+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Nat Hairpin в Router OS 7.1.1

Nat Hairpin в Router OS 7.1.1, RouterOS

kohral

Guest

25.12.2021 18:42:00

После обновления CCR1009-7G-1C-1S+ с версии 6.49.2 до 7.1.1 Nat Hairpin перестал работать (возврат на 6.49.2 снова всё запускает). Все правила файрвола и остальные настройки в 7.1.1 такие же. В чем может быть проблема с конфигурацией? Спасибо. firewall.rsc (4.58 KB)

chuk87 Guest	#2 0 08.01.2022 20:47:00 точно такая же ситуация

johnpaul24 Guest	#3 0 17.01.2022 00:40:00 Точно такая же ситуация.

anav

Guest

17.01.2022 16:00:00

Как заметил sob, добавить action=masquerade chain=srcnat — это НЕ правильно! Это безусловно… Нужно добавить action=masquerade chain=srcnat out-interface=ether1 или out-interface-list=WAN (для динамического WAN IP). Кстати, если у вас WAN IP статический и фиксированный… правильный формат — не masquerade, а add action=src-nat chain=src nat to-address=fixedWANIP out-interface=ether1.

johnpaul24

Guest

18.01.2022 03:26:00

Это моя конфигурация, работающая на версии 6.49.2:

action=masquerade chain=srcnat comment=“hairpin nat” dst-address=!192.xxx.xxx.1 log-prefix=hairping src-address=192.xxx.xxx.0/24

Следуя твоему совету, я изменил её так:

action=masquerade chain=srcnat comment=“hairpin nat” dst-address=!192.xxx.xxx.1 log-prefix=hairping out-interface=ether1 src-address=192.xxx.xxx.0/24

Но в версии 7.1 у меня всё равно не работает.

johnpaul24 Guest	#6 0 18.01.2022 03:39:00 В журнале у меня такие записи: harping srcnat: in:(unknown 0) out:bridge, протокол UDP, 192.xxx.xxx.xxx:1900->192.xxx.xxx.xxx:23xx, длина 275

Sob

Guest

18.01.2022 03:43:00

Дай угадаю, первый xxx — это 168, а второй xxx — от 0 до 255. Серьёзно, это же приватная подсеть, а не уникальный адрес, у миллионов людей такие же, смысла маскировать её нет. Что касается NAT, параметр out-interface=WAN явно бессмысленен для hairpin NAT, ведь там исходящий интерфейс — LAN. out-interface=WAN используется для основного NAT, для подключений с LAN в интернет. Hairpin NAT обычно задаётся через src-address= и dst-address=. Но твой вариант тоже работает. На самом деле, без указания out-interface правило может использоваться как для LAN->интернет, так и для hairpin LAN->LAN. И нет никаких причин, почему это не должно работать в версии 7. Опубликуй всю конфигурацию, там должно быть объяснение.

anav

Guest

18.01.2022 15:26:00

Ну, твоя попытка с hairpin неверна. Вот моя конфигурация, которая работает на версии 6.49.2:

action=masquerade chain=srcnat comment=“hairpin nat” dst-address=!192.xxx.xxx.1 log-prefix=hairpin src-address=192.xxx.xxx.0/24

Убери этот глупый символ/синтаксис "0" — и источник, и адрес назначения идентичны (то есть тот, на котором и сервер, и пользователи). И да, защищать приватный IP — это довольно забавно...

VarTok Guest	#9 0 21.01.2022 19:52:00 Похоже, что в версии ОС 7 что-то изменилось, из-за чего у многих перестала работать srcnat masquerade.

Sob Guest	#10 0 23.01.2022 22:06:00 Хотя это и не совсем невозможно, но очень-очень маловероятно. Это базовый srcnat, его используют почти все. Если бы с этим была какая-то проблема, заметили бы не только несколько человек.

kusmierz

Guest

#11

13.02.2022 22:02:00

Похоже, нас таких немало, включая меня. В 99% случаев это не моя вина (но, к сожалению, проверить на версии 6.x не могу, так как для RB5009 такой версии нет). # 13/02/2022 23:16:41 от RouterOS 7.1.2
# модель = RB5009UG+S+

/ip firewall nat
add action=masquerade chain=srcnat out-interface-list=WAN
add action=dst-nat chain=dstnat comment="www" dst-address=!192.168.144.1 dst-address-type=local dst-port=80 protocol=tcp to-addresses=192.168.144.22 to-ports=80
add action=masquerade chain=srcnat comment=HairpinNat dst-address=!192.168.144.1 src-address=192.168.144.0/24

/ip firewall filter
add action=accept chain=forward comment="Разрешить пересылку трафика для уже установленных/связанных соединений" connection-state=established,related
add action=accept chain=forward comment="Разрешить пересылку трафика с LAN" connection-state=!invalid in-interface-list=LAN out-interface-list=WAN src-address=192.168.144.0/24
add action=accept chain=forward comment="Разрешить пересылку трафика для перенаправлений портов и DMZ" connection-nat-state=dstnat
add action=drop chain=forward comment="Запретить остальной пересылаемый трафик"
add action=accept chain=output comment="Разрешить исходящий трафик"
add action=accept chain=input comment="Разрешить входящий трафик для уже установленных/связанных соединений" connection-state=established,related
add action=accept chain=input comment="Разрешить ICMP ping-запросы" icmp-options=8:0 protocol=icmp
add action=accept chain=input comment="Разрешить ICMP сообщения о слишком большом размере пакета (необходима фрагментация)" icmp-options=3:4 protocol=icmp
add action=accept chain=input comment="Разрешить новые подключения к Winbox сервису в LAN" connection-state=new dst-address=192.168.144.1 dst-port=8291,22,80 in-interface-list=LAN protocol=tcp src-address=192.168.144.0/24
add action=accept chain=input comment="Разрешить запросы к DNS сервису из LAN" connection-state=new dst-address=192.168.144.1 dst-port=53 in-interface-list=LAN protocol=udp src-address=192.168.144.0/24
add action=drop chain=input comment="Запретить остальной входящий трафик"

anav

Guest

#12

14.02.2022 12:24:00

Не то чтобы это что-то изменит, но попробовать стоит… поменяй порядок и измени правило…

/ip firewall nat add action=masquerade chain=srcnat out-interface-list=WAN
add action=dst-nat chain=dstnat comment="www" dst-address=!192.168.144.1 dst-address-type=local dst-port=80 protocol=tcp to-addresses=192.168.144.22 to-ports=80
add action=masquerade chain=srcnat comment=HairpinNat dst-address=!192.168.144.1 src-address=192.168.144.0/24
/ip firewall nat add action=masquerade chain=srcnat comment=HairpinNat dst-address=192.168.144.0/24 src-address=192.168.144.0/24
add action=masquerade chain=srcnat out-interface-list=WAN
add action=dst-nat chain=dstnat comment="www" dst-address=!192.168.144.1 dst-address-type=local dst-port=80 protocol=tcp to-addresses=192.168.144.22 to-ports=80

kusmierz Guest	#13 0 14.02.2022 13:00:00 Я перенёс свою проблему сюда — http://forum.mikrotik.com/t/hairpin-issue-rb5009-on-7-1/155818/5 — чтобы быть на 100% уверенным, что дело не в настройках.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры