Как в Mikrotik направить весь трафик на VPN кроме определенных адресов?

# маркируем пакеты
ip firewall mangle add chain=prerouting action=mark-routing dst-address-list=exclude_list new-routing-mark=ether1_route_mangle passthrough=no src-address=192.168.1.0/24

Тогда уж не dst-address-list=exclude_list, а src-address-list=exclude_list и src-address=192.168.1.0/24 вообще убрать. Иначе ересь получается. Плюс неизвестно, что там с маршрутами по-умолчанию и действительно ли весь трафик изначально идёт в VPN.

Andrei, Можно подробнее? Может я что-то не понимаю, но мне сейчас кажется, что всё правильно.

Как я это представляю, например:

Есть список адресов, на которые я хочу идти не по маршруту по-умолчанию.

ip firewall address-list add list=exclude_list address=google.com

Я отправляю пакет с адресом назначения google.com, когда пакет приходит к цепочке PREROUTING,
он маркируется, потому что адрес назначения есть в списке dst-address-list=exclude_list

ip firewall mangle add chain=prerouting action=mark-routing dst-address-list=exclude_list new-routing-mark=ether1_route_mangle passthrough=no src-address=192.168.1.0/24

А если заменить, на src-address-list=exclude_list, то Mangle будет искать google.com в адресе источника, т.е. он просто не промаркирует пакет.

src-address=192.168.1.0/24 нужно для того, чтобы Mangle маркировал пакеты только с адресом источника из сети 192.168.1.0/24. А если не указать, тогда действительно получится ересь, а если есть другие подсети на роутере? А если пакет придёт с VPN интерфейса(напомню, Mangle находится в PREROUTING), то он его тоже промаркирует и тогда получится фигня какая-та.

Короче нужна конкретная критика, может я действительно всё неправильно делаю.

Uragiremono, с именами тут всё верно, я про пример 1 писал. Там в exclude добавляются адреса, которые должны ходить не через маршрут по умолчанию:

# создать список адресов, которые не должны идти через VPN
ip firewall address-list add list=exclude_list address=192.168.1.10
ip firewall address-list add list=exclude_list address=192.168.1.11

А дальше маркировка:

# маркируем пакеты
ip firewall mangle add chain=prerouting action=mark-routing dst-address-list=exclude_list new-routing-mark=ether1_route_mangle passthrough=no src-address=192.168.1.0/24

и по ней получается "всё, что ломится на 192.168.1.10 или 192.168.1.11 из сети 192.168.1.0/24, то...."