Проброс порта на Mikrotik'e?

Question

[Denis Michurin]

Всем привет
Пытаюсь пробросить порт на Mikrotik в сторону сервера. Делал все по мануалам
Но что то не получается
Где я дурак?

Filter Rules

NAT

nmap

/ip firewall export

/ip firewall filter
add action=accept chain=input comment="default configuration" connection-state=established,related
add action=accept chain=input comment="default configuration" protocol=icmp
add action=accept chain=forward dst-address=x.x.x.x/24 log=yes src-address=192.168.88.0/24
add action=accept chain=forward dst-address=192.168.88.0/24 log=yes src-address=x.x.x.x/24
add action=accept chain=forward dst-address=192.168.88.110 dst-port=444 in-interface=ether1-gateway protocol=tcp
add action=accept chain=input log=yes protocol=ipsec-ah
add action=accept chain=input protocol=ipsec-esp
add action=accept chain=input protocol=gre
add action=accept chain=input dst-port=1701 protocol=udp
add action=accept chain=input dst-port=4500 protocol=udp
add action=accept chain=input dst-port=500 protocol=udp
add action=accept chain=input dst-port=80 protocol=tcp
add action=fasttrack-connection chain=forward comment="default configuration" connection-state=established,related
add action=accept chain=forward comment="default configuration" connection-state=established,related
add action=drop chain=input comment="default configuration" in-interface=ether1-gateway
add action=drop chain=forward comment="default configuration" connection-state=invalid
add action=drop chain=forward comment="default configuration" connection-nat-state=!dstnat connection-state=new in-interface=\
    ether1-gateway
/ip firewall nat
add action=masquerade chain=srcnat dst-address=!172.16.1.0/24 out-interface=ether1-gateway
add action=dst-nat chain=dstnat dst-port=444 in-interface=ether1-gateway protocol=tcp to-addresses=192.168.88.110 to-ports=444

Comments

[Valentin Net]

Покажите ещё из Ната вкладку дженерал

[Denis Michurin]

Валентин Net,

General

[АртемЪ]

Denis Michurin, Ну когда речь идет про проброс портов для доступа из внешней сети, и что-то не получается, то прежде всего задают вопрос - А у вас собственно белый(реальный) IP адрес есть?
Зачастую ответ на этот вопрос оказывается отрицательным - следовательно можно не мучиться с пробросом.

Answer 1

[Дмитрий Скоромнов]

Сделайте выгрузку /ip firewall export

Без нее не понятно, что и как. Скриншоты не отображают всю информацию.

Comments

[Denis Michurin]

Обновил

[Дмитрий Скоромнов]

1. Отключите правило FastTrack. Вы скорее всего слышали, что оно дает бешеный прирост производительности и маршрутизатор начинает работать, как на стероидах, но Вы должны понимать, что за все надо платить. А платите Вы тем, что при FastTrack перестает работать львиная доля функционала. Подробнее можно почитать здесь: https://mikrotik.vetriks.ru/wiki/Межсетевой_экран:... . Обычно это правило мешать не должно, но лучше привести в порядок.

2. Перезагрузите устройство, т. к. правило Dummy уходит только после перезагрузки.
3. Если не помогло, то отключите вообще все правила файервола.
4. Если не помогло, то скорее всего ошибку надо искать на устройстве куда идет проброс портов. Возможно на нем не прописан шлюз или прописан не верный шлюз.

Так же в качестве входящего интерфейса надо указывать виртуальный интерфейс, если используется виртуальный интерфейс (PPPoE или что-то подобное)

Answer 2

[Wexter]

В Filter добавьте правило разрешающее forward на 192.168.88.110:444

Comments

[Denis Michurin]

Увы ничего не поменялось

Добавил

[Wexter]

Denis Michurin, а IP то у вас белый?

[Denis Michurin]

Wexter, да

Answer 3

[Дмитрий]

А входящий интерфейс кто будет указывать?

Comments

[Denis Michurin]

Указал, ничего не поменялось

Answer 4

[ifossa]

Ниже, рабочая конфигурация для firewall/NAT с открытыми портами для L2TP IPSec, веб-интерфейсом и пробросом 444 порта на ip 192.168.88.110

/ip firewall nat
add action=masquerade chain=srcnat comment="masquerade" ipsec-policy=out,none out-interface-list=WAN
add action=netmap chain=dstnat dst-port=444 in-interface=ether1 protocol=tcp to-addresses=192.168.88.110 to-ports=44
/ip firewall filter
add action=accept chain=input comment="ALLOW ESTABLISHED" connection-state=established
add action=accept chain=input comment="ALLOW RELATED" connection-state=related
add action=drop chain=input comment="DROP INVALID" connection-state=invalid
add action=accept chain=input comment="ALLOW ICMP" protocol=icmp
add action=accept chain=input comment="ALLOW WINBOX" dst-port=8291 protocol=tcp
add action=accept chain=input comment="ALLOW L2TP IPSEC" dst-port=500,1701,4500 in-interface=ether1 protocol=udp
add action=accept chain=forward comment="ALLOW L2TP IPSEC" protocol=ipsec-esp
add action=accept chain=input comment="ALLOW WEB-INTERFACE" dst-port=80 protocol=tcp
add action=drop chain=input comment="DROP ALL INPUT"
add action=accept chain=forward comment="ALLOW ESTABLISHED" connection-state=established
add action=accept chain=forward comment="ALLOW RELATED" connection-state=related
add action=drop chain=forward comment="DROP INVALID" connection-state=invalid
add action=accept chain=forward comment="ALLOW ICMP" protocol=icmp
add action=accept chain=forward comment="ALLOW REDIRECT TO RDP" dst-port=444 protocol=tcp
add action=accept chain=forward comment="ALLOW INTERNET FROM LOCAL" out-interface=ether1 src-address=192.168.88.0/24
add action=drop chain=forward comment="DROP ALL FORWARD"

Answer 5

[NikanorovKir]

На скрине видно, что пакеты через правило ната идут, может проблема всё таки в сервере?

Comments

[Denis Michurin]

Серверу выданы настройки по DHCP + ARP Static на Микротике, на самом сервере порты открыт, проверялось через nmap локальному IP

Answer 6

[Gregory]

у самого сервера шлюз прописан?