Как пробросить порт Mikrotik если адрес находится в другом сегменте сети?

Question

[Alick7]

Добрый день. Есть два сегмента сети 10.100.0.0/22 и 10.100.8.0/22 Настроена маршрутизация и туннель. В первом сегменте, есть интернет провайдер с белым адресом, во втором сегменте находиться сервер который нужно опрокинуть портами наружу. На первом роутере сделал netmap и ничего не вышло. Внутри сети все работает! Через VPN тоже видно. Собственно говоря что не так сделал?

Answer 1

[Дмитрий Шицков]

Не используйте netmap. Он так не работает!

netmap - creates a static 1:1 mapping of one set of IP addresses to another one. Often used to distribute public IP addresses to hosts on private networks

Используйте dst-nat.

dst-nat - replaces destination address and/or port of an IP packet to values specified by to-addresses and to-ports parameters

Comments

[Alick7]

Тоже самое. Заметил если пинговать через терминал микротик то пакет уходит но обратно не возвращается

[Дмитрий Шицков]

Alick7: в фаерволле порт 8080 открыт, разрешен его форвардинг?

[Дмитрий Шицков]

Alick7: Телнетом на 8080 тоже не удается подключиться?

[Alick7]

Вложил скрины! Подозреваю что дело в прошивке. Так как с другими роутерами с более свежими прошивками пинг в терминале работает

[Alick7]

Открыл только что 8080. Все так же! Со вторым роутером точно ничего делать не нужно?

[Дмитрий Шицков]

Alick7: если у вас сети маршрутизируются без NAT, то на втором ничего делать не требуется.
Посмотрите трафик на первом роутере. Пакет на 8080 он принимает? Перенаправляет дальше в локалку? Если да, проверяйте тоже самое на втором роутере.
Инструмент в Tools->Packetsniffer

[Alick7]

Да перенаправляет. пакеты уходят. Я уже это когда то проверял, когда выяснял не приходил ответ от второго роутера. Пинговал через терминал

[Alick7]

Ответ не приходит

[Дмитрий Шицков]

Alick7: от второго роутера или от сервера не приходит? При чём тут пинг, если мы проверяем 8080 порт?

[Alick7]

от второго роутера не приходит. При том что аналогичная ситуация, так же пакет доходил и не возвращался!

[Дмитрий Шицков]

Alick7: что-то вы меня путаете. Давайте последовательно:
1). Первый ротуер принимает пакет на 8080 порт?
2). Пакет натится, получает новый локальный IP?
3). Пакет уходит на второй роутер с локальным IP и портом 8080?
4). Второй роутер принимает пакет?
5). Второй роутер маршрутизирует пакет в сторону сервера на порт 8080?
6). Сервер получает пакет на порт 8080?
7). Сервер отвечает что-то? Он в курсе существования подсети роутера №1 и как туда слать пакеты?

[Alick7]

в локалке не видно. но в туннеле видно

[Дмитрий Шицков]

Alick7: очень странно. Вы ведь в фаерволе разрешили в цепочке INPUT на 8080? Хотя мне казалось, что форварда должно ыбть достаточно...

[Alick7]

Как узнать какой ip пристроился за NATом?

[Дмитрий Шицков]

Alick7: Туплю и не краснею. dst-nat не подменяет исходный ip. Пакет долетает, скорее всего, до сервера, но сервер отвечает на default gateway и исходящий пакет уходит через интернет, подключенный через 2-й роутер...

[Дмитрий Шицков]

Alick7: Какое решение правильное, я не знаю. Ниразу не приходилось решать такую задачу. Варианты вижу такие: Default Gateway для сервера сделать микротик с белым адресом, либо входящий пакет после обработки dst-nat ещё дополнительно обработать src-nat для подмены айпи на локальный...

[Дмитрий]

Дмитрий Шицков: Alick7: Делать маркировку пакетов и соединений. Либо действительно пускать через один шлюз.

[Дмитрий Шицков]

Дмитрий: маркировка работает внутри одного роутера, между двумя не передать. Или я просто не знаю такой... Хотя можно маркировать пакеты, прилетающие со стороны первого микротика и направляющиеся на ip сервера и портом 8080! А что, может так получится

[Дмитрий]

Дмитрий Шицков: Ну так маркировать и там и там. Главное же чтобы оно шло по верному маршруту. Хотя, конечно, выглядит немного костыльно.

[Alick7]

На втором роутере тоже есть провайдер! Пока пробросил через него. Но одно но. Маршрут по умолчанию настроен, то есть выход в интернет есть, но на рабочих станция нет пинга и нет инета. Прибегаю к средству маскарадинг если нужно кому пробросить прямой инет, не через проксю. Вопрос как это сделано что нет пинга и и клиенту не могут зайти в инет?