+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

ПЕРЕХОД К DNAT ИЗ PREROUTING

ПЕРЕХОД К DNAT ИЗ PREROUTING, RouterOS

homerwsmith

Guest

02.12.2013 23:28:00

Уважаемые господа,

Я пытаюсь перенести правила брандмауэра с работающего CentOS hotspot сервера (не связанного с Mikrotik’s hotspots). У меня многолетний опыт работы с правилами брандмауэра, Linux и системным администрированием, но очевидно, я не так умен, как думаю. У меня работает небольшой RB750 в стандартной настройке, версия 5.6.

В качестве примера, у меня есть одна цепочка под NAT с именем DNAT, в которой есть правило, указывающее, что весь трафик, приходящий на это правило и предназначенный для порта 80, должен быть перенаправлен на 64.57.176.23 порт 80. Затем, в mangle, у меня есть одно правило в цепочке prerouting, которое говорит о том, что нужно переходить к цепочке DNAT для любого пакета с src:0.0.0.0/0 и dst:0.0.0.0/0, протокол TCP и dst порт 80. Это второе правило остается в красном цвете, сообщая мне, что есть ошибка. Было бы полезно, если бы сообщения об ошибках были доступны в явном виде. Правило DNAT было создано первым, а правило prerouting — вторым. В любом случае, любая помощь была бы приветствована.

Хумер У. Смит,
Генеральный директор Lightlink.com

andriys Guest	#2 0 03.12.2013 11:24:00 Фильтры, NAT и Mangle – это три разные возможности /ip firewall. Нельзя переходить из цепочки в Mangle в цепочку за её пределами.

janisk

Guest

03.12.2013 12:22:00

Как пишет Andriys, с одного цепочки объектов нельзя перепрыгнуть на другую. Можешь посмотреть схему потока пакетов, чтобы увидеть, куда они должны идти, чтобы достичь нужного тебе места. А пока что тебе нужно их обрабатывать там, где они есть (добавь метку или что-то в этом роде), чтобы ты знал, что это особые пакеты, когда они доходят до NAT-объекта.

homerwsmith

Guest

03.12.2013 17:06:00

Окей, согласно приведенной выше схеме потока пакетов, видно, что mangle существует и в prerouting, и в postrouting. Тогда как мне создать правило в prerouting (где оно мне и нужно было изначально) без использования mangle для доступа к prerouting? Мне нужно правило в prerouting, чтобы нацелиться на уникальное DNAT правило. Linux iptables это умеет, так что я предполагаю, что Mikrotik тоже должен. Например: "Если src=10.0.0.0/0:80, то переходи к DNAT 64.57.176.23:80". Как мне это сделать? Спасибо за ваше время.

Гомер У. Смит
Генеральный директор Lightlink Internet

andriys Guest	#5 0 03.12.2013 18:22:00 Это может быть немного устарело. Вы писали, что сейчас используете 5.6, поэтому, пожалуйста, обратитесь к следующей схеме: http://wiki.mikrotik.com/wiki/Manual:Packet_Flow. А если решите обновиться до 6.x, используйте эту схему в качестве справки: http://wiki.mikrotik.com/wiki/Manual:Packet_Flow_v6. “Destination NAT” — это часть Prerouting. Это следующий функциональный блок, в который попадают пакеты после “Mangle Prerouting”. Думаю, вам нужно создать ваше правило JUMP в "/ip firewall nat".

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры