Russian Users MikroTik | Форум пользователей MikroTik

Форум поддержи и обмена опытом пользователей оборудования RouterBOARD и операционной системы RouterOS Латвийского производителя MikroTik
https://forummikrotik.ru/

Внешний доступ на NAS, подключённый по WiFi

https://forummikrotik.ru/viewtopic.php?t=10844

Страница 2 из 2

Re: Внешний доступ на NAS, подключённый по WiFi

Добавлено: 11 окт 2019, 12:27
Vlad-2
Я же написал, перенесите локальный адрес роутера с порта2 на бридж!
Просите советы, а некоторые (или многие) не выполняете.

Веб-доступ давно надо закрыть, а не планировать.
Откройте логи, по идеи они там красные должны быть, китайцы быстро
и упорно "щупают" роутеры открытые.

Да и по ВиФи - включать на адаптерах вифи все бэнды, плохое дело.
На 2.4 оставьте только N-only
На 5 - АС-only

НЕ увидел авторизацию у ВиФИ? В конфиге нет или у Вас пароль на ВиФи не задан? :sh_ok:

по DHCP - не вижу в настройках, чтобы он (DHCP сервер) клиентам в локальной сети отдавал
значения DNS'ов ? Хотя ДНС-кеширование (на микротике) включено.
Доделайте эту настройку, так будет кошерно, правильно, логично.

На счёт портов (ну вообще на микротике я бы выключил всё, и телнет и ssh и веб и фтп), тем самым,
порты и службы на микротике не будут атакованы, и в будущем и Вам не будут мешать для
проброса. Оставьте винбокс лишь и всё. Опять же, службы у Вас многие включены на роутере,
логи роутера ну реально должны быть красные от попыток входа, Вы что логи не смотрите??????)

P.S.
Что в рамках (подчёркиваю) в рамках микротика fail2ban означает ???

Re: Внешний доступ на NAS, подключённый по WiFi

Добавлено: 11 янв 2020, 00:20
mayzer100500
Столкнулся с похожей проблемой и не могу победить. Идеи кончились.
Все тоже самое, что и у топик стартера, но NAS на шнурке на адресе 192.168.88.251.
Все службы из вне работают, но на веб морду из вне по ddns зайти никак не выходит :( из локалки все на ура (порт 8080)

прилагаю конфиг:

Код: Выделить всё

# model = RBD52G-5HacD2HnD
# serial number = BEEB0AA5A511
/interface bridge
add admin-mac=************ auto-mac=no comment=defconf name=bridge
/interface pppoe-client
add add-default-route=yes disabled=no interface=ether1 name=pppoe-out1 use-peer-dns=yes user=****
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX disabled=no distance=indoors frequency=auto mode=ap-bridge ssid=\
    EvilZone wireless-protocol=802.11
set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=20/40/80mhz-XXXX country=ukraine distance=indoors frequency=auto mode=ap-bridge \
    ssid=******** wireless-protocol=802.11
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk mode=dynamic-keys supplicant-identity=MikroTik
/ip hotspot profile
set [ find default=yes ] html-directory=flash/hotspot
/ip pool
add name=dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=wlan1
add bridge=bridge comment=defconf interface=wlan2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
add interface=pppoe-out1 list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=ether2 network=192.168.88.0
/ip dhcp-client
add comment=defconf dhcp-options=hostname,clientid interface=ether1
/ip dhcp-server lease
add address=192.168.88.251 client-id=1:24:5e:be:8:49:45 mac-address=24:5E:BE:08:49:45 server=defconf
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf gateway=192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 name=router.lan
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=accept chain=forward connection-nat-state=dstnat connection-state=new in-interface=ether1 log=yes
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid log=yes
add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new \
    in-interface-list=WAN log=yes
add action=accept chain=input comment="Rule for outside hidden access to the router via web interface" dst-address=!192.168.88.1 dst-port=3131 \
    protocol=tcp src-port=!3131
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN src-address=192.168.88.0/24
add action=netmap chain=dstnat dst-address=192.168.88.251 dst-port=8080 in-interface=ether1 log=yes protocol=tcp src-port=8080 to-addresses=\
    192.168.88.251
add action=netmap chain=dstnat comment=NAS dst-port=8080 in-interface=ether1 log=yes protocol=tcp to-addresses=192.168.88.251 to-ports=8080
add action=dst-nat chain=dstnat dst-port=8080 in-interface=ether1 log=yes protocol=tcp to-addresses=192.168.88.251 to-ports=8080
/ip firewall service-port
set ftp disabled=yes
/ip proxy
set port=8088
/ip service
set ftp disabled=yes
set www address=0.0.0.0/0 disabled=yes port=3131
set www-ssl disabled=no
/ip smb
set enabled=yes
/ip upnp
set enabled=yes
/ip upnp interfaces
add interface=ether1 type=external
add interface=bridge type=internal
/system clock
set time-zone-name=Europe/Kiev
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
Прошу подсказать, где может быть косяк?

Re: Внешний доступ на NAS, подключённый по WiFi

Добавлено: 11 янв 2020, 00:51
mayzer100500
mayzer100500 писал(а): ↑11 янв 2020, 00:20 Столкнулся с похожей проблемой и не могу победить. Идеи кончились.
Все тоже самое, что и у топик стартера, но NAS на шнурке на адресе 192.168.88.251.
Все службы из вне работают, но на веб морду из вне по ddns зайти никак не выходит :( из локалки все на ура (порт 8080)

прилагаю конфиг:

Код: Выделить всё

# model = RBD52G-5HacD2HnD
# serial number = BEEB0AA5A511
/interface bridge
add admin-mac=************ auto-mac=no comment=defconf name=bridge
/interface pppoe-client
add add-default-route=yes disabled=no interface=ether1 name=pppoe-out1 use-peer-dns=yes user=****
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX disabled=no distance=indoors frequency=auto mode=ap-bridge ssid=\
    EvilZone wireless-protocol=802.11
set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=20/40/80mhz-XXXX country=ukraine distance=indoors frequency=auto mode=ap-bridge \
    ssid=******** wireless-protocol=802.11
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk mode=dynamic-keys supplicant-identity=MikroTik
/ip hotspot profile
set [ find default=yes ] html-directory=flash/hotspot
/ip pool
add name=dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=wlan1
add bridge=bridge comment=defconf interface=wlan2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
add interface=pppoe-out1 list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=ether2 network=192.168.88.0
/ip dhcp-client
add comment=defconf dhcp-options=hostname,clientid interface=ether1
/ip dhcp-server lease
add address=192.168.88.251 client-id=1:24:5e:be:8:49:45 mac-address=24:5E:BE:08:49:45 server=defconf
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf gateway=192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 name=router.lan
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=accept chain=forward connection-nat-state=dstnat connection-state=new in-interface=ether1 log=yes
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid log=yes
add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new \
    in-interface-list=WAN log=yes
add action=accept chain=input comment="Rule for outside hidden access to the router via web interface" dst-address=!192.168.88.1 dst-port=3131 \
    protocol=tcp src-port=!3131
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN src-address=192.168.88.0/24
add action=netmap chain=dstnat dst-address=192.168.88.251 dst-port=8080 in-interface=ether1 log=yes protocol=tcp src-port=8080 to-addresses=\
    192.168.88.251
add action=netmap chain=dstnat comment=NAS dst-port=8080 in-interface=ether1 log=yes protocol=tcp to-addresses=192.168.88.251 to-ports=8080
add action=dst-nat chain=dstnat dst-port=8080 in-interface=ether1 log=yes protocol=tcp to-addresses=192.168.88.251 to-ports=8080
/ip firewall service-port
set ftp disabled=yes
/ip proxy
set port=8088
/ip service
set ftp disabled=yes
set www address=0.0.0.0/0 disabled=yes port=3131
set www-ssl disabled=no
/ip smb
set enabled=yes
/ip upnp
set enabled=yes
/ip upnp interfaces
add interface=ether1 type=external
add interface=bridge type=internal
/system clock
set time-zone-name=Europe/Kiev
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
Прошу подсказать, где может быть косяк?
оказывается DDNS не открывает через веб 8080 если пытаться это сделать из сети с роутером :ps_ih: из внешнего мира все работает..
удалят вопрось не буду, вдруг кому то поможет, два вечера убил на решение несуществующей проблемы :ps_ih:

Re: Внешний доступ на NAS, подключённый по WiFi

Добавлено: 11 янв 2020, 11:11
Ca6ko
Во первых измените правило проброса портов вместо netmap поставьте dst-nat
Во вторых почитайте про Harpian NAT и все получится :a_g_a:
В третьих добавьте в настройки DHCP адрес DNS сервера.

Re: Внешний доступ на NAS, подключённый по WiFi

Добавлено: 28 авг 2022, 13:00
fastuser
Добрый день.
Столкнулся с проблемой проброса портов - 2 года назад настроил микротик через квиксет хомАП и просто пробросил порт в nat - всё сработало, несколько дней назад (4 - борюсь уже с ним) просто сменил to addresses и порты вобще все закрыты, вернуть/изменить/создать новый и тд не получается.
Перечитал и перепробовал всё до чего руки дотянулись (даже воспроизвел все настройки что показали выше).
На данный момент уже в отчаянии.
 /export hide-sensitive
# aug/28/2022 12:54:35 by RouterOS 6.49.6
# software id = DX4I-1SZ6
#
# model = 951Ui-2HnD
# serial number = 8D000823D6FE
/interface bridge
add admin-mac=CC:2D:E0:BF:79:88 auto-mac=no comment=defconf name=bridge
/interface ethernet
set [ find default-name=ether1 ] mac-address=C0:4A:00:48:6C:42
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX \
disabled=no distance=indoors frequency=auto installation=indoor mode=\
ap-bridge ssid=giganetOtstoi wireless-protocol=802.11
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa-psk,wpa2-psk group-ciphers=\
tkip,aes-ccm mode=dynamic-keys supplicant-identity=MikroTik \
unicast-ciphers=tkip,aes-ccm
/ip pool
add name=dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=wlan1
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set detect-interface-list=all
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=\
192.168.88.0
add address=192.168.88.250 disabled=yes interface=bridge network=\
192.168.88.250
add address=192.168.88.1/24 comment=defconf interface=ether2 network=\
192.168.88.0
/ip dhcp-client
add comment=defconf disabled=no interface=ether1
/ip dhcp-server lease
add address=192.168.88.249 client-id=1:74:70:fd:b3:ab:23 mac-address=\
74:70:FD:B3:AB:23 server=defconf
add address=192.168.88.251 client-id=1:64:6e:e0:1b:e2:25 mac-address=\
64:6E:E0:1B:E2:25 server=defconf
add address=192.168.88.250 client-id=1:ec:55:f9:b0:75:2b mac-address=\
EC:55:F9:B0:75:2B server=defconf
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=\
192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan
/ip firewall nat
add action=dst-nat chain=dstnat disabled=yes dst-address=191.210.178.249 \
dst-port=80 log=yes log-prefix=80 protocol=tcp to-addresses=\
192.168.88.250 to-ports=80
add action=masquerade chain=srcnat comment="defconf: masquerade" \
ipsec-policy=out,none out-interface-list=WAN
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www address=0.0.0.0/0 port=3131
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ip smb
set enabled=yes
/system clock
set time-zone-autodetect=no time-zone-name=Europe/Moscow
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Re: Внешний доступ на NAS, подключённый по WiFi

Добавлено: 28 авг 2022, 13:50
xvo
А куда вы это все пробрасываете?
Вижу правило - disabled, вижу так же, что этот адрес самому микротику назначен - и тоже disabled.
Текущая конфигурация которая "не работает" - она какая?
А то в таком виде оно выключено, поэтому работать не может.

И да, вы секцию с firewall сознательно вырезали из экспорта, или он у вас "голый" наружу смотрит?

Re: Внешний доступ на NAS, подключённый по WiFi

Добавлено: 29 авг 2022, 11:02
fastuser
этот конфиг (без правил фаервола, я там всё ковырял как мог) сливал после все возможных манипуляций. вот текущий
 /export hide-sensitive
# aug/29/2022 10:55:59 by RouterOS 6.49.6
# software id = DX4I-1SZ6
#
# model = 951Ui-2HnD
# serial number = 8D000823D6FE
/interface bridge
add admin-mac=CC:2D:E0:BF:79:88 auto-mac=no comment=defconf name=bridge
/interface ethernet
set [ find default-name=ether1 ] mac-address=C0:4A:00:48:6C:42
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX \
disabled=no distance=indoors frequency=auto installation=indoor mode=\
ap-bridge ssid=giganetOtstoi wireless-protocol=802.11
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa-psk,wpa2-psk group-ciphers=\
tkip,aes-ccm mode=dynamic-keys supplicant-identity=MikroTik \
unicast-ciphers=tkip,aes-ccm
/ip pool
add name=dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=wlan1
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=\
192.168.88.0
/ip dhcp-client
add comment=defconf disabled=no interface=ether1
/ip dhcp-server lease
add address=192.168.88.251 client-id=1:64:6e:e0:1b:e2:25 mac-address=\
64:6E:E0:1B:E2:25 server=defconf
add address=192.168.88.250 client-id=1:ec:55:f9:b0:75:2b mac-address=\
EC:55:F9:B0:75:2B server=defconf
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=\
192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
"defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related
add action=accept chain=forward comment=\
"defconf: accept established,related, untracked" connection-state=\
established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface-list=WAN
/ip firewall nat
add action=dst-nat chain=dstnat dst-address=191.210.178.249 dst-port=80 log=\
yes log-prefix="server " protocol=tcp to-addresses=192.168.88.250 \
to-ports=80
add action=dst-nat chain=dstnat disabled=yes dst-port=80 in-interface=bridge \
protocol=tcp to-addresses=192.168.88.250 to-ports=80
add action=masquerade chain=srcnat comment="defconf: masquerade" disabled=yes \
ipsec-policy=out,none out-interface-list=WAN
add action=src-nat chain=srcnat out-interface-list=WAN to-addresses=\
191.210.178.249
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes port=871
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ip upnp
set enabled=yes
/ip upnp interfaces
add interface=ether1 type=external
/system clock
set time-zone-name=Europe/Moscow
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
Пробрасываю на ноутбук по воздуху. Фаервол сознательно выпиливал чтоб хоть както достучаться. Всё что могло блокировать выпилил.

Был интересный момент когда начал тыкать везде и по нужному адресу начала открываться админка роутера, потыкав еще она начала открываться по всем портам хоть и была отключена и перенесена на рандомный порт.

Возможно поле обновления прошивки с 4й версии на 6ю какие то моменты при пробросе портов изменились( раньше только в nat прописать и работало(

Re: Внешний доступ на NAS, подключённый по WiFi

Добавлено: 29 авг 2022, 11:16
xvo
Ну вообще, так как вы внешний IP-шник не замазали, то я просто попробовал на него зайти, и вполне нормально попал на заглушку для reverse proxy.

Так что либо вы пробуете зайти по внешнему адресу изнутри (для чего должен быть настроен hairpin nat), либо проблема не в том куда вы стучитесь, а в том - откуда.

Re: Внешний доступ на NAS, подключённый по WiFi

Добавлено: 29 авг 2022, 12:35
fastuser
да нет, это магия - как только написал сюда то отключил всё от роутера, сделал сброс, повторил всё сначала и всё заработало. Что в первый раз мудохался с перезагрузками - обрадовался что настроил и больше не лез, но вот пришлось и я проклял эту железяку.
Часовой пояс: UTC+03:00
Страница 2 из 2

Создано на основе phpBB® Forum Software © phpBB Limited

Русская поддержка phpBB