Почему не работает проброс портов?

Question

[Константин Фролов]

Не работает проброс портов в микротике.
Перепроверил уже всё что можно, отключал все правила фаервола, обновился до последней версии, перезагружался - не работает и всё тут.

/ip filter nat
add chain=dstnat in-interface=internet protocol=tcp dst-port=3428 \ action=netmap to-address=192.168.1.254 to-port=3389

Internet - это моё pppoe-подключение, внешний порт хочу (допустим) 3428, в локалке компьютер с ip-адресом 192.168.1.254 и сервис RDP. Внешний ip-адрес белый, но динамически меняющийся.

Что делаю не так??

Answer 1

[SofroN]

Используйте dst-nat вместо netmap.
Если на компьютере с ip-адресом 192.168.1.254 используется шлюз отличный от адреса вашего микротика вам еще надо src-nat сделать
Не забудьте добавить разрешающее правило в таблицу filter
internet - это pppoe-подключение, не порт?

Comments

[Константин Фролов]

>Используйте dst-nat вместо netmap.
.пробовал, не помогает

>Если на компьютере с ip-адресом 192.168.1.254 используется шлюз отличный от адреса вашего микротика вам еще надо src-nat сделать
микротик служит шлюзом, и для моего хранилища тоже

>Не забудьте добавить разрешающее правило в таблицу filter
Можно пример? Про разрешающее правило нигде не видел упоминания, ни на хабре, ни на ютубе.

>internet - это pppoe-подключение, не порт?
Да, именно подключение.

[SofroN]

Константин Фролов:
правило нат
chain=dstnat action=dst-nat to-addresses=192.168.1.254 protocol=tcp in-interface=internet dst-port=3428 log=no log-prefix=""
правило filter
chain=forward action=accept protocol=tcp dst-address=192.168.1.254 dst-port=3428 log=no log-prefix=""
В таблице nat первым должно быть правило
chain=srcnat action=masquerade out-interface=internet log=no log-prefix=""
Порядок правил тоже играет роль.