Как сделать проброс портов во вторую сеть в Mikrotik?

Question

[Flosik]

Здравствуйте! Помогите пожалуйста разобраться в следующем вопросе...

Есть роутер Mikrotik RB2011UiAS-2HnD-IN, основная локальная сеть 192.168.77.0/24. Для доступа ко второй сети в один из портов роутера воткнут патч от роутера к свитчу второй сети. Вторая сеть 172.20.10.0/24. Первая сеть имеет доступ в интернет, вторая сеть без доступа к интернету.

Задача через роутер первой сети пробросить один порт (8081) к одному из устройств во второй сети на 80 порт.

Делаю следующее:

Через Winbox захожу в интерфейс роутера, в IP - firewall - NAT добавляю правило:

chain: dstnat
протокол: tcp
Dst. Port: 8081

Все остальные параметры не трогаю.

Далее на вкладке Action указываю:

Action: dst-nat
To Addresses: 172.20.10.5
To Ports: 80

Но такая схема почему то не работает.

Белый внешний IP адрес естественно имеется. Аналогичные правила для устройств находящихся в первой сети из диапазона 192.168.77.0/24 успешно работают.
Находясь за локальным ПК в первой, локальной сети роутера устройства из вторйо сети доступны. При задании определенных настроек для сетевого адаптера естественно, в виде соответствующей маски или же задании IP и шлюза из второй сети. В интерфейсе роутера в IP сканере устройства из второй сети так же видны.

Comments

[Vladimir Zhurkin]

Просьба нарисовать сеть.

Но вам надо или делать двойной проброс или прописать роутинг каждой сети на устройствах, если это разные устройства. Это если я все правильно понял, но лучше нарисуйте.

Answer 1

[ТыжСисАдмин]

В принципе если не желаете заморачиваться то делаете просто двойной нат

Wan R0 -> 8081 dst nat -> Wan R1 -> 8081 dst nat to server

Answer 2

[Виктор Бельский]

К вашему правилу dst-nat добавьте еще:
chain=srcnat action=masquerade dst-address=172.20.10.5 out-interface=(интерфейс к которому подключен провод от второй сети)
Ну и проверьте чтобы firewall пропускал 80 порт

Comments

[Flosik]

Добавил такое правило, под правилом красным пишет:

in/out-interface matcher not possible when interface (ether6-slave-local) is slave - use master instead (bridge-local)

[Виктор Бельский]

Flosik: Этот порт у вас привязан к мастер-порту (т.е. работает просто как порт свича) либо он в бридже с другим интерфейсом, поэтому укажите либо мастер-порт, либо интерфейс бриджа.

Да, а с роутера на котором настроен проброс, пингуется адрес 172.20.10.5, т. е. он вообще знает о существовании сети 172.20.10.0 ?

[Flosik]

Виктор Бельский: пинг проверил через инстурмент Ping - нет, не пингуется. Пишет timeout. Но через IP Scan эту сеть 172.20.10.0/24 сканирует.

Я должен ее в IP - Addresses добавить? Это коннект не положит, если удаленно сделать?)