Проброс портов с внешнего ip на адрес в другую подсеть

Проброс портов с внешнего ip на адрес в другую подсеть

DST nat

Да, в локальную сеть пробрасывается без проблем

да пофиг куда. ДСТнат он ДСТнат и есть. Вы меняете ДСТ адрес в пакет. А что там будет, 192.168.0.5 или 8.8.8.8 роли не играет 😊

В локальную сеть правило отрабатывает

В другую подсеть нет

ну давай подробности

правило отрабатывает. а вот маршруты могут и нет

точнее не так

Филиал в инет ходит через нас

ты шлешь на хост. хост отвечает ЧЕРЕЗ СВОЙ ШЛЮЗ. в результате ответ клиенту прилетает не с той айпишки

минуту

Нужно прокси арп использовать думаю в вашем случае

на кой ляд?

На интерфейсе в сторону оператора

Александр, давай пусть андрей нарисует ситуацию, а там подумаем где причина 🙂

Да щас окажется что у него у клиентов и оператора ip из одной сети

Ок

сейчас схему нарисую

Ребята 10 минут работа

ну, ты куда натишь?

маршрут на Р1 на тот хост есть?

С верху в низ

Хосты за R-2 ходят в интернет через r-1

Ну то странно, должно работать

между подсетями бегаем по ospf

А с верхнего устройства трасеровка до 20.100 идет?

Да

С срц впн?

Да

А у 20.100 def шлюз какой ?

А у р2?

адрес r-1

Свой инет наверное?!?

у r-2 свой

Вот траф и уходит через другой канал

там правилом через отдельную таблицу все идет через r-1

Каким правилом?

chain=prerouting action=mark-routing new-routing-mark=ITIPARK passthrough=no src-address-list=LOCAL log=no log-prefix=""

Иными словами типа весь трафик с 20.100 идёт с р2 через vpn. Так?

Да на скрине таблице

Ну трасеровку запустите с 20.100 до 8.8.8.8 и посмотрите как идёт?

минуту

все идет через р-1

А какое правило на р1 для dst nat?

;;; DVR_ROSTOV chain=dstnat action=dst-nat to-addresses=192.168.20.108 to-ports=37777 protocol=tcp in-interface-list=UPLINK dst-port=37777 log=yes log-prefix="dvr_rost"

дахуа хочет тот хост 😊

можно подробнее

дахуа 20.108 идет через r-1

не, я позубоскалил о порте работы. который принадлежит софту дахуа.

то есть его шлюз r-1

еще раз внимательно посмотрите правило навешивания роутмарков

может ответы на конекты не подпадают под маркированую таблицу

минуту

попробуйте еще вешать тот конекшнмарк по ин-интерфейсу=ВПН

хотя вроде бы и то правило что у вас есть должно отрабатывать.

может естть еще правило которое по ин-интерфейсу вешат РОУТМАРК. а маршрута на локалку в той таблице нет

https://wiki.mikrotik.com/wiki/Manual:PCC

Трасеровка ходит. Значит все ок.

А фильтров нет ?

вот тут у вас ситуация на Р2. два аплинка. попробуйте почитать вики, может что то подскажет идею

https://wiki.mikrotik.com/wiki/Manual:PCC

есть еще один момент на r-1 два wan интерфейса и две таблицы под каждый wan

Трасеровка ходит. Значит все ок.

Трасировка ОТ хоста ходит. а ДО хоста?

есть еще один момент на r-1 два wan интерфейса и две таблицы под каждый wan

УЖС

До хоста тоже проверял же

внутри все бегает

сори, не увидел 😞 да собсно и щас не вижу

Андрей, давай разобьем твою проблему на две

1. Возвращаются ли пакеты через ВПН

2. Уходят ли через тот же ВАН на Р1 что и пришли

Это ОТ хоста

а ОТ Р1 ДО хоста?

есть еще один момент на r-1 два wan интерфейса и две таблицы под каждый wan

Отключи просто один из ванов и попробуй

:)

минуту

да, если так можно будет то самый простой метод диагностики 😊. максимально уменьшить количество точек отказа. что бы понять на какой именно что то идет не так