Перейти к содержимому

Mikrotik проброс порта

Туйон

Автор: Туйон,
в Маршрутизатор L3

 Share Подписчики 1

Рекомендованные сообщения

Туйон

Туйон 1 324

Опубликовано:
Опубликовано: (изменено)

Неожиданно столкнулся с вроде бы простой проблемой, но ломаю голову уже который час.

Имеется сеть предприятия.

Несколько интерфейсов, по которым подсети получают интернет.

На каждый интерфейс созданы правила scr-nat, по которым юзеры получают инет.

Предположим, что у нас есть доступ из подсети 192.168.1.10 со шлюзом 192.168.1.1

На другом интерфейсе этого же микротика имеется некое устройство с адресом 192.168.0.100, шлюз 192.168.0.1

Роутинг настроен, пинг на устройство есть.

Однако, нужно попасть на устройство по порту 80 так, чтобы это устройство видело запрос не от 192.168.1.10 (через роутинг) а от шлюза 192.168.0.1

В своё время какой-то умник настроил там удаленный доступ таким макаром, что в списке разрешенных есть только адрес шлюза, потому что в роли сервера была машина с виндовс7 и админили прямо оттуда.

 

Какое правило использовать?

Изменено пользователем Туйон
Ссылка на сообщение
Поделиться на других сайтах
Dimkers

Dimkers 1 621

Опубликовано:
Опубликовано:
52 минуты назад, Туйон сказал:

Какое правило использовать?

src-nat :)

 

52 минуты назад, Туйон сказал:

На каждый интерфейс созданы правила scr-nat, по которым юзеры получают инет.

Указать адрес, куда(в какой IP) будут натится.

Ссылка на сообщение
Поделиться на других сайтах
max_m

max_m 92

Опубликовано:
Опубликовано:

ну или если тебе конкретно на 80 порт надо чтобы виделось от ип 192.168.0.1, а по всем остальным портам от 192.168.1.10 то тогда так

add action=masquerade chain=srcnat dst-address=192.168.0.100 dst-port=80 protocol=tcp src-address=192.168.1.10

Ссылка на сообщение
Поделиться на других сайтах
Dimkers

Dimkers 1 621

Опубликовано:
Опубликовано:

Только вы уточняйте, что маскарад более ресурсоемкий и используется чаще для динамических IP, пуляя пакеты тупо в ифейс.

Ссылка на сообщение
Поделиться на других сайтах
max_m

max_m 92

Опубликовано:
Опубликовано:

Я так понимаю что это тупо для управления чем то и нагрузка там минимальна.  Ну если для нагрузки то тоды по другому тоды так

add action=src-nat chain=srcnat dst-address=192.168.0.100 src-address=192.168.1.10 to-addresses=192.168.0.1

Ссылка на сообщение
Поделиться на других сайтах
DVSGROUP

DVSGROUP 127

Опубликовано:
Опубликовано:

Используйте src-nat вместо metmap при пробросе порта.

 

Чтоб трафик натился во втрую сетку, используйте masquerade.

Ссылка на сообщение
Поделиться на других сайтах
Dimkers

Dimkers 1 621

Опубликовано:
Опубликовано:
1 час назад, max_m сказал:

нагрузка там минимальна. 

Дело не только в нагрузке. А в принципе для чего это используется.

53 минуты назад, DVSGROUP сказал:

Используйте src-nat вместо metmap при пробросе порта.

src нат для проброса порта? Наверное dst-nat?

54 минуты назад, DVSGROUP сказал:

Чтоб трафик натился во втрую сетку, используйте masquerade.

Трафик натится будет и при src-nat. Разницу между маскарадингом и src можете сами нагуглить.

Ссылка на сообщение
Поделиться на других сайтах
DVSGROUP

DVSGROUP 127

Опубликовано:
Опубликовано:
В 05.07.2021 в 21:53, Dimkers сказал:

src нат для проброса порта? Наверное dst-nat?

верно, dst

 

В 05.07.2021 в 21:53, Dimkers сказал:

Трафик натится будет и при src-nat. Разницу между маскарадингом и src можете сами нагуглить.

 

Трафик можно как пробросить одним из правил dst-nat / netmap, так и натить.

 

В случае с dst - роутер не будет передавать IP клиента. В случае с netmap - отдаст IP клиента.

 

В случае с nat - аналогично dst-nat.

Ссылка на сообщение
Поделиться на других сайтах
Dimkers

Dimkers 1 621

Опубликовано:
Опубликовано:
3 часа назад, DVSGROUP сказал:

Трафик можно как пробросить одним из правил dst-nat / netmap, так и натить.

Это все НАТ. Вдруг вы не в курсе  :)

3 часа назад, DVSGROUP сказал:

В случае с dst - роутер не будет передавать IP клиента. В случае с netmap - отдаст IP клиента.

 

В случае с nat - аналогично dst-nat.

Читайте внимательней. Ему нужно как раз в обратную сторону, из сети к серверу. И чтоб в логах на сервере светился не адрес ПК из сетки, а адрес шлюза с НАТом :)

Т.е. обычная замена src IP в пакете, которая делается как раз через src-nat  :)

 

Ссылка на сообщение
Поделиться на других сайтах
  • 4 weeks later...
Туйон

Туйон 1 324

Опубликовано:
  • Автор
Опубликовано:

Возник другой вопрос по данной теме.

Имеется микрот.

Имеется сервер с RDP, подключен к микроту.

На сервере настройка сетевухи 192.168.1.100, шлюза нет! (может дело в этом?)

Т.е. сервер не получает доступ в интернет, к нему просто обращаются из локалки на адрес 192.168.1.100 и подключаются RDP.

Стал вопрос чтобы юзеры могли подключаться откуда угодно из мира.

На микроте подключен интернет, соединение PPPoE, статичский ай-пи.

 

Делал так - не работает.

/ip firewall nat
add action=netmap chain=dstnat dst-port=3389 in-interface=pppoe protocol=tcp to-addresses=192.168.1.100 to-ports=3389
add action=masquerade chain=srcnat out-interface=pppoe

 

И пробовал другие варианты, типа вместо маскарада скрнат, и вместо нетмапа дстнат - не подключается.

 

В чем проблема? Сервак получает интернет через другую сетевуху, на той сетевухе шлюз прописан, т.е. 0.0.0.0/0 на другой провайдер.

На сетевухе которая смотрит на микротик - шлюза нет.

Но разве оно не должно работать, ведь и сервер и микрот в одной подсети 192.168.1.100 (сервер) и 192.168.1.101 (микрот).

 

Если нужен маршрут на сервере, то какой?

Я так понимаю, маршруту 0.0.0.0/0 на другой сетевухе (где интернет от другого провайдера) нужно поднять метрику.

А для сетевухи, которая смотрит на микротик, прописать маршрут с меньшей мерикой.
 

Ссылка на сообщение
Поделиться на других сайтах
linkar

linkar 59

Опубликовано:
Опубликовано:
1 час назад, Туйон сказал:

Если нужен маршрут на сервере, то какой?

Я так понимаю, маршруту 0.0.0.0/0 на другой сетевухе (где интернет от другого провайдера) нужно поднять метрику.

А для сетевухи, которая смотрит на микротик, прописать маршрут с меньшей мерикой.

Насколько я помню, маршрут на подсеть, отведенную под vpn. Метрики не надо трогать, при поиске маршрута, как и в linux, сначала смотрится маска сети.

  • Like 1
Ссылка на сообщение
Поделиться на других сайтах
tkapluk

tkapluk 926

Опубликовано:
Опубликовано:
10 часов назад, Туйон сказал:

Но разве оно не должно работать, ведь и сервер и микрот в одной подсети 192.168.1.100 (сервер) и 192.168.1.101 (микрот).

не должно. На сервер прилетает пакет с src адресом рдп-клиента, а не микрота. Вот сервер и отвечает на  src адрес через второго провайдера. 

 

Лучше загони пользователей в ВПН, и пусть юзают РДП как по локалке. 

  • Like 3
Ссылка на сообщение
Поделиться на других сайтах
Dimkers

Dimkers 1 621

Опубликовано:
Опубликовано: (изменено)

Или прописать на серваче вручную роуты к сетям абонов через микротик. Но я тоже больше склоняюсь к тунелю.

Изменено пользователем Dimkers
Ссылка на сообщение
Поделиться на других сайтах
Kiano

Kiano 616

Опубликовано:
Опубликовано:

Или прописать srcnat на микроте, чтобы все пришедшие на микрот запросы предназначенные для рдп маскарадились, в свою очередь серв рдп видел ип микрота, тогда всё будет

Ссылка на сообщение
Поделиться на других сайтах
Туйон

Туйон 1 324

Опубликовано:
  • Автор
Опубликовано:
16 часов назад, Kiano сказал:

Или прописать srcnat на микроте, чтобы все пришедшие на микрот запросы предназначенные для рдп маскарадились, в свою очередь серв рдп видел ип микрота, тогда всё будет

Можно подробнее?

Ссылка на сообщение
Поделиться на других сайтах
Dimkers

Dimkers 1 621

Опубликовано:
Опубликовано: (изменено)

Я бы не стал так делть ввиду того, что при макарадинге внешний IP пришедшего сменится на  внутренний IP микрота и во всех логах сервака будет светиться IP микрота. Тогда для нормальнго разбора инцидентов потребуется еще и флов с микрота сливить.

Самым безопасным считаю поднятие шифрованного туннеля до микрота каждому юзеру со своим IP. тем более это гребаный РДП, который вечно брутят.

Изменено пользователем Dimkers
Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Войти

Уже зарегистрированы? Войдите здесь.

Войти сейчас
 Share
Подписчики 1
Перейти к списку тем

  • Сейчас на странице   0 пользователей

    Нет пользователей, просматривающих эту страницу.

  • Похожие публикации

    • ГрозаИнтернета
      Продам оборудование.
      Автор: ГрозаИнтернета
      Всем привет. Сеть разбили, продаю оборудование, которое удалось спасти.
      Роутер MikroTik 1036-12G-4S - 16500 грн.
      Сервер Dell R410(Xeon L5640(60Вт), 16 Gb RAM, 2x300 Gb SAS, iDrac, Raid, IPMI) - 4500 грн.
      Коммутатор ZyXEL MES-3528 - 2000 грн.
      Коммутатор HUAWEI S2326 - 1500 грн.
      Коммутатор Dell PowerConnect 6224F(опц.10G) - 5000 грн
      Коммутатор D-Link DGS-3627G (нюанс) - 1000 грн
      OLT BDCom P3310(Пролайн упс) - 9000 грн
      Упс APCSmart-UPS RT 2000 + картаAP9619 + кабель для подключения внешних АКБ - 12500 грн.
      Коммутатор ELTEX MES2324FB AC в коробке - 10000
      OLT EPON E9004-D 10G (Пролайн упс) в коробке - 10000
      Кабель OK-NET S/FTP Cat.6a 500Mhz LSOH AWG 23 4pr 280 метров - 8500
      Куча SFP EPON C+++, SFP SC, сетевые карты, твинакс кабеля.

    • Інет.укр
      Продам MikroTik RB
      Автор: Інет.укр
      Продам mikrotik rb2011 червоний 1200грн
      MikroTik RB2011UiAS  1400грн
      MikroTik RB3011 новий $85
      MikroTik RB4011iGS+RM  новий 170$ 
      MikroTik RB750UP - 550грн
      MikroTik  RB750P-PB - 800грн
      MikroTik RB960PGS-PB PowerBox Pro  Новий 80$
      RB433, RB600, RB800 ціна договірна.
       
    • Інет.укр
      Продам MikroTik CRS
      Автор: Інет.укр
      Продам CRS226-24g-2s+RM б.у 3500грн
      CRS326-24g-2s+IN новий 148$
      CRS212-1g-10s-1s+in  б.у 99$
      CRS305-1g-4s+in б.у $100
       
    • viktorrc17
      Mikrotik проброс порта допоможіть
      Автор: viktorrc17
      Є мікротік з білим ip 37.57.хх.хх Налаштований nat. Srcnat- masquerade
      Lan 192.168.0.1
      До нього підключено другий мікротік по dhcp 192.168.0.2 
      Налаштований nat. Srcnat- masquerade
      Lan 192.168.1.1
      До другого роутера підключено nanostation з адресою 192.168.1.5
      На першому мікротік прокинув порт на другій мікротік. ( Chain-dstnat.  Protocol-  tcp. Dst port 726.  Action - dst-nat. To adress 192.168.0.2  To ports 80)
      Доступ на другий мікротік по білому ір є. 
      Треба зробити доступ на nanostation з білого ір.
      Підкажіть, прописував по аналогії з першим мікротіком на 192.168.1.5. Нічого не вийшло
       
    • defence_k
      ЗСУ потребує MikroTik RB751U(G)-2HnD або аналогічні
      Автор: defence_k
      Військовій частині ЗСУ дуже потрібні старенькі MikroTik RB751U(G)-2HnD або аналогічні. Наявність блока живлення та стан корпуса байдуже, живитися будуть по РоЕ. RB951 теж годяться, проте в них гірший радіотракт . 
      Будемо вдячні за кожен пристрій.
      PS не відмовимося від фахової консультації з побудови CAPsMAN
×
×
  • Создать...