Уважаемые Техподдержка, прошу помочь в изучении причины неработающей трансляции.
Настроил трансляцию внешний ip 3389 на внутренний ip 3389.
Счетчик правила растет при попытке подсоединиться с wan интерфейса. При каждой попытке увеличивается на 2 пакета.
Вчера 4 часа просидел, пробовал различные варианты указания параметров правил. Добавил правила разрешающие все на вход и на выход. счетчики растут - а результата нет.
Есть опыт в настройке маршуртизаторов от малых домашних до Cisco и прочих Unix подобных. Не пойму в чем проблема.
Спасибо за возможные ответы.
ТС предупреждаю за нарушение Пункта 3 Правил форума. Пока ласково...
DST NAT. Mikrotik 750 RB. Не работает проброс портов.
-
Pavst83
- Сообщения: 1
- Зарегистрирован: 11 июл 2014, 15:50
У меня точно такая же ситуация, уже всю голову сломал, только проблема с ftp
-
gmx
- Модератор
- Сообщения: 3416
- Зарегистрирован: 01 окт 2012, 14:48
Господа!
Вопрос про "проброс" портов возникает на форуме с завидным постоянством.
И хотелось бы подвести черту...
1. "Проброс" портов и порт-маппинг в микротике работает. И это аксиома!!! Он работает всегда, года с 1999, когда только ROS появилась.
2. В простейшем случае проброс RDP выглядит так:
chain=dstnat action=dst-nat to-addresses=192.168.77.188 to-ports=3389
protocol=tcp dst-port=3389
где 192.168.77.188 - адрес локального компа.
Именно эта строчка мне обеспечивает доступ,ну как минимум, к шести удаленным столам.
Больше я так не настраиваю. Более правильно настроить VPN и подключаться к ЛЮБОМУ компу в сети, а не к тому, к которому проброшен порт.
3. Проброс портов и порт-мапинг, который вы настраиваете на микротке, будет работать только в том случае, если именно микротик и есть шлюз на компьютерах.
4. Уже применительно к проблеме топикстартера:
у меня только один вопрос: зачем??? Зачем вам столько правил фаерволла, если вы их сами не создавали и затрудняетесь в понимании их назначения??? У вас мания преследования?
а) итак, все правила "в топку". Если уж они вам так важны, то временно выключите их.
б) поглядите у вас в настройках встречается сеть 192.168.0.0 и 192.168.1.0. Это так и должно быть??? Или вы что-то напутали? Уж в такие подробности вникать не стал.
На вскидку у вас настроен DHCP на сеть 192.168.1.0 со шлюзом 192.168.1.1, а IP у микротика 192.168.0.3. Так какой шлюз на клиентах сейчас стоит???
5. Иными словами, из всего вышесказанного: будьте внимательны!!!
Вопрос про "проброс" портов возникает на форуме с завидным постоянством.
И хотелось бы подвести черту...
1. "Проброс" портов и порт-маппинг в микротике работает. И это аксиома!!! Он работает всегда, года с 1999, когда только ROS появилась.
2. В простейшем случае проброс RDP выглядит так:
chain=dstnat action=dst-nat to-addresses=192.168.77.188 to-ports=3389
protocol=tcp dst-port=3389
где 192.168.77.188 - адрес локального компа.
Именно эта строчка мне обеспечивает доступ,ну как минимум, к шести удаленным столам.
Больше я так не настраиваю. Более правильно настроить VPN и подключаться к ЛЮБОМУ компу в сети, а не к тому, к которому проброшен порт.
3. Проброс портов и порт-мапинг, который вы настраиваете на микротке, будет работать только в том случае, если именно микротик и есть шлюз на компьютерах.
4. Уже применительно к проблеме топикстартера:
у меня только один вопрос: зачем??? Зачем вам столько правил фаерволла, если вы их сами не создавали и затрудняетесь в понимании их назначения??? У вас мания преследования?
а) итак, все правила "в топку". Если уж они вам так важны, то временно выключите их.
б) поглядите у вас в настройках встречается сеть 192.168.0.0 и 192.168.1.0. Это так и должно быть??? Или вы что-то напутали? Уж в такие подробности вникать не стал.
На вскидку у вас настроен DHCP на сеть 192.168.1.0 со шлюзом 192.168.1.1, а IP у микротика 192.168.0.3. Так какой шлюз на клиентах сейчас стоит???
5. Иными словами, из всего вышесказанного: будьте внимательны!!!
-
RomanovDF
- Сообщения: 19
- Зарегистрирован: 03 апр 2013, 16:39
Подобная проблема
750GL v5.23
До этого всё работало, теперь нет. Хотя всё старое по прежнему работает.
Попытался отследить маршрут пакетов в недрах.
В мангле, прероутинге и инпуте пакеты появляются в форварде нет.
В фильтре появляются в инпуте, далее нигде нет.
Что это может быть?
Конфиг приложен.
750GL v5.23
До этого всё работало, теперь нет. Хотя всё старое по прежнему работает.
Попытался отследить маршрут пакетов в недрах.
В мангле, прероутинге и инпуте пакеты появляются в форварде нет.
В фильтре появляются в инпуте, далее нигде нет.
Что это может быть?
Конфиг приложен.
-
podarok66
- Модератор
- Сообщения: 4402
- Зарегистрирован: 11 фев 2012, 18:49
- Откуда: МО
Естественно тишина, постом выше изложены основы проброса портов и портмапинга на Микротике. Изложены человеком, работающим с данным оборудованием ни год и ни два. Вы хотите чтобы кто-то разбирался в Вашей путанице пулов и вланов, разрешений и запретов? Лучше Вы попробуйте последовать советам бывалого человека, там всего 5 пунктов.
Мануалы изучил и нигде не ошибся? Фаервол отключил? Очереди погасил? Витая пара проверена? ... Тогда Netinstal'ом железку прошей и настрой ее заново. Что, все равно не фурычит? Тогда к нам. Если не подскажем, хоть посочувствуем...
-
RomanovDF
- Сообщения: 19
- Зарегистрирован: 03 апр 2013, 16:39
podarok66 писал(а):Естественно тишина, постом выше изложены основы проброса портов и портмапинга на Микротике. Изложены человеком, работающим с данным оборудованием ни год и ни два. Вы хотите чтобы кто-то разбирался в Вашей путанице пулов и вланов, разрешений и запретов? Лучше Вы попробуйте последовать советам бывалого человека, там всего 5 пунктов.
Если бы Вы удосужились посмотреть то заметили бы, что все правила фильтрации выключены.
Куча пулов и вланов то чем мешает?
И повторюсь, что есть несколько рабочих уже не первый день пробросов которые работают, а этот нет, хотя всё делалось как и прежде.
Если сложно читать тот конфиг, что я приложил, то могу запостить только интересующие.
-
podarok66
- Модератор
- Сообщения: 4402
- Зарегистрирован: 11 фев 2012, 18:49
- Откуда: МО
Конфиг читать муторно по той причине, что приходится анализировать каждое соединение в поисках ошибок. Тем более Вы не указали какой из пробросов не работает, и надо искать среди всех Ваших связок. Так же надо проверить и временно отключить фаервол и антивирус на машине, куда осуществляется проброс (ну я думаю, Вам это и так известно).
У меня был случай с удаленным доступом, когда два дня бились над открытием, а оказалось, что антивирус McAfee втихаря блокировал всё, что можно...
У меня был случай с удаленным доступом, когда два дня бились над открытием, а оказалось, что антивирус McAfee втихаря блокировал всё, что можно...
Мануалы изучил и нигде не ошибся? Фаервол отключил? Очереди погасил? Витая пара проверена? ... Тогда Netinstal'ом железку прошей и настрой ее заново. Что, все равно не фурычит? Тогда к нам. Если не подскажем, хоть посочувствуем...
-
RomanovDF
- Сообщения: 19
- Зарегистрирован: 03 апр 2013, 16:39
podarok66 писал(а):Конфиг читать муторно по той причине, что приходится анализировать каждое соединение в поисках ошибок. Тем более Вы не указали какой из пробросов не работает, и надо искать среди всех Ваших связок. Так же надо проверить и временно отключить фаервол и антивирус на машине, куда осуществляется проброс (ну я думаю, Вам это и так известно).
У меня был случай с удаленным доступом, когда два дня бились над открытием, а оказалось, что антивирус McAfee втихаря блокировал всё, что можно...
Код: Выделить всё
/ip firewall filter
****Счётчики не нулевые!!!!
add action=log chain=input comment="Avangard CCTV" dst-address=№№.№№.39.74 dst-port=8080,34567,34599 in-interface=ether1-gateway port="" protocol=tcp
***
**** На счётчиках 0!!!
add action=log chain=forward comment="Avangard CCTV" dst-address=№№.№№.39.74 dst-port=8080,34567,34599 protocol=tcp
***
...
/ip firewall mangle
****Счетчики не нулевые!!!
add chain=prerouting dst-address=№№.№№.39.74 dst-port=8080,34567,34599 in-interface=ether1-gateway protocol=tcp
add action=passthrough chain=input dst-address=№№.№№.39.74 dst-port=8080,34567,34599 protocol=tcp
***
****На счётчиках 0!!!
add action=passthrough chain=forward dst-address=№№.№№.39.74 dst-port=8080,34567,34599 protocol=tcp
***
/ip firewall nat
****не работает!
add action=dst-nat chain=dstnat comment=Avangard dst-address=№№.№№.39.74 dst-port=34567 in-interface=ether1-gateway packet-mark=bol10cctv protocol=tcp to-addresses=10.79.6.53 to-ports=34567
add action=dst-nat chain=dstnat comment=Avangard dst-address=№№.№№.39.74 dst-port=34567 in-interface=ether1-gateway packet-mark=bol10cctv protocol=udp to-addresses=10.79.6.53 to-ports=34567
add action=dst-nat chain=dstnat comment=Avangard dst-address=№№.№№.39.74 dst-port=34599 in-interface=ether1-gateway packet-mark=bol10cctv protocol=tcp to-addresses=10.79.6.53 to-ports=34599
add action=dst-nat chain=dstnat comment=Avangard dst-address=№№.№№.39.74 dst-port=34599 in-interface=ether1-gateway packet-mark=bol10cctv protocol=udp to-addresses=10.79.6.53 to-ports=34599
add action=dst-nat chain=dstnat comment=Avangard dst-address=№№.№№.39.74 dst-port=8080 in-interface=ether1-gateway packet-mark=bol10cctv protocol=tcp to-addresses=10.79.6.53 to-ports=80
****
**** Счётчики не нулевые
add action=src-nat chain=srcnat out-interface=ether1-gateway src-address=10.79.6.53 to-addresses=№№.№№.39.74
**** РАБОТАЕТ!!!
add action=src-nat chain=srcnat comment=MAILNOD2.KRT protocol=tcp src-address=10.40.10.204 src-port=!80,50389 to-addresses=№№.№№.39.76
add action=dst-nat chain=dstnat dst-address=№№.№№.39.76 dst-port=!80,50389 protocol=tcp to-addresses=10.40.10.204
add action=dst-nat chain=dstnat comment="OwnClouds file.krt.ru" dst-address=№№.№№.39.76 to-addresses=10.40.10.224
add action=src-nat chain=srcnat src-address=10.40.10.224 to-addresses=№№.№№.39.76
add action=dst-nat chain=dstnat comment="Concept Voyage STR18#1" dst-address=№№.№№.39.77 to-addresses=10.79.5.178
add action=src-nat chain=srcnat src-address=10.79.5.178 to-addresses=№№.№№.39.77
add action=dst-nat chain=dstnat comment="Concept Voyage STR18#2" dst-address=№№.№№.39.78 to-addresses=10.79.5.179
add action=src-nat chain=srcnat src-address=10.79.5.179 to-addresses=№№.№№.39.78
add action=masquerade chain=srcnat comment="default NAT" out-interface=ether1-gateway to-addresses=0.0.0.0
****
Требуется пробросить порты 34567,34599 и 80 на внутренний IP 10.79.6.53 находящийся во влане 52. Это видеорегистратор.
Есть в этом влане 10.79.6.51 - местный роутер, который ходит через микротик наружу.
Пробовал пробрасывать с внешних ..39.74 и ..39.76, результат одинаковый.
..39.76 - используется для проброса web на один хост и проброса всего остального на другой хост в другом влане.
Есть рабочие пробросы с внешних ..39.77 и ..39.78 на внутренние.
В Mangle на prerouting и input на IP ..39.74 или ..39.76, на порты 8080,34567,34599 пакеты приходят и появляются на счётчиках. В ветках forward, output и postrouting пакеты не появляются.
В Filter на input пакеты приходят, на все остальные ветки нет.
До NAT, соответственно, вообще ничего не доходит.
Спасибо за внимание. Надеюсь так понятнее.
-
RomanovDF
- Сообщения: 19
- Зарегистрирован: 03 апр 2013, 16:39
Случилось странное.
Добавил несколько правил в фильтр для отслеживания. Убрал в записях NAT в действии порт(кроме web) и начало работать.....
Что это было я не понял.
Спасибо за внимание.
Добавил несколько правил в фильтр для отслеживания. Убрал в записях NAT в действии порт(кроме web) и начало работать.....
Что это было я не понял.
Спасибо за внимание.