RouterOS v7 L2TP 策略路由：按终端地址选择出口

准备：版本、备份与管理通道

先确认系统是RouterOS v7。v6和v7的路由表、策略规则菜单与语法不同，不能混用。RouterOS原生管理也不是“root空密码”的通用面板；使用设备交付信息或已设置的管理员账号，并把管理访问限制在受信网络。

在WinBox本地连接中保存备份和不显示敏感字段的配置导出，记录原路由、NAT、过滤规则及FastTrack条件。按官方说明开启Safe Mode，小批量修改；它不是完整备份的替代品。

• 测试LAN示例为192.168.50.0/24，测试终端为192.168.50.10，隧道名为l2tp-test。
• 保持main表原有正常WAN路由，隧道服务器本身必须仍能经底层WAN到达。
• 服务方必须提供真正的L2TP资料；是否需要IPsec由服务端配置决定，L2TP本身不等于加密。

第一步：建立隧道，但不接管默认路由

1. 在PPP/Interfaces中新增L2TP Client，使用l2tp-test命名，在自己的管理界面填写服务器和线路凭据。
2. 初次测试不要启用Add Default Route接管main默认路由，也不要未经确认启用Use Peer DNS改写全局DNS。
3. 按服务方要求配置IPsec与认证参数，保留原防火墙的管理保护；连接后检查运行状态与获取地址。
4. 隧道未运行时先查认证与底层可达性。此时不要提前把全部LAN导向这个接口，避免办公设备一起断网。

第二步：独立路由表与源地址规则

此处只采用routing rule思路。如果设备已有mangle routing-mark、VRF或多WAN策略，先梳理其优先级，不能机械叠加第二套分流。需要跨网段的回程，也要确认对端路由或源NAT方案。

1. 在Routing/Tables创建名为to-l2tp-test的表，并启用FIB。v7自定义表要先存在，才能被后续规则和路由引用。
2. 在该表建立测试所需的默认路由，下一跳选择已运行的点对点隧道接口；检查路由为有效状态，而不是仅有一条配置记录。
3. 在Routing/Rules添加源地址192.168.50.10/32的规则，指向to-l2tp-test。先为本地管理网段、需要访问的其他内网设置适当例外，避免终端连管理页面也绕远。
4. 明确使用lookup还是lookup-only-in-table：前者可以继续查后续表，后者在指定表无有效路径时不继续回落。按期望选择，并在实际断线时确认。

第三步：核对 NAT 与 FastTrack

如果对端不认识你的LAN网段，可能需要针对测试源地址与L2TP出接口设置源NAT；若已有覆盖该接口的正确规则，不要再加重复masquerade。不要把入站管理端口映射到公网作为排错捷径。

MikroTik官方指出FastTrack只适用于main路由表相关处理。测试非main表分流时，要让匹配测试终端的连接不被原FastTrack规则误处理；应按现有防火墙结构做精确例外，不能为了省事把所有过滤规则关闭。

更改策略后只重新建立测试终端相关会话，或等旧会话结束。清空整台路由器所有连接会中断其他用户，不应作为教程的默认步骤。

第四步：检查真实终端、DNS与IPv6

以上是本机只读检查示例，不会创建或删除规则。输出仍可能包含内部地址等信息，外发前先脱敏；不要启用show-sensitive收集密码。

• 用测试终端访问检测页并记录出口；再用未参加分流的终端检查原WAN没有改变。隧道状态、路由表与网页出口三者要相互印证。
• 路由器充当DNS递归/转发器时，DNS请求的源可能是路由器而非192.168.50.10，需独立决定DNS出线；浏览器的安全DNS也要一起检查。
• 本例的IPv4规则不能自动控制IPv6；IPv6无相同路径时应调整测试范围或建立配套策略，而不是把检测到的IPv6藏起来。
• 在获准中断的测试窗口停用隧道，确认lookup或lookup-only-in-table的实际行为，随后恢复；对依赖固定出口的业务，回落原WAN不一定是可接受结果。

/routing table print
/routing rule print detail
/ip route print detail where routing-table="to-l2tp-test"
/ip firewall nat print stats
/ip firewall filter print stats

回退与问题定位

保留原main出线，给本次新增条目写清测试备注。回退时先禁用测试源地址的routing rule，确认恢复原网络，再处理本次NAT、路由和隧道；不要误删原有多WAN或管理例外。

只在一个测试终端逐层检查：隧道是否运行、专用路由是否有效、源地址是否命中、NAT/回程是否正确，最后再看DNS和应用限制。IP出口改变不代表应用授权、账号安全或业务兼容一定通过。