Подобную хотелку можно только через jailbreak и не на встроенном ftp микрота. А как известно, с jailbreak уже давно проблема. И да, нечего превращать роутер в непонятно что.

Зачем jailbreak для настройки ftp-сервера на микротике?

Ну потому что больше никак в подобном кейсе.

Ну потому что больше никак в подобном кейсе.

/ip service set ftp disabled=no + в фаерволе правило в input? мы же базовый кейс обсуждаем а не получение root-прав

У микрота просто доступ к какой-то папке и всё?

Какой такой базовый кейс? Прочитай исходный вопрос.

Для доступа к ftp нужен пользователь с правами full, ни read, ни write не работают

Неа

Только вчера играл, очень было надо.

подскажите пожалуйста можно в микроте настроить фтп сервер и разделить по папкам доступ?

По папкам, увы никак. ФТП у микротов дубовый до безобразия

Хватит read, write, ftp. Но там есть нюанс, не сможет скачать файлы *.backup

Ни с read ни write подключиться к ftp нельзя, только full

Отчего нельзя?

Ftp отдельное право. И у всех будут права на все.

На Б: /ip firewall nat add chain=dstnat action=dst-nat src-address=<net> to-addresses=<ip_A>

Приветствую! Вновь нужна помощь гуру, всю голову уже сломал... Опишу подробней - Основная сеть - x.x.204.0/24, в которой приборам присвоены адреса, например x.x.204.245. На микроте есть адрес y.y.174.200, через него сделан srcnat в определенную сеть, приборы туда ходят, все хорошо. Нужно из сети, расположенной за y.y.174.200 также ходить на приборы, и вот тут начинается затыка - add action=dst-nat chain=dstnat dst-address=y.y.174.245 in-interface=ether5 log=yes log-prefix="from cpn" x.x.204.245 не срабатывает, как я понимаю потому что адреса y.y.174.245 нет на самом микроте. Как быть в такой ситуации?

Не полностью скопировалось. add action=dst-nat chain=dstnat dst-address=y.y.174.245 in-interface=ether5 log=yes log-prefix="from cpn" to-addresses=x.x.204.245

src-address пробовали указать дополнительно?

Может быть не один адрес.

А 204.245 знает где хост 174.200?

Да, конечно знает.

Едет крыша уже. Как правильно пробросить порт почтовый (465) в микроте на внутренний почтарь? Внутри все ок, на прием по 993 снаружи тоже ок, а отправка по 465 снаружи хрен... Клиент пытается подключиться и сразу валит таймаут

маскарад не забыл?

Если провайдер не блокирует и стандартный fw то достаточно одной Команды в ip fw nat с action dst-nat

Маскарад? Не делал для этого, а как правильно его прописать?

По "косому" порту та же фигня

Если провайдер не блокирует и стандартный fw то достаточно одной Команды в ip fw nat с action dst-nat

И убедиться, что форвард пакетов от источника к назначению разрешен

Да. Но в default fw не блокирует для dst-nat

фтопку дефолтный файр.

ну там достаточно много вопросов. 1. Дропы настроены только с интерфейс-листа wan в который любое подключение кроме ether1 надо добавлять руками, что уже не дефолт) 2. фасттрек, от которого чаще проблемы, чем польза 3. форвард established,related правило на 2 месте снизу, что тоже не тру там еще были проблемки, навскидку не вспомню

ну там достаточно много вопросов. 1. Дропы настроены только с интерфейс-листа wan в который любое подключение кроме ether1 надо добавлять руками, что уже не дефолт) 2. фасттрек, от которого чаще проблемы, чем польза 3. форвард established,related правило на 2 месте снизу, что тоже не тру там еще были проблемки, навскидку не вспомню

Вроде вчера это все переваривали

1. Интерфейс лист WAN. В него можно добавить все шлюзовые интерфейсы. Fw при этом менять не нужно. 2. Для большинства проблем ft не доставляет. 3. А вы точно видели дефолтный фв в последних прошивках?

Вот правило ната dd action=netmap chain=dstnat disabled=yes dst-address=внешний IP \ dst-port=25,587,110,995,143,993,465,443,80 in-interface=inet log=yes \ protocol=tcp to-addresses=Внутренний IP

Почему netmap? Откуда это у всех?

Почему netmap? Откуда это у всех?

Почему netmap? Откуда это у всех?

1. А еще там есть правила дропа с !LAN который тоже надо наполнять. Имхо проще поправить файр 3. Специально вчера ресетил 6.48 в дефолт

DST-NAT тоже пробовал, все равно так же.

Вот правило ната dd action=netmap chain=dstnat disabled=yes dst-address=внешний IP \ dst-port=25,587,110,995,143,993,465,443,80 in-interface=inet log=yes \ protocol=tcp to-addresses=Внутренний IP

disabled=yes не смущает?

У Вас, скорее всего, ответ улетает не потому пути, по которому прилетает запрос.

Остальные порты норм работают. Только 465 не желает. У меня ощущение что это сам сервак не пропускает. Не может найти хост с которого запрос идет в днс и отлуп дает, больше умных мыслей нету

Локально сделайте telnet server 465

Остальные порты норм работают. Только 465 не желает. У меня ощущение что это сам сервак не пропускает. Не может найти хост с которого запрос идет в днс и отлуп дает, больше умных мыслей нету

Проверяйте traceroute смотрите где затык. И там уже снифером

Решилось всё включением local-proxy-arp на интерфейсе, куда включена сеть с адресацией y.y.174.0/24)

Какие могут быть подводные камни?

Это костыль. Можно решить нормальным роутингом. А камни .... всякое может быть

Привет всем! Подскажите пожалуйста, как правильно настроить микротики: Есть микротик с ван и локалка 192.168.88.1/24 Есть второй микротик, его нужно настроить как подсеть 192.168.89.1/24 (без ван, ван у 88.1) Как правильно настроить?

Привет всем! Подскажите пожалуйста, как правильно настроить микротики: Есть микротик с ван и локалка 192.168.88.1/24 Есть второй микротик, его нужно настроить как подсеть 192.168.89.1/24 (без ван, ван у 88.1) Как правильно настроить?

А зачем именно 2 микротика?