Как пробросить за NAT и за VPN порт на микротиках?

Question

[haviras]

Есть сервер на хецнцер, с микротиком (виртуалка 5.х RouterOS для VMWare), на WAN 148.0.*.* У него за натом сеть 192.168.9.0/24 (2011 миикротик)
по впн он видит полностью сеть 192.168.1.0/24 и эта сеть видит 9.0
В удаленной сети есть DVR 192.168.1.108 Dahua 3104 который вещает по порту 37777
К сожалению на wan сети 192.168.1.0/24 выдается динамический IP из сети 10.0.0.0/24, что делает невозможным доступ извне.

Вопрос: как сделать NAT таким образом, что бы можно было подключаться на IP 148.0.*.* по порту 37777 смотреть DVR
Если делать дестнат на 192.168.1.108:37777 пакеты туда уходят из сети 192.168.9.0, а назад не приходят из 192.168.1.0/24 в 9.0. Смотреть если через торч, то проходит три пакета синхронизации из 9ой сети в 1-ю. Назад идут пакеты сразу на внешний IP запрашивающего, минуя сеть 9.0
Скорее всего поэтому и не работает.
Посниффить траффик есть некоторая проблема. В 1.0 подсети только микротик и двр, физического доступа к сети нет.
В 9.0 подсети ничего толкового нету. Уходят пакеты синхронизации соединения, в ответ тишина.

В голове рисуются адские планы с манглами и маркировкой траффика или какими-то udpproxy и haproxy, которые как городить на микротик - вообще непонятно


IP внешний на картинке вписан от балды и не принадлежит мне :)

Comments

[АртемЪ]

Ничего не понятно, на втором роутере тоже NAT или нет?

[АртемЪ]

Или проблема чисто в том что ответ уходит через другого провайдера?

Answer 1

[l0ser140]

Вам как раз и нужно маркировать с какого интерфейса пришло соединение, чтобы отвечать в этот же интерфейс.
Можете погуглить о конфиге с 2 WAN - по сути то же самое.

Comments

[l0ser140]

Еще наверное можно просто маскарадить vpn интерфейс на hetzner микротике. Тогда тоже должно работать.

Answer 2

[MrJeos]

Самый простой вариант - включить маскарадинг в туннель на RouterOS:

/ip firewall nat add chain=srcnat out-interface=*tunnel_interface* action=masquerade

Comments

[haviras]

На микротике что в сети 1.0?

[MrJeos]

haviras: Нет, который 192.168.9.0/24
Тогда к серверу будет приходить запрос от ip этого микротика и, соответственно, обратно тоже через него будут идти пакеты. Не учёл только один момент: маскарадится будет весь трафик, т.е. и вся подсеть 192.168.9.0/24.
Лучше сделать так:

/ip firewall nat add chain=srcnat out-interface=*tunnel_interface* protocol=udp dst-port=37777 action=masquerade

[haviras]

MrJeos: Неа, пакеты из 1.0 сети все равно разбредаются кто куда. Наверное манглы мой выход

[MrJeos]

haviras: Ещё можно это же правило прописать на роутере Local, только не dst-port, а src-port