Mikrotik rb2011?

Question

[vvchumanov]

народ настроил firewall и проброс портов для l2tp и pptp соединения на локальный сервер. Все пашет отлично. Потом добавляю порт 80 ну и еще пару веб портов 8081. к этому же локальному серверу и тут начинается катавасия. Веб 80 и 8081 не работают, в локальной сети сервер на 80 и 8081 работает отлично, но вот с выходом на эти два порта проблема ни как не хочет работать.
(веб доступ к микротику перевел конечно же на другой порт)
где может быть яма подводная.

Comments

[Fess]

Покажите вывод /ip export firewall

[vvchumanov]

Fess: выдать можно через ssh ??
"expected end of command (line 1 column 12)"

просто первый раз в этой песочнице

[vvchumanov]

Проблема в том что проброс заработал но доступ по данному пути возможен если я не нахожусь в локальной сети роутера..

[Fess]

Перепутал слова местами =) Конечно же /ip firewall export
Да, через ssh сработает. По сути, сработает любой консольный доступ. Варианты: telnet, ssh и new terminal через winbox или web-интерфейс.

[vvchumanov]

chain=input comment="default configuration" connection-state=\
established,related
add chain=input dst-port=80 protocol=tcp

action=dst-nat chain=dstnat comment=WEB dst-port=80 in-interface=\
ether1-gateway protocol=tcp to-addresses=192.168.88.2 to-ports=80

_____
Вот вроде всё заработало, только получается при обращении из локальной сети на внешний свой ip по порту 80 нет доступа... а вот просто из-вне все работает отлично

Answer 1

[Клёвый Админ]

Дак в конфигурации у вас яма подводная =)

Но точнее сказать невозможно, вы же не показываете конфиг.

Comments

[alegzz]

Ошибка в 17 строке, вроде

Answer 2

[Fess]

vvchumanov: Ваш конфиг, что указан в коментариях, больше вопросов добавляет.
Приведите полный конфиг: /export hide-sensitive команда спрячет чувствительные данные из экспорта.
Не режьте вывод, иначе сложно догадаться, что вы вырезали из него, а что должно было быть, но отсутствует по какой-то причине.

Comments

[Fess]

vvchumanov: Обсуждение вопроса сильно затянулось. Классическое решение будет выглядеть, примерно, так:
1. Локальные порты маршутизатора объединяете в bridge. Желательно, с учётом физики железа. Т.е. с использование ASIC'ов там, где возможно;
2. Делаете маскарадинг получившегося брижда на внешний интерфейс;
3. Делаете DNAT на пор внутренней машины.

Приведу 100% рабочую конфигурацию. Ньюансов в ней полно, но помочь разобраться она может.
Чистый конфиг рабочей конфигурации может выглядеть так:

Создаём бридж для локальной сети
/interface bridge
add auto-mac=no mtu=1500 name=bridge-local

Запихиваем в него интерфейсы локальной сети. Учтите, что трафик bridge обрабатывается CPU, что гораздо медленнее, а не ASIC'ом.
/interface bridge port
add bridge=bridge-local interface=ether2
add bridge=bridge-local interface=ether3

Делаем заготовки для локального DHCP сервера
/ip pool
add name=default-dhcp-pool ranges=192.168.88.10-192.168.88.254

/ip dhcp-server
add address-pool=default-dhcp-pool disabled=no interface=bridge-local name=default-dhcp-server

/ip dhcp-server network
add address=192.168.88.0/24 dns-server=192.168.1.1,8.8.8.8 gateway=192.168.88.1 netmask=24

После этого, клиенты на ether2 и ether3 получат ip из диапазона /ip pool default-dhcp-pool

Укажем статикой 192.168.88.1. Этот ip выступит в качестве шлюза для маршрутов по-умолчанию.
Адрес 109.68.169.1 взят наобум. Будет адресом провайдера и повесим его на интерфейс ether1.
/ip address
add address=192.168.88.1/24 interface=bridge-local network=192.168.88.0
add address=109.68.169.1/24 comment="static provider ip" interface=ether1 network=109.68.169.0

Создаём правило NAT для выхода из локальной сети (action=masquerade) и проброса порта снаружи (action=dst-nat)
/ip firewall nat
add action=masquerade chain=srcnat comment=WAN-NAT out-interface=ether1 to-addresses=0.0.0.0
add action=dst-nat chain=dstnat comment=WEB dst-port=80 in-interface=ether1 protocol=tcp to-addresses=192.168.88.254 to-ports=80

Это или похожее решение должно бы создасться QuickSet'ом из WinBox'а.

[vvchumanov]

Fess: ОК спасибо за типовую настройку

"# nov/20/2015 00:07:02 by RouterOS 6.33
# software id = QGP4-SN7S
#
/ip firewall filter
add chain=input comment="default configuration" protocol=icmp
add chain=input comment="default configuration" connection-state=\
established,related
add chain=input dst-port=80 in-interface=ether1-gateway protocol=tcp
add chain=input dst-port=8888 in-interface=ether1-gateway protocol=tcp
add chain=input comment=VPN_PPTP dst-port=1723 in-interface=ether1-gateway \
protocol=tcp
add chain=input comment=VPN_L2TP dst-port=1701 in-interface=ether1-gateway \
protocol=udp
add chain=input comment=DVR_CAM dst-port=34567 in-interface=ether1-gateway \
protocol=tcp
add chain=input comment=FTP_UBU in-interface=ether1-gateway protocol=tcp \
src-port=29
add action=drop chain=input comment="default configuration" in-interface=\
ether1-gateway
add action=fasttrack-connection chain=forward comment="default configuration" \
connection-state=established,related
add chain=forward comment="default configuration" connection-state=\
established,related
add action=drop chain=forward comment="default configuration" \
connection-state=invalid
add action=drop chain=forward comment="default configuration" \
connection-nat-state=!dstnat connection-state=new in-interface=\
ether1-gateway
/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" \
out-interface=ether1-gateway
add action=dst-nat chain=dstnat comment=WEB dst-port=80 in-interface=\
ether1-gateway protocol=tcp to-addresses=192.168.88.2 to-ports=80
add action=dst-nat chain=dstnat comment=VPN_PPTP dst-port=1723 in-interface=\
ether1-gateway protocol=tcp to-addresses=192.168.88.2 to-ports=1723
add action=dst-nat chain=dstnat comment=VPN_L2TP dst-port=1701 in-interface=\
ether1-gateway protocol=udp to-addresses=192.168.88.2 to-ports=1701
add action=dst-nat chain=dstnat comment=DVR_CAM dst-port=34567 in-interface=\
ether1-gateway protocol=tcp to-addresses=192.168.88.4 to-ports=34567
add action=dst-nat chain=dstnat comment=ftp_UBU dst-port=29 in-interface=\
ether1-gateway protocol=tcp to-addresses=192.168.88.2 to-ports=21
"
Какое правило может резать условия мне закрывать доступ если я нахожусь в локальной сети скидывать меня при обращении на внешний статический адрес провайдера по ether1 порт 80

[Fess]

Сам web-сервер нормально настроен? Воспользуйтесь torch, что бы выяснить, какие запросы прилетают на интерфейс.

[vvchumanov]

Fess: да всё отлично. доступ из локальной к серверу есть, и из внешнего есть. Но как только хочу из этой же локальной сети обратиться к серверу,
add action=dst-nat chain=dstnat comment=WEB dst-port=80 in-interface=\
ether1-gateway protocol=tcp to-addresses=192.168.88.2 to-ports=80
сразу же пустота

[Fess]

vvchumanov: определитесь, есть доступ или нет, а то волшебством попахивает. Говорите есть доступ из локалки и с внешки, и тут же говорите, что из локальной сети его нет. Ерунда полная. Давайте продолжим с пункта, с которого следовало начать. Выкладывайте конфиг: /export hide-sensitive

[vvchumanov]

Fess: сервер в локальной сети за микротиком, с ноута который в той же сети могу к серверу по локальному адресу обратиться 192.168.88.2:80 а вот обратиться по внешнему адресу (белый статический ip который выдал провайдер микротика) из локальной сети 192.168.88.xxx обратиться нельзя. в то время как с мобильника по мобильной сети обращаюсь к внешнему адресу микротика и правило переадресации работает, подключаюсь к статическому адресу и попадаю на локальный веб сервер.

[Fess]

vvchumanov: wiki.mikrotik.com/wiki/Hairpin_NAT
Добавьте первым правилом в NAT-таблице: /ip firewall nat add chain=srcnat src-address=192.168.1.0/24 dst-address=192.168.88.2 protocol=tcp dst-port=80 action=masquerade
Советую Вам обновить прошивку. В новой версии нет необходимости в hairpin nat'е.