Zloi
то есть есть апр таблица где сопоставлется адрес=мак
3bl3gamer
Как как. Изменить out-interface=WAN или какой там у тебя интерфейс в интернет смотрит
в коробку провайдера смотрит ether1, поверх него в интернеты смотрит pppoe_out1. если сделать out-interface=pppoe_out1, внешние соединения к 22 порту начинает рубить фильтр action=drop in-interface-list=!LAN. если вырубить фильтр, проброс работает
3bl3gamer
т.е. на каждый проброшенный порт/диапазон ещё добавлять правило, пропускающее этот порт в фильтре?
Cumberbatch
т.е. на каждый проброшенный порт/диапазон ещё добавлять правило, пропускающее этот порт в фильтре?
ставь галку !dst-nat для forward
Ярослав
Угу. Ставь out-interface=ppppe_out1
В правиле drop ставь галку !dst-nat.
Zloi
вот у вас странное правило
add action=dst-nat chain=dstnat dst-port=22 protocol=tcp to-addresses=192.168.88.15 to-ports=22
Zloi
укажите тут интерфейс внешний и будите по нему на внешнем интерфейсе проходить на сервер
Ярослав
в коробку провайдера смотрит ether1, поверх него в интернеты смотрит pppoe_out1. если сделать out-interface=pppoe_out1, внешние соединения к 22 порту начинает рубить фильтр action=drop in-interface-list=!LAN. если вырубить фильтр, проброс работает
У вас есть в фильтре правило forward drop хоть одно?
3bl3gamer
У вас есть в фильтре правило forward drop хоть одно?
есть два:
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
3bl3gamer
и, кажется, я напутал с
action=drop in-interface-list=!LAN
оно не рубит приходящие снаружи пакеты, и форвард работает. но рубит пакеты, идущие изнутри сети по внешнему адресу
Ярослав
Трафик вовнутрь через dst-nat является forward-трафиком. Поэтому
1. В WAN address list добавьте свой pppoe интерфейс
2. В правиле dst-nat добавьте In.interface=WAN
Ярослав
Ничего больше менять в фаерволле по дефолту не нужно. Ваша проблема в том, что вы полезли менять правила в Фаерволл, нужно было изначально просто добавить свой pppoe интерфейс в адресный список WAN и добавить dst-nat
3bl3gamer
хм. а ether1 в WAN'е должен быть?
Cumberbatch
Ярослав
нет, необязательно. Можно его оттуда убрать. А вот pppoe должен быть. И в правиле маскарада лучше поставить out-interface=WAN
Cumberbatch
system default-configuration print file=def_conf
Откройте полученный файл Потом поменяйте ether1 на pppoe ваш в WAN листе. очистите fw и вставьте правила
3bl3gamer
укажите тут интерфейс внешний и будите по нему на внешнем интерфейсе проходить на сервер
in-interface=pppoe_out1? а зачем?
3bl3gamer
да на листы я поменяю, щас бы вообще понять, что к чему
Cumberbatch
system default-configuration print file=def_conf
Воспользуйтесь этим. Правила по умолчанию отлично подойдут. Добавьте только dstnat правила нужные и ок
3bl3gamer
не очень понял, что с ним делать. файл есть, но как "Откройте полученный файл" ?
Cumberbatch
не очень понял, что с ним делать. файл есть, но как "Откройте полученный файл" ?
Winbox файлы. Там он появится. Блокнотом открываете. Перед этим драг энд дроп на рабочий стол
3bl3gamer
> очистите fw
всмысле, ресетнуть прошивку, и примеить потом слегка подправленные дефолтные правила?
я наверно так и сделаю, но не прямо сейчас.
вообще, сейчас всё почти работает как надо. почти — потому что подключения из локалки к локальному же серверу по <внешний_айпи_роутера>:22 не работают. точнее, пакеты доходят до сервера и сервер видит в пакете локальный айпи отправителя (проверял на другом порту и UDP), но от сервера клиенту ответы уже не доходят.
это должно было было работать изначально, и я что-то сломал? если нет, то как можно ли как-то настроить маршрутизацию так, чтоб пакеты доходили из локалки до WAN'а, и оттуда шли снова в локалку на сервер? длинк роутил примерно так же, и было удобно проверять те же пробросы потов прям изнутри, без внешнего сервера
Cumberbatch
Добавить одно правило нужно.
/ip firewall nat
add chain=srcnat src-address=192.168.88.0/24 \
dst-address=192.168.88.15 protocol=tcp dst-port=22 \
out-interface=LAN action=masquerade
Zloi
Для того что бы понять что к чему надо изучить packet flow diagram
https://www.mikrotik-trainings.com/trainings_files/docs/MikroTik_PacketFlow_Routing24.jpg
и настраивать все по этапно с пониманием того что вы делаете.
Ярослав
> очистите fw
всмысле, ресетнуть прошивку, и примеить потом слегка подправленные дефолтные правила?
я наверно так и сделаю, но не прямо сейчас.
вообще, сейчас всё почти работает как надо. почти — потому что подключения из локалки к локальному же серверу по <внешний_айпи_роутера>:22 не работают. точнее, пакеты доходят до сервера и сервер видит в пакете локальный айпи отправителя (проверял на другом порту и UDP), но от сервера клиенту ответы уже не доходят.
это должно было было работать изначально, и я что-то сломал? если нет, то как можно ли как-то настроить маршрутизацию так, чтоб пакеты доходили из локалки до WAN'а, и оттуда шли снова в локалку на сервер? длинк роутил примерно так же, и было удобно проверять те же пробросы потов прям изнутри, без внешнего сервера
Зачем вы пытаетесь изнутри сети подключаться к ЛОкальному серверу по ip внешнего сервера??? Изнутри по локальному. Снаружи по внешнему. Так должно быть
Zloi
Ему ни раз говорили нарисуйте схему... По ней бы сам все понял.. но не хочет.. тут сори..
3bl3gamer
Зачем вы пытаетесь изнутри сети подключаться к ЛОкальному серверу по ip внешнего сервера??? Изнутри по локальному. Снаружи по внешнему. Так должно быть
Я ж написал: так удобно было проверять проброшенность портов на длинке. Ну и ещё телефон/ноут бывает то внутри локалки, то вне неё, и проще использовать внешний адрес
Zloi
Поймите.. на микротике все порты не зависимы.. и вы можете настраивать как марщрутизацию так и комутацию.. вам просто надо понять когда работает маршрутизация а когда комутация.. вот и все .. при комутации нагрузка на процессор снижается естественно скорость работы выше но не работают правила firewall при маршрутизации затрагивается работа цпу и работают правила firewall ..
Ярослав
Не делай так. Проверяй снаружи, а не изнутри
Innokentiy
Innokentiy
в IP есть важное требование связности из любой точки
Innokentiy
end-to-end connectivity
Innokentiy
нигде не сказано, что какие-то адреса теоретически имеют право быть доступны только из определенной части сети, кроме rfc 1918
Ярослав
нигде не сказано, что какие-то адреса теоретически имеют право быть доступны только из определенной части сети, кроме rfc 1918
Кто то спорит что ли? Человек пытается снаружи постучать в свою же дверь, находясь внутри. Это разве что в качестве эксперимента интересно. В продакшене это для чего???
Innokentiy
банальнейший сценарий: почта на ноутбуке
Ярослав
В корпоративной среде???
Innokentiy
внезапно да. в корпоративной среде
Innokentiy
бывает так, что у людей в корпоративной среде есть ноутбуки
Innokentiy
на некоторых из них настроена почта
Innokentiy
в настройках почтового клиента прописывается адрес сервера
Innokentiy
нет, почтовый клиент на ноутбуке
Innokentiy
а почтовый сервер в корпоративной сети
Ярослав
И в чем проблема то?
Innokentiy
"опубликован" через нат на "внешнем" адресе
Ярослав
И?
Innokentiy
и попробуйте на микротике это настроить, неизбежно столкнетесь с тем, что написал камамбер
Innokentiy
Читайте harpin nat.
Innokentiy
Добавить одно правило нужно.
/ip firewall nat
add chain=srcnat src-address=192.168.88.0/24 \
dst-address=192.168.88.15 protocol=tcp dst-port=22 \
out-interface=LAN action=masquerade
Vladimir
ну тока hairpin nat - заколка )
Ярослав
и попробуйте на микротике это настроить, неизбежно столкнетесь с тем, что написал камамбер
Зачем в локальный сервер попадать с локального ноутбука через белый ip, я этого не могу вот понять
Ярослав
Почему нельзя использовать локальный ip???
Аня 🕊
затем, чтобы всегда использовать один адрес, не думая, из какой сети вы обращаетесь
Ярослав
Для этого DNS придумали
Innokentiy
вы каждый раз будете заставлять юзера в настройках аутлука менять адрес сервера на локальный, когда юзер с ноутбуком приходит на работу?
Аня 🕊
если у меня сервер умного дома запущен и порт его веб-интерфейса проброшен наружу, мне из дома переходить по одной закладке в браузере, а снаружи по другой?)
Ярослав
В локальной сети свои dns сервера, дома свои
Аня 🕊
обе? локальную и удаленный адрес? бедные клиенты
Аня 🕊
или в локальной сети использовать локальный днс-сервер, переопределяющий запись?
Vladimir
В локальной сети свои dns сервера, дома свои
Ага. А вы точно знаете, какие днс используют клиентские устройства?
Аня 🕊
ну это изврат. гораздо проще и логичнее настроить нормально hairpin :)
Аня 🕊
тем более это одно правило всего
Ярослав
или в локальной сети использовать локальный днс-сервер, переопределяющий запись?
Это вообще то нормальная практика
Innokentiy
а что делать, если ноутбук с 4г свистком, пришел на работу и подключился к корпоративной вафле?
Innokentiy
кэш днс еще не протух
Ярослав
В локальной сети иметь свой днс сервер, он идёт с AD в коробке вообщето
😷Драничек
Ярослав
Аня 🕊
ненормальная практика — иметь проброшенный порт, который проброшен неполноценно и не работает в каких-то особых случаях
Innokentiy
я предпочитаю карать таких яумамыадминов, которые не могут нормально сеть настроить
Ярослав
Или страдать самому.
Dmitrii
Оооо, холивар, harpin'овцев с split-dns'овцами:)