+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Не могу перевести текст "srcnat".

Не могу перевести текст "srcnat"., RouterOS

fball

Guest

05.09.2008 16:24:00

Я только что заменил наш файрвол на MT и столкнулся со следующей проблемой. У меня есть как dstnat, так и srcnat с публичной сети /28 на частную сеть /16. Сервисы, настроенные на dstnat для моих серверов, работают нормально, когда они находятся в публичной сети, но из частной сети я не могу до них добраться, используя публичный адрес. Что мне нужно добавить, чтобы трафик из частной сети к публичному IP отправлялся на частный сервер? То есть переход по http://144.92.249.226 работает нормально снаружи, но не внутри. Я получаю ошибку "страница не найдена" или страницу веб-сервера MT, если она включена.

fball

Guest

07.10.2008 16:31:00

Я наконец вернулся к этому и не могу заставить это работать. Похоже, что правило: /ip firewall nat add chain=dstnat action=dst-nat dst-address=144.92.249.226 to-addresses=192.168.0.2 in-interface=wlan1 получает трафик, но ничего не возвращается на внутренний IP-адрес браузера (запрос истекает по времени). Похоже, нужно добавить какое-то правило src-nat, чтобы направить возвращающий трафик.

fball

Guest

16.10.2008 14:07:00

Позвольте мне прояснить. Весь текущий NAT работает - как для назначения, так и для источника. Все мои службы доступны для внешнего мира. Все мои службы доступны для частной сети, ПОТОМУ ЧТО у меня есть внутренний DNS-сервер для разрешения частных IP-адресов. НО для простоты тестирования (я могу тестировать из частной сети) и в случае, если мой внутренний DNS выйдет из строя, я хочу, чтобы внутренний клиент мог подключаться к заданной внутренней службе, используя публичный IP-адрес. Сейчас, когда я использую публичный IP-адрес из пространства частных IP, я получаю сервис маршрутизаторов MT, А НЕ NAT'ed частную службу. Находясь в частной сети и переходя на http:\PUB.LI.C.IP:80, я вижу веб-страницу MT. Я настраиваю простой тестовый маршрутизатор с одним клиентом, и я могу опубликовать эти правила NAT, чтобы не выкладывать свою текущую конфигурацию с более чем 20 правилами. Это должно быть тем, чем ЗНАЧИТЕЛЬНОЕ количество людей занимается, и это должно быть более понятным, чем есть на самом деле. Даже простой маршрутизатор Linksys для дома с переадресацией портов делает это правильно. Всё вышеперечисленное не сработало.

changeip

Guest

16.10.2008 15:54:00

Я точно знаю, что вы пытаетесь достичь. Посты до того, как я написал свой, решали другую проблему. Никто не знает, как это называется, поэтому его очень трудно найти на форумах, хотя об этом спрашивают раз в месяц. Я буду называть это "NAT НА ПАЛКЕ", потому что, думаю, так это называет Cisco. Подумайте об этом. Ваш сервер — 192.168.1.100. Ваш маршрутизатор — 192.168.1.1, и у него также есть публичный IP-адрес на WAN-интерфейсе. Вы — 192.168.1.200. Если вы примените dst-nat PU.BL.IC.IP → 192.168.1.100, это направит трафик к вашему серверу. Первый шаг выполнен. Теперь сервер получает запрос и видит, что адрес ответа — 192.168.1.200. Ах да, сервер отправил трафик обратно НАПРЯМУЮ вашему браузеру (не через маршрутизатор), потому что вы находитесь в одной подсети. Но ваша рабочая станция говорит: "Я ничего не запрашивал у 192.168.1.100", поэтому отклоняет его. Вам нужно также добавить правило src-nat, которое маскирует трафик, поступающий на ваш приватный интерфейс, предназначенный для порта 80. Маскируйте этот трафик с помощью IP-адреса вашего маршрутизатора. Теперь трафик, идущий к серверу, будет иметь IP-адрес маршрутизатора в качестве источника, и трафик вернется к маршрутизатору. Теперь маршрутизатор может использовать таблицу соединений и вернуть его на исходную рабочую станцию. Единственное ограничение в том, что каждый запрос к этому веб-серверу будет выглядеть так, будто он исходит от маршрутизатора. Если вы полагаетесь на внутренний DNS и это лишь резервный вариант, то это, вероятно, приемлемо. PSSSST - измените порт службы www на Mikrotik с 80 на 800 или 8080 или что-то подобное.

fball

Guest

16.10.2008 17:34:00

Сэм, ты попал в точку. Спасибо за объяснение! Можешь ответить на языке MT, какие правила NAT мне нужны для этого? Я попробовал несколько вещей, которые мне показались логичными. Ты можешь использовать IP-адреса в своем примере, и я переведу это на свою ситуацию. Еще раз спасибо! Пит

fball

Guest

17.10.2008 14:01:00

OK, простая настройка теста. Один частный клиент 192.168.1.254, работающий на IIS на Ether2 MT в "Public" сети на Ether1 БЕЗ правил фильтрации. Правила NAT: 0 цепочка=dstnat действие=dst-nat адреса=192.168.1.254 порты=80 протокол=tcp адрес-назначения=10.4.30.30 интерфейс-входа=ether2 порт-назначения=80 1 цепочка=srcnat действие=маскарад интерфейс-выхода=ether1 2 цепочка=dstnat действие=dst-nat адреса=192.168.1.254 порты=80 протокол=tcp адрес-назначения=10.4.30.30 интерфейс-входа=ether1 порт-назначения=80. Публичный доступ работает. Приватный доступ в мир работает. Приватный доступ к 10.4.30.30 истекает по времени. Правило номер 0 показывает, что обрабатываются пакеты. Если я отключаю правило номер 0, то получаю веб-страницу MT. Это слишком раздражает!

changeip

Guest

17.10.2008 17:25:00

Добавь еще один src-nat с ‘dst-address=192.168.1.254’ и in-interface=ether2 (думаю, так) и action=masquerade. По сути, ты изменил адрес назначения для сервера, теперь нужно изменить исходный IP на адрес роутера, чтобы он получал ответные пакеты. Другой способ сделать это — поставить свои серверы в другую подсеть по сравнению с рабочими станциями. У этого подхода есть свои плюсы и минусы. В правилах WAN ты можешь удалить 'dst-address=10.4.30.30’, если у тебя всего один IP WAN, который меняется. Так ты не будешь вынужден обновлять внешний IP в своих правилах, если он изменится.

changeip Guest	#8 0 17.10.2008 17:27:00 Я бы настроил это и дал тебе точные конфигурации, но я не в такой ситуации, чтобы иметь роутеры для разработки, которые можно так сильно менять. Извини. Сам.

SurferTim Guest	#9 0 07.10.2008 20:29:00 У тебя есть маскарад? /ip firewall nat add chain=srcnat action=masquerade out-interface=ether1 или /ip firewall nat add chain=srcnat action=src-nat to-addresses=144.92.249.226

fball

Guest

#10

08.10.2008 15:18:00

У меня несколько исходящих NAT, потому что я сопоставил весь диапазон 144.92.249.225/255.25.255.240 с ether1. Первый, который должен сработать: chain=srcnat action=src-nat to-addresses=144.92.249.226 src-address=10.4.2.4. Первое правило: chain=dstnat action=dst-nat to-addresses=10.4.2.4 to-ports=80 dst-address=144.92.249.226 in-interface=ether2 dst-port=80 protocol=tcp. Похоже, я упустил какой-то базовый концепт. Есть ли хорошие рекомендации по чтению о IP-цепочках и том, как они работают?

SurferTim

Guest

#11

08.10.2008 17:04:00

Ты, похоже, пропустил эту часть моего предыдущего поста. У тебя было больше одного IP, назначенного для этого интерфейса? В цепочке srcnat используй “action=src-nat to-addresses=144.92.249.x” (не тот IP, что выше), вместо “action=masquerade out-interface=ether1”? И ты только что ответил «да» на оба вопроса, так что добавь это: /ip firewall nat add chain=srcnat action=src-nat dst-address=144.92.249.226 to-addresses=144.92.249.226 place-before=0. Сделай это первым правилом. Или просто убери src-address из первого правила: chain=srcnat action=src-nat to-addresses=144.92.249.226.

fball

Guest

#12

08.10.2008 21:05:00

Хорошо, думаю, я понял. Правило, которое у тебя указано, означает, что все мои машины будут натиться на 144.92.249.226, что мне не нужно. Мне нужны почтовые серверы, чтобы натились на конкретные IP для обратного поиска и тому подобное. Думаю, это будет работать хотя бы для одного сервера, но мне нужно, чтобы это работало и для других серверов, а я бы очень хотел, чтобы каждый отправлялся с разного внешнего IP: 0 chain=dstnat action=dst-nat to-addresses=10.4.2.4 to-ports=80 dst-address=144.92.249.226 in-interface=ether2 dst-port=80 protocol=tcp 1 chain=srcnat action=src-nat to-addresses=144.92.249.226 dst-address=10.4.0.0/16 Но почему бы это не сработало, чтобы каждый сервер выходил с разного IP? 1 chain=srcnat action=src-nat to-addresses=144.92.249.226 src-address=10.4.2.4 Запутался!

SurferTim

Guest

#13

09.10.2008 04:02:00

Это работает только если адрес назначения — это ваш IP (веб-сайт): /ip firewall nat add chain=srcnat action=src-nat dst-address=144.92.249.226 to-addresses=144.92.249.226 place-before=0. Поместите остальные ваши правила srcnat после этого. Они будут применяться, если адрес назначения не 144.92.249.226. Порядок в этом списке важен. Если бы у вас были эти правила В ЭТОМ ПОРЯДКЕ: chain=srcnat action=src-nat dst-address=144.92.249.226 to-addresses=144.92.249.226 chain=srcnat action=src-nat to-addresses=144.92.249.225, тогда всё бы отображалось как 144.92.249.226 только на ваш сервер. Для всех остальных это были бы 144.92.249.225. ДОПОЛНЕНИЕ: я забыл упомянуть команду "move". Если правила не в правильном порядке, то move 5 3 переместит правило из позиции #5 на #3 и сместит другие правила вниз.

fball

Guest

#14

09.10.2008 14:50:00

Не работает. Вот первые 2 правила из команды печати в ip/firewall/nat и последнее правило для NAT для всего остального. 0 chain=srcnat action=src-nat to-addresses=144.92.249.226 dst-address=144.92.249.226 1 chain=dstnat action=dst-nat to-addresses=10.4.2.4 to-ports=80 dst-address=144.92.249.226 in-interface=ether2 dst-port=80 protocol=tcp 43 ;;; NAT для всего исходящего трафика chain=srcnat action=src-nat to-addresses=144.92.249.238 dst-address=0.0.0.0/0 out-interface=ether1 Никакой трафик не попадает под правило 1, но трафик попадает под правило 2, когда вы запрашиваете веб-страницу. Браузер показывает таймаут.

SurferTim

Guest

#15

10.10.2008 08:59:00

Это должно работать. Адреса вашей локальной сети (IP-адреса, назначенные интерфейсам на этом устройстве) должны первым делом попадать в цепочку srcnat согласно моим логам. Вы уверены, что остальное настроено правильно? Например, /ip route (шлюзы)? Как настроены ваши локальные IP-адреса? Закреплен ли этот диапазон IP за интерфейсом на этом устройстве? Тщательно проверьте ваши сетевые маски. Можете пинговать IP сервера из вашей локальной сети? Traceroute может помочь. Я тоже не знаю, как у вас настроен Apache на сервере. Убедитесь, что ваш сервер Apache слушает на IP локальной сети, а также на вашем публичном IP, если вы обращаетесь к нему оттуда.

changeip

Guest

#16

10.10.2008 17:18:00

0 chain=srcnat action=src-nat to-addresses=144.92.249.226 dst-address=144.92.249.226 То, что указано выше, неверно… зачем делать src-nat для одного и того же адреса? Мне кажется, что что-то упускается из виду. Пожалуйста, опубликуйте следующее: /ip route print /ip firewall nat export Я думаю, то, что вы хотите, это nat-on-a-stick… если вы и ваш сервер на одной подсети, вам нужно делать srcnat и dstnat для этого трафика, и когда сервер его увидит, он увидит IP роутера, а не ваш. Это может быть приемлемо или нет; вас беспокоит, что ваш веб-сервер видит всех ваших внутренних пользователей как IP роутера? Лучшее решение — использовать имя хоста, которое разрешается в внутренний IP внутри сети и в внешний IP снаружи. Сам.

SurferTim

Guest

#17

10.10.2008 17:26:00

Привет, changeip! У меня есть такая настройка с условиями, о которых я говорил выше. Несколько IP-адресов на одном интерфейсе, и трафик локальной сети должен выглядеть как другой IP для внешнего мира. Если я пробовал это иначе, ничего не получалось. Этот способ работает отлично с единственной записью. Если ты знаешь, как это можно сделать лучше, дай знать нам обоим.

changeip Guest	#18 0 10.10.2008 18:24:00 Я думаю, что автор поста спрашивал о трафике внутри своего файрвола, направляемом на сервер, находящийся за его файрволом... а не о внешнем трафике.

SurferTim Guest	#19 0 10.10.2008 19:26:00 Может быть, я что-то путаю, но именно это я и хочу увидеть! Дополнил: Но мне кажется, что что-то еще не так. Он обрабатывает правила цепи dstnat, когда ему следовало бы работать с правилами цепи srcnat. Это заставляет меня думать, что маршрутизатор не знает, как найти локальные IP-адреса, которые он использует. В противном случае он использовал бы цепь srcnat. Вот почему я спрашивал о IP-адресах и настройках маршрутов /ip.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры