Уточните как, попробую этот вариант

Не помогло, счетчик даже не тикает

Правила маркировки покажите? Firewall на R2 разрешает внешние запросы форвардить ?

Правила маркировки покажите? Firewall на R2 разрешает внешние запросы форвардить ?

соурснат экшен=маскарад аутинтерфейс=впн и можно, чтобы весь трафик "не портить" добавить дст-адрес=10.33.173.102

1 ;;; VPN_Vlad chain=prerouting action=mark-connection new-connection-mark=vpn_vlad passthrough=no connection-mark=no-mark in-interface=VPN1 log=no log-prefix="" 2 ;;; VPN_Vlad chain=prerouting action=mark-routing new-routing-mark=vpn_vlad passthrough=no dst-address-type=!local connection-mark=vpn_vlad in-interface=!VPN1 log=no log-prefix=""

Либо лыжи не едут либо я что то не понимаю

Ip route покажите

На R1: /ip firewall nat add action=masquerade chain=srcnat out-interface=VPN1 dst-addresses=10.33.173.102 Если я Ваш конфиг правильно понял

1 ;;; VPN_Vlad chain=prerouting action=mark-connection new-connection-mark=vpn_vlad passthrough=no connection-mark=no-mark in-interface=VPN1 log=no log-prefix="" 2 ;;; VPN_Vlad chain=prerouting action=mark-routing new-routing-mark=vpn_vlad passthrough=no dst-address-type=!local connection-mark=vpn_vlad in-interface=!VPN1 log=no log-prefix=""

Тут маркировка одинаковая для роута и для коннекшена. Название меток не меняйте из моего примера. Дефолт роут тоже метку для роут из моего примера возьмите

/ip firewall mangle add action=mark-connection chain=prerouting \ comment="VPN_Vlad" connection-mark=no-mark in-interface=!VPN1 \ new-connection-mark=conn_isp2 passthrough=no /ip firewall mangle add action=mark-routing chain=prerouting \ comment="VPN_Vlad" connection-mark=conn_isp2 \ dst-address-type=!local in-interface=!VPN1 new-routing-mark=to_isp2 passthrough=no

я сейчас попробовал несколько раз подключиться, и rx tx на интерфейсе подключения, даже на единицу не скаканул, как будто он с r1 просто не улетает

на R1 большой ACL на файрволе, но я форвард по порту для ната уже самым первым сделал

Посмотрел дефолт лист на сайте тика, мой отличается только порткнокингом и пару правил для ip tv, а интерфейс листs на R1 не юзаю

Добрый день, подскажите в логе ната: 08:23:54 firewall,info dstnat: in:ether1 out:(unknown 0), src-mac f4:cc:55:4b:52:46, proto TCP (SYN), 116.22.73.221:756->16.9.12.15:111, len 60 out:(unknown 0) - что не так, по чему не может найти интерфейс out ?

Потому, что это позже происходит. См. схему пакетфлоу.

исправить как то можно?

Что значит исправить? Это совершенно нормальное поведение. ) Дестанейшен НАТ у Вас происходит в цепочке прероутинг. И эта цепочка неспроста так называется )

исправить как то можно?

Packet flow переписать 🤦🏻‍♂

Потому, что это позже происходит. См. схему пакетфлоу.

Да не так задал вопрос, извините, я делаю dst nat на nfs сервер, нат с соурс листом , весь страфик с определнного ип наружного идет на внутренний, конекта нет, а вот если я нфс выставляю наружу на риал ип то все гуд, за натом не хочет

Для соединения после НАТ еще наобходимо пройти фильтр форварда фаерволла. Там Вы сделали разрешение?

я отключил фаервол для теста, результат такойже

или все равно акцепт сделать для входящих ип даже если нет фаервола?

я отключил фаервол для теста, результат такойже

Тогда, если и на конечной точке с фаерволлом проблем нет, смотрите в сторону маршрутизации. В том числе и обратной.

Фаерволы выключены,маршрут один 10.10.70.0/24 в шлюз провайдера, иду по ссх все гуд пробасывает, подключаю nfs клиент - не пропускает, может где то микрот не пропускает каие то пакеты?

Что такое "ссх"?

ssh

У Вас nfs сконфигурирован на использование статических портов?

У Вас nfs сконфигурирован на использование статических портов?

У Вас nfs сконфигурирован на использование статических портов?

Конектится proxmox v 5-4-1 - норм а новый proxmox 6-1-7 - нет конекта, когда сервер NFS выставляешь наружу то новый proxmox 6 1 7 монтируеться и работает

/interface list member add list=LAN interface=bridge comment="defconf: eth2-eth5" add list=WAN interface=ether1 comment="defconf" /ip firewall filter add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp add action=accept chain=input comment="defconf: accept L2TP/IPSec" dst-port=500,4500,1701 protocol=udp add action=accept chain=input comment="defconf: accept IPSec-ESP" protocol=ipsec-esp add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1 add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN /ip firewall nat add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN #default #firewall #ipv4

отлично порты закрыты все из wan)

Неверное утверждение

я только что открыл порт в этом фаерволле и проверил открыт только тот порт, который я открыл отдельным правилом

что я и написал

ну я сканером портов проверил из под другого интернета и встроенный дднс отлично работает ^^

можно как-то эти поля про OS и сведения открытого порта сделать пустыми?

можно как-то эти поля про OS и сведения открытого порта сделать пустыми?

закрыть порты и отключить discovery

Neighbors? он отключен это что то из вебморды стандартной микротика похоже не редактируется

На инпут по дефолту закрыты все что не из LAN

А как же днс? udp 53 порт постоянно в атаке, если не закрыть самому

У меня то закрыт, но по умолчанию делал годик назад - не был закрыт

а что за дистанция в 1 км? как роутер может дистанцию вычислять? такое возможно разве?