Как преобразовать правила iptables в правила для Mikrotik?

Question

[Дмитрий Я]

Добрый день.
Прошу помощи, есть правила под iptables, но как их запихнуть в микротик, хоть убей, не пойму.
Пробовал и так, и сяк... опустились руки уже.
Буду очень признателен за любую подсказку.

iptables -t nat -A PREROUTING -p tcp -d 10.0.0.0/8 -j REDIRECT --to-port 9040
iptables -t nat -A OUTPUT -p tcp -d 10.0.0.0/8 -j REDIRECT --to-port 9040
#### Переадресация по домену ".onion" ####<code></code>
iptables -t nat -A PREROUTING -p udp --dport 53 -m string \ --hex-string "|056f6e696f6e00|" --algo bm -j REDIRECT --to-ports 5300
iptables -t nat -A OUTPUT -p udp --dport 53 -m string \ --hex-string "|056f6e696f6e00|" --algo bm -j REDIRECT --to-ports 5300

микротик

/ip firewall nat
add action=redirect chain=dstnat comment="TOR redir. DNS" disabled=no \
    dst-port=53 layer7-protocol=Onion port=53 protocol=udp to-ports=5300
add action=redirect chain=dstnat comment="TOR Connections redir." disabled=no \
    dst-address=10.0.0.0/8 protocol=tcp to-ports=9040
add action=masquerade chain=srcnat comment="Def. Masq" disabled=no \
    out-interface=ether2-wan

Comments

[Дмитрий Шицков]

Как пробовали? Что не получилось? Покажите какие правила получились в микротик (/ip/firewall/nat export)

[Дмитрий Я]

Дмитрий Шицков,

/ip firewall nat
add action=redirect chain=dstnat comment="TOR redir. DNS" disabled=no \
    dst-port=53 layer7-protocol=Onion port=53 protocol=udp to-ports=5300
add action=redirect chain=dstnat comment="TOR Connections redir." disabled=no \
    dst-address=10.0.0.0/8 protocol=tcp to-ports=9040
add action=masquerade chain=srcnat comment="Def. Masq" disabled=no \
    out-interface=ether2-wan

по этим правилам даже трафик не проходит, счётчики по нулям
P.S. по поводу переадресации порта на самого себя: tor работает на той же железяке, что и микротик, использую пиратку huntertik+debian.

[Дмитрий Шицков]

Дмитрий Я, возможно регулярка неправильная. Покажите какая у вас записана для layer7-protocol=Onion

[Дмитрий Я]

Дмитрий Шицков, брал из примера в инете:

^.+(.onion).*$

[Дмитрий]

по всем трем не проходит?
это странно, потому что например в третьем правиле, визуально (нет возможности на mktk сейчас попробовать) я не вижу каких либо проблем.
Может перед этими правилами есть какое то , куда трафик уходит и до них просто не доходит уже?

[Дмитрий Шицков]

Дмитрий Я, не пробовали вместо layer7-protocol указать content=.onion
?
Второе правило вовсе ввглядит корректным. Нужно попробовать целенаправленно, например телнетом, поотправлять пакетв на этот адрес/порт.

[Дмитрий Я]

Дмитрий Шицков, попробовал, не едут лыжи :(

[Дмитрий Я]

Bulroh, я уже снёс к чертям этот микротик.