Как правильно прописать правила iptables?

Question

[Евгений]

Вопрос от чайника в iptables.

Локальная сеть через mikrotik 192.168.10.0/24
Локальный web сервер 192.168.10.254:8000

Mikrotik выходит в интернет через VPS L2TP 192.168.42.1 <-> 192.168.42.10 . Интернет в локалке работает нормально.

На VPS прописаны правила NAT

root@vpn:~# iptables -t nat -S
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P POSTROUTING ACCEPT
-P OUTPUT ACCEPT
-A PREROUTING -d 95.181.155.97/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.254:8000
-A POSTROUTING -s 192.168.42.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.42.0/24 -o eth0 -m policy --dir out --pol none -j MASQUERADE
-A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE

Рутинг прописан:
root@vpn:~# ip r
default via 95.181.155.1 dev eth0 onlink
95.181.155.1 dev eth0 proto kernel scope link src 95.181.155.97
192.168.10.0/24 via 192.168.42.10 dev ppp0
192.168.42.10 dev ppp0 proto kernel scope link src 192.168.42.1

С VPS на 192.168.10.254 проходит. С любого внешнего запроса запись в логах iptables вижу, но до mikrotik не доходит

kernel: IN=eth0 OUT= MAC=52:54:00:c7:c0:9e:00:1c:73:52:bc:33:08:00 SRC=176.110.120.173 DST=95.181.155.97 LEN=52 TOS=0x00 PREC=0x00 TTL=52 ID=63068 DF PROTO=TCP SPT=34896 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0

Comments

[Александр Карабанов]

Как настроен фаирвол на MikroTik?

[Евгений]

Александр Карабанов, за перенаправление отвечает одно правило

chain=dstnat action=dst-nat to-addresses=192.168.10.254 to-ports=8000 protocol=tcp dst-address=192.168.10.254 dst-port=8000 log=yes log-prefix="DST-NAT"

Но микротика не доходит пакет, потому что по этому правилу:
chain=dstnat action=dst-nat to-addresses=192.168.10.254 to-ports=8000 protocol=tcp in-interface=l2tp-block log=yes log-prefix="DST-NAT"
В логах пусто

[Евгений]

hint000,

-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N f2b-sshd
-A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd
-A INPUT -p udp -m udp --dport 1701 -m policy --dir in --pol none -j DROP
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m multiport --dports 500,4500 -j ACCEPT
-A INPUT -p udp -m udp --dport 1701 -m policy --dir in --pol ipsec -j ACCEPT
-A INPUT -p udp -m udp --dport 1701 -j DROP
-A FORWARD -d 95.181.155.97/32 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -i eth0 -o ppp+ -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i ppp+ -o eth0 -j ACCEPT
-A FORWARD -i ppp+ -o ppp+ -j ACCEPT
-A FORWARD -d 192.168.42.0/24 -i eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.42.0/24 -o eth0 -j ACCEPT
-A FORWARD -s 192.168.42.0/24 -o ppp+ -j ACCEPT
-A FORWARD -s 192.168.10.0/24 -d 192.168.10.0/24 -i ppp+ -o ppp+ -j ACCEPT
-A FORWARD -j DROP