Как настроить подмену внешнего IP-адреса хоста для вх так и исх соединений, mikrotik ipsec ikev2?

Question

[shachneff]

Есть роутер Mikrotik-1, WAN подключен к провайдеру по статическому белому IP 1.1.1.1, LAN - локалка 10.10.10.0/24, NAT.
Есть КОМП c адресом 10.10.10.10, на нем открыт порт 3389 (rdp). Комп воткнут в порт LAN роутера Mikrotik-1.

Есть роутер Mikrotik-2, WAN подключен к провайдеру по статическому белому IP 2.2.2.2, LAN-локалка 10.10.20.0/24, NAT.
Между роутерами построен туннель IPSEC IKEv2 (никаких GRE, никаких IP-IP, чисто на polices).

Нужно настроить 2 задачи:
1) КОМП выходит во внешний мир под адресом 2.2.2.2
2) При подключении к 2.2.2.2:3389 отвечает КОМП

Я 1Сник. Админ 4 дня провозился, пару раз уронил все, и сегодня сказал - невозможно. Не верю. Знаю что можно сделать без виртуальных интерфейсов. Прошу помощи. Готов даже возмездно за работающую методу. На роутеры, само собой, не пущу, максимум через зум посмотреть.

Comments

[AlexVWill]

это во фриланс, больше похоже на тз чем на вопрос
а по сути - я бы все делал в одной vpn сети 10.10.10.0 и там бы маршруты строил

[Drno]

Почему бы не построить VPN полноценный, и просто с помощью dst-nat не завернуть порт?

незнаю сработает ли при этом тоннеле, но можно попробовать пометить траф от нужного IP на 1м микротике, и дальше в routes завернуть его в нужный шлюз

[shachneff]

AlexVWill, это не ТЗ, это я вопрос детально расписал, чтобы если кто-нибудь захотел на него ответить и прочитать весь текст, имел исчерпывающие исходные данные.

Дополню, п. 2 сделал, пробросил 22 порт с 2.2.2.2 в локалку c dst 10.10.10.10, с помощью NAT.

[shachneff]

Drno, потому что это задача именно вот в таких рамках должна быть решена :-)

[Drno]

shachneff, ну тогда маркировать трафик и перенаправлять фаерволом

[CityCat4]

Нихрена себе одноэсник :) который знает про NAT, IKEv2 и то, что у него есть политики :)

Политики туннеля какие?

[AUser0]

С компа .10 роутер .20.0 пингуется? Если да - значит всё уже настроено, осталось сделать default route на самом компе. А на роутере .20.0 прописать DNAT для порта 3389, на IP .10.

Answer 1

[Талян]

1) КОМП выходит во внешний мир под адресом 2.2.2.2

ну пропишите КОМПу в качестве шлюза - локальный адрес роутера, у которого внешний - 2.2.2.2

2) При подключении к 2.2.2.2:3389 отвечает КОМП

ip>firewall настройте NAT правило. Как пробросить порт на микротике - миллиард факов в интернете