wordpress.com|feeds.feedburner.com|twimg.com|facebook.com|fbcdn.net|evernote.com|appspot.com|blogspot.com|blogcdn.com|ggpht.com|googleusercontent.com|feedly.com|flickr.com|wikimedia.org|wikipedia.com|nytimes.com|bbc.uk.co|6park.com|t66y.com|chinagfw.org|boxun.com|t.co|j.mp|img.ly|is.gd|ff.im” comment=”Redirect GFWed based DNS requests to google DNS”

10、设置防火墙标记规则,建立标记to_google,注意UDP、TCP两种协议的53端口;

/ip firewall mangle
add action=mark-routing chain=prerouting dst-port=53 in-interface=LAN layer7-protocol=to_google_DNS new-routing-mark=to_google protocol=udp comment=”dns mangling to google dns”
add action=mark-routing chain=prerouting dst-port=53 in-interface=LAN layer7-protocol=to_google_DNS new-routing-mark=to_google protocol=tcp comment=”dns mangling to google dns”

11、设置防火墙,根据规则to_google,进行地址伪装,注意UDP、TCP两种协议的53端口;

/ip firewall nat
add action=dst-nat chain=dstnat disabled=no to-addresses=8.8.8.8 to-ports=53
add action=dst-nat chain=dstnat disabled=no to-addresses=8.8.8.8 to-ports=53

12、设置国内DNS;(202.102.134.68,202.102.152.3,202.102.154.3,202.102.128.68)
/ip DNS

13、traceroute测试。测试 twitter.com等被墙域名解析是否正确,route通道是否通过vpn通道;测试 www.sina.com等国内网站域名解析是否正常,route通道是否不经过vpn。

/tools traceroute
===================以上针对被污染域名进行分流解析处理========================
一切正常的话,就可以透明、经济的上网了。(内网客户端,可以dhcp,自动选择dns)
日常维护,只需维护两张表。一张是名为to_google_DNS的被墙/被投毒的域名表,一张是名为GFWed的ip地址表

转载请注明:星雨小站 » RouterOS透明模式

如果你觉得这篇文章对你有帮助,请支持我继续更新网站!捐赠本站
喜欢 (1)or分享 (0)
发表我的评论
取消评论
表情

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址