Mikrotik RB750 и IP камера?

Question

[SierraMadre]

Всем привет. И так, есть роутер RB750 и ip камера Hikvision. Роутер имеет белый айпишник, к нему подключена камера по ЮТП, адресс она получает от DHCP роутера. Соль в том, что, через DDNS не могу зайти на камеру, перенаправляет на саму веб морду роутера. А из компа в сети все норм, подключаеться к камере. Подскажите что сделать можно сделать ? Проброс портов, поможет ?

Answer 1

[LAA]

1. Нужно понять какой динамический ип-адрес выдал камере ваш роутер.
для этого нужно дать команду:
/ip dhcp-server lease print

2. По номеру строки (предположим -- 5) привязать в списке dhcp-аренд адрес вашей камеры:
/ip dhcp-server lease make-static 5

3. Адрес вашей камеры нужно указать в пробросе портов. Сделать это можно так:

/ip firewall nat add action=dst-nat chain=dstnat \
 comment="port forward for my ip-cam-1" dst-port=52855 \
 in-interface=ether1 protocol=tcp to-addresses=192.168.88.161 to-ports=80

-- поясняю: в этой строке настраивается проброс внешнего порта 52855 на внешнем интерфейсе ether1 протокола tcp на локальный хост 192.168.88.161 (пример) на локальный порт 80.

4. В файерволе нужно убедиться, что ваш внешний порт 52855 будет доступен снаружи. Для этого до блокирующего правила нужно прописать разрешение:

/ip firewall filter add chain=input \
 comment="allow port fwd to my ip-cam-1" dst-port=52855 protocol=tcp place-before=5

-- пояснение надеюсь не нужно. :)

З.Ы. Настоятельно советую убедиться, что доступы на ваш роутер извне открыты только доверенным хостам или лучше вообще закрыты. Не стоит давать шансы кому-то на подбор пароля к вашему роутеру.

Comments

[Александр Романов]

Пункт 4 ошибочен. Нужно прописывать это правило в цепочке forward а не input, т.к. dst-nat отрабатывает в prerouting, подменяя дст-адрес пакета, и только после этого пакет попадает в файерволл. А в остальном всё правильно

[LAA]

Александр: Благодарю за комментарий. :) Но те, у кого сложные фильтры -- сами знают ответы и смогут разобраться. А в данном случае -- скорее всего у вопрошающего -- дефолтный файервол с некоторыми изменениями. Поэтому для данного случая достаточно открыть в input, чтобы ниже (как в дефолтном) не попал пакет на action=drop. А там уже в forward все будет в порядке и пакет пройдет. Я на дефолтном конфиге много раз так открывал порты и знаю, что говорю.

[Александр Романов]

LAA: Специально сейчас решил проверить. Настроил ДСТ-нат на веб-морду НАСа внутри сети, и в файерволе закрыл порт на инпут самым первым правилом. Морда открылась без каких-либо проблем. Заменил chain на forward - правило заработало. Так что я тоже знаю, о чём говорю. Если в ДСТ-нат указан ип-адрес не роутера, пакет попадает в forward.

Answer 2

[Pan Propan]

Пропиши статический ай-пи камере. Пробрось 80 порт WAN на 80 порт камеры. И делов то.

Comments

[SierraMadre]

интересно, роутер будет с айпишником 1,2,3,4 и камера с таким же, да ?

[Pan Propan]

SierraMadre: ниже уже ответили, что камера должна иметь адрес из подсети роутера

Answer 3

[kovalr]

1. Статичный адрес для камеры. IP должен быть из внутренней подсети. В Mikrotik это 192.168.88.X.
Можешь камере назначить, например 192.168.88.10

2. На роутере сделать проброс порта
https://habrahabr.ru/post/182166/
https://www.youtube.com/watch?v=hhopnm6_D6A

Должно работать.

Answer 4

[Dmitrii]

Если стоит задача рулить роутером именно с вебморды, то логично, что 80-й порт будет занят на админку роутера. В этом случае, надо сделать проброс 80-го порта камеры на другой порт в роутере, например на 8080. Если же рулить роутером можно через винбокс, то тогда просто вебморду отрубить, а порт прокинуть с 80 на 80, и все.

Answer 5

[copyerfiled]

А еще, раз уж такая пьянка, в dhcp-сервере микротика, есть волшебная функция "make static", таким образом проще и правильней задать постоянный ip-адрес, чем отдельно настраивать каждое устройство и перенастраивать в дальнейшем при смене конфигурации сети. Ну и кроме морды не забыть пробросить видеопоток, если нужен.

Answer 6

[SierraMadre]

что я не так делаю, то хоть на веб морду роутера кидало теперь - вообще невозможно отобразить эту стр.

Если у меня подключение к инету - рррое, то в входящем интерфейсе надо указывать рррое, или ethe1 ?

Comments

[Dmitrii]

SierraMadre напиши в джаббер [e-mail] — помогу настроить.

[SierraMadre]

Все, всем спасибо заработало!

[LAA]

Пишу для потомков :) . Если в интернет подключение pppoe, то и интерфейс надо указывать соответствующий -- pppoe1 (или как там). Ведь на этом именно интерфейсе внешний адрес и на него будут поступать входящие пакеты. Удачи.

[Александр Романов]

На скриншоте ошибка в том, что нужно сначала перейти в /ip firewall nat перед добавлением правила. Используйте TAB и ? в консоли, очень помогает. И разделы в ней очень схожи с винбоксом.