Не подключается по проброшенному порту rdp если кто-то уже подключен с другого внешнего IP?

Question

[ChikiHh]

Здравствуйте друзья. Прошу помощи в исследовании неведомой проблемы. В общем суть такая. Есть офис с выделенным белым IP, роутер mikrotik получает настройки от провайдера по DHCP, на роутере настроен port forwarding чтобы извне по порту (скажем 51222) можно было подключится по rdp к серверу терминалов (на железке установлен гипервизор ProxMox, на нем установлена Windows server 2012).
Проблема вот в чем. Если кто-то подключался по rdp по проброшенному порту - предположем с внешнего адреса - 2.2.2.2, то другой человек который находится на другом внешнем ip (пускай 3.3.3.3) по этому же порту не сможет подключиться - будет несколько попыток без ответа (не удалось подключиться, сервер не найден и т. п. ). Если же подключиться из той же локальной сети что и первое подключение, т. е. с тем же внешним ip ( 2.2.2.2), то все нормально - соединение устанавливается. Если же на Микротике пробросить еще один порт на сервер - скажем 51223, то по другому порту все подключится, но опять же - если пытаться подключиться второму клиенту по новому порту (51223) с другого внешнего ip то опять не подключится.
Ума не приложу что может быть.
Простые действия - все перепробовал (файервол выключал, порт rdp с самом виндовс менял, даже чистую систему ставил)
Так же хоть и не силен в этом, но снифером трафика и внизу на картинке попытка подключиться по порту на котором уже есть соединение, вверху успешное подключение по другому порту.

P.S. микротик с дома приносил (сбрасывал, настраивал заного) - тоже самое, т. е. проблема не в сетевом оборудовании, а в Proxmox скорее всего.

Comments

[Дмитрий Шицков]

Выложите ваши настройки NAT

[ChikiHh]

Дмитрий Шицков, Там все стандартно - одно правило для маскарадинга сверху и dst-nat проброс порта на сервер.

[Дмитрий Шицков]

Максим, хм, тогда и ответ стандартный - должно работать без проблем.

Для интереса, можете попробовать подключаться через telnet на порт RDP и проверить результат (возможность одновременного подключения с нескольких внешних IP)

[ChikiHh]

В том то и дело что должно) в других местах где стоят микротики с такими же настройками nat нет подобных проблем - одновременно по 30 человек с разных ip подключаются. Уже несколько ночей не сплю, понять не могу.
Не подскажете с какими параметрами подключаться по телнет? o 1.1.1.1 49333(проброшенный порт) не дает результата - connecting пишет и все...

[ChikiHh]

poisons, прошу прощения, пропустил ваш комментарий. ROS - 6.39.3(bugfix), fastpath и так и так пробовал - не влияет. Понять бы где заворачивается пакеты как-нибудь =(

[ChikiHh]

Так тут как раз чудо, ну или по крайней мере что-то неведомое.
Правила два всего:
add action=masquerade chain=srcnat comment="defconf: masquerade" out-interface=WAN1
add action=dst-nat chain=dstnat comment=to_1c_test dst-address=11.11.11.11 \
dst-port=43222,49222-49230 protocol=tcp to-addresses=192.168.88.245 \
to-ports=43222
Порт rdp в винде поменян, файервол настроен.

[ChikiHh]

Опечатался, прошу прощения, in-interface...
Ещё раз повторюсь что правила пробросил менял всеми возможными способами. Первое подключение происходит нормально, потом из другого внешнего айпи нельзя подключиться, пока первое соединение не закрыть.

[АртемЪ]

Максим,

на нем установлена Windows server 2012

Он адрес от микротика получает?
action=netmap поставьте
Ну и лог включите в action с префиксом- и посмотрите что он вообще в логах говорит.

[ChikiHh]

АртемЪ, получает конечно, по dhcp - а в микротике статически привязан локальный ip. В логе тоже самое во всех случаях, он что когда подключается, что когда не подключается - т.е. трафик идет, но кто-то не отвечает

Answer 1

[Prez]

Я бы из дома принес бы Микротик, чтобы убедиться, что проблема в нем/не в нем. Хотя бы станет ясно куда копать дальше.

Answer 2

[I_Rusakov]

А можно правило NAT в сдудию?

add action=dst-nat chain=dstnat comment=rdp !connection-bytes !connection-limit !connection-mark !connection-rate !connection-type !content \
disabled=no !dscp dst-address=2.2.2.2 !dst-address-list !dst-address-type !dst-limit dst-port=2.2.2.2 !fragment !hotspot !icmp-options \
!in-bridge-port !in-bridge-port-list !in-interface !in-interface-list !ingress-priority !ipsec-policy !ipv4-options !layer7-protocol !limit log=yes \
log-prefix="" !nth !out-bridge-port !out-bridge-port-list !out-interface !out-interface-list !packet-mark !packet-size !per-connection-classifier \
!port !priority protocol=tcp !psd !random !routing-mark !routing-table !src-address !src-address-list !src-address-type !src-mac-address !src-port \
!tcp-mss !time to-addresses=1.1.1.1 to-ports=3389 !ttl

у меня вот такое работает.

Comments

[ChikiHh]

Ого. Чёт даже разобрать не могу что у вас тут так много всего.
У меня просто:
ip firewall nat
add chain=dstnat protocol=tcp dst-port=55555 action=dst-nat to-addresses=192.168.100.100 to-ports=3389 comment="" disabled=no

[I_Rusakov]

Да я просто экспорт (полный) своего правила сделал, там все параметры, которые возможны.

Answer 3

[Дмитрий Скоромнов]

Если все верно настроить, то несколько клиентов по одному порту подключаться точно смогут. Посмотрите корректную настройку проброса: Для_http://mikrotik.vetriks.ru/wiki/начинающих:Проброс...