Всем привет! Сначала хочу сказать, что я уже почти два года пытаюсь разобраться с этим оборудованием, но, к сожалению, с сетями у меня получается достаточно плохо. Надеюсь, здесь найдутся знатоки, которые смогут помочь.
Изначально я хотел использовать это как беспроводной мост (но от этого отказался), а сейчас пытаюсь сделать самый простой и базовый вариант настройки. То есть, чтобы CRS125 работал как беспроводной роутер, похожий на обычные модели Netgear из магазина.
Сейчас у меня схема такая: провайдер ----> модем от провайдера ----> Mikrotik, который выполняет роль DHCP-сервера и имеет два WLAN (одна сеть для внутренних пользователей, другая — для гостей, но гостевая пока не используется).
Основные проблемы таковы: внутри сети я не могу пинговать и получить доступ к другим устройствам (но, думаю, это из-за hairpin NAT), а вот даже находясь в другой сети (у меня есть два фиксированных IP и две интернет-подписки), я не могу подключиться по SSH к серверу, подключенному к Mikrotik, даже с пробросом портов.
Мое предположение — возможно, дело в том, что публичный IP привязан к модему, а Mikrotik этот публичный IP не имеет. Например, мой публичный IP — 138.199.181.222, а мой ether1-gateway — 138.199.180.1.
Это из-за того, что в QuickSet я настроил получение адреса автоматически. Возможно, стоит брать статический IP или настраивать PPOE?
Все устройства в сети имеют адреса 192.168.88.X, и я назначил им статические IP, чтобы они не менялись.
Буду благодарен за любые советы по поиску и устранению проблемы. Спасибо!
@anav, это правило сброса по умолчанию в цепочке input, то есть последнее правило для пакетов, которые не совпали с предыдущими, заканчивается здесь и они отбрасываются.
Хмм, я переместил маскарад ниже, но всё равно не работает. Я пробовал использовать http://www.t1shopper.com/tools/port-scan/#, чтобы проверить порт, но ответа нет. Есть ещё какие-нибудь идеи?
Для начала, я не думаю, что порядок правил имеет значение, у меня правило srcnat стоит перед dstnat… Будет здорово, если кто-то подтвердит. Единственный вопрос — зачем нужно правило FW ниже?
@anav: Порядок важен внутри одной цепочки. Но когда видишь несколько цепочек в одном окне (dstnat и srcnat в NAT, input и forward в Filter и так далее), они могут идти в любом порядке — сначала одна, потом другая, перемешанно, как угодно. Важно только, какой порядок внутри одной цепочки. Что касается текущей проблемы, хочу обратить внимание на своё предыдущее сообщение. Со всей скромностью скажу, что там были неплохие советы. Итак, первый шаг — проверить IP-адрес. Второй шаг — протестировать снаружи и проверить счётчики в правилах dstnat.
Я так и думал, но это не похоже на стандарт… add action=drop chain=input comment=“defconf: drop invalid” connection-state= invalid add action=drop chain=input comment=“defconf: drop all not coming from LAN” in-interface-list=!LAN (понятно, порядок в цепочке имеет значение)
Не уверен, что выделенное жирным выше — это стандарт, но могу ошибаться. Лично для меня правило по умолчанию — сбрасывать всё, без разницы, с WAN, LAN, VPN и прочих, потому что в вопросах безопасности большая часть инцидентов происходит изнутри.
Ха-ха, хорошо, я понял твою точку зрения, честно говоря, сам уже не знаю, откуда это взял, если задуматься. Но, пожалуйста, если у тебя хватит смелости, покажи нам своё... правило сброса ввода!!