Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Отлично, проверил для полной изначальной схемы решение с двумя правилами - всё работает как я изначально и хотел.
Т.е. для каждой связи PCn - PC4(server, NTP) нужно добавить два этих правила

Но все же буду использовать три правила

Спасибо, Andrey Barbolin

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Andrey Barbolin, конечно может у вас уже нет времени или желания разжевывать такие вещи, но всё таки если найдется несколько минут, можете объяснить:
1) add action=dst-nat chain=dstnat in-interface=ether1 to-addresses=192.168.7.1
2) add action=masquerade chain=srcnat out-interface=ether1 src-address=192.168.7.1
3) add action=masquerade chain=srcnat dst-address=192.168.7.1 src-address=192.168.3.0/24

Действительно ли тут нужно правило под номером 2, если и без него все работает?

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Andrey Barbolin,
Ещё поигрался с правилами и заметил, что и одного правила достаточно:
/ip firewall nat
add action=masquerade chain=srcnat dst-address=192.168.7.1 src-address=192.168.3.0/24

но с ним связь не стабильная - на время тестов я обращаюсь к веб-серверу по адресу 192.168.3.1 с компьютера PC1.
И вот в случае с одним правилом - страница грузится медленнее и бывает не прогружаются картинки или не все, а с двумя правилами - все грузится моментально - как и положено в локальной сети

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Поигрался с правилами и получается, что достаточно двух правил, по крайней мере с ними все работает:
/ip firewall nat
add action=dst-nat chain=dstnat in-interface=ether1 to-addresses=192.168.7.1
add action=masquerade chain=srcnat dst-address=192.168.7.1 src-address=192.168.3.0/24

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Роман, Роман, решение без указания шлюзов уже найдено и отмечено отметкой "Отмечено решением"
То, что вы посчитали невозможным - на самом деле возможно

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Роман, запрос производится на адрес НЕ в другой подсети, а в своей
всё, что вы говорите - верно, но не относится к решаемой задаче

Решение уже найдено, посмотрите ветку комментариев с Andrey Barbolin

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Итоговые правила такие:
/ip firewall nat
add action=dst-nat chain=dstnat in-interface=ether1 to-addresses=192.168.7.1
add action=masquerade chain=srcnat out-interface=ether1 src-address=192.168.7.1
add action=masquerade chain=srcnat dst-address=192.168.7.1 src-address=192.168.3.0/24

Для схемы:
PC1 192.168.3.2 --- (192.168.3.1 ether1 ether2 192.168.7.2) --- 192.168.7.1 PC2
PC1 GW - NULL
PC2 GW - NULL

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Andrey Barbolin,
Блин! Прошу прощения, всё работает без шлюзов! Я перезагрузил виртуалки PC1, Mikrotik, PC2 и всё заработало! Спасибо! Извините, что заводил в заблуждение последние 4 комментария назад )

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Andrey Barbolin,
прошу прощения, в этой схеме, в моём ответе выше на самом деле связь проходит:

GW PC1 - NULL
GW PC2 - 192.168.7.2
Запрос с компьютера PC1 по адресу 192.168.3.1:80 - не проходит

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Так, запустил на PC2 WireShark
Вот что он выдаёт:
689 153.689157000 192.168.3.2 192.168.7.1 HTTP 353 [TCP Retransmission] GET / HTTP/1.1
т.е. адрес источника не изменяется

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Из того, что я понимаю - это то, что к PC2 пакеты прилетают с src.address вне подсети PC2, поэтому он без указания шлюза не работает, т.е. маскарадинг или нат не работают как требуется в этом случае, src.address должен был подмениться на 192.168.7.2 - адрес mikrotik'а для этой сети

даже скорее всего точный src.адрес в пакете 192.168.3.2 (или 192.168.3.1) )

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Andrey Barbolin, поменял:
[admin@MikroTik] > /ip firewall export
# sep/04/2020 09:22:53 by RouterOS 6.45.9
/ip firewall nat
add action=dst-nat chain=netmap in-interface=ether1 to-addresses=192.168.7.1
add action=masquerade chain=srcnat out-interface=ether1 src-address=192.168.7.1
add action=masquerade chain=srcnat dst-address=192.168.7.1 src-address=192.168.3.0/24

поведение такое:
1)
GW PC1 - NULL
GW PC2 - NULL
Запрос с компьютера PC1 по адресу 192.168.3.1:80 - не проходит

2)
GW PC1 - NULL
GW PC2 - 192.168.7.2
Запрос с компьютера PC1 по адресу 192.168.3.1:80 - не проходит

Теперь запрос не проходит и с указанием шлюза на PC2 и без указания шлюза

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Прошу прощения, но дело не в шлюзах и не масках в данном случае я уверен, что здесь можно сделать без задания адресов шлюза, ну просто если себя представить шлюзом и попробовать разрулить ip пакеты, вся загвоздка в том что я не имею опыта работы с инструментами mikrotik'а, iptables и т.п. и всеми этими сопутствующими аббреиватурами типа masquerade, src-nat, dst-nat и т.п.

Да и в общем-то... я не шлю пакеты в не свою сеть - каждый ПК отсылает пакет в свою подсеть
задача шлюза - подменить IP адреса источника и назначения на свой и запомнить это где-то у себя

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Andrey Barbolin,
Couldn't change NAT Rule <192.168.7.1> - incoming interface matching not possible in output and postrouting chains(6)

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Andrey Barbolin,

MMM      MMM       KKK                          TTTTTTTTTTT      KKK
  MMMM    MMMM       KKK                          TTTTTTTTTTT      KKK
  MMM MMMM MMM  III  KKK  KKK  RRRRRR     OOOOOO      TTT     III  KKK  KKK
  MMM  MM  MMM  III  KKKKK     RRR  RRR  OOO  OOO     TTT     III  KKKKK
  MMM      MMM  III  KKK KKK   RRRRRR    OOO  OOO     TTT     III  KKK KKK
  MMM      MMM  III  KKK  KKK  RRR  RRR   OOOOOO      TTT     III  KKK  KKK

  MikroTik RouterOS 6.45.9 (c) 1999-2020       http://www.mikrotik.com/

[?]             Gives the list of available commands
command [?]     Gives help on the command and list of arguments

[Tab]           Completes the command/word. If the input is ambiguous,
                a second [Tab] gives possible options

/               Move up to base level
..              Move up one level
/command        Use command at the base level
[admin@MikroTik] > /ip firewall export
# sep/04/2020 08:55:26 by RouterOS 6.45.9
# software id = 
#
#
#
/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1 src-address=192.168.7.1
add action=masquerade chain=srcnat dst-address=192.168.7.1 out-interface=ether1
add action=netmap chain=dstnat in-interface=ether1 to-addresses=192.168.7.1
[admin@MikroTik] > /ip address export
# sep/04/2020 08:55:40 by RouterOS 6.45.9
# software id = 
#
#
#
/ip address
add address=192.168.3.1/24 interface=ether1 network=192.168.3.0
add address=192.168.4.1/24 interface=ether2 network=192.168.4.0
add address=192.168.5.1/24 interface=ether3 network=192.168.5.0
add address=192.168.7.2/24 interface=ether4 network=192.168.7.0
[admin@MikroTik] > /ip route export  
# sep/04/2020 08:55:50 by RouterOS 6.45.9
# software id = 
#
#
#
[admin@MikroTik] > /interface export
# sep/04/2020 08:55:59 by RouterOS 6.45.9
# software id = 
#
#
#
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
[admin@MikroTik] >

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Andrey Barbolin, сделал согласно вашим указаниям, только для одного интерфейса(чтобы проверить):

/ip firewall nat
add action=dst-nat chain=netmap in-interface=ether1 to-addresses=192.168.7.1
add action=masquerade  chain=srcnat  src-address=192.168.7.1 out-interface=ether1
add action=masquerade  chain=srcnat  dst-address=192.168.7.1 in-interface=ether1

PC1 192.168.3.2 --- (192.168.3.1 ether1 ether2 192.168.7.2) --- 192.168.7.1 PC2
PC1 GW - NULL
PC2 GW - NULL

Но, к сожалению, как только на PC2 я изменяю шлюз с 192.168.7.2 на NULL - связь от PC1 к PC2 пропадает (не идут пинги, не открывает веб интерфес:80)

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Меняю схему! извинте )
PC1 192.168.3.2 --- / (192.168.3.1 ether1 ether2 192.168.7.2) --- 192.168.7.1 Server
PC2 192.168.3.3 ---|
PC1 GW - NULL
PC2 GW - NULL
PC3 GW - NULL
и чтобы всё работало )

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

В общем суть в том, что PC4 тут - это сервер точного времени NTP(с одним ethernet портом)
а PC1, PC2, PC3 - это я так обозначил различные ПК из трех различных подсетей

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Да, спасибо, я понимаю что для трех ПК правило нужно раскопировать в соответствующем количестве
Про маскирование трафика тоже понял

Просто теперь вопрос в другом, эти правила работают, когда у правого ПК указан шлюзом микротик
при это у левого ПК шлюз как может быть задан, так может и отсутствовать

Мне интересно как сделать так чтобы не нужно было задавать шлюз у правого ПК, т.к. сейчас это требуется делать иначе схема не работает

Как настроить Mikrotik так, чтобы выполнялись следующие требования?

Дмитрий, Да с dst-nat вопрос решается (посмотрите мои комментарии на ответ Andrey Barbolin), но мне теперь интересно как сделать чтобы заработала следующая схема:
PC1 192.168.3.2 --- (192.168.3.1 ether1 ether2 192.168.7.2) --- 192.168.7.1 PC2
PC1 GW - NULL
PC2 GW - NULL

грубо говоря, сделать так, чтобы mikrotika как будто бы совсем и нет в сети, чтобы PC1 обращаясь на адрес 192.168.3.1 - попадал на PC2