Как пробросить порт через 2 Mikrotik в одной сети?

Question

[Billy_Swein]

Есть два микротика. Первый - в режиме router (lan ip 192.168.100.5)
На нем настроен FW, NAT. Второй стоит за ним, в режиме bridge. Его ip 192.168.100.6 и вот за этим микротиком стоит видерегистратор (192.168.100.210:8088), порты которого и надо прокинуть. Настройка nat на первом ничего не дает, если коннектится из внешней сети. Если коннектится из гостевой wifi сети (поднятой на втором микротике) 192.168.10.0/24 то коннект есть при пописанных правилах nat, fw. Пробовал полностью удалить все правила fw, nat на втором mikrotik - рвется соединение с внешней сетью.
Помогите пожалуйста разобраться.

Answer 1

[Gregory]

покажите настройки двух устройств

Comments

[Billy_Swein]

MikroTik 1
ip firewall nat print
Flags: X - disabled, I - invalid, D - dynamic
0 ;;; defconf: masquerade
chain=srcnat action=masquerade out-interface-list=WAN log=no log-prefix=""

1 chain=srcnat action=masquerade out-interface=bridge log=no log-prefix=""

2 chain=srcnat action=masquerade dst-address=10.0.0.0/8 out-interface-list=!WAN log=no log-prefix=""

3 ;;; chto_gde_pochem
chain=dstnat action=dst-nat to-addresses=192.168.100.20 to-ports=22 protocol=tcp dst-address=****************** in-interface=pppoe dst-port=4422 log=no log-prefix=""

4 ;;; ppptp
chain=dstnat action=accept protocol=tcp dst-port=1723 log=no log-prefix=""

5 chain=srcnat action=accept protocol=gre log=no log-prefix=""

6 ;;; client_term
chain=dstnat action=dst-nat to-addresses=192.168.100.3 protocol=tcp in-interface=pppoe- dst-port=10888 log=no log-prefix=""

7 ;;;
chain=dstnat action=dst-nat to-addresses=192.168.100.3 protocol=tcp in-interface=pppoe dst-port=9090 log=no log-prefix=""

8 chain=dstnat action=dst-nat to-addresses=192.168.100.3 to-ports=9090 protocol=tcp in-interface=pppoe-2 dst-port=9000 log=no log-prefix=""

9 ;;; _ _
chain=dstnat action=dst-nat to-addresses=192.168.100.20 to-ports=3313 protocol=tcp in-interface=pppoe- log=no log-prefix=""

10 ;;; GPS
chain=dstnat action=dst-nat to-addresses=192.168.100.3 protocol=tcp in-interface-list=WAN dst-port=8000 log=no log-prefix=""

11 ;;; Videoreg
chain=dstnat action=dst-nat to-addresses=192.168.100.210 protocol=tcp dst-address=****************** in-interface=pppoe dst-port=8088,6036 log=no log-prefix=""

12 ;;; MTS_mob_sotr
chain=dstnat action=dst-nat to-addresses=192.168.100.3 to-ports=10080 protocol=tcp in-interface-list=WAN src-port=10080 dst-port=10080 log=no log-prefix=""

13 ;;; SIP_68003
chain=dstnat action=dst-nat to-addresses=192.168.100.39 to-ports=5062 protocol=udp src-address=****************** in-interface-list=WAN src-port=5060 dst-port=5062 log=no
log-prefix=""

14 ;;; mgfn_inrst
chain=dstnat action=dst-nat to-addresses=192.168.100.38 to-ports=5060 protocol=udp in-interface-list=WAN src-port=5060 dst-port=5060 log=no log-prefix=""

15 ;;; SIP_******************
chain=dstnat action=dst-nat to-addresses=192.168.100.39 to-ports=5061 protocol=udp src-address=****************** in-interface-list=WAN src-port=5060 dst-port=5061 log=no
log-prefix=""

16 ;;; udp_ngn
chain=dstnat action=dst-nat to-addresses=192.168.100.39 protocol=udp in-interface-list=WAN src-port=10000-20000 dst-port=10000-20000 log=no log-prefix=""

ip firewall filter print
Flags: X - disabled, I - invalid, D - dynamic
0 D ;;; special dummy rule to show fasttrack counters
chain=forward action=passthrough

1 ;;; defconf: fasttrack
chain=forward action=fasttrack-connection connection-state=established,related log=no log-prefix=""

2 ;;; defconf: accept ICMP
chain=input action=accept protocol=icmp log=no log-prefix=""

3 chain=forward action=accept protocol=tcp dst-address=****************** dst-port=8088,6036 log=no log-prefix=""

4 chain=forward action=accept protocol=icmp log=no log-prefix=""

5 ;;; ******************
chain=forward action=accept protocol=tcp dst-port=22 log=no log-prefix=""

6 ;;; ppptp
chain=input action=accept protocol=tcp dst-port=1723 log=no log-prefix=""

7 chain=input action=accept protocol=gre log=no log-prefix=""

8 ;;; defconf: accept established,related
chain=input action=accept connection-state=established,related log=no log-prefix=""

9 ;;; defconf: accept established,related
chain=forward action=accept connection-state=established,related log=no log-prefix=""

10 chain=forward action=accept src-address=192.168.100.0/24 in-interface=bridge

11 chain=forward action=accept protocol=udp src-address=****************** dst-address=192.168.100.39 in-interface=pppoe out-interface=bridge src-port=5060 dst-port=5060-5065
log=no log-prefix=""

12 ;;; defconf: drop invalid
chain=forward action=drop connection-state=invalid log=no log-prefix=""

13 ;;; 53 DNS Kill
chain=input action=drop protocol=udp in-interface-list=WAN dst-port=53 log=no log-prefix=""

14 chain=forward action=drop protocol=udp dst-address=192.168.100.39 in-interface=pppoe out-interface=bridge dst-port=5060-5065 log=no log-prefix=""

15 ;;; Deny 8.8.4.4 to reserved internet-channel
chain=output action=drop protocol=icmp dst-address=8.8.8.8 out-interface=pppoe-2

16 ;;; defconf: drop all from WAN not DSTNATed
chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN log=no log-prefix=""

17 ;;; defconf: drop all from WAN
chain=input action=drop in-interface-list=WAN log=no log-prefix=""

Answer 2

[Billy_Swein]

MikroTik2:
NAT:
0 ;;; default configuration
chain=srcnat action=masquerade out-interface=bridge-local log=no
log-prefix=""

1 chain=srcnat action=masquerade out-interface=GuestWiFi log=no log-prefix=""

2 chain=dstnat action=dst-nat to-addresses=***********(пробовал внешний ip) protocol=tcp
dst-address=192.168.100.210 dst-port=8088,6036 log=no log-prefix=""

3 chain=srcnat action=masquerade dst-address=!10.0.0.0/8
out-interface=bridge-local log=no log-prefix=""

FW:
0 D ;;; special dummy rule to show fasttrack counters
chain=forward action=passthrough

1 chain=forward action=fasttrack-connection
connection-state=established,related log=no log-prefix=""

2 ;;; est,rltd
chain=input action=accept connection-state=established,related log=no
log-prefix=""

3 chain=forward action=accept protocol=tcp dst-port=8088,6036 log=no
log-prefix=""

4 ;;; est,rltd
chain=forward action=accept connection-state=established,related log=no
log-prefix=""

5 chain=input action=accept protocol=icmp log=no log-prefix=""

6 chain=forward action=accept protocol=icmp log=no log-prefix=""

7 chain=forward action=accept out-interface=GuestWiFi log=no log-prefix=""

Comments

[Gregory]

2 микротик какую роль у вас исполняет? если просто как свитч , то вырубите на нем все правила в фаерволе, nat и dncp сервер а на первом укажите проброс на ip того устройства к которому нужно подключиться

[Billy_Swein]

все проводные подключения да, просто свитч. На нем единственное, есть 2 сети WIFI. Одна гостевая, отрезанная от других сетей, другая же в бридже с локальной.

В том то и дело, что при выключении FW, NAT отваливается интернет у всех (проводные и две wifi)

[Billy_Swein]

Попробовал все, что отключается отключить - инет по проводным в свитче идет, у всех остальных отвалился (wifi)
Проброс не работает (с первого микротика)