Как настроить фильтр в RouterOS для проброса одного порта на другой?

Question

[awgur]

Я пробрасываю входящий трафик с опубликованного порта 5922 на 22 порт хоста 192.168.255.2.

На Cisco работает.

!
interface Dialer0
 ip access-group FW_in in
!
ip nat inside source static tcp 192.168.255.2 22 interface Dialer0 5922
ip nat inside source list NAT interface Dialer0 overload
ip route 0.0.0.0 0.0.0.0 Dialer0
!
ip access-list extended FW_in
 permit tcp any any eq 5922
!

На RouterOS не работает.

/ip firewall filter
add chain=forward dst-port=5922 in-interface=ether1 protocol=tcp

/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1
add action=dst-nat chain=dstnat dst-port=5922 in-interface=ether1 \
 protocol=tcp to-addresses=192.168.255.2 to-ports=22

Если отключить правило дропа, в конце цепочки forward, то начинает работает.
Т.е. фильтр не ловит обращение по TCP на 5922, а пропускает его дальше.

Если порты везде одинаковые, то всё отлично работает.

/ip firewall filter
add chain=forward dst-port=22 in-interface=ether1 protocol=tcp

/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1
add action=dst-nat chain=dstnat dst-port=22 in-interface=ether1 \
 protocol=tcp to-addresses=192.168.255.2 to-ports=22

Вопрос: Что я делаю те так? Или что-то с микротиком?

Answer 1

[awgur]

Каюсь! Всему виной недостаток знаний.
Оказывается DST-NAT отрабатывает ещё в PREROUTING => когда пакет достигает фильтра порт в нём уже изменён.
В моём случае 5922 уже изменён на 22.
wiki.mikrotik.com/wiki/Manual:Packet_Flow_v6

Вопрос: Что я делаю те так? Или что-то с микротиком?
Ответ: С микротиком всё в порядке.
Нужно изменить правило

/ip firewall filter add chain=forward dst-port=5922 in-interface=ether1 protocol=tcp

на

/ip firewall filter add chain=forward dst-port=22 in-interface=ether1 protocol=tcp

Answer 2

[raincons]

а разве не
/ip firewall nat
add action=netmap chain=dstnat dst-port=5922 protocol=tcp to-addresses=192.168.255.2 to-ports=22
?

Comments

[awgur]

Да пожалуйста, можно и так. Вопрос не в том, что статик НАТ не работает, он как раз работает, а в том, что фильтр не отрабатывает. Или не должен отрабатывать? Или это глюк такой? Или я что-то не правильно понимаю и делать нужно не так?