Перенаправить порт 80 на wan на 192.168.1.10:80 как из внешних, так и из внутренних сетей.

Привет! Чтобы прояснить, это домашняя сеть, и всё, что я пытаюсь сделать — это решить следующую проблему: «Невозможно получить доступ к серверу по доменному имени из LAN при динамическом WAN IP» или настроить правило, которое есть у любого другого роутера, который можно купить в магазине (обычный роутер из BestBuy) уже как минимум 15 лет. Если я пробрасываю порт 80, я могу получить доступ из LAN, используя доменное имя и динамический WAN IP.

Результаты тестов:

1: @p3rad0x  
/ip firewall nat chain=src-chain src-address=192.168.1.0/24 dst-address=192.168.1.0/24 out-interface=bridge action=masquerade  
Это, похоже, не работает. Когда вы говорите "интерфейс, который смотрит в LAN", это должно включать все — eth2-4 и wifi-lan. Поэтому я выбрал bridge. Всё равно не могу получить доступ к lucasmanual.com на порт 80.

Результат теста 2: @anav  
В теме на форуме описывается именно эта проблема. Спасибо!  
«не могу получить доступ к моему домену из LAN», но там слишком много деталей, и в итоге меня запутали, что именно из этого нужно применить, чтобы решить МОЮ проблему.  

Похоже, что это должно работать, судя по их примеру, который совпадает с правилом из теста 1, но, по их словам, «есть проблема», с которой я как веб-разработчик однажды имел удовольствие разбираться.  

Не надо объяснять, что я хочу, чтобы клиент получал ответ от правильного динамического WAN IP. Это наводит меня на мысль, что помимо «HAIRPIN NAT правила из теста 1», мне нужно что-то ещё? Что именно?  
(Я сделал пункт 6 из той темы, и всё равно не работает).

Цитата из статьи:  
«»  
add chain=srcnat action=masquerade dst-address=192.168.88.0/24 src-address=192.168.88.0/24  
Благодаря Sob, вот в чём проблема:  
— клиент с IP 192.168.88.5 хочет подключиться к www.myserver.net, резолвит имя в 47.123.12.89 и отправляет туда первый пакет.  
— клиент понятия не имеет, где находится 47.123.12.89, для него это может быть хоть на другой стороне планеты.  
— правило dstnat меняет адрес назначения пакета на 192.168.88.68 и отправляет его на сервер.  
— исходный адрес не меняется, он всё так же 192.168.88.5 ← вот в чём проблема.  
— сервер получает пакет и отправляет ответ напрямую на 192.168.88.5, потому что он в той же подсети!!  
— клиент отбрасывает ответ, потому что не ожидает его от 192.168.88.68 — он ждёт ответ от 47.xx  
«»

Результат теста 3: Перечитывая статью @anav  
Похоже, что добавление masquerade правила  
/ip firewall nat chain=src-chain src-address=192.168.1.0/24 dst-address=192.168.1.0/24 out-interface=bridge action=masquerade  
ДОЛЖНО сопровождаться изменением firewall nat правила, которое мы настраивали раньше для проброса портов.  

Правильно ли я понял (и если нет — поправьте меня), что нужно заменить на:  
add chain=dstnat action=dst-nat dst-address-type=local dst-address=!192.168.1.1 protocol=tcp dst-port=80 to-addresses=192.168.1.10

Спасибо, @Ca6ko, но это не то решение, о котором я просил. Проблема с твоим подходом для веб-разработчиков в том, что нет правил файрвола для трафика внутри сети. Это значит, если ты ошибёшься с сокетами или правилами файрвола, ты не заметишь этого, пока не запустишь в продакшн. Весь трафик из продакшн или сотовой сети пойдёт через настроенные каналы, а трафик в локальной сети полностью всё обойдет. Мой последний способ работал для всех устройств в локалке, но, похоже, никак не влияет на пользователей Wi-Fi. Так что поиски правильной настройки продолжаются. Повторюсь, это очень важно. Домашние или игровые роутеры Asus, Netgear, Linksys сразу работают так, как надо. Всё, что я хочу — заставить Mikrotik делать то же самое. Спасибо, Лукаc.

Настоятельно рекомендую всем, кто пользуется вашим сервером, предоставить вам свой фиксированный статический WANIP или их WANIP через dyndns-имя. Отговорок не принимаю — полно бесплатных провайдеров. Затем составьте список адресов таких пользователей… добавьте chain=dstnat action=dst-nat dst-address-list=MYWANIP dst-port=XX protocol=YYY to-addresses=ServerIP src-address-list=AuthorizedUsers.

Важно: при использовании списка исходящих адресов порт не появляется при сканировании, иначе порт будет отображаться как закрытый.

Привет! Для тех, кто через Google нашёл этот пост... Следующие инструкции от @anav в теме anav » Ср 15 мар 2023, 14:02 решают проблему «Обеспечить доступ пользователей внутренней сети LAN к вашему серверу через доменное имя, указывающее на ваш динамический WAN IP». То есть, вы сами хостите свой сервер и хотите заходить на сайт и другие сервисы сервера из внутренней сети. Или, если проще, вы используете динамический IP-адрес для хостинга сайта и хотите получить к нему доступ из LAN или со всех телефонов, подключённых к Wi-Fi через MikroTik. Либо у вас на каждом телефоне установлено приложение, которое при подключении и зарядке синхронизирует ваши фото с внутренним сервером, используя ваш динамический домен. (P.S. Пишите мне, если хотите, чтобы ваши фото автоматически сохранялись на защищённом сервере, без нарушения вашей приватности). Спасибо! Лукас