Special dummy rule to show fast track counters как удалить

Записки IT специалиста

Правильное использование Fast Path и FastTrack в Mikrotik

Автор: Уваров А.С.
05.09.2021

С самого основания данного ресурса мы не перестаем придерживаться мнения, что практика всегда должна опираться на необходимый теоретический минимум, давая в своих статьях порой обширные теоретические отступления. Без теории практика превращается в подобие шаманских камланий с бубном, когда вроде сделал все тоже самое, но ничего не работает. В этом плане технология FastTrack в Mikrotik, несмотря на всю свою простоту, держит пальму первенства по количеству возникающих с ней проблем, которые, в большинстве своем, возникают именно от незнания и непонимания работы этой технологии.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Что такое Fast Path

Основной проблемой роутеров Mikrotik, особенно недорогих моделей, является достаточно слабая вычислительная мощность процессора, являющаяся сдерживающим фактором для реализации многих сложных сетевых сценариев. Причина этого кроется в достаточно сложном процессе обработки трафика роутером, в чем можно убедиться подробно изучив диаграммы Packet Flow, показывающие порядок прохождения пакетов через устройство. Если вы собираетесь серьезно работать с устройствами Mikrotik, то данный раздел документации рекомендуется знать хотя бы на твердую четверку, так как именно здесь находятся ответы на многочисленные вопросы типа: «я все сделал по инструкции, но ничего не работает» или «работает, но как-то не так».

Более подробное рассмотрение данного вопроса выходит за рамки нашей статьи, поэтому вернемся к нагрузке на процессор. Очевидно, что причина этого — сложный путь обработки трафика, который полностью ложится на плечи CPU. Можно ли этого как-либо избежать? Можно, в RouterOS v6 для этого появилась новая технология — Fast Path (быстрый путь), которая позволяет направить трафик по быстрому пути, без обработки ядром ОС, что позволяет существенно снизить нагрузку на систему.

Основная мысль, положенная в основу этой технологии такова, что пакеты уже установленных соединений, а также тех участков передачи трафика, где не требуется фильтрация и контроль, можно отправить по быстрому пути, тем самым разгружая процессор и ускоряя передачу данных. Fast Path — это расширение драйвера интерфейса, которое позволяет ему напрямую взаимодействовать с некоторыми подсистемами RouterOS и пропускать остальные.

В настоящий момент Fast Path можно использовать для:

Трафика IPv4
Транзитного трафика IPv4 (FastTrack)
Traffic Generator
MPLS
Мосты (Bridge)

Однако использование данной технологии имеет ряд ограничений, так для IPv4 FastPath требуется среди прочего:

Отсутствие правил брандмауэра
Отсутствие списков адресов
Отсутствие политик IPsec
Отсутствие очередей
Отсутствие отслеживания соединений

Для мостов требуется:

Отсутствие правил брандмауэра
Отсутствие фильтрации VLAN

Это не полный список, с полным списком ограничений вы можете ознакомиться в официальной документации. Но уже этого достаточно, чтобы понять, с Fast Path не все так просто и за производительность приходится расплачиваться возможностями. Если мы хотим использовать быстрый путь, то нам следует отказаться практически от любого контроля и фильтрации трафика.

Также помним, что Fast Path — это расширение драйвера интерфейса и оно может поддерживаться не для всех портов и типов интерфейсов. Так в современных моделях серии RB9xx и RB2011/3011/4011 Fast Path поддерживается для всех портов, а вот более старые модели могут иметь ограничения, поэтому советуем снова обратиться к документации. Также Fast Path можно использовать для PPPoE, L2TP, IP-IP, GRE и EoIP, мостов, VLAN и беспроводных интерфейсов .

При этом может возникнуть ситуация, когда один из интерфейсов поддерживает Fast Path, а другой нет. В этом случае возможны два варианта: если входящий интерфейс поддерживает Fast Path, то часть пути (насколько это возможно) пакеты пройдут через него, а затем перейдут на Slow Path (медленный путь) с полной обработкой трафика на CPU. Если интерфейс входа не поддерживает Fast Path, то трафик проделает весь путь по Slow Path, вне зависимости от того, поддерживает Fast Path интерфейс выхода или нет.

Еще один важный момент: Fast Path можно использовать только для IPv4 TCP или UDP соединений. Однако в правилах нет необходимости указывать протокол, для всего неподдерживаемого трафика Fast Path будет игнорироваться.

Практическое применение Fast Path

Прежде всего перейдем в IP — Settings и убедимся, что флаги Allow Fast Path и Route Cache установлены. В современных моделях это настройки по умолчанию, поэтому данная рекомендация носит чисто академический характер. В данной конфигурации IPv4 TCP и UDP-трафик, удовлетворяющий перечисленным выше условиям, будет автоматически отправлен по быстрому пути.

Для мостов по умолчанию активируется опция Fast Forward, включающая для передаваемых пакетов быстрый путь, но при этом помним, что DHCP-snooping не должен быть включен, а также отсутствовать любая фильтрация трафика или VLAN внутри моста.

А вот дальше уже становится интереснее. Туннельные соединения и L2TP поддерживают Fast Path, но это лишает нас возможности использовать IPsec, поэтому от Fast Path для данных видов соединений придется отказаться. Тем более что система не даст нам создать интерфейс, сочетающий Fast Path и IPsec.

Правда для L2TP-соединений вы можете одновременно установить обе опции, но при включённом IPsec Fast Path будет игнорироваться. Тем не менее мы категорически не рекомендуем использовать такие неоднозначные варианты настройки, потому как при обновлении RouterOS поведение системы может измениться, что способно привести к неожиданным и непредсказуемым результатам.

Коротко подведем итоги. RouterOS по умолчанию сама будет использовать Fast Path там, где это возможно, наша задача — понимать, что влияет на возможность использования данной технологии и делать правильный выбор между Fast Path или возможностями дополнительного контроля и защиты трафика.

Практическое использование Fasttrack

Fasttrack можно без преувеличения назвать самой неправильно настраиваемой опцией. Если выполнить поиск в сети интернет, то можно увидеть множество материалов про то, как решить те или иные проблемы с Fasttrack. Но большинство этих проблем также связаны с непониманием работы данной технологии. Давайте разберемся, что же такое Fasttrack, это сочетание Fast Path + Connection Tracking, проще говоря мы можем отправить все уже установленные и связанные с ними соединения по быстрому пути.

При этом нам окажутся недоступны брандмауэр, очереди, IPsec и многое другое. По сути, пакеты, попадающие в Fasttrack проскакивают роутер без обработки, что значительно снижает нагрузку на процессор, но лишает нас возможности гибко управлять трафиком. Насколько это оправдано? Нужно смотреть по задачам, скажем если это выход внутренних устройств в интернет, то Fasttrack тут вполне к месту, позволяя существенно разгрузить роутер. Насколько это безопасно? Безопасность в данном случае не пострадает, так как по быстрому пути идут уже установленные соединения, новый пакет обязательно пройдет по медленному пути с полной обработкой брандмауэром.

Для включения Fasttrack перейдем в IP — Firewall — Filter Rules и добавим следующее правило: Chain — forward, Connection State: established, related, на закладке Action установим действие fasttrack connection. Это отправит все установленные и связанные соединения по короткому пути, но лишит нас возможности обработки и контроля такого трафика.

Еще один важный момент, вы обязательно должны указать Connection State для этого правила, если вы этого не сделаете, то получите огромную дыру в безопасности, так как мимо брандмауэра по короткому пути пойдут все пакеты. Мы бы не стали заострять на этом внимание, но в нашей практике были случаи, когда администраторы включали Fasttrack для всего транзитного трафика.

Сразу после него добавим еще одно правило: Chain — forward, Connection State: established, related, на закладку Action можно не переходить, так как accept — действие по умолчанию. Для чего это нужно? Как мы помним, Fast Path работает только для TCP и UDP соединений, остальной трафик пойдет по этому правилу, кроме того, некоторая часть пакетов попадающих под действие Fasttrack направляется по медленному пути и без этого правила они бы были отброшены.

Это самая простая реализация Fasttrack, которая приведена в большинстве инструкций, и она же вызывает большинство проблем. Почему так? Да потому, что приведенное выше правило отправляет по быстрому пути все установленные и связанные соединения, без учета их направления и назначения. При этом становятся недоступны фильтрация и маркировка трафика брандмауэром, очереди и политики IPsec. Стоит ли удивляться, что все завязанные на данные технологии настройки перестают работать.

Как быть? Нужно конкретизировать правила, основная наша цель — снизить нагрузку на устройство, поэтому мы хотим использовать Fasttrack для обычного интернет трафика, но исключим оттуда все остальные соединения. Поэтому вместо одного правила используем два:

Где bridge1 — внутренний мост, а ether10 — внешний интерфейс, смотрящий в интернет.

Что изменилось? Теперь по быстрому пути идут пакеты только из локальной сети в интернет и обратно. Все остальные соединения полноценно обрабатываются ядром RouterOS и могут полностью использовать все ее возможности.

Если направлений трафика, который мы хотим направить по быстрому пути несколько, скажем, несколько каналов в интернет, либо межсетевой трафик, то создаем для каждого направления свою пару правил, с указанием входящего и исходящего интерфейсов.

Важно! Обратите внимание, так как Fast Path — это расширение драйвера интерфейса, то и в качестве критериев в правилах мы должны использовать именно интерфейсы, что позволит максимально корректно обрабатывать потоки трафика и избежать логических ошибок.

Также обратите внимание, что Fasttrack применяется именно для транзитных соединений, не влияя на входящие и исходящие соединения самого роутера. Мы бы не заостряли на этом внимание, но в сети нам попадались инструкции, когда пакеты маркировались в цепочках INPUT и OUTPUT, а затем эти метки соединений пытались использовать в цепочке FORWARD, надо ли говорить, что подобные конструкции работать не будут.

Ну и логическое завершение нашей статьи — практическая польза от Fasttrack. Мы провели простой тест, запустили на одном из узлов сети Speedtest от Ookla используя для выхода в интернет RB2011. С включенным Fasttrack роутер прокачал все 100 Мбит/с тарифа при нагрузке на CPU в пределах 30-32%:

А теперь выключаем Fasttrack и видим, что роутер полностью лег, но при этом даже не смог прокачать тариф, упершись в планку 80 Мбит/с:

Становится очевидно, что Fast Path и FastTrack — важные технологии, позволяющие существенно увеличить производительность Mikrotik, но применять их следует обдуманно, учитывая все плюсы и минусы данного решения. Надеемся, что данная статья окажется вам полезна и вы теперь будете использовать все возможности Fast Path без каких-либо затруднений и будете понимать как именно это работает.

MikroTips: обзор брандмауэра MikroTik для новичков

Новое видео для начинающих из серии #MikroTips посвящено брандмауэру (межсетевому экрану) — одной из важнейших функций маршрутизатора MikroТik. Речь пойдёт об основных понятиях, правилах по умолчанию, добавлении правил и настройке собственных.

Откройте WinBox. Загрузчик WinBox определит ваше устройство — например, Mesh-маршрутизатор Audience. Подключитесь к нему, нажав Connect.

Если это первое подключение, измените username (имя пользователя) — не admin, создайте надёжный пароль. Снова войдите в систему с новым именем и паролем. Удалите admin account (учётную запись администратора).

В левой колонке выбираем IP, затем Firewall. Перед вами окно брандмауэра. Первая вкладка называется Filter Rules (правила фильтрации). Здесь находятся все ваши правила брандмауэра.

Домашние роутеры производства MikroTik оснащены брандмауэром по умолчанию. Более продвинутые, профессиональные маршрутизаторы его не имеют. Пользователям таких устройств — помимо настройки IP-адреса и выполнения базовой конфигурации — необходимо также настроить собственный брандмауэр. Но в этом видео для новичков речь пойдёт о домашних маршрутизаторах, на которых установлен стандартный брандмауэр.

Зелёными галочками отмечены правила для принятия (потока данных). Они разрешают. Правила для отбрасывания — красными крестиками. Они запрещают. Существуют и другие виды доступных действий, но начинающим достаточно сконцентрироваться на правилах принятия и отбрасывания.

Первое, что нужно запомнить — список правил фильтрации брандмауэра организован в определённом порядке, который очень важен. Если список отсортирован, к примеру, по цепочке, адресам источника или получателя (либо номера цепочек переставлены), всегда необходимо возвращать исходный порядок нумерации.

Chain — следующая колонка в окне Filter Rules. Каждое правило при его создании следует поместить в категорию правил или группу правил (стандартные группы или цепочки, как они называются в маршрутизаторах MikroTik).

По умолчанию их три (но есть возможность создания собственных цепочек):

Цепочка Input — обрабатывает пакеты (входящий трафик), поступающие на маршрутизатор через один из интерфейсов с IP-адресом источника, который является одним из адресов маршрутизатора. Пакеты, проходящие через маршрутизатор, в ущерб правилам цепочки Input не обрабатываются. Если вы хотите защитить свой маршрутизатор от злоумышленников в Интернете, то должны поместить правила в цепочку Input. Тоже самое относится к трафику из вашей LAN-сети. Иногда требуется защитить устройство от локальной сети, поскольку ни одна сеть не является полностью безопасной.
Цепочка Output — обрабатывает пакеты (исходящий трафик), созданные маршрутизатором и покидающие его через один из интерфейсов. Пакеты, проходящие через маршрутизатор, в ущерб правилам цепочки Ouput не обрабатываются. Используется не так часто, поэтому в этой цепочке нет стандартных правил и правил по умолчанию.
Цепочка Forward — обрабатывает пакеты, идущие через маршрутизатор. При просмотре пользователем веб-страниц весь трафик, идущий с ноутбука через роутер в сеть и из сети через роутер на ноутбук, обрабатывается цепочкой Forward. Если хотите что-то заблокировать, например, запретить пользователям своей сети доступ к определенному сайту, поместите эти правила в цепочку Forward.

В основном задействованы цепочки Input и Forward.

Для добавления собственного правила брандмауэра на вкладке Filter Rules нажмите кнопку + . Появится новое окно New Firewall Rule. На вкладке General (этого окна) в выпадающем списке строки Chain можно выбрать не только forward, input или output, но и написать своё название цепочки — например, custom.

Про группировку больших списков правил брандмауэра или назначение списков правил для определенного типа трафика поговорим в следующий раз.

Пройдёмся по правилам по умолчанию на вкладке Filter Rules. Первое — dummy rule to show fasttrack counters — фиктивное правило для подсчёта подключений в режиме fasttrack. Его можно игнорировать — оно ничего не делает и не блокирует. Следующее accept rule — правило для принятия потока данных по сетевым соединениям. Действует в отношении уже установленных, связанных и неотслеживаемых соединений. Далее, drop rule — правило для отбрасывания всех видов недействительных соединений, кроме пингов из всех сетей, чтобы можно было отлаживать свою сеть и пинговать устройство. Правило для CAPsMAN будет защищать устройство пользователя (локальную сеть) от угроз из Интернета. Отбрасывает трафик не из локальной сети. Данные правила обрабатывает цепочка Input.

Теперь перейдём к правилам цепочки Forward для трафика, проходящего через маршрутизатор. Разрешаем ipsec и запускаем fasttrack — режим, позволяющий маршрутизатору работать немного быстрее за счёт отключения некоторых функций, ненужных для большинства домашних пользователей. Тем не менее, когда требуется увеличить функциональность, следует отключить это правило и немного пожертвовать скоростью.

Добавим новое правило брандмауэра для разрешения доступа к домашнему маршрутизатору из Интернета, но только для собственного IP-адреса (это будет адрес офиса). Например, необходимо подключиться к домашнему роутеру со своего рабочего компьютера, IP-адрес которого известен. Не рекомендуется открывать полный доступ к интерфейсу управления откуда угодно, если это не собственная домашняя сеть пользователя. Обычно в первую очередь настраивается доступ к VPN (например, IPsec), чтобы сначала подключиться VPN-сервисам, и уже затем разрешается вход с помощью Winbox. Но в этом видео просто разберём, как добавить правило.

Нажимаем кнопку + . Появится новое окно New Firewall Rule. В строке Chain вкладки General нужно выбрать цепочку Input и разрешить определённый порт Winbox — в данном случае, 8291 . Узнать какой порт использует Winbox можно, зайдя на вкладку IP-services. В строке Protocol ставим TCP, а в Dst. Port (порт-адресат) — 8291. На вкладке General существуют и другие настройки. Например, доступно задать применение правила только к входящему трафику (из Интернета), хотя это не имеет значения, так как мы указываем IP-адрес источника. При необходимости вместо одного конкретного IP-адреса возможно написать IP-адрес сети-источника. На вкладке Action ставим accept (принять). Входящий трафик разрешён.

Что будет, если это правило добавлено в конце. Как упоминалось ранее, порядок правил чрезвычайно важен. Здесь видно, что последнее из правил цепочки Input отбрасывает всё, что не поступает из локальной сети. В связи с этим стоит переместить данное правило выше и поставить над строкой drop all not coming from lan. Только сейчас оно будет действительно, потому что все правила проверяются по порядку. Этого правила достаточно, чтобы разрешить доступ к маршрутизатору пользователя из локальной сети.

Бывают случаи, когда необходимо запретить определённому IP-адресу подключаться к маршрутизатору пользователя. Для этого откроем предыдущее правило и в колонке справа нажмём Copy (скопировать). Добавим новое правило. В строке Src. Address вкладки General укажем IP-адрес пользователя в локальной сети, которому запрещено подключаться к маршрутизатору. На вкладке Action выбираем drop.

Прежде чем добавлять какие-либо правила для отбрасывания (или выполнять важные изменения конфигурации на удалённом устройстве), следует включить безопасный режим с помощью кнопки Safe Mode (в верхнем левом углу окна). Этот режим запускает отслеживание действий пользователя на маршрутизаторе. Если он испортил свою конфигурацию и потерял доступ к маршрутизатору, причина, которая вызвала разрыв соединения, будет определена; а последнее действие пользователя отменится. Поэтому старайтесь использовать безопасный режим чаще.

В правой колонке вкладки Action нажимаем ОК и закрываем предыдущее правило.

Нажатие кнопки Copy приводит к тому, что это правило для отбрасывания появится рядом с тем, которое было открыто ранее. Активное соединение означает, что всё сделано верно и можно снова закрыть безопасный режим.

Таким способом вы разрешаете и отбрасываете трафик. Также не забывайте о порядке, о цепочке, используйте VPN и разрешайте только IPsec для вашего устройства. Уже затем подключайте и управляйте им. VPN всегда безопаснее, даже если локальная сеть проверена.

Как заблокировать веб-страницу? Некоторые пользователи применяют протоколы 7-го уровня. Это очень ресурсоёмко, фактически анализируется содержимое пакетов. Поэтому невозможно, если имеем дело с зашифрованным трафиком. Для блокировки веб-страницы на базе протокола HTTPS (его используют все веб-страницы), необходимо смотреть SSL-сертификат данной страницы. Теперь мы выполняем более продвинутую операцию и больше не можем использовать режим Fasttrack. Отключим это правило.

Добавим новое правило в цепочке Forward. Будем блокировать переход на сайт MikroTik. Перезагрузим страницу производителя — проверим, что она работает. Возвращаемся в Winbox.

В строке In. Interface List вкладки General (окно New Firewall Rule) выбираем LAN. В строке TLS Host вкладки Advanced вводим часть доменного имени сайта, который хотим блокировать. В нашем случае набираем *mikrotik* для поиска любых доменных имён со словом mikrotik. Далее проверяем SSL-сертификаты веб-страниц. Они выданы для этих доменных имён (DNS names). Возвращаемся к своему правилу брандмауэра. В строке Action вкладки Action ставим drop и нажимаем ОК. Новое правило брандмауэра добавлено. Поднимаем его вверх и ставим перед drop all rules. Проверяем — страница не загружается.

Вернёмся к окну Firewall. На вкладке Filter Rules видно увеличение числа пакетов (Packets). Это означает, что правило брандмауэра блокирует доступ к указанной веб-странице. Правило можно отключить. Для этого выделим строку правила и нажмём на красный крестик. Сайт MikroTik снова будет загружаться.

Обзор основных параметров вкладки Filter Rules завершён.

Главные моменты, о которых следует помнить:

правила обрабатываются по порядку, поэтому всегда сортируйте окно Filter Rules по номеру правила (для запуска режима сортировки нажмите кнопку # , расположена слева над списком правил);
о цепочках Input (для входящего трафика) и Forward (для потока данных, проходящих через маршрутизатор).

Придерживаясь этих основ, вы быстро создадите свой брандмауэр.

Фильтрация пакетов и настройка брандмауэра
Защита домашнего роутера
Построение первого брандмауэра
Расширенные настройки брандмауэра

Хороший брандмауэр является одним из наиболее важных аспектов для всех устройств, подключённых к Интернету, включая маршрутизаторы MikroTik.
Полное видео ниже.

Linhost.info

Mikrotik — RouterOS Disable FastTrack To Limit Bandwidth

You can read more about FastTrack from the Mikrotik Wiki on FastTrack. The function has it’s advantages by increasing throughout and reducing CPU load. However I wanted to limit bandwidth to clients and FastTrack had to be disabled in order to limit. From the RouterOS command line move to /ip firewall filter and issue the print command to view all available rules. Rule 4 has what we are looking for which is fasttrack depending on previous changes made to your rules the placement maybe different resulting in a completely different number.

Now issue the disable command along with the rule number you wish to disable. Alternatively the rule can be removed completely with the command remove but I rather preserve it in case I needed at a later time.

Rule 4 is now disabled as indicated by the capital XI in front of the rule.

Прочее:Fasttrack

Опция IPv4 FastTrack используется для автоматической маркировки соединений. Только TCP и UDP соединения могут быть маркированы. IPv4 FastTrack поддерживает NAT (SNAT, DNAT или оба). Обратите внимание, что не все пакеты в соединении могут быть переданы с помощью fasttrack, даже, если они промаркированы соответствующим образом. По этой причине fasttrack-соединение идет после идентичного правила action=accept. При использовании FastTrack в основной массе не будут работать файерволл, трассировка соединений, очереди, учет ip-трафика, IPSec, универсальный клиент hotspot, распределение vrf. По этой причине администратор должен внимательно следить что бы fasttrack не накладывалась с другими настройками маршрутизатора.

Полезные материалы по MikroTik

Требования

IPv4 FastTrack будет работать при условии выполнения следующих условий:

не используются mesh или metarouter;
sniffer, torch или traffic generator не запущены;
/tool mac-scan активно не используется;
/tool ip-scan активно не используется.

Поддерживаемые аппаратные платформы

Fasttrack поддерживается на следующих устройствах:

RouterBoard	Интерфейс
RB6xx series	ether1,2
RB7xx series	all ports
RB800	ether1,2
RB9xx series	all ports
RB1000	all ports
RB1100 series	ether1-11
RB2011 series	all ports
RB3011 series	all ports
CRS series routers	all ports
CCR series routers	all ports
All devices	wireless interfaces, if wireless-fp or wireless-cm2 package used

Пример

Первоначальная настройка

Например, на домашнем маршрутизаторе с заводскими настройками по умолчанию можно весь трафик локальной сети промаркировать с помощью опции Fasttrack со следующим правилом, помещенным в самый верх файерволла. Так же требуется аналогичное разрешающее правило:

Так же на вкладке Mangle появятся дополнительные правила, которые позволят использовать преимущество Fasttrack: