Mikrotik как пробросить порты через туннель?

Question

[john-doe]

Есть два роутера Mikrotik со статическими IP.

МИК1:
Статический IP: 212.33.44.111
Локальный IP: 10.1.3.1
Сервер L2tp: 10.1.4.1

В сети МИК1 есть железка 10.1.3.13

МИК2:
Статический IP: 194.88.222.99
Локальный IP: 10.3.1.1
Клиент L2tp: 10.1.4.251

В сети МИК2 есть железка 10.3.1.6

Пробрасываю порт 22, через МИК2 и l2tp до 10.1.3.13, т.е. 194.88.222.99:1022 --> 10.1.3.13:22

На данный момент, если c МИК2 или c 10.3.1.6 попробовать подключиться к 10.1.3.13, доступ есть. Извне, через 194.88.222.99:1022, доступа нет.

На МИК2 в NAT прописано:
5 chain=dstnat action=dst-nat to-addresses=10.1.3.13 to-ports=22 protocol=tcp dst-address=194.88.222.99 in-interface=ether10 dst-port=1022 log=no log-prefix=""

Подскажите, как решить проблему?

Answer 1

[ТыжСисАдмин]

У вас сейчас трафик идёт не так как вы ожидаете :)

При вашей схеме, ответ от 10.1.3.13 уходит по дефолт маршруту мик1 а не как вы ждёте что он пойдёт в тунель и в мик2 в результате клиенту приходит ответ с другого IP и он правомерно его отбрасывает.

Вам нужен или двойной нат или маркировка пакетов.

Попробуйте так сделать на мик1
маркировка

/ip firewall mangle
add action=mark-routing chain=prerouting dst-address=!10.1.3.0/24 \
    new-routing-mark=ssh passthrough=yes protocol=tcp src-address=10.1.3.13 \
    src-port=22

Роут

/ip route
add distance=1 gateway=L2TP_TUNNEL_NAME routing-mark=ssh

Comments

[john-doe]

Спасибо за совет!

Все решилось добавлением правила:
/ip firewall nat
6 chain=srcnat action=src-nat to-addresses=10.3.1.1 protocol=tcp out-interface=l2tp dst-port=22 log=yes log-prefix=””