能否仅通过L2TP隧道SSH访问家庭服务器，其余流量保持原有路径？

完全可以实现你的需求，无需将家庭所有流量都通过L2TP隧道转发。以下是针对MikroTik路由器的具体配置步骤：

1. 配置L2TP客户端（禁用默认路由） #

建立L2TP连接时，核心是不让L2TP成为默认路由，确保家庭日常流量仍走原有LTE链路。执行命令：

/interface l2tp-client add connect-to=AA_L2TP_SERVER_IP user=YOUR_USERNAME password=YOUR_PASSWORD disabled=no add-default-route=no

• add-default-route=no 是关键参数，避免系统自动将所有流量导向L2TP隧道。
• 配置完成后，可通过 /interface l2tp-client print 确认连接状态，虚拟接口名称通常为 l2tp-out1。

2. 创建专用路由表与路由规则 #

为SSH流量单独指定L2TP隧道路径：

1. 添加指向L2TP隧道的路由表：

/ip route add dst-address=0.0.0.0/0 gateway=l2tp-out1 routing-mark=l2tp-ssh

这里创建了标记为 l2tp-ssh 的路由表，所有匹配该标记的流量都会走L2TP隧道。

2. 添加Mangle规则标记SSH流量：

/ip firewall mangle add chain=prerouting dst-address=YOUR_L2TP_STATIC_IP dst-port=22 protocol=tcp action=mark-routing new-routing-mark=l2tp-ssh

该规则会将发往L2TP静态IP的22端口（SSH）流量标记为使用 l2tp-ssh 路由表，确保这类流量单独走隧道。

3. 配置端口转发到内部Debian服务器 #

将L2TP接口收到的SSH请求转发到家庭局域网内的Debian服务器：

/ip firewall nat add chain=dstnat dst-address=YOUR_L2TP_STATIC_IP dst-port=22 protocol=tcp action=dst-nat to-addresses=DEBIAN_LAN_IP to-ports=22

替换 DEBIAN_LAN_IP 为你的Debian服务器在家庭局域网内的IP地址。

4. 验证原有流量路由 #

确认家庭默认流量仍走LTE链路：
执行 /ip route print 查看路由表，确保默认路由（dst-address=0.0.0.0/0）的网关指向 lte1 接口，且优先级高于L2TP相关路由（默认情况下，未添加默认路由的L2TP不会干扰原有路由）。

测试验证 #

• 从外部网络发起SSH连接到你的L2TP静态IP，确认能正常访问Debian服务器。
• 用家庭设备访问外网，通过 traceroute 或路由器流量统计（/interface monitor-traffic）确认流量走的是 lte1 接口而非L2TP隧道。

内容的提问来源于stack exchange，提问作者r0berts