MIKROTIK ميكروتك

03 February 2011

شرح كامل لسيرفر الميكروتك(mikrotik) تسطيبه وكيفية استخدامه+ اخر اصدار

الشرح الكامل لسيرفر الميكروتك للشبكات

(mikrotik )

البرنامج هو MikroTik Routers and Wireless

فى البداية ما هو سيرفر الميكروتك؟

سيرفر الميكروتك او برنامج الميكروتك هو برنامج فريد من نوعه ..

يقوم بتحويل الحاسب الى سيرفر وروتر ولكن خصائص الراوتر هذا متطوره جدا ...

تقوم بإعداداته وتنسااااه...

ما هى مميزاته وفوائده؟

مميــــــــــزاته:

[*]تثبيت ايبي للمستخدم

[*]تحديد باندويث اجمالي داونلوود وبعدها يفصل عليه تلقائيا .

[*]تحديد باندويث اجمالي ابلوود وبعدها يفصل عليه تلقائيا .

[*] تحديد عدد معين من الدقائق وبعدها يفصل عليه تلقائيا
.[*]توزيع السرعات بالتساوي .
[*]توزيع السرعات حسب ما تريد .
[*]قفل وفتح اي بورتات لأي مستخدم او للكل .

[*]يوزر وباسوورد مفتوحه اي غير مرتبطة بماك ادرس معين .
[*]يوزر وباسوورد بماك ادرس معين .
[*]دعاية .. تقوم ببرمجته ليفتح صفحات عند المشتركين وقت ما تريد تلقائيا .
[*]يقوم الجهاز بالاشتغال تلقائيا لو انقطع عنه الكهرباء مثلا .
[*]رسوم بيانية لتوضيح الباندويث .
[*]معرفة المواقع التي يدخلها المستخدم الان .
[*]حجب اي موقع تريد .
[*]هوت سبوت بيوزر وباسوورد .
[*]تصميم صفحة الدخول حسب ما تريد .
[*]تحديد اوقات معينه للانترنت .
[*]امكانية حماية المشتركين من الاختراق .
[*]التحكم الكامل بالراوتر من اي جهاز به انترنت وبسهولة وطلاقة وسرعة.
[*]تقرير بمحاولات الدخول الخاطئة المحاولات الصحيحة وكل شيء.
[*]يوجد كاش بالراوتر .

[*]شاشة للمستخدم تبين كمية التحميل والأبلوود
[*]لايستهلك موارد كثيره من النظاام .
[*]امكانية تشغيل اشتراكين في نفس الوقت وتوزيع الحمل بينهما ( لم أجربها بعد )..
[*].امكانية عمل راوتر الانترنت عن طريق اتصال دايل اب (لم اجربه بعد).
[*]وهناك العديد العديد من المميزات الخيالية .

ماهي متطلبات الجهاز لتسطيب السيرفر عليه؟

جهاز كمبيوتر بمواصفات جيدة به معالج بانتيوم واحد فما فوق ورامات 32 فما فوق وهارد 32 ميجا فما فوق وجود كرتين شبكة ولا تحتاج الى شاشة او فأرة او كيبورد أو اي شيء اخر.
((( اي كمبيوتر سيفي بالغرض )))

ولكنى انصح ان يكون كلاتى

جهاز ذات مواصفات جيدة وكلما زادت الذاكرة كان أفضل ويفضل استخدام رام 1 جيجا او 512 ميجا وستحتاج ايضا الى كرتتين شبكة (lan) من نوع 10/100 lan

ويفضل استخدام كرتتين تدعم الفول دبليكس او الكرتتان ذات القدرة العالية 10-100-1000

وتحتاج فى حالة البث من الميكروتك بدون اكسس بوينت الى لانه لاسلكى تكون من نوع ثرى كوم أو سيناو او حاضنة او PCMCIحاضنة او ميكرونت..

طريقة تسطيب البرنامج من الاسطوانة

1- حط الاسطوانه في الجهاز وخليه يبوت منها كأنك هتسطب نسخه ويندوز ... وفي الحاله دي هيظهر التالي

زي ما مكتوب في الصورة بتاعت الموقع ... عشان تختار كل الباكدجات او الامكانيات اللي تقدر تحطها في الـ Mikrotik فهتدوس حرف الـ a عشان تختارها كلها وتنزل كلها على السيرفر وبعد كده تدوس حرف الـ i عشان يبدأ تسطيب..

2- هيسألك هل عايز تحتفظ بالاعدادات القديمة y ولا N وطبعا عشان ما فيش اعدادات قديمة ودي اول مره هتقولو N زي ما موجود في الصورة ..

واي حاجة يسألك عليها بعد كده دوس Enter من غير ما تقرا
وسيبو بأه يسطب

وبعد اما يخلص خااااااااااااااااااااااالص ... بكده نكون تمكنا بحمد الله تسطيب الـMikrotik ...

شرح اعداد البرنامج

المرحله الجايه هيا مرحلة تظبيط الاعادادت .. وفي المرحلة دي يا جماعه انا عايز اوضحلكو معناها
بالنسبه للنظام اللي عندنا الـ Mikrotik ده شغال ببيئه الـ Linux يعني مش ويندوز خالص .. يعني انسو اي حاجة خاصه بالويندوز خااالص وبالنسبه للناس اللي اشتغلت ISA Server ينسو خالص اللي حصل فيه بس مش اوي عشان هحتاج اوضحلكو شوية ارتباطات بينو وبين الـ Mikrotik ... المهم ... مش ده موضوعنا .. موضوعنا ان احنا عشان نعمل Configuration للروتر ده .. واقصد بالروتر هنا هوا سيرفر الميكروتيك لانو هيعمل نفس وظيفه الروتر تأريبا ... عشان نعملو Configuration من على بيئه الـ Linux هتبقى صعبه شوية لان طبعا احنا كلنا متعودين على بيئه الـ Windows واغلبيتنا مش بيعرف يتعامل مع الـ Linux فعشان كده هما نزلو مع السيرفر ده
برنامج صغير اسمو Winbox

البرنامج ده يا جماعه وظيفتو ان هيخلينا نعمل Configuration للميكروتيك من على بيئه الويندوز عادي ... استنو كده!!!... عارفين زي ايه ؟؟ زي بالظبط الروترات بتاعتنا في البيت ... هوا احنا مش لما بنيجي نتصل بالشركة عشان تعملنا الConfiguration بندخل على صفحة الروتر من على الويندوز عن طريق صفحة الاكسبلولر ؟؟؟؟ وساعتها بيطلعنا الـ GUI او من غير فزلكة Graphical User Interface او من غير فزلكة اكتر .. شاشه بتمكني اني اتعامل مع خصائص الروتر والاعدادات بتاعتها بشكل اسهل للمستخدم .. عشان احنا مش هنقدر ندخل جوا الروتر ذات نفسو ونعملو Configuration لاننها مش فاهمين البرمجة اللي متبرمج بيها صح ؟؟
هيا نفس الطريقه بالظبط ... الـ Winbox ده عباره عن Interface او اداه بتساعدك انك تظبط الخصائص بتاعت السيرفر بس من على جهاز متسطب عليه ويندوز ... يعني معنى ذلك .. انك هتوصل كارت من الكروت بالروتر والكارت التاني بسويتش مثلا ... ومن اي حته بأه في الشبكة او من على اي جهاز في الشبكة ونزلت عليه الـ winbox تقدر تفتح الـ Mikrotek وتظبط الخصائص بتاعتو ...

تابع معى الصور للدخول للميكروتك

في الصورة دي ... ممكن يوضح كلامي شوية ... لان انا اهو منزلو على الديسك توب من على جهاز شغال بويندوز على الشبكة ... غير الجهاز اللي احنا سطبنا عليه الـميكروتك...

3-هفتح البرنامج زي كده..

4-وبعدين ادوس على الزرار اللي عليه النقط اللي هوا فيه المسطيل بتاع Connect to اللي هوا موجود في الصورة دي

5-وبعد اختار اللي هيظهر في الاختيارات وادوس عليه وادوس Connect زي الصورة دي

6-وبعد كده هيحمل شوية صغيرين

وبكده نكون دخلنا على الميكروتيك من على جهاز عليه ويندوز ودي الصورة بتاعتو بعد ما دخلنا

شرح تغيير الاعدادات

بعد اما خلاص تم بحمد الله ودخلنا على الـ Mikrotik دلوأتي جه وقت التظبيط ومعايا كده خطوة خطوة ان شاء الله
كونت نوهت انا قبل كده بالنسبه للناس اللي كانو عاملين الايزا هحتاج افكرهم بحاجة .. فاكرين اول خطوة عملناها في الايزا كانت ايه ؟؟؟

... اللي هيا كانت تعديل اسامي الكروت
هنا هنعمل نفس الخطوة برضو وهتكون اول خطوة لينا زي ما هوا موجود في الصورة

اللي هيا كانت في الايزا Local area connection1 و Local area connection 2
دبل كليل على ethernet1 واخليه wan حسب الصورة كانت في الايزا External

عد كده دبل كليك على ethernet2 واخليه Lan زي ما مكتوب في الصورة اللي هيا كانت في الايزا Internal

وزي ما مشروح على الصورة المنقوله ... مش هعرف اضيف اي تعليق عليهم

بكده نكون خلصنا من حته التسمية ... هنيجي للجزء الخاص بأيبيهات الكروت ونركز شوية عشان الحته دي ناس كتير بتتلغبط فيها ...
طبعا احنا خلاص وصلنا الروتر بكارت من الكروت ووصلنا سويتش بالكارت التاني الخاص بالشبكة
على فرض ان احنا عندنا الروتر الايبي بتاعو مثلا زي ما انا عامل عندي 192.168.0.1 يبقى المفروض هنخلي الكارت اللي واصل بالروتر الايبي بتاعو 192.168.0.2 وده كلام منطقي ... صح ؟؟ اه صح

وعشان نعمل الحوار ده .. بعد ما نفتح الـ Mikrotik من الـ winbox زي ما قولنا قبل كده ... هنيجي على قايمة IP ونختار Addresses زي ما هوا موضح في الصورة

دوس على Addresses هتظهر الويندو ده

هدوس بأه على علامه الزائد الحمرا عشان تظهر الويندو دي

هنا بأه هنحط الايبيهات بتاعت الكروت اللي في الميكوتيك بما فيهم الكارت اللي متوصل بالروتر اللي احنا اتفقنا فوق اللي احنا هنخلي الاييبي بتاعو 192.168.0.2
عند كلمة address هشيل الاصفار اللي موجودة واحط مكانها 192.168.0.2/24 زي ما هوا مكتوب كده ناس هيقولولي ايه الـ 24 دي هقولو الماسك بتاع النتورك اللي هوا 255.255.255.0 ده معناها ... استنو لسه مش خلصنا ... هنختار من تحت من عند كلمة interface الكارت اللي متوصل عليه الايبي ده اللي هوا الـ wan لان احنا اتفقنا قبل كده انو متوصل بالروتر ... ولا انتو نسيتو ؟؟
كده خلصنا كارت الـ wan او الـ Externa
زى الصورة دى

وبكده نكون خلصنا الكارت اللي واصل بالروتر ... احنا ماشيين خطوة خطوة اهو
نيجي بأه للكارت اللي واصل بالسويتش اللي هيدي الناس النت واللي هوا هيكون بالنبسه للناس الجيت واي
وعلى فرض زي ما انا عامل عندي برضو .. ان الجيت واي بتاع الناس هوا 192.168.1.1 هنخلي الايبي بتاع الكارت اللي متوصل بالسويتش 192.168.1.1
نفس الكلام ... هندوس على زرار الزائد الاحمر ونفس الخطوات اللي فاتت ... بس المره دي عند الـ address هخليها 192.168.1.1 وعند الـ Interface تحت هخليها lan وفي الآخر OK زي ما في الصورة

عشان يبقى الشكل النهائي عندنا هوا

هيجي واحد واخد بالو .. يسألني ... طيب وهوا الميكروتيك .. ايه اللي عرفو .. ان في روتر متوصل والايبي بتاعو 192.168.0.1 زي ما اتفقنا .. ؟؟؟
ساعتها هقولك ... هوا اكيد مش هيعرف كده من نفسو ... عشان كده هنعرفو احنا
افتح قايمة IP وبعدين Routes زي ما في الصورة

اول ما تدوس على routes هيظهرلك الشكل ده ...

ايه ده .. ؟؟؟ ايوة دول الحاجات اللي احنا لسه معرفنها من شوية ... لكن هنضيف هنا الحته بتاعت الروتر اللي احنا لسه قايلنها .. ان احنا لازم نعرف الميكروتيك انو متوصل بروتر الايبي بتاعو 192.168.0.1
وبدام قولنا هنضيف يبقى هندوس على علامة الزائد زي ما في الصورة... وهنغير الـ gateway ونخليه 192.168.0.1 وندوس Ok زي ما في الصورة

عشان يبقى الشكل في النهايه

ولو لاحظتو انو من نفسو في الخانة بتاعت الـ Interface كتب wan عشان عرف ان الايبي ده في الرينج بتاع الكارت اللي متوصل بالروتر وده دليل ان احنا ماشيين صح بأذن الله.

كده انتهينا من تظبيط الكروت ... بس لسه برضو مافيش نت خرج للناس لأن لسه فاضلنا كذا حاجة
اولها الـ DNS وعشان نعرف الميكروتيك بالـ DNS هندخل على قايمة IP ومنها DNS زي ما في الصورة

هيظهر ويندو فاضي مش فيه حاجة ... نختار منو كلمة Settings وبعد كده هندخل الـ DNS بتاعنا الـ primary و الـ secondry ...طبعا الارقام اللي انا هاططها في الصورة ددي بتاعت TEdata

01 January 2011

Default Configurations

List of Default Configs

Integrated Indoors

	Wan port	Lan port	Wireless mode	ht chain	ht extension	dhcp-server	dhcp-client	Firewall	NAT	Default IP	Mac Server
RB750 RB750G	ether1	Switched ether2-ether5	-	-	-	on lan port	on wan port	blocked access to wan port	Masquerade wan port	192.168.88.1/24 on lan port	Disabled on wan port
RB751-2n	ether1	Switched ether2-ether5, bridged wlan1 with switch	AP b/g/n 2412MHz	0	above-control	on lan port	on wan port	blocked access to wan port	Masquerade wan port	192.168.88.1/24 on lan port	Disabled on wan port
RB1100	-	-	-	-	-	-	-	-	-	192.168.88.1/24 on ether1	-
RB1200	-	-	-	-	-	-	-	-	-	192.168.88.1/24 on ether1	-
RB2011	-	-	-	-	-	-	-	-	-	192.168.88.1/24 on ether1	-

Integrated Outdoors

	Wan port	Lan port	Wireless mode	ht chain	ht extension	dhcp-server	dhcp-client	Firewall	NAT	Default IP	Mac Server
Groove 5Hn	wlan1	ether1	station a/n 5300MHz	0	above control	on lan port	on wan port	blocked access to wan port	Masquerade wan port	192.168.88.1/24 on lan port	Disabled on wan port
Groove A-5Hn	-	bridged wlan1,ether1	AP a/n 5300MHz	0	-	-	-	-	-	192.168.88.1/24 on lan port	-
SXT 5D	wlan1	ether1	station a/n 5300MHz	0,1	above control	on lan port	on wan port	blocked access to wan port	Masquerade wan port	192.168.88.1/24 on lan port	Disabled on wan port
OmniTik	ether1	Switched ether2-ether5, bridged wlan1 with switch	AP a/n 5300MHz	0,1	-	on lan port	on wan port	blocked access to wan port	Masquerade wan port	192.168.88.1/24 on lan port	Disabled on wan port

Engineered

	Wan port	Lan port	Wireless mode	ht chain	ht extension	dhcp-server	dhcp-client	Firewall	NAT	Default IP	Mac Server
RB450 RB450G	ether1	Switched ether2-ether5	-	-	-	on lan port	on wan port	blocked access to wan port	Masquerade wan port	192.168.88.1/24 on lan port	Disabled on wan port
RB711-5	wlan1	ether1	station a/n 5300MHz	0	above control	on lan port	on wan port	blocked access to wan port	Masquerade wan port	192.168.88.1/24 on lan port	Disabled on wan port
RB711A-5Hn	-	bridged wlan1,ether1	AP a/n 5300MHz	0	-	-	-	-	-	192.168.88.1/24 on lan port	-
RB711-2	wlan1	ether1	station b/g/n 2412MHz	0	above control	on lan port	on wan port	blocked access to wan port	Masquerade wan port	192.168.88.1/24 on lan port	Disabled on wan port

Note: To see exact configuration script that will be applied after system reset use following command /system default-configuration print

Wan Port

When applying configuration WAN port is renamed to "<wan port>-gateway", for example, if wan port is ether1, it will be renamed to "ether1-gateway".

Local Port

Local port can be:

single interface
ethernets configured in switch group
bridged all interfaces that are not WAN and switch slaves.

If ports are switched then master port is renamed to "<ethernet name>-master-local" and slaves to "<ethernet name>-slave-local".
Lets take RB751 as an example. Board has ether1 configured as WAN port, it has switch chip and one pre-configured wireless interface. So in this case all ethernets except ether1 are grouped in switch group and bridged with wireless interface.
Generated config will be:

/interface set ether2 name=ether2-master-local;
/interface set ether3 name=ether3-slave-local;
/interface set ether4 name=ether4-slave-local;
/interface set ether5 name=ether5-slave-local;
/interface ethernet set ether3-slave-local master-port=ether2-master-local;
/interface ethernet set ether4-slave-local master-port=ether2-master-local;
/interface ethernet set ether5-slave-local master-port=ether2-master-local;

/interface bridge add name=bridge-local disabled=no auto-mac=no protocol-mode=rstp;

:local bMACIsSet 0;
:foreach k in=[/interface find] do={
        :local tmpPort [/interface get $k name];
        :if ($bMACIsSet = 0) do={
               :if ([/interface get $k type] = "ether") do={
                      /interface bridge set "bridge-local" admin-mac=[/interface ethernet get $tmpPort mac-address];
                      :set bMACIsSet 1;
                 }
        }
        :if (!($tmpPort~"bridge" || $tmpPort~"ether1" || $tmpPort~"slave")) do={
               /interface bridge port add bridge=bridge-local interface=$tmpPort;
        }
}

Wireless Config

Wireless configuration depends on market segment for which board is designed. It can be configured as AP or station in 2GHz and 5GHz frequencies. Default 2GHz frequency is 2412 and default 5GHz frequency is 5300. SSID is "Mikrotik".
If board has two chains (letter D in the naming of the board), then both chains are enabled. HT Extension is enabled on all CPEs.
For example generated config on RB751:

:if ( $wirelessEnabled = 1) do={
# wait for wireless
       :while ([/interface wireless find] = "") do={ :delay 1s; };

       /interface wireless set wlan1 mode=ap-bridge band=2ghz-b/g/n ht-txchains=0,1 ht-rxchains=0,1 \
               disabled=no country=no_country_set wireless-protocol=any
       /interface wireless set wlan1 channel-width=20/40mhz-ht-above ;
}

Default IP and DHCP Config

Default IP address on all boards is 192.168.88.1/24. Boards without specific configuration has IP address set on ether1, other boards has IP address on LAN interface.
All boards that has WAN port configured, DHCP client is set on WAN port.
Typically on all CPEs DHCP server is set on LAN port, giving out addresses in range from 192.168.88.2-192.168.88.254
As an example RB751 applied DHCP config.

/ip dhcp-client add interface=ether1-gateway disabled=no

/ip pool add name="default-dhcp" ranges=192.168.88.10-192.168.88.254;
/ip dhcp-server 
  add name=default address-pool="default-dhcp" interface=bridge-local disabled=no;

/ip dhcp-server network 
  add address=192.168.88.0/24 gateway=192.168.88.1 dns-server=192.168.88.1 comment="default configuration";

Firewall, NAT and MAC server

All boards with configured WAN port has configured protection on that port. Any traffic leaving WAN port is masqueraded.
Config example:

/ip firewall {
      filter add chain=input action=accept protocol=icmp comment="default configuration"
      filter add chain=input action=accept connection-state=established in-interface=ether1-gateway comment="default configuration"
      filter add chain=input action=accept connection-state=related in-interface=ether1-gateway comment="default configuration"
      filter add chain=input action=drop in-interface=ether1-gateway comment="default configuration"
      nat add chain=srcnat out-interface=ether1-gateway action=masquerade comment="default configuration"
}


/tool mac-server remove [find];
/tool mac-server mac-winbox disable [find];
:foreach k in=[/interface find] do={
       :local tmpName [/interface get $k name];
       :if (!($tmpName~"ether1")) do={
              /tool mac-server add interface=$tmpName disabled=no;
              /tool mac-server mac-winbox add interface=$tmpName disabled=no;
        }
}
/ip neighbor discovery set [find name="ether1-gateway"] discover=no

DNS

Every board allows remote DNS requests and static DNS name is pre-configured.

 /ip dns {
  set allow-remote-requests=yes
  static add name=router address=192.168.88.1
 }

28 September 2010

طريقة عمل load balance لثلاثة خطوط في سيرفر المايكروتك

السلام عليكم ورحمة الله وبركاته

نظرا لطلبات الكثر من الاعضاء على كيفية عمل لود بلنس لـ 3 خطوط انترنت واخراج واحد هذا الشرح مجرب من قبلي على سيرفر مايكروتك اصدار 2.9.20 .. ارجوا من الرغبين في تطبيق الشرح بان ينتبهوا للقيم والايبيات الموجودة .. يجب تغير وتعديل الكودات حسب ايبيات شبكتك .. عدم لصق الكود من دون معرفة .

طريقة العمل مكونة من اربع كروت شبكة .. ثلاث للدخول والرابع للخروج

كارت الشبكة الاول الـ WAN1 والمسمى في الشرح con1 يحمل ايبي : 10.111.0.2/24
كارت الشبكة الثاني الـ WAN2 والمسمى في الشرح con2 يحمل ايبي : 10.112.0.2/24
كارت الشبكة الثالث الـ WAN2 والمسمى في الشرح con2 يحمل ايبي : 10.113.0.2/24
كارت الشبكة الرابع الـ LAN والمسمى في الشرح local يحمل ايبي : 192.168.0.1/24

يجيب تسمة الكروت بهذه الاسماء اولا.

كود عمل هذه الايبايت المذكورة

كود PHP:

     ip address

add address=192.168.0.1/24 network=192.168.0.0 broadcast=192.168.0.255 interface=local comment="" disabled=no

add address=10.111.0.2/24 network=10.111.0.0 broadcast=10.111.0.255 interface=con1 comment="" disabled=no

add address=10.112.0.2/24 network=10.112.0.0 broadcast=10.112.0.255 interface=con2 comment="" disabled=no

add address=10.113.0.2/24 network=10.113.0.0 broadcast=10.113.0.255 interface=con3 comment="" disabled=no

كود عمل اعدادت الجيت وي في الراوت

كود PHP:

     ip route

add dst-address=0.0.0.0/0 gateway=10.111.0.1 scope=255 target-scope=10 routing-mark=mark1 comment="" disabled=no

add dst-address=0.0.0.0/0 gateway=10.112.0.1 scope=255 target-scope=10 routing-mark=mark2 comment="" disabled=no

add dst-address=0.0.0.0/0 gateway=10.113.0.1 scope=255 target-scope=10 routing-mark=mark3 comment="" disabled=no

add dst-address=0.0.0.0/0 gateway=10.113.0.1 scope=255 target-scope=10 comment="" disabled=no

add dst-address=0.0.0.0/0 gateway=10.111.0.1 scope=255 target-scope=10 comment="" disabled=no

كود عمل الدي ان اس

كود PHP:

     ip dns

set primary-dns=192.168.1.1 secondary-dns=192.168.0.1 allow-remote-requests=no cache-size=2048KiB cache-max-ttl=1w

كود عمل الاعدادت في الفايرول - نات

كود PHP:

     ip firewall nat

add chain=srcnat connection-mark=mark1 action=src-nat to-addresses=10.111.0.2 to-ports=0-65535 comment="" disabled=no

add chain=srcnat connection-mark=mark2 action=src-nat to-addresses=10.112.0.2 to-ports=0-65535 comment="" disabled=no

add chain=srcnat connection-mark=mark2 action=src-nat to-addresses=10.113.0.2 to-ports=0-65535 comment="" disabled=no

اخيرا كود عمل الفايرول - مانجل

كود PHP:

     ip firewall mangle

add chain=prerouting in-interface=local src-address-list=mark1 action=mark-connection new-connection-mark=mark1 passthrough=yes

    comment="" disabled=no

add chain=prerouting in-interface=local src-address-list=mark1 action=mark-routing new-routing-mark=mark1 passthrough=no comment=""

    disabled=no

add chain=prerouting in-interface=local src-address-list=mark2 action=mark-connection new-connection-mark=mark2 passthrough=yes

    comment="" disabled=no

add chain=prerouting in-interface=local src-address-list=mark2 action=mark-routing new-routing-mark=mark2 passthrough=no comment=""

    disabled=no

add chain=prerouting in-interface=local src-address-list=mark3 action=mark-connection new-connection-mark=mark3 passthrough=yes

    comment="" disabled=no

add chain=prerouting in-interface=local src-address-list=mark3 action=mark-routing new-routing-mark=mark3 passthrough=no comment=""

    disabled=no

add chain=prerouting in-interface=local connection-state=new nth=1,1,0 action=mark-connection new-connection-mark=mark1

    passthrough=yes comment="" disabled=no

add chain=prerouting in-interface=local connection-mark=mark1 action=add-src-to-address-list address-list=mark1

    address-list-timeout=1d comment="" disabled=no

add chain=prerouting in-interface=local connection-mark=mark1 action=mark-routing new-routing-mark=mark1 passthrough=no comment=""

    disabled=no

add chain=prerouting in-interface=local connection-state=new nth=1,1,1 action=mark-connection new-connection-mark=mark2

    passthrough=yes comment="" disabled=no

add chain=prerouting in-interface=local connection-mark=mark2 action=add-src-to-address-list address-list=mark2

    address-list-timeout=1d comment="" disabled=no

add chain=prerouting in-interface=local connection-mark=mark2 action=mark-routing new-routing-mark=mark2 passthrough=no comment=""

    disabled=no

add chain=prerouting in-interface=local connection-state=new nth=1,1,1 action=mark-connection new-connection-mark=mark3

    passthrough=yes comment="" disabled=no

add chain=prerouting in-interface=local connection-mark=mark3 action=add-src-to-address-list address-list=mark3

    address-list-timeout=1d comment="" disabled=no

add chain=prerouting in-interface=local connection-mark=mark3 action=mark-routing new-routing-mark=mark3 passthrough=no comment=""

    disabled=no