Failover di mikrotik dan Recursive Gateway Routing untuk dua ISP

Ketika ada dua ISP di mikrotik, route di mikrotik akan check gateway / ping ne next hop dan tetap replay ketika di ping /check gateway karena ada modem (ont gpon) atau router dari ISP, padahal internet nya mati, berikut salah satu cara untuk membuat Failover di mikrotik Recursive Gateway Routing dengan virtual IP. Mikrotik akan cek koneksi ke dns google dan dns cloudflare biar tidak false positive jika salah satu bermasalah dns google atau dns cloudflare failover tetap bekerja dengan semestinya

ISP A dengan ip gateway=103.128.180.1
ISP B dengan ip gateway=192.168.200.1

pastikan ip 172.16.10.1 dan 172.16.20.1 tidak ada / tidak aktif di mikrotik / jaringan

 

Untuk konfig nya sebagai berikut untuk RouterOS v6

# 1. Host Monitor / Ping ke Internet via Gateway Asli ISP

/ip route
add dst-address=8.8.8.8/32 gateway=103.128.180.1 scope=10 comment="Host Check Google via ISP-A"
add dst-address=1.1.1.1/32 gateway=103.128.180.1 scope=10 comment="Host Check Cloudflare via ISP-A"

add dst-address=8.8.4.4/32 gateway=192.168.200.1 scope=10 comment="Host Check Google via ISP-B"
add dst-address=1.0.0.1/32 gateway=192.168.200.1 scope=10 comment="Host Check Cloudflare via ISP-B"

# 2. Virtual Gateway dengan Check Gateway Ping

# Virtual GW ISP-A (172.16.10.1)
add dst-address=172.16.10.1/32 gateway=8.8.8.8 distance=1 scope=10 target-scope=10 check-gateway=ping comment="Virtual GW ISP-A - Target Primary"
add dst-address=172.16.10.1/32 gateway=1.1.1.1 distance=2 scope=10 target-scope=10 check-gateway=ping comment="Virtual GW ISP-A - Target Secondary"

# Virtual GW ISP-B (172.16.20.1)
add dst-address=172.16.20.1/32 gateway=8.8.4.4 distance=1 scope=10 target-scope=10 check-gateway=ping comment="Virtual GW ISP-B - Target Primary"
add dst-address=172.16.20.1/32 gateway=1.0.0.1 distance=2 scope=10 target-scope=10 check-gateway=ping comment="Virtual GW ISP-B - Target Secondary"

# 3. Default Route untuk Trafik Utama (Main Table)

/ip route
add dst-address=0.0.0.0/0 gateway=172.16.10.1 distance=1 target-scope=11 comment="Main Traffic -> ISP-A Primary"
add dst-address=0.0.0.0/0 gateway=172.16.20.1 distance=2 target-scope=11 comment="Main Traffic -> ISP-B Backup"

# 4. Routing Table dengan Mark Routing (PBR)

# --- MARK: to_isp_a
/ip route
add dst-address=0.0.0.0/0 gateway=172.16.10.1 distance=1 target-scope=11 routing-table=to_isp_a comment="Mark to_isp_a -> ISP-A Primary"
add dst-address=0.0.0.0/0 gateway=172.16.20.1 distance=2 target-scope=11 routing-table=to_isp_a comment="Mark to_isp_a -> ISP-B Backup"

# --- MARK: to_isp_b
/ip route
add dst-address=0.0.0.0/0 gateway=172.16.20.1 distance=1 target-scope=11 routing-table=to_isp_b comment="Mark to_isp_b -> ISP-B Primary"
add dst-address=0.0.0.0/0 gateway=172.16.10.1 distance=2 target-scope=11 routing-table=to_isp_b comment="Mark to_isp_b -> ISP-A Backup"

note
"IP 172.16.10.1/32 dan 172.16.20.1/32 adalah IP dummy/virtual yang hanya hidup di dalam tabel routing MikroTik sebagai perantara rekursif, sehingga tidak perlu dipasang pada interface fisik mana pun.

Komentar

Posting Komentar

Postingan populer dari blog ini

Fail Over gateway Recursive Routing Mikrotik

Gambar
Lama tidak membuat catatan, kali ini tentang Recursive Routing Mikrotik, yang akan di pake di router utama dengan 2 isp, apabila jalur isp 2  "unreadable" maka routing otomatis di alihkan ke isp 1 ISP1: Gateway IP 49.0.0.1 ISP2: Gateway IP 192.168.200.1 Recursive route untuk menentukan keterjangkauan setiap gateway ISP menggunakan server DNS publik 8.8.8.8   Langkah 1: Tambahkan Routes ke 8.8.8.8 dengan gateway ISP2 192.168.200.1, check gw ping Langkah 2: Tambahkan Routes 0.0.0.0 dengan gateway 8.8.8.8, check gw ping, target scope 30 Rule diatas mungkin  tidak sesuai standar penentuan gateway, karena menggunakan 8.8.8.8 sebagai gateway, namun dengan target-scope=30 rule tersebut bisa melakukan lookup ke hop selanjutnya dengan scope ≤ 30 sehingga menjadi recursive gateway.    Hasil nya sebagai berikut  Bisa juga di tambahkan netwatch ke host 8.8.8.8 untuk mengaktifkan rule yang lain   Semoga bermanfaat   sumber https://citraweb.com/artikel_lihat...
Baca selengkapnya

Cloudflared argo tunnel zero trust service on Mikrotik

Gambar
Cloudflare Argo Tunnel adalah sebuah aplikasi tunneling (proxy) untuk meng-ekspos jaringan private localhost/ LAN ke jaringan publik via domain name, Pastian persyaratan Mikrotik mendukung container untuk menjalan docker, minimal versi 7.4 dan artsiketurnya arm64 atau x86, ram dan storage nya cukup disini memakai Mikrotik CHR dan di tambah storage untuk menyimpan dan menjalankan docker Pastikan mikrotik sudah di install paket container dan sudah di enable Container mode dalam device mode 1. Tambahkan virtual Ethernet untuk container misal dengan ip 172.17.0.3/24 dan gw 172.17.0.1  2. Membuat Bridge    3. Menambahkan port kedalam bridge yang telah di buat   4. Menambahkan ip ke bridge yang akan di jadikan gateway untuk virtual Ethernet ( 172.17.0.1)   5. Tambahkan scrnat dan masquerade untuk subnet 172.17.0.0/24 6. Tambahkan dstnat dan dst-nat untuk mengkases  172.17.0.0/24 dari luar via ip 10.10.1.199     7. Tambahkan registry url "htt...
Baca selengkapnya

Fail2ban for OpenConnect VPN Server (ocserv)

 pastikan OpenConnect VPN Server (ocserv) sudah berjalan dengan baik, di sini dengan debian 12, 1. enable log di ocserv edit /etc/ocserv/ocserv.conf  log-level = 1  log-file = /var/log/ocserv/ocserv.log jangan lupa restart sudo systemctl restart ocserv  2. jika log tidak muncul di  /var/log/ocserv/ocserv.log dan masih di syslog nano /etc/rsyslog.d/30-ocserv.conf isi if $programname == 'ocserv' then /var/log/ocserv/ocserv.log & stop kemudian restart rsyslog sudo systemctl restart rsyslog cek log sudah ada dan normal berikut potongan log nya 2026-01-20T12:35:22.401936+07:00 debian ocserv[1048]: plain-auth: error authenticating user 'billy' 2026-01-20T12:35:22.402134+07:00 debian ocserv[1055]: ocserv[1055]: worker[billy]: 192.168.130.2 worker-auth.c:1724: failed authentication for 'billy'   3. buat filter untuk fail2ban nano /etc/fail2ban/filter.d/ocserv.conf isi [Definition] failregex = .*worker.*: <HOST> .* failed authentication for .* ignoreregex ...
Baca selengkapnya