Почему не открывается страница на порту 443?

Question

[gromlin]

Здравствуйте. Для работы между оборудованием проброшен wireguard туннель и к одному микротику подключен сервер(хост) по локальной сети. При подключении к беспроводной гостевая сети микротика открывается локальная гостевая страница ресторана с протоколом https и адресом типа "vkusno.com/main". Есть удаленный ПК с wireguard адресом 176.16.16.2 и у микротика, с подключенным сервером, wireguard адрес 176.16.16.25, а у самого сервера локальный адрес 192.168.85.120. Для перенаправления данных в IP->Firewall->NAT прописал правило:
ip/firewall/nat add action=dst-nat chain=dstnat disabled=no dst-port=443 protocol=tcp in-interface=wireguard-inet src-address=176.16.16.2 to-addresses=192.168.85.120 to-ports=443.
Но при переходе на страницу https://176.16.16.25/main, получаю "404 page not found". Подскажите, пожалуйста, где ошибся. С другими портами, типа 80, 8080 или 22 всё работает. Если быть в локальной одной локальной сети с данным сервером, то страница открывается по адресу 192.168.85.120/main.

Comments

[Valentin Barbolin]

Есть удаленный ПК с wireguard адресом 176.16.16.2 и у микротика, с подключенным сервером, wireguard адрес 176.16.16.25

Перечитал несколько раз и все равно не понял) Можно по другому описать? или в идеале нарисовать схему)

[asmelnik]

Микротик сам слушает 443-й порт??

[gromlin]

Valentin Barbolin, Мне нужно получить доступ к серверу извне. Сервер выступает хостом и на данном хосте развёрнут сайт, на который можно получить доступ только лишь из локальной сети или через подключение к беспроводной сети микротика. Я же хотел получить доступ извне через wireguard.

[gromlin]

asmelnik, Да, слушает порт 443 именно на предмет запросов из wireguard сети и перенаправляет их на сервер. По крайней мере должен был.

[Valentin Barbolin]

gromlin,

Мне нужно получить доступ к серверу извне. Сервер выступает хостом и на данном хосте развёрнут сайт, на который можно получить доступ только лишь из локальной сети или через подключение к беспроводной сети микротика. Я же хотел получить доступ извне через wireguard.

Этот кусок я как раз понял)

Есть удаленный ПК с wireguard адресом 176.16.16.2 и у микротика, с подключенным сервером, wireguard адрес 176.16.16.25

У меня вопрос по этому куску. Есть два микротика, VPN, но что за чем и у кого какой адрес не понятно.

[gromlin]

Valentin Barbolin, Есть ПК и микротик. ПК и микротик, находятся в одной wireguard сети, а микротик и сервер находятся в одной локальной сети. Необходимо,чтобы ПК получал доступ к портам сервера, как будто они находятся в одной локальной сети. Для портов типа 80, 8080 и 22 написанное выше правило работает, к примеру (ip/firewall/nat add action=dst-nat chain=dstnat disabled=no dst-port=80 protocol=tcp in-interface=wireguard-inet src-address=176.16.16.2 to-addresses=192.168.85.120 to-ports=80), а для 443 не работает.

[Valentin Barbolin]

gromlin, Без обит, но кажется русский не твой родной язык.

Есть микротик1, к нему подключен ПК (клиент) через VPN wireguard. Есть микротик2 и сервер. Нужно что бы ПК обращался на IP WG сервера (микротик1), но при этом попадал на сервер который находится за микротик2.

Вопрос, как связаны между собой микротик1 и микротик2 ?

[gromlin]

Valentin Barbolin, Сющай, есть только микротик 1. Микротик 1 по wireguard туннелю общается с ПК и по локальной сети с сервером 1(сервер 1 не является клиентом wireguard). Микротик 1 также является клиентом сети wireguard, не сервером wireguard. Сервер wireguard стоит отдельно и в процессе не участвует.

[Valentin Barbolin]

gromlin,

Сющай, есть только микротик 1.

Вот это поворот, а я всю дорого думал что их два)

Сервер wireguard стоит отдельно и в процессе не участвует.

Еще как участвует!! Через него проходит трафик между микротиком и ПК.

ip/firewall/nat add action=dst-nat chain=dstnat disabled=no dst-port=443 protocol=tcp in-interface=wireguard-inet src-address=192.168.85.1 to-addresses=192.168.85.120 to-ports=443.

Попробуй перенести WEB интерфейс самого микротика на другой порт, например на 8443.
При таком маскараде, в качестве src-address надо указывать IP который находится в одной локальной сети с сервером. В твоем случае это наверне адрес 192.168.85.1.

Answer 1

[Дмитрий]

Попробуйте заменить in-interface на dst-address=172.16.16.25

Comments

[gromlin]

Тоже самое. Данное правило работает на все другие порты, но не на 443

[Дмитрий]

gromlin, можно для понимания процесса написать пару правил с логированием и посмотреть в логе в какую очереь попадает запрос и ответ. Что-то типа

ip firewall/filter/add chain=input src-address=172.16.16.2 action=passthrough log=yes
ip firewall/filter/add chain=forward src-address=172.16.16.2 action=passthrough log=yes

Answer 2

[AUser0]

Мало настроить проброс трафика, надо ещё объяснить вашему HTTP-серверу, что https://176.16.16.25/ - это он и есть, и должен обслуживать это доменное имя (да, IP-адрес тоже является доменным именем). В зависимости от программы HTTP-сервера рекомендации будут разные.

Comments

[gromlin]

А как?

[AUser0]

gromlin, чего?

P.S. В эту игру можно и вдвоём играть, угу.

[gromlin]

AUser0, Просто как объяснить серверу его новую роль. Или тут вопрос на базе чего сервер работает? Так как тут идёт хотспот от микротика с перенаправлением на страницу на сервере.

[Korben5E]

gromlin, посмотрите для начала логи http сервера, можно по времени посмотреть, там будет описана ошибка