Проброс порта 443 (https) на Mikrotik RB951G-2HnD?

Question

[Дмитрий Ефимов]

Доброго времени всем профессионалам.
Имеется в распоряжении роутер Mikrotik RB951G-2HnD, на котором выполняется проброс портов. Настройки такие:

При этом правило слева на скриншоте работает, а правило справа - нет. Что требуется исправить и/или дополнительно настроить, чтобы порт 443 оказался проброшен, если требуется, чтобы снаружи он также имел 443 номер?

Answer 1

[vd2000]

В IP -> Services www-ssl отключен?

Comments

[Дмитрий Ефимов]

В точку, отключен. Если включить его, необходимо тут же выпустить сертификаты, верно?

Answer 2

[Disen]

Добрый день,
Может быть потому, что слева ip 192.168.0.209, а справа 192.168.0.104? Или разные машины.
Советую не настраивать черезь webfig\winbox, а подключиться по ssh или через webfig запустить терминал. Пишете:
> ip firewall nat
потом:
> add action=dst-nat chain=dstnat disabled=no dst-port=443 protocol=tcp to-addresses=192.168.0.209 to-ports=443

dst-port, to-ports - https tcp port
protocol - tcp.
to-addresses - адрес машины в локалке.

Comments

[Дмитрий Ефимов]

Разные машины, да. Спасибо, попробую. А есть какие-то ключевые различия в настройке через winbox и через терминал или это необъяснимое правило, проверенное опытом?

[Disen]

Просто я привык к терминалу, мне так удобнее :)
В остальном - никаких различий.

[Дмитрий Ефимов]

Проверил - созданное через терминал правило отличается от приведенного на скриншоте только отсутствием IP в поле Dst. Address. После замены старого правила на новое, потерялся выход со всех машин в локальной сети, кроме 0.209 на ресурсы, требующие https (банально google.ru и toster.ru не грузятся). Стёр новое, вернул старое правило. Как исправить так, чтобы все остальные машины в сети имели связь по https?

[Клёвый Админ]

Dmitrij_69: ну вообще он правильно потерялся, вам бы входящий интерфейс добавить в правило или внешний айпишник =) Проверьте на 104 файрвол.

[Дмитрий Ефимов]

Евгений Быченко: да, собственно в первом варианте настройки внешний IP как раз был указан, в поле Dst. Address (см. скрин). Однако, такое правило не работало. Возможно, я изначально неправильно задал вопрос, каюсь. В приведенном примере порт 20983 определяется как открытый, а 443 - закрыт. Возможно, в Mikrotik есть какое-то правило по-умолчанию, которое держит 443 порт закрытым? Отсюда могло не работать и вполне верное правило переадресации.
Евгений Быченко, что именно стоит проверить в "файрволе на 104"?

[Клёвый Админ]

Дмитрий Ефимов: такс, ну какие у вас правила в файрволе мы пока не знаем, вам там виднее. Их бы увидеть =)
Так же либо скрин сюда, либо /ip firewall filter print
Ну и не мешало бы добавить в верх списка
/ip firewall filter add chain=forward protocol=tcp dst-port=443 action=accept

А в файрволе на 104 нужно проверить открыт ли у него вообще порт для трафика. Открывается ли https://192.168.0.104 у вас?

[Дмитрий Ефимов]

Евгений Быченко: не нашел, как тут прятать под спойлер, поэтому вот простыня:

[admin@MikroTik] /ip firewall> filter print                    
Flags: X - disabled, I - invalid, D - dynamic 
 0    ;;; default configuration
      chain=input action=accept protocol=icmp log=no log-prefix="" 

 1    ;;; default configuration
      chain=input action=accept connection-state=established,related log=no 
      log-prefix="" 

 2    ;;; default configuration
      chain=input action=drop in-interface=ether1-gateway log=no log-prefix="" 

 3    ;;; default configuration
      chain=forward action=accept connection-state=established,related log=no 
      log-prefix="" 

 4    ;;; default configuration
      chain=forward action=drop connection-state=invalid log=no log-prefix="" 

 5    ;;; default configuration
      chain=forward action=drop connection-state=new 
      connection-nat-state=!dstnat in-interface=ether1-gateway log=no 
      log-prefix=""

[Клёвый Админ]

Дмитрий Ефимов: Это ж разве простыня =))) добавьте правило в самый верх, у вас сейчас по дефолту всё дроп.

[Клёвый Админ]

Дмитрий Ефимов: хотя может и не в этом дело. Но оно точно не помешает. Что там с открытием странички локально? Работает?

[Дмитрий Ефимов]

Правило

/ip firewall filter add chain=forward protocol=tcp dst-port=443 action=accept

добавил, перетащил на первое место, страничка локально не открывается ("попытка соединения не удалась"). В IP -> Services www-ssl отключен. Если включить его, необходимо тут же выпустить сертификаты, верно?