Статическая маршрутизация на микротике

Это не маршрутизация, это всё тот же нат.

Как его настраивать там не знаю (и вообще умеет ли, хотя по идее должен уметь).

Но вроде ты хочешь обычный проброс udp-порта, и почему у тебя ip роутера виден вместо ip клиента я не знаю.

у меня сейчас обычный проброс порта и работает через NAT, по-этому в адресе клиента всегда IP роутера, а нужен IP клиента

я так понял, из того, что нашёл, можно на входящем интерфейсе отметить входящие на заданный порт пакеты отдельной меткой, а потом на каком уровне отловить пакеты с этой меткой и направить по определённому заранее созданному маршруту в локалку, но как это сделать не могу разобраться

по-этому в адресе клиента всегда IP роутера, а нужен IP клиента

Что значит «поэтому»? Нат не подразумевает подмену айпи внешнего хоста, он транслирует между айпи роутера и айпи внутреннего хоста.

Возможно у тебя какой-то неправильный режим нат выбран (которого в ширпотребных роутерах вообще нет).

можно на входящем интерфейсе отметить входящие пакеты отдельной меткой, а потом на каком уровне отловить пакеты с этой меткой и направить по определённому заранее созданному маршруту в локалку

Какая-то сложная мутная схема. Ещё раз повторю, что только маршрутизацией ты нужного эффекта не добьёшься. Тебе приходит пакет, у которого в адресе назначения указан твой внешний белый айпи, тебе надо этот адрес заменить на адрес сервера в твоей локалке - это и есть нат.

Возможно у тебя какой-то неправильный режим нат выбран (которого в ширпотребных роутерах вообще нет).

ВОзможно

там из доступных режимов nat chain: [dstnat|input|output|srcnat]

и action [accept|add dst to address list|add src to address list| dst-nat|endpoint-independent-nat|jump|log|masquerade|netmap|passthrought|redirect|return|same|src-nat]

сейчас работает в режиме chain: dstnat -> action: dst-nat

-j SNAT –to-source 198.168.10.2 или я неправильно понял

/ip firewall filter add action=accept chain=input dst-port=53 in-interface=ether1

/ip firewall nat add action=dst-nat chain=dstnat dst-address=ваш_белый_ip dst-port=53 to-addresses=192.168.10.2 to-ports=1053

Для того чтобы был виден внутренний адрес нужен туннель.

похоже это обычный NAT, так в запросах в client_addr.sin_addr приходят с IP роутера

не делай SNAT на внутреннем интерфейсе, делов-то

да, разобрался, если отключить дефолтное srcnat mascquerade то в client_addr.sin_addr реальные IP клиентов

но опять на этом сервере и в локалке отваливается интернет

решилось добавлением исключения

/ip firewall nat add chain=srcnat src-address=192.168.10.0/24 dst-address=192.168.10.2 action=accept place-before=0