NAT в RouterOS

Что такое трансляция сетевых адресов (NAT)? Представьте, что у вас дома есть несколько устройств, которые подключены к интернету через один и тот же Wi-Fi роутер. NAT — это правило интернета, которое позволяет всем этим устройствам иметь один общий адрес для внешнего мира, но уникальные адреса внутри вашего дома. Это как если бы у вашего дома был один почтовый адрес, но много разных комнат. Шлюз NAT — это ваш Wi-Fi роутер, который помогает пересылать пакеты данных (почту) между вашими устройствами и интернетом.

Когда вы заходите на сайт, NAT запоминает это действие и использует его для всех последующих данных, которые принадлежат этому соединению.

Виды NAT

Исходящий NAT (srcnat) работает с данными, которые отправляются из вашей сети в интернет. Ваш роутер заменяет ваш внутренний адрес на общедоступный, когда данные проходят через него. А для данных, идущих обратно, происходит обратное действие.

Входящий NAT (dstnat) нужен для того, чтобы данные из интернета могли достичь определённого устройства в вашей сети. Это полезно, например, если вы хотите, чтобы ваш домашний сервер был доступен извне.

С появлением новой версии RouterOS, в настройках NAT появились дополнительные опции для управления данными, которые идут непосредственно на роутер или отправляются с него:

• input — для данных, приходящих на роутер.
• output — для данных, отправляемых с роутера.

/ip firewall nat add chain=dstnat action=dst-nat dst-address=172.16.16.1 dst-port=22 to-addresses=10.0.0.3 protocol=tcp

Это правило NAT говорит, что если кто-то хочет подключиться к вашему серверу по адресу 172.16.16.1 через порт 22, роутер автоматически перенаправит этот запрос на устройство с внутренним IP-адресом 10.0.0.3.

Чтобы увеличить безопасность, можно настроить NAT так, чтобы подключения были возможны только с определённого внешнего адреса.

Зачем нужен NAT?

NAT, или трансляция сетевых адресов, это способ, как ваш домашний Wi-Fi роутер позволяет всем устройствам в доме общаться с внешним интернетом, используя один общий IP-адрес. Это немного похоже на то, как в квартире один почтовый ящик используется для всех кто в ней живет.

Допустим, вы хотите дать доступ к вашему офисному серверу из любой точки мира. Вам нужно настроить специальные правила на вашем офисном роутере, чтобы интернет-трафик мог найти этот сервер.

/ip firewall nat add chain=dstnat action=dst-nat dst-address=172.16.16.1 dst-port=22 to-addresses=10.0.0.3 protocol=tcp

Это правило говорит: "Когда кто-то хочет подключиться к порту 22 на адресе 172.16.16.1, направьте это соединение к серверу с внутренним IP 10.0.0.3".

Как работает исходящий NAT?

Исходящий NAT или «маскарадинг» позволяет вашим устройствам, например, офисному компьютеру или серверу, выходить в интернет, скрывая их реальные адреса за одним общедоступным IP-адресом. Это как если бы вы отправляли письма с общего адреса, а не с личного.

/ip firewall nat add chain=srcnat src-address=10.0.0.0/24 action=src-nat to-addresses=172.16.16.1 out-interface=WAN

/ip firewall nat add chain=srcnat src-address=10.0.0.0/24 action=masquerade out-interface=WAN

Когда ваш интернет-канал изменяется или отключается, роутер автоматически "очищает" все настройки, связанные с исходящим трафиком, что позволяет быстро восстановить соединение.

Однако, если у вас есть проблемы со стабильностью связи, это может привести к непредвиденным ситуациям:

• Когда интернет временно отключается, все текущие соединения "забываются" роутером;
• Пакеты данных от «потерянных» соединений рассматриваются как новые, если основной канал еще не работает, и могут быть перенаправлены через запасной маршрут;
• Когда основное соединение восстанавливается, данные начинают идти через него, но уже без использования маскарадинга, что может раскрыть ваши внутренние IP-адреса.

Чтобы избежать проблем, можно настроить специальный маршрут, который будет действовать как "черная дыра" для данных, если основной канал связи перестанет работать. Это поможет предотвратить непреднамеренное раскрытие внутренних адресов.

Когда вы используете NAT, устройства за роутером не могут напрямую соединяться с внешним миром, что иногда мешает работе некоторых интернет-сервисов. Например, игры или сервисы, требующие прямого соединения через TCP или UDP, могут работать нестабильно.

В MikroTik RouterOS есть специальные "помощники NAT", которые позволяют обойти эти ограничения для определенных типов трафика. Это значит, что даже при использовании NAT, вы можете настроить доступ так, чтобы большинство интернет-приложений работало без проблем.

Что такое CGNAT?

CGNAT — это способ, с помощью которого интернет-провайдеры экономят IP-адреса, необходимые для подключения к интернету. Вместо того чтобы давать каждому устройству уникальный IP-адрес, CGNAT позволяет множеству устройств делиться одним адресом. Это похоже на большой офис, где у всех один и тот же почтовый адрес, но с разными внутренними номерами кабинетов.

Этот метод использует специальное пространство адресов (100.64.0.0/10) внутри сети провайдера и преобразует их в один или несколько общедоступных IP-адресов на выходе в интернет.

Как настроить CGNAT?

/ip firewall nat
add chain=src-nat action=srcnat src-address=100.64.0.0/10 to-address=2.2.2.2 out-interface=

• 2.2.2.2 - это общедоступный IP-адрес, используемый для доступа в интернет.
• public_if - это интерфейс роутера, который подключен к интернету.

Преимущества CGNAT очевидны: меньше нужно общедоступных IP-адресов, что экономит ресурсы. Однако есть и недостатки:

• Роутеры провайдеров должны работать интенсивнее, чтобы отслеживать все адресные преобразования, что требует дополнительных вычислительных мощностей.
• Могут возникать проблемы с играми в интернете, когда игроки находятся за одним общедоступным IP.
• Сложнее отслеживать активность пользователей по юридическим требованиям, так как многие используют один и тот же IP.
• Усложняется настройка входящих подключений, например, для веб-серверов или IP-телефонии, так как обычная переадресация портов не работает.
• Возможно достижение лимита подключений к некоторым онлайн-сервисам, так как все подключения идут с одного IP.
• Технологии, требующие уникальных IP-адресов, такие как 6to4, не будут работать должным образом.

Для обеспечения безопасности и корректной работы сети, провайдеры должны тщательно фильтровать трафик, исходящий из пространства CGNAT, чтобы избежать утечки адресов в глобальный интернет. В RouterOS это делается с помощью настройки фильтров брандмауэра.

/ip firewall filter

add chain=input src-address=100.64.0.0/10 action=drop in-interface=<;public_if>

add chain=output dst-address=100.64.0.0/10 action=drop out-interface=<;public_if>

add chain=forward src-address=100.64.0.0/10 action=drop in-interface=<;public_if>

add chain=forward src-address=100.64.0.0/10 action=drop out-interface=<;public_if>

add chain=forward dst-address=100.64.0.0/10 action=drop out-interface=<;public_if>

Интернет-провайдерам иногда сложно следить за всеми адресами в большой сети, особенно когда используется технология, которая позволяет многим пользователям делиться одним IP-адресом. Но есть хорошая новость: существует специальное правило (называемое RFC 7422), которое помогает упростить этот процесс. Вместо того чтобы вести подробный учет каждого подключения, это правило позволяет автоматически соотносить личные адреса пользователей с определенными диапазонами портов общедоступного IP-адреса.

Это делает управление сетью проще и помогает быстро находить и решать проблемы, если кто-то использует интернет для недобросовестных целей.

В RouterOS описанный алгоритм можно выполнить с помощью нескольких функций скрипта. Давайте рассмотрим пример:

Вместо ручного написания правил NAT, мы могли бы написать функцию, которая добавляет такие правила автоматически.

:global sqrt do={ 

:for i from=0 to=$1 do={ 

:if ($i * $i)  $1 do={ :return ($i - 1) } 

} 

} 



:global addNatRules do={ 

/ip firewall nat add chain=srcnat action=jump jump-target=xxx \ 

src-address="$($srcStart . $count)" 



:local x [ :$sqrt $count] 

:local y $x 

:if ($x * $x  $count) do={ :set y ($x + 1) } 

:for i from=0 to=$y do={ 

/ip firewall nat add chain=xxx action=jump jump-target=xxx-$($i) \ 

src-address="$($srcStart + ($x * $i))-$($srcStart + ($x * ($i + 1) - 1))" 

} 



:for i from=0 to=($count - 1) do={ 

:local prange "$($portsStart + ($i * $portsPerAddr))-$($portsStart + (($i + 1) * $portsPerAddr) - 1)" 

/ip firewall nat add chain=xxx-($i / $x)" action=src-nat protocol=tcp src-address=($srcStart + $i) \ 

to-address=$toAddr to-ports=$prange 

/ip firewall nat add chain="xxx-($i / $x)" action=src-nat protocol=udp src-address=($srcStart + $i) \ 

to-address=$toAddr to-ports=$prange 

} 

}

Когда вы добавляете определенный скрипт в вашу сетевую систему, он позволяет использовать новую функцию под названием "addNatRules". Допустим, у нас есть задача настроить правила для шести разных устройств в нашей сети, чтобы все они могли соединяться с интернетом через один и тот же внешний IP-адрес, который для нас является 2.2.2.2. Каждому устройству мы хотим дать возможность использовать свой уникальный диапазон из 100 портов, начиная с номера 2000. Используя эту новую функцию, мы можем легко настроить эти правила.

$addNatRules count=6 srcStart=100.64.1.1 toAddr=2.2.2.2 portStart=2000 portsPerAddr=100

Теперь вы должны быть в состоянии получить набор правил:

[admin@rack1_b18_454] /ip firewall nat print 

Flags: X - disabled, I - invalid, D - dynamic 

0 chain=srcnat action=jump jump-target=xxx src-address=100.64.1.1.0/26 log=no log-prefix="" 

1 chain=xxx action=jump jump-target=xxx-0 src-address=100.64.1.1.0/26 log=no log-prefix="" 

2 chain=xxx action=jump jump-target=xxx-1 src-address=100.64.1.1.0/26 log=no log-prefix="" 

3 chain=xxx action=jump jump-target=xxx-2 src-address=100.64.1.1.0/26 log=no log-prefix="" 

4 chain=xxx-0 action=src-nat to-addresses=2.2.2.2 to-ports=2000-2099 protocol=tcp src-address=100.64.1.1.0/26 log=no log-prefix="" 

5 chain=xxx-0 action=src-nat to-addresses=2.2.2.2 to-ports=2000-2099 protocol=udp src-address=100.64.1.1.0/26 log=no log-prefix="" 

6 chain=xxx-0 action=src-nat to-addresses=2.2.2.2 to-ports=2100-2199 protocol=tcp src-address=100.64.1.1.0/26 log=no log-prefix="" 

7 chain=xxx-0 action=src-nat to-addresses=2.2.2.2 to-ports=2100-2199 protocol=udp src-address=100.64.1.1.0/26 log=no log-prefix="" 

8 chain=xxx-1 action=src-nat to-addresses=2.2.2.2 to-ports=2200-2299 protocol=tcp src-address=100.64.1.1.0/26 log=no log-prefix="" 

9 chain=xxx-1 action=src-nat to-addresses=2.2.2.2 to-ports=2200-2299 protocol=udp src-address=100.64.1.1.0/26 log=no log-prefix="" 

10 chain=xxx-1 action=src-nat to-addresses=2.2.2.2 to-ports=2300-2399 protocol=tcp src-address=100.64.1.1.0/26 log=no log-prefix="" 

11 chain=xxx-1 action=src-nat to-addresses=2.2.2.2 to-ports=2300-2399 protocol=udp src-address=100.64.1.1.0/26 log=no log-prefix="" 

12 chain=xxx-2 action=src-nat to-addresses=2.2.2.2 to-ports=2400-2499 protocol=tcp src-address=100.64.1.1.0/26 log=no log-prefix="" 

13 chain=xxx-2 action=src-nat to-addresses=2.2.2.2 to-ports=2400-2499 protocol=udp src-address=100.64.1.1.0/26 log=no log-prefix="" 

14 chain=xxx-2 action=src-nat to-addresses=2.2.2.2 to-ports=2500-2599 protocol=tcp src-address=100.64.1.1.0/26 log=no log-prefix="" 

15 chain=xxx-2 action=src-nat to-addresses=2.2.2.2 to-ports=2500-2599 protocol=udp src-address=100.64.1.1.0/26 log=no log-prefix=""

Что такое NAT с волосковым контуром?

NAT с волосковым контуром (или NAT Loopback) это когда вы можете обращаться к устройствам в вашей собственной домашней сети через внешний IP-адрес, который обычно используется для доступа из интернета. Это как если бы вы звонили на свой домашний номер телефона с мобильного телефона, находясь дома, и ожидали, что кто-то внутри дома ответит.

Пример правила для настройки NAT Loopback в вашем роутере выглядит так:

/ip firewall nat add chain=dstnat action=dst-nat dst-address=172.16.16.1 dst-port=443 to-addresses=10.0.0.3 to-ports=443 protocol=tcp

Как это работает:

• Когда вы с домашнего компьютера пытаетесь получить доступ к веб-серверу в вашей сети, вы используете внешний IP-адрес роутера.
• Роутер "понимает", что вы хотите подключиться к устройству внутри сети и направляет запрос к нужному устройству.
• Ответ от сервера возвращается обратно на ваш компьютер, как если бы вы обращались к нему напрямую по внутреннему IP-адресу.

Но если кто-то попытается подключиться к этому же внешнему IP-адресу, находясь внутри вашей сети, могут возникнуть проблемы без дополнительных настроек:

• Ваш запрос будет перенаправлен непосредственно на сервер, минуя роутер, и сервер ответит напрямую, что может вызвать путаницу в сети.

Как настроить NAT для работы независимо от конечной точки

Этот тип NAT позволяет вашим устройствам подключаться к интернету, используя одни и те же порты и IP-адреса, что упрощает управление сетью. Он особенно полезен для UDP-трафика, например, для онлайн-игр или видеозвонков.

Пример правила для настройки:

/ip firewall nat add action=endpoint-independent-nat chain=srcnat out-interface=WAN protocol=udp

Это правило гарантирует, что входящий и исходящий трафик использует одни и те же порты и IP-адреса, облегчая обмен данными через ваш роутер.

Дополнительные настройки:

• randomize-port - эта опция позволяет рандомизировать порты, увеличивая безопасность вашей сети.

IPv4

Свойства

Статистика

Для отображения дополнительных свойств только для чтения

[admin@MikroTik] > ip firewall nat print stats all

Flags: X - disabled, I - invalid, D - dynamic

# CHAIN ACTION BYTES PACKETS

0 srcnat masquerade 265 659 987

IPv6

Поддержка NAT66 доступна начиная с RouterOS v7.1.

ipv6/firewall/nat/

Характеристики

Чтобы отобразить дополнительные свойства, доступные только для чтения:

ipv6/firewall/nat/print stats