+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Еще один вопрос про NAT.

Еще один вопрос про NAT., RouterOS

Bert5150

Guest

22.11.2005 21:29:00

Привет. У меня тут куча проблем с перенастройкой MikroTik RouterOS 2.9.6 после замены вышедшей из строя сетевой карты. Когда я изначально настраивал роутер, у меня была версия 2.8 (но с тех пор я обновился), и инструкции по настройке NAT для внешнего IP-адреса к локальным машинам не покрывают изменения синтаксиса в версии 2.9.6. Вот что у меня сейчас: [admin@MikroTik] interface> print Flags: X - disabled, D - dynamic, R - running NAME TYPE RX-RATE TX-RATE MTU 0 R Local ether 0 0 1500 1 R Public ether 0 0 1500 [admin@MikroTik] ip address> print Flags: X - disabled, I - invalid, D - dynamic ADDRESS NETWORK BROADCAST INTERFACE 0 70.x.x.x/24 70.x.x.0 70.x.x.255 Public 1 192.168.0.254/24 192.168.0.0 192.168.0.255 Local 2 70.x.x.x/24 70.x.x.0 70.x.x.255 Public [admin@MikroTik] ip firewall nat> print Flags: X - disabled, I - invalid, D - dynamic 0 chain=srcnat out-interface=Public src-address=192.168.0.2 action=src-nat to-addresses=70.x.x.x to-ports=0-65535 1 chain=dstnat in-interface=Public dst-address=70.x.x.x action=dst-nat to-addresses=192.168.0.10 to-ports=0-65535 2 chain=srcnat out-interface=Public action=masquerade Правила dstnat & srcnat нужны для веб-сервера, расположенного в локальной сети, к которому нужен доступ через интерфейс WAN (Public). Проблема в том, что когда я пытаюсь зайти на веб-сервер в браузере, я вижу MikroTik, а не страницу этого сервера. Я прочитал сообщение с аналогичной проблемой и решением, но оно касалось версии V 2.8. Как много раз говорится на форуме, синтаксис команд изменился, и я недостаточно хорошо понимаю документацию, чтобы перевести их. Чтобы усложнить ситуацию, у меня есть 2 машины с Windows XP в локальной сети, к которым мне нужно удалённо подключаться через удалённый рабочий стол. Как я уже говорил, всё это было настроено в предыдущей версии MikroTik, поэтому 2 машины уже настроены для приема удалённых подключений на порту 3389 (машина А) и порту 3395 (машина Б). Я даже не пытался настроить переадресацию портов. Вот почему они не отображаются в моих правилах NAT. Буду очень благодарен за любую помощь! Спасибо.

jaytcsd

Guest

23.11.2005 06:11:00

Мой NAT работает отлично в 2.9. Одно отличие в моих правилах от твоих – я не указываю интерфейс.

`ip firewall nat> print`
`Flags: X - disabled, I - invalid, D - dynamic`

`0 chain=srcnat src-address=192.168.0.47 action=src-nat to-addresses=166.59.194.57 to-ports=0-65535`
`1 ;;; masquerade hotspot network`
`chain=srcnat src-address=10.20.7.0/24 action=masquerade`
`2 ;;; masquerade private network`
`chain=srcnat src-address=192.168.0.0/24 action=masquerade`

`ip address> print`
`Flags: X - disabled, I - invalid, D - dynamic`

`ADDRESS NETWORK BROADCAST INTERFACE`
`0 ;;; WAN IP`
`1 10.20.7.1/24 10.20.7.0 10.20.7.255 hotspot`
`2 192.168.0.10/24 192.168.0.0 192.168.0.255 private`
`3 ;;; ip for 192.168.0.47`
`166.59.194.57/24 166.59.194.0 166.59.194.255 public`

Tonda Guest	#3 0 23.11.2005 08:06:00 Берту5150: правило номер 0 бесполезно, потому что эта маскировка выполняется через правило номер 2.

jaytcsd Guest	#4 0 23.11.2005 08:53:00 Правило 0 даёт мне уникальный IP-адрес для этого ПК, остальные используют правило маскирования и показывают IP-адрес WAN.

Tonda Guest	#5 0 23.11.2005 08:58:00 Моё сообщение не для тебя (jaytcsd), а для Bert5150…

Bert5150

Guest

23.11.2005 15:45:00

Я внес предложенные изменения в следующее: [admin@MikroTik] ip firewall nat> print
Flags: X - disabled, I - invalid, D - dynamic
0 chain=dstnat dst-address=70.x.x.x action=dst-nat to-addresses=192.168.0.2 to-ports=0-65535
1 chain=srcnat out-interface=Public action=masquerade

Теперь я вообще не могу подключиться к MikroTik или к чему-нибудь ещё. Браузер выдаёт ошибку, мол не может найти сервер. Есть какие-нибудь идеи? Спасибо.

Tonda Guest	#7 0 23.11.2005 17:30:00 Когда нужно перенаправлять только веб-соединения на твой внутренний веб-сервер, конечно, необходимо указать порт 80 как для параметра dst-port, так и для параметра to-ports в твоём правиле dstnat.

Bert5150

Guest

23.11.2005 19:39:00

Я исправил проблему с веб-сервером с помощью правила src-nat. Теперь всё работает отлично. Сейчас работаю над тем, чтобы удалённый рабочий стол WinXP проходил через MikroTik. Вот что у меня получилось: [admin@MikroTik] ip firewall nat> print Flags: X - disabled, I - invalid, D - dynamic 0 chain=dstnat dst-address=70.x.x.10 action=dst-nat to-addresses=192.168.0.2 to-ports=0-65535 1 chain=srcnat dst-address=192.168.0.2 action=src-nat to-addresses=70.x.x.10 to-ports=0-65535 2 chain=dstnat dst-address=70.x.x.9 protocol=tcp dst-port=3395 action=dst-nat to-addresses=192.168.0.5 to-ports=3395 3 chain=dstnat dst-address=70.x.x.9 protocol=udp dst-port=3395 action=dst-nat to-addresses=192.168.0.5 to-ports=3395 4 chain=srcnat out-interface=Public action=masquerade В сети две машины на XP, поэтому я изменил номер порта, на котором слушает RDP, на порт 3395 на втором компьютере. По умолчанию номер порта 3389, а с этим я ещё даже заморачиваться не начал. Спасибо за всю вашу помощь, кстати. Как-нибудь залью тебе пива.

Tonda

Guest

24.11.2005 06:38:00

Первое правило бесполезно, потому что эта маскировка выполняется путем обмана в четвертом правиле. RDP использует только TCP-соединение, так что третье правило тоже не нужно. Нет необходимости менять какой-то стандартный порт RDP. Можно использовать, например, вот это: chain=dstnat dst-address=70.x.x.9 protocol=tcp dst-port=35333 action=dst-nat to-addresses=IP1 to-ports=3389 chain=dstnat dst-address=70.x.x.9 protocol=tcp dst-port=35334 action=dst-nat to-addresses=IP2 to-ports=3389 где IP1 и IP2 — внутренние адреса этих двух ПК. Доступ к этим ПК из интернета осуществляется через 70.x.x.9:35333 и 70.x.x.9:35334 соответственно. Не покупай мне пиво, сохрани свои деньги и используй их скорее для улучшения своих сетевых навыков…

wildbill442

Guest

#10

24.11.2005 17:53:00

Ну, ладно.. Правило №1 на самом деле не бесполезно, у него настроен 1:1 NAT. Двум публичным IP-адресам назначены интерфейсу Public, потому что он хочет, чтобы веб-сервер казался не NAT'ом. Если бы соединения приходили с одного IP-адреса, но оставались на другом IP-адресе, то это бы сломало TCP-соединение. Остальные твои предложения выглядят хорошо.

Tonda

Guest

#11

24.11.2005 19:50:00

Да, ты прав насчет 1:1 NAT, но вопрос в том, зачем это делать именно так. Какие преимущества у этого решения по сравнению с моим, где пробрасываются только веб-соединения? По-моему, лучше, если только определенные соединения явно разрешены к внутренней сети, потому что можно точно указать, что разрешить, а что блокировать. Что думаешь об этом?

wildbill442 Guest	#12 0 25.11.2005 17:24:00 О, я согласен на все 100%… Я думаю, лучше явно разрешить нужным сервисам подключаться к этому хосту и отбрасывать всё остальное. Иначе твой сервер просто ждет, пока какой-нибудь хитрый тринадцатилетний пацан с сабсевен ботами и прочим его не взломает. Это все еще можно сделать в файервола переадресации, не обязательно делать это с несколькими NAT-правилами. И все равно нужно убедиться, что подключения, приходящие на один IP-адрес, уходят по тому же IP. Так что оставлять 1:1 NAT может быть не так уж плохо, просто добавь несколько правил файервола. В любом случае, возвращаемся к первоначальному вопросу: проблема решена или у тебя все еще есть сложности с настройкой NAT?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры