LINUX.ORG.RU
Форум — Admin  

Проброс портов на Mikrotik что-то не работает

 , ,


0

2

Есть микротик, который держит связь со внешним миром с помощью пппое (белый айпишник), есть через свитч от него комп, который держит связь со внешним миром через ппп (серый айпишник). Оба в одной подсети 192.168.1.0/24.
Потребовалось из другого места попадать на комп. На микротике настроил no-ip (работает, адрес обновляет, на пинги отвечает), в файрволе на микротике в итоге оказались следующие правила (мне нужен ssh, микротик ещё и интернеты раздаёт): 

[admin@MikroTik] > /ip firewall nat print 
Flags: X - disabled, I - invalid, D - dynamic 
 0   ;;; ssh to komp
     chain=dstnat action=netmap to-addresses=192.168.1.3 to-ports=22 protocol=tcp in-interface=pppoe-out1 dst-port=22 

 1   chain=srcnat action=masquerade out-interface=pppoe-out1
На компе, собственно, только так: 
iptables -F
iptables -X
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
При попытке подключиться по внешке через SSH получаю таймаут. ЧЯДНТ? Нубодогадка: комп принимает пакеты на один интерфейс, отвечает в другой? P.S. Простите, что пложу нубовопросы, мне больше некуда :(

★★★
← VPS сервер в оффшорной зоне.
Как понять администратора с его -j DROP ? →

Ответ на: комментарий от buzer

кстати, а какое имя интерфейса мне указывать? Просто как-то странно в добавлении правила в фильтр в графу In. Interface писать pppoe-out1...

kostett ★★★
() автор топика

У меня от так работает без проблем:

[admin@test] > ip firewall nat print 
Flags: X - disabled, I - invalid, D - dynamic 
 0   chain=dstnat action=dst-nat to-addresses=10.1.249.13 to-ports=22 protocol=tcp dst-address=10.0.20.13 dst-port=2222 

 ..................
black_13 ★
()
Ответ на: комментарий от kostett

Просто как-то странно в добавлении правила в фильтр в графу In. Interface писать pppoe-out1...

Назови по-другому, и не будет так странно.

edigaryev ★★★★★
()
Ответ на: комментарий от black_13

есле поглядеть схему прохождения пакетов то ясно видно что после dst-nat попадаем напрмую в filter :)

тык

кстати, а какое имя интерфейса мне указывать? Просто как-то странно в добавлении правила в фильтр в графу In. Interface писать pppoe-out1.

пофигу , как назавешь так и полетит :)

buzer
()

Блин, точно! Я на кой-то хрен указал in. interface в правиле NAT, дубовая моя голова. Теперь хотя бы не таймаут, а микротик. Что я ещё забыл?

kostett ★★★
() автор топика
Ответ на: комментарий от edigaryev

netmap - одна бабка сказала, что лучше. Поменял на dst-nat, ситуация не изменилась. 

[admin@MikroTik] /ip firewall filter> print
Flags: X - disabled, I - invalid, D - dynamic 
 0   ;;; ssh to komp
     chain=forward action=accept protocol=tcp dst-address=192.168.1.3 in-interface=!pppoe-out1 dst-port=22

kostett ★★★
() автор топика
Последнее исправление: kostett (всего исправлений: 1)
Ответ на: комментарий от black_13

filter чуть выше, nat вот 

[admin@MikroTik] > /ip firewall nat print 
Flags: X - disabled, I - invalid, D - dynamic 
 0   ;;; ssh to komp
     chain=dstnat action=dst-nat to-addresses=192.168.1.3 to-ports=22 protocol=tcp dst-port=22 

 1   chain=srcnat action=masquerade out-interface=pppoe-out1

kostett ★★★
() автор топика
Последнее исправление: kostett (всего исправлений: 1)
Ответ на: комментарий от kostett

ether2 по ссылке это скорее локальный интерфейс

buzer
()

Например я так пробрасывал порты, все работает. Но для доступа в локалку, имхо, удобнее впн поднять на том же микротике. 

0   chain=srcnat action=masquerade to-addresses=0.0.0.0 src-address=192.168.0.0/23 out-interface=pppoe-out1 
......
7   ;;; Port Forward
    chain=dstnat action=dst-nat to-addresses=192.168.1.10 to-ports=17133 protocol=tcp in-interface=pppoe-out1 dst-port=17133

KillTheCat ★★★★★
() 
#маскарад, ether1 - аплинк
chain=srcnat action=masquerade to-addresses=0.0.0.0 out-interface=ether1

#проброс порта, to-addresses - назначение
chain=dstnat action=dst-nat to-addresses=192.168.1.3 protocol=tcp in-interface=ether1 dst-port=22

ну и смотри на микротике, как у тебя трафик бегает в файрволе. Если на подключение на 22 порт отвечает микротик, значит в nat что-то не так.

Alsvartr ★★★★★
()
Ответ на: комментарий от KillTheCat

Чорт, что ж я раньше-то про VPN не знал! Щас по этой статье настроил всё за пять минут и всё работает идеально! Охренеть! Наконец-то на работу ходить не надо :))
Спасибо огромное!

kostett ★★★
() автор топика
4 марта 2015 г.

проброс 80-го порта

Доброго времени суток! Подскажите пожалуйста как правильно пробросить 80-ый порт на микротике. Суть задачи такова: Есть локальный ПК с веб-сервером на 80-ом порту, нужно показать его в мир. В NAT firewall есть правило masquarade и dst-nat проблема в том что с интернета зайти в браузер на 80-ый порт получается и все ок, а вот с локалки, когда я вбиваю домен (который уже прикручен на мой внешний айпи) у меня подвисает страница и нету никакого ответа.

monte-fm
()
Ответ на: комментарий от monte-fm

У меня дома всё работает примерно так:

[admin@MikroTik RB951G-2HnD] /ip firewall nat> print
Flags: X - disabled, I - invalid, D - dynamic
0   ;;; default configuration
     chain=srcnat action=masquerade to-addresses=0.0.0.0 out-interface=pppoe-out1

1   chain=dstnat action=netmap to-addresses=192.168.1.34 protocol=tcp in-interface=ether1-gateway dst-port=80

2   chain=srcnat action=masquerade protocol=tcp src-address=192.168.1.0/24

3   chain=dstnat action=dst-nat to-addresses=192.168.1.34 protocol=tcp
     dst-address-type=local dst-port=80

когда буду дома, могу посмотреть, как это через вебморду выглядит

overmind88 ★★★★★
()
Последнее исправление: overmind88 (всего исправлений: 1)
Ответ на: комментарий от overmind88

если прошивка 6-ая то думаю веб не отличается, буду благодарен за скрины веб-формы

monte-fm
()
Ответ на: комментарий от overmind88

разобрался в твоем посте - поставил, все работает! спасибо огромное! в мануалах на сайте микротика они не указывали что нужно сделать dst-address-type=local вот в этом и была вся проблема с моей стороны

monte-fm
()
Ответ на: комментарий от monte-fm

0 chain=srcnat action=masquerade out-interface=Internet-main log=no log-prefix=«»

1 chain=dstnat action=netmap to-addresses=192.168.10.10 protocol=tcp dst-port=37778 log=yes log-prefix=«»

2 chain=srcnat action=masquerade protocol=tcp src-address=192.168.10.0/24 log=no log-prefix=«»

3 chain=dstnat action=dst-nat to-addresses=192.168.10.10 protocol=tcp dst-address-type=local dst-port=37778 log=no log-prefix=«»

ether2 - порт подключения копьютера ether6 - порт WAN Internet-main - PPPoE соединение (динамический адрес 31.23.252.70) В логе видим: dstnat: in:Internet-main out: (none), proto TCP (SYN), 93.178.90.91:49540 -> 31.23.252.70:37778 len 52

Почему не работает?

wwwboy
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← VPS сервер в оффшорной зоне.
Admin
Как понять администратора с его -j DROP ? →