DST-NAT в другую подсеть за mikrotik?

Question

[fella]

примерный смысл сети:

соответственно за каждым роутером включен NAT(маскарадинг)

как пробросить dst-nat с WAN адреса R01 порта 1080 на веб-сервер за роутером R-02, чтобы был доступ по 1.1.1.1:1080?

Comments

[Miriev]

Проблема аналогичная сохранилась.
Опишу сеть.

Есть сеть ОФИС с внешним ip.
Внутри 192.168.10.0/24

Есть филиалы (10шт.) Все на мопедах
Сети:
192.168.101.0/24
192.168.102.0/24
...
192.168.110.0/24

В ОФИСе поднят VPN PPTP
Снаружи подключаюсь (по данным например 105 подсети), "вижу" офисный роутер, в интернет пускает через офис, все отлично.
Но вот на конкретную машину в 105 подсети 192.168.105.99 не пускает, равно как и на офисную (при подключении по данным офисной сети) 192.168.10.99
Туннели на каждую подсеть сделаны так:
Офис - филиал 105
192.168.105.2 - 192.168.105.3

Перерыл кучу инфы. Перечитал несколько раз (после 10 раза сбился)
Вопрос.
Как организовать структуру сети, чтобы:
1) Из офиса было видно все машины филиалов?
2) Из филиалов достаточно видеть весь офис.
Добавлял маршруты в офисе:
191.168.105.0/24 на gw 192.168.105.3
Добавлял маршруты в филиале
192.168.10.0/24 на gw 192.168.105.2
Не работает, даже пинг не идёт.
Что я делаю не так?
Что нужно от меня, чтобы дополнить инфу для более ясной картины.
З.Ы.
Пожалуйста, только конкретику и по делу.

Answer 1

[Виктор Бельский]

/ip firewall nat add action=dst-nat chain=dstnat dst-port=1080 in-interface=WAN protocol=tcp to-addresses=192.168.20.10 to-ports=1080
Дальше все зависит от того, нужно ли вашему серверу знать ip адреса с которых к нему подключаются или нет, если нет, то вам нужно сделать маскарадинг трафика который направляется на адрес 192.168.20.10 и порт 1080
/ip firewall nat add action=masquerade chain=srcnat dst-address=192.168.20.10 dst-port=1080 protocol=tcp src-address=!192.168.10.0/24
Тогда пакеты к веб серверу будут прилетать с адресом интерфейса R-01, который смотрит в сторону R-02.

Если же нужно сохранить адрес источника, то маскарадить трафик не нужно, а на R-02 нужно маркировать трафик пришедший с интерфейса смотрящего в vpn туннель, направляющейся на 192.168.20.10 и потом возвращать его не через шлюз по умолчанию, а в туннель.

Comments

[fella]

Спасибо опять сподвигли на поиск ошибки у себя в верном русле. Единственное ошибка в маскараде - порт тогда не 1080, а 80 указывать надо
/ip firewall nat add action=masquerade chain=srcnat dst-address=192.168.20.10 dst-port=80 protocol=tcp src-address=!192.168.10.0/24

[Виктор Бельский]

А, ну если вы форвардите на 80, тогда да - маскарадить тоже 80.