Mikrotik. Не открываются сайты вида ip:port?

Question

[Максим]

Добрый день!
Помогите нубу решить проблему.

Проблема:
Не открываются сайты в подсетках по адресу вида: ip:port
Пинг на данные IP проходит
Файловая система IP открывается.

Дано
RouterOS 7.14
Сеть микротик: 10.7.100.0
ISP1 получает IP по DCHP: 10.10.24.0 (имеет локальный веб ресурс к которому нужен доступ)
ISP2 получает IP по DCHP: 10.100.32.0
Правила FireWall все удалил.
В NAT прописано 2 маскарада.

На ISP2 уходит лишь часть трафика через маршрутизацию mangle

Comments

[Максим]

Причём по запросу 10.10.24.181:12135 я получаю от сайта код 200, и заголовок страницы (на вкладке)

[Максим]

конфиг уже голый.

Проблема именно при открытии сайта с портом (10.10.24.181:12135) открываю с 10.7.100.250 (внутренняя сеть микротика)

Если вынимаю из ether1 сеть 10.10.24.0 и вставляю напрямую в ПК - ресурс 10.10.24.181:12135 открывается без проблем

[Дмитрий]

Можно посмотреть конфиг микротика? Откуда куда пытаетесь открывать сайты?

[Максим]

# 2024-01-30 09:54:17 by RouterOS 7.14beta8
# software id = QV4X-GMBC
#
# model = RB2011UAS-2HnD
# serial number = 419E02B6B64C
/interface bridge
add dhcp-snooping=yes igmp-snooping=yes name=bridgeLan port-cost-mode=short
/interface ethernet
set [ find default-name=ether1 ] mac-address=2C:FD:A1:74:87:72 rx-flow-control=\
    auto tx-flow-control=auto
/interface list
add name=ETHERNET
/interface lte apn
set [ find default=yes ] ip-type=ipv4 use-network-apn=no
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
add authentication-types=wpa2-psk mode=dynamic-keys name=wifi1 \
    supplicant-identity=""
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n disabled=no security-profile=\
    wifi1 ssid=Free station-roaming=enabled
/iot lora servers
add address=eu.mikrotik.thethings.industries name=TTN-EU protocol=UDP
add address=us.mikrotik.thethings.industries name=TTN-US protocol=UDP
add address=eu1.cloud.thethings.industries name="TTS Cloud (eu1)" protocol=UDP
add address=nam1.cloud.thethings.industries name="TTS Cloud (nam1)" protocol=\
    UDP
add address=au1.cloud.thethings.industries name="TTS Cloud (au1)" protocol=UDP
add address=eu1.cloud.thethings.network name="TTN V3 (eu1)" protocol=UDP
add address=nam1.cloud.thethings.network name="TTN V3 (nam1)" protocol=UDP
add address=au1.cloud.thethings.network name="TTN V3 (au1)" protocol=UDP
/ip pool
add name=dhcp_pool1 ranges=10.7.100.2-10.7.100.100
add name=dhcp_pool2 ranges=10.7.100.2-10.7.100.254
/ip dhcp-server
add add-arp=yes address-pool=dhcp_pool2 interface=bridgeLan lease-time=10m \
    name=dhcp1
/ip smb smb-user
set [ find default=yes ] read-only=yes
/port
set 0 name=serial0
/ppp profile
add name=vpnprofile
/routing table
add disabled=no fib name=antiblock
add disabled=no fib name=toZK
/interface bridge port
add bridge=bridgeLan ingress-filtering=no interface=ether2 internal-path-cost=\
    10 path-cost=10
add bridge=bridgeLan ingress-filtering=no interface=ether3 internal-path-cost=\
    10 path-cost=10
add bridge=bridgeLan ingress-filtering=no interface=ether4 internal-path-cost=\
    10 path-cost=10
add bridge=bridgeLan ingress-filtering=no interface=ether5 internal-path-cost=\
    10 path-cost=10
add bridge=bridgeLan ingress-filtering=no interface=ether6 internal-path-cost=\
    10 path-cost=10
add bridge=bridgeLan ingress-filtering=no interface=ether7 internal-path-cost=\
    10 path-cost=10
add bridge=bridgeLan ingress-filtering=no interface=ether8 internal-path-cost=\
    10 path-cost=10
add bridge=bridgeLan ingress-filtering=no interface=ether9 internal-path-cost=\
    10 path-cost=10
add bridge=bridgeLan ingress-filtering=no interface=ether10 internal-path-cost=\
    10 path-cost=10
/ip firewall connection tracking
set udp-timeout=10s
/ip neighbor discovery-settings
set discover-interface-list=none
/ip settings
set max-neighbor-entries=8192
/ipv6 settings
set disable-ipv6=yes max-neighbor-entries=8192
/interface ovpn-server server
set auth=sha1,md5
/ip address
add address=10.7.100.1/24 interface=bridgeLan network=10.7.100.0
add address=10.10.24.245/24 interface=ether1 network=10.10.24.0
/ip dhcp-client
add add-default-route=no interface=ether1 use-peer-dns=no use-peer-ntp=no
add add-default-route=no interface=wlan1 use-peer-dns=no use-peer-ntp=no
/ip dhcp-server lease
add address=10.7.100.254 client-id=1:2c:fd:a1:74:87:72 mac-address=\
    2C:FD:A1:74:87:72 server=dhcp1
/ip dhcp-server network
add address=10.7.100.0/24 dns-server=10.7.100.1 gateway=\
    10.7.100.1
/ip dns
set allow-remote-requests=yes servers="77.88.8.8,77.88.8.1,10.10.51.1,10.10.51.2\
    ,10.10.51.3,10.10.52.1,10.10.52.2,10.10.52.3"
/ip firewall address-list
add address=youtube.com list=antiblock
add address=vk.com list=antiblock
add address=ok.ru list=antiblock
add address=10.10.24.181 list=listZK
add address=10.4.102.6 list=listZK
add address=10.10.51.1 list=listZK
add address=10.10.51.2 list=listZK
add address=10.10.51.3 list=listZK
add address=10.10.52.1 list=listZK
add address=10.10.52.2 list=listZK
add address=10.10.52.3 list=listZK
add address=10.4.101.134 list=listZK
add address=id.vk.com list=antiblock
add address=static.vk.com list=antiblock
add address=api.vk.com list=antiblock
add address=login.vk.com list=antiblock
add address=st1-99.vk.com list=antiblock
add address=sun1-25.userapi.com list=antiblock
add address=queuev4.vk.com list=antiblock
add address=im.vk.com list=antiblock
add address=sun1-56.userapi.com list=antiblock
/ip firewall mangle
add action=mark-routing chain=prerouting dst-address-list=antiblock \
    in-interface=bridgeLan new-routing-mark=antiblock passthrough=yes
/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1
add action=masquerade chain=srcnat out-interface=wlan1
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes
/ip route
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=10.10.24.20 pref-src=\
    "" routing-table=main scope=30 suppress-hw-offload=no target-scope=10
add disabled=no distance=2 dst-address=0.0.0.0/0 gateway=10.100.32.254 \
    pref-src="" routing-table=antiblock scope=30 suppress-hw-offload=no \
    target-scope=10
add disabled=no distance=1 dst-address=10.4.102.0/24 gateway=10.10.24.20 \
    pref-src="" routing-table=main scope=30 suppress-hw-offload=no \
    target-scope=10
add disabled=no dst-address=10.10.51.0/24 gateway=10.10.24.20 routing-table=\
    main suppress-hw-offload=no
add disabled=no dst-address=10.10.52.0/24 gateway=10.10.24.20 routing-table=\
    main suppress-hw-offload=no
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/lcd interface pages
set 0 interfaces=\
    sfp1,ether1,ether2,ether3,ether4,ether5,ether6,ether7,ether8,ether9,ether10
/ppp secret
add name=vpnuser profile=vpnprofile
/routing bfd configuration
add disabled=no interfaces=all min-rx=200ms min-tx=200ms multiplier=5
/system clock
set time-zone-autodetect=no time-zone-name=Europe/Moscow
/system note
set show-at-login=no

[Дмитрий]

Максим, вот эта строчка непонятна

add action=masquerade chain=srcnat out-interface=wlan1

У вас второй провайдер по вайфаю? Наличие второго маскарада может сбивать нормальный коненкт. Если эта сточка нужна, можно в нее добавить dst-address=!10.10.24.0/24

[Максим]

Дмитрий, добавил

[Максим]

Дмитрий, да вторая сеть по WiFi

Добавление dst-address=!10.10.24.0/24 результата не дало

[Дмитрий]

Максим, попробуйте сюда

add action=masquerade chain=srcnat out-interface=ether1

явно указать src-address=10.7.100.0/24

[Максим]

Дмитрий, указал.
Результата не дало =(

[Дмитрий]

Для чистоты эксперимента можно перегрузить микрот, чтобы гарантированно правильно применялись правила НАТ.
Если не поможет - Как выглядит трейс с компа до сервера 10.10.24.181?
В конфиге есть лист listZK в котором состоят адрес целевого хоста - можно прописать правило в файрвол

ip firewall filter add chain=forward src-address=10.7.100.0/24 dst-address-list=listZK action=accept

[Drno]

Максим, на всякий случай уточню - правила fasttrack нет в фаерволе? а то оно часто мешает...

[Максим]

Drno, нету

[Максим]

Дмитрий, добавил правило в firewall.
Перезагрузил микротик.
Результата нет.

C:\Windows\system32>tracert 10.10.24.181

Трассировка маршрута к SERV [10.10.24.181]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  10.7.100.1
  2    <1 мс    <1 мс    <1 мс  SERV [10.10.24.181]

[Дмитрий]

Максим, Визуально с микротом все ок. Когда подключаете без него - комп получает тот же адрес что и микрот?
На сервере есть файрвол? Может он фильтрует по адресу?
Если пинг доходит, значит микрот все делает правильно

[Максим]

Дмитрий, доступ к 10.10.24.181 есть у всей подсети 10.10.24.0.
Микротик получает адрес в той же подсети, что и ПК если напрямую.

Причём в файловую систему через \\10.10.24.181\c$ я спокойно вхожу.

Кроме того, в этой же сети есть Web ресурсы вход на которые осуществляется без указания порта в адресе.
Коннект к таким ресурсам проходит...

[Дмитрий]

Как вариант - будет ли эффект если отключить mangle?

[Максим]

Дмитрий, нет.

Сейчас сделал даунгрейд на версию 6.49.12.

Настроил только DHCP сервер, и DHCP клиент на одну сеть. Всё открывается, кроме сайтов с прописанным портом в сети 10.10.24.0.

Т.е. конфиг полностью чистый, за исключением 1 DHCP сервера, и 1 DHCP клиента.

Причём всё так же и tracert проходит 2 скачка, и пинги везде идут.

Сайт отдаёт 200, но не открывается через микротик

[Максим]

Дмитрий, у меня уже и вправду появляются подозрения на какие-то ограничения на сервере, или в сети 10.10.24.0

[Максим]

Дмитрий, кое что нашёл.
Идёт блокировка JavaScript:

We're sorry but frontend doesn't work properly without JavaScript enabled. Please enable it to continue.

Как разрешить mikrotik пропускать javaScript без ограничений?

[Дмитрий]

Максим, Микрот с пустым конфигом не блокирует его
Быть может, в настройках браузера включен JavaScript только для локальной/частной сети, поэтому он срабатывает без микрота

[graf_Alibert]

Для начала нужно убедиться, что ресурс 10.10.24.181:12135 в принципе доступен с вашего IP:
подключитесь напрямую в сеть ISP1 и попробуйте открыть, если откроется, то виноват конфиг микротика, если нет значит проблема на стороне ресурса

[Максим]

graf_Alibert, да.
Напрямую всё открывается.

Проблему так и не решил, только понял, что часть JavaScript не запускается при выходе через микротик