Jump to content

Mikrotik проброс порта

Туйон

By Туйон,
in Router Layer 3

 Share Followers 1

Recommended Posts

Туйон

Туйон 1,324

Posted
Posted (edited)

Неожиданно столкнулся с вроде бы простой проблемой, но ломаю голову уже который час.

Имеется сеть предприятия.

Несколько интерфейсов, по которым подсети получают интернет.

На каждый интерфейс созданы правила scr-nat, по которым юзеры получают инет.

Предположим, что у нас есть доступ из подсети 192.168.1.10 со шлюзом 192.168.1.1

На другом интерфейсе этого же микротика имеется некое устройство с адресом 192.168.0.100, шлюз 192.168.0.1

Роутинг настроен, пинг на устройство есть.

Однако, нужно попасть на устройство по порту 80 так, чтобы это устройство видело запрос не от 192.168.1.10 (через роутинг) а от шлюза 192.168.0.1

В своё время какой-то умник настроил там удаленный доступ таким макаром, что в списке разрешенных есть только адрес шлюза, потому что в роли сервера была машина с виндовс7 и админили прямо оттуда.

 

Какое правило использовать?

Edited by Туйон
Link to post
Share on other sites
Dimkers

Dimkers 1,621

Posted
Posted
52 минуты назад, Туйон сказал:

Какое правило использовать?

src-nat :)

 

52 минуты назад, Туйон сказал:

На каждый интерфейс созданы правила scr-nat, по которым юзеры получают инет.

Указать адрес, куда(в какой IP) будут натится.

Link to post
Share on other sites
max_m

max_m 92

Posted
Posted

ну или если тебе конкретно на 80 порт надо чтобы виделось от ип 192.168.0.1, а по всем остальным портам от 192.168.1.10 то тогда так

add action=masquerade chain=srcnat dst-address=192.168.0.100 dst-port=80 protocol=tcp src-address=192.168.1.10

Link to post
Share on other sites
Dimkers

Dimkers 1,621

Posted
Posted

Только вы уточняйте, что маскарад более ресурсоемкий и используется чаще для динамических IP, пуляя пакеты тупо в ифейс.

Link to post
Share on other sites
max_m

max_m 92

Posted
Posted

Я так понимаю что это тупо для управления чем то и нагрузка там минимальна.  Ну если для нагрузки то тоды по другому тоды так

add action=src-nat chain=srcnat dst-address=192.168.0.100 src-address=192.168.1.10 to-addresses=192.168.0.1

Link to post
Share on other sites
DVSGROUP

DVSGROUP 127

Posted
Posted

Используйте src-nat вместо metmap при пробросе порта.

 

Чтоб трафик натился во втрую сетку, используйте masquerade.

Link to post
Share on other sites
Dimkers

Dimkers 1,621

Posted
Posted
1 час назад, max_m сказал:

нагрузка там минимальна. 

Дело не только в нагрузке. А в принципе для чего это используется.

53 минуты назад, DVSGROUP сказал:

Используйте src-nat вместо metmap при пробросе порта.

src нат для проброса порта? Наверное dst-nat?

54 минуты назад, DVSGROUP сказал:

Чтоб трафик натился во втрую сетку, используйте masquerade.

Трафик натится будет и при src-nat. Разницу между маскарадингом и src можете сами нагуглить.

Link to post
Share on other sites
DVSGROUP

DVSGROUP 127

Posted
Posted
В 05.07.2021 в 21:53, Dimkers сказал:

src нат для проброса порта? Наверное dst-nat?

верно, dst

 

В 05.07.2021 в 21:53, Dimkers сказал:

Трафик натится будет и при src-nat. Разницу между маскарадингом и src можете сами нагуглить.

 

Трафик можно как пробросить одним из правил dst-nat / netmap, так и натить.

 

В случае с dst - роутер не будет передавать IP клиента. В случае с netmap - отдаст IP клиента.

 

В случае с nat - аналогично dst-nat.

Link to post
Share on other sites
Dimkers

Dimkers 1,621

Posted
Posted
3 часа назад, DVSGROUP сказал:

Трафик можно как пробросить одним из правил dst-nat / netmap, так и натить.

Это все НАТ. Вдруг вы не в курсе  :)

3 часа назад, DVSGROUP сказал:

В случае с dst - роутер не будет передавать IP клиента. В случае с netmap - отдаст IP клиента.

 

В случае с nat - аналогично dst-nat.

Читайте внимательней. Ему нужно как раз в обратную сторону, из сети к серверу. И чтоб в логах на сервере светился не адрес ПК из сетки, а адрес шлюза с НАТом :)

Т.е. обычная замена src IP в пакете, которая делается как раз через src-nat  :)

 

Link to post
Share on other sites
Kiano

Kiano 616

Posted
Posted

По принципу хеирпин нат посмотри

Если не дойдет - пиши, растолкую

Это не редкая проблема ))

  • Like 1
Link to post
Share on other sites
  • 4 weeks later...
Туйон

Туйон 1,324

Posted
  • Author
Posted

Возник другой вопрос по данной теме.

Имеется микрот.

Имеется сервер с RDP, подключен к микроту.

На сервере настройка сетевухи 192.168.1.100, шлюза нет! (может дело в этом?)

Т.е. сервер не получает доступ в интернет, к нему просто обращаются из локалки на адрес 192.168.1.100 и подключаются RDP.

Стал вопрос чтобы юзеры могли подключаться откуда угодно из мира.

На микроте подключен интернет, соединение PPPoE, статичский ай-пи.

 

Делал так - не работает.

/ip firewall nat
add action=netmap chain=dstnat dst-port=3389 in-interface=pppoe protocol=tcp to-addresses=192.168.1.100 to-ports=3389
add action=masquerade chain=srcnat out-interface=pppoe

 

И пробовал другие варианты, типа вместо маскарада скрнат, и вместо нетмапа дстнат - не подключается.

 

В чем проблема? Сервак получает интернет через другую сетевуху, на той сетевухе шлюз прописан, т.е. 0.0.0.0/0 на другой провайдер.

На сетевухе которая смотрит на микротик - шлюза нет.

Но разве оно не должно работать, ведь и сервер и микрот в одной подсети 192.168.1.100 (сервер) и 192.168.1.101 (микрот).

 

Если нужен маршрут на сервере, то какой?

Я так понимаю, маршруту 0.0.0.0/0 на другой сетевухе (где интернет от другого провайдера) нужно поднять метрику.

А для сетевухи, которая смотрит на микротик, прописать маршрут с меньшей мерикой.
 

Link to post
Share on other sites
linkar

linkar 59

Posted
Posted
1 час назад, Туйон сказал:

Если нужен маршрут на сервере, то какой?

Я так понимаю, маршруту 0.0.0.0/0 на другой сетевухе (где интернет от другого провайдера) нужно поднять метрику.

А для сетевухи, которая смотрит на микротик, прописать маршрут с меньшей мерикой.

Насколько я помню, маршрут на подсеть, отведенную под vpn. Метрики не надо трогать, при поиске маршрута, как и в linux, сначала смотрится маска сети.

  • Like 1
Link to post
Share on other sites
tkapluk

tkapluk 926

Posted
Posted
10 часов назад, Туйон сказал:

Но разве оно не должно работать, ведь и сервер и микрот в одной подсети 192.168.1.100 (сервер) и 192.168.1.101 (микрот).

не должно. На сервер прилетает пакет с src адресом рдп-клиента, а не микрота. Вот сервер и отвечает на  src адрес через второго провайдера. 

 

Лучше загони пользователей в ВПН, и пусть юзают РДП как по локалке. 

  • Like 3
Link to post
Share on other sites
Dimkers

Dimkers 1,621

Posted
Posted (edited)

Или прописать на серваче вручную роуты к сетям абонов через микротик. Но я тоже больше склоняюсь к тунелю.

Edited by Dimkers
Link to post
Share on other sites
Kiano

Kiano 616

Posted
Posted

Или прописать srcnat на микроте, чтобы все пришедшие на микрот запросы предназначенные для рдп маскарадились, в свою очередь серв рдп видел ип микрота, тогда всё будет

Link to post
Share on other sites
Туйон

Туйон 1,324

Posted
  • Author
Posted
16 часов назад, Kiano сказал:

Или прописать srcnat на микроте, чтобы все пришедшие на микрот запросы предназначенные для рдп маскарадились, в свою очередь серв рдп видел ип микрота, тогда всё будет

Можно подробнее?

Link to post
Share on other sites
Dimkers

Dimkers 1,621

Posted
Posted (edited)

Я бы не стал так делть ввиду того, что при макарадинге внешний IP пришедшего сменится на  внутренний IP микрота и во всех логах сервака будет светиться IP микрота. Тогда для нормальнго разбора инцидентов потребуется еще и флов с микрота сливить.

Самым безопасным считаю поднятие шифрованного туннеля до микрота каждому юзеру со своим IP. тем более это гребаный РДП, который вечно брутят.

Edited by Dimkers
Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
 Share
Followers 1
Go to topic listing

  • Recently Browsing   0 members

    No registered users viewing this page.

  • Similar Content

    • ГрозаИнтернета
      Продам оборудование.
      By ГрозаИнтернета
      Всем привет. Сеть разбили, продаю оборудование, которое удалось спасти.
      Роутер MikroTik 1036-12G-4S - 16500 грн.
      Сервер Dell R410(Xeon L5640(60Вт), 16 Gb RAM, 2x300 Gb SAS, iDrac, Raid, IPMI) - 4500 грн.
      Коммутатор ZyXEL MES-3528 - 2000 грн.
      Коммутатор HUAWEI S2326 - 1500 грн.
      Коммутатор Dell PowerConnect 6224F(опц.10G) - 5000 грн
      Коммутатор D-Link DGS-3627G (нюанс) - 1000 грн
      OLT BDCom P3310(Пролайн упс) - 9000 грн
      Упс APCSmart-UPS RT 2000 + картаAP9619 + кабель для подключения внешних АКБ - 12500 грн.
      Коммутатор ELTEX MES2324FB AC в коробке - 10000
      OLT EPON E9004-D 10G (Пролайн упс) в коробке - 10000
      Кабель OK-NET S/FTP Cat.6a 500Mhz LSOH AWG 23 4pr 280 метров - 8500
      Куча SFP EPON C+++, SFP SC, сетевые карты, твинакс кабеля.

    • Інет.укр
      Продам MikroTik RB
      By Інет.укр
      Продам mikrotik rb2011 червоний 1200грн
      MikroTik RB2011UiAS  1400грн
      MikroTik RB3011 новий $85
      MikroTik RB4011iGS+RM  новий 170$ 
      MikroTik RB750UP - 550грн
      MikroTik  RB750P-PB - 800грн
      MikroTik RB960PGS-PB PowerBox Pro  Новий 80$
      RB433, RB600, RB800 ціна договірна.
       
    • Інет.укр
      Продам MikroTik CRS
      By Інет.укр
      Продам CRS226-24g-2s+RM б.у 3500грн
      CRS326-24g-2s+IN новий 148$
      CRS212-1g-10s-1s+in  б.у 99$
      CRS305-1g-4s+in б.у $100
       
    • viktorrc17
      Mikrotik проброс порта допоможіть
      By viktorrc17
      Є мікротік з білим ip 37.57.хх.хх Налаштований nat. Srcnat- masquerade
      Lan 192.168.0.1
      До нього підключено другий мікротік по dhcp 192.168.0.2 
      Налаштований nat. Srcnat- masquerade
      Lan 192.168.1.1
      До другого роутера підключено nanostation з адресою 192.168.1.5
      На першому мікротік прокинув порт на другій мікротік. ( Chain-dstnat.  Protocol-  tcp. Dst port 726.  Action - dst-nat. To adress 192.168.0.2  To ports 80)
      Доступ на другий мікротік по білому ір є. 
      Треба зробити доступ на nanostation з білого ір.
      Підкажіть, прописував по аналогії з першим мікротіком на 192.168.1.5. Нічого не вийшло
       
    • defence_k
      ЗСУ потребує MikroTik RB751U(G)-2HnD або аналогічні
      By defence_k
      Військовій частині ЗСУ дуже потрібні старенькі MikroTik RB751U(G)-2HnD або аналогічні. Наявність блока живлення та стан корпуса байдуже, живитися будуть по РоЕ. RB951 теж годяться, проте в них гірший радіотракт . 
      Будемо вдячні за кожен пристрій.
      PS не відмовимося від фахової консультації з побудови CAPsMAN
×
×
  • Create New...