Как сделать перенаправление порта внутри LAN в Mikrotik?

Question

[antonwx]

Роутер имеет два IP-адреса:
172.16.0.1
192.168.1.4
(второй адрес необходим для обеспечения работоспособности некоторых узлов, до которых добраться, чтобы изменить их конфигурацию, пока проблематично).
Необходимо сделать следующее - пробросить порт 192.168.1.4:5858 на 172.16.0.2:5858. Всё в пределах локальной сети.
Гайды из интернета не помогают.

Answer 1

[Denis Melnikov]

Начнем с простого =)
Такое не помогло ?

/ip firewall nat add chain=dstnat protocol=tcp src-address=192.168.1
.4 src-port=5858 action=dst-nat to-addresses=172.16.0.2 to-ports=5858

Comments

[antonwx]

увы, но нет

[Denis Melnikov]

С сети 192 доступ к 172 есть ?

[antonwx]

Denis Melnikov, вот кстати почему-то нет. И это ещё одна проблема... причём к роутеру доступ есть по 172.16.0.1, а к ПК - нет

[Denis Melnikov]

antonwx, думаю это и есть проблема.
Статический маршрут пропишите и посмотрите, нет ли в FW запрещенного правила гулять туда сюда

[antonwx]

Denis Melnikov, я правильно сделяль?

Доступ между пулами адресов появился, но вот переназначение так и не работает.
Про маршруты, я, если честно, вообще не понимаю. Что в них надо ещё прописать?

[Denis Melnikov]

antonwx, пропингуйте с хоста из 192 в 17 и узнаете =)
Но вроде да

[antonwx]

Denis Melnikov, пингуется, и файловая шара тоже работает. Осталось только решить проблему с перенаправлением... должен же быть способ?

[Denis Melnikov]

Киньте скрин таблицы NAt

p.s. совет на будущее. НЕ переименовывайте стандартные порты, если захотите перекинуть конфиг на другое устройство, то при восстановлении, микрот тупо не найдёт такие порты по наименованию и придётся переименовывать там.

[antonwx]

Denis Melnikov,
Учту про порты

[Denis Melnikov]

antonwx, И вкладку Action, для 3 правила, хотя я примерно догадываюсь. И еще вопрос, порт на 17 хосте открыт же ?)

[Denis Melnikov]

firewall не стоит ни какой ?

[antonwx]

Denis Melnikov,

файрволл обычной винды, но порт открыт, на 172 подключение есть

[Denis Melnikov]

Давайте так, из src-address убираем IP , оставляем только порт. Остальное так же

[Denis Melnikov]

И еще такое правило попробуйте

ip firewall nat add chain=dstnat dst-port=5858 protocol=tcp action=
dst-nat to-addresses=172.16.0.2

Тут просто идет обращение по порту и его перекидывание на 172...

[Александр]

Denis Melnikov, при экспорте конфига же дефолтные имена портов поменяются; но лучше физические порты действительно не переименовывать во избежание путаницы, в комментах же можно писать что угодно.

[antonwx]

Denis Melnikov, увы, но всё безрезультатно

[antonwx]

Denis Melnikov, небольшой апдейт. Если обращаться с IP из диапазона 192.168 - доступ действительно есть. А вот из 172.16 - нет.

[Denis Melnikov]

Satauchi Kimoto, ради интереса сделал выгрузку и переименовал порт. Наверное по умолчанию все же найдёт... то что в скобках, но да, лучше не переименовывать физ порты.

set [ find default-name=ether2 ] speed=100Mbps
set [ find default-name=ether3 ] name=ether3-test speed=100Mbps

[Denis Melnikov]

antonwx, уже успех =) Осталось только из 172 сделать...

[Denis Melnikov]

Можно попробовать ограничить правило только для сети 192

ip firewall nat add chain=dstnat src-address=192.168.1.0/24 protoco
l=tcp port=5858 action=dst-nat to-addresses=172.16.0.2

И что то идей у меня больше нет...
Думаю вам очень быстро помогут в телеге

[antonwx]

Denis Melnikov,
спасибо за помощь

[Denis Melnikov]

antonwx, решение то хоть нашлось ? интересно теперь

[antonwx]

Denis Melnikov, увы но нет, но главная цель была обеспечить доступность ресурса из сети 192.168 по старым настройкам, до тех пор пока везде не будут настройки поправлены, это сделано, и бог с ним. Похоже если даже и есть какое-то решение, то оно явно не на поверхности где-то лежит. Собственно вся поддержка сети 192.168 - это такое легаси, которое нужно для того, чтобы все продолжали работать, пока инфраструктура меняется.