+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Проблемы с внутренним веб-сервером за Hairpin NAT.

Проблемы с внутренним веб-сервером за Hairpin NAT., RouterOS

rogerking1

Guest

08.01.2014 14:53:00

Веб-сервер доступен через внешние подключения (проверил ещё раз). Пытался настроить Hairpin NAT (http://wiki.mikrotik.com/wiki/Hairpin_NAT), но это не заработало из внутренней сети. Попробовал правило, найденное здесь: http://forum.mikrotik.com/t/port-forwarding-with-dynamic-wan-ip/45913/1 – и оно тоже не работает. Что мне теперь посмотреть или сделать?

Отредактировано: Выгрузка конфигурации
Отредактировано 2: Выгрузка конфигурации

[admin@MikroTik] > export hide-sensitive compact jan/11/2014 13:44:55 by RouterOS 5.26 software id = HFLJ-B1QM

/interface ethernet
set 0 name=sfp1-gateway
set 6 name=ether6-master-local
set 7 master-port=ether6-master-local name=ether7-slave-local
set 8 master-port=ether6-master-local name=ether8-slave-local
set 9 master-port=ether6-master-local name=ether9-slave-local
set 10 name=ether10-WAN

/interface bridge
add admin-mac=D4:CA:6D:6F:6D:F3 auto-mac=no name=bridge-local protocol-mode=rstp
add l2mtu=1598 name=FiberOp-bridge protocol-mode=rstp

/interface vlan
add interface=ether10-WAN l2mtu=1594 name=FiberOp-VLAN vlan-id=35

/interface wireless
security-profiles add authentication-types=wpa2-psk eap-methods=passthrough management-protection=allowed mode=dynamic-keys name=THX1138-WPA2 supplicant-identity=“”

/interface wireless
set 0 band=2ghz-b/g/n channel-width=20/40mhz-ht-above country=canada disabled=no distance=indoors ht-rxchains=0,1 ht-txchains=0,1 l2mtu=2290 mode=ap-bridge security-profile=THX1138-WPA2 ssid=THX1138 wireless-protocol=802.11

/ip pool
add name=InternalPool ranges=192.168.0.105-192.168.0.200

/ip dhcp-server
add add-arp=yes address-pool=InternalPool disabled=no interface=FiberOp-bridge name=FiberOp-DHCP

/interface bridge port
add bridge=FiberOp-bridge interface=ether2
add bridge=FiberOp-bridge interface=ether3
add bridge=FiberOp-bridge interface=ether4
add bridge=FiberOp-bridge interface=ether5
add bridge=FiberOp-bridge interface=ether6-master-local
add bridge=FiberOp-bridge interface=wlan1

/ip address
add address=192.168.0.1/24 interface=FiberOp-bridge

/ip dhcp-client
add disabled=no interface=FiberOp-VLAN use-peer-dns=no use-peer-ntp=no

/ip dhcp-server network
add address=192.168.0.0/24 dns-server=192.168.0.1 gateway=192.168.0.1

/ip dns
set allow-remote-requests=yes servers=8.8.8.8,8.8.4.4

/ip firewall filter
add chain=input comment=“Accept Ping” protocol=icmp
add chain=input comment=“Accept Established” connection-state=established
add chain=input comment=“Accept Related” connection-state=related
add action=drop chain=input in-interface=sfp1-gateway
add action=drop chain=input in-interface=FiberOp-VLAN

/ip firewall nat
add action=masquerade chain=srcnat comment=“Hairpin NAT HTTP” dst-address=192.168.0.100 dst-port=80 out-interface=FiberOp-bridge protocol=tcp src-address=192.168.0.0/24
add action=masquerade chain=srcnat out-interface=FiberOp-VLAN src-address=192.168.0.0/24
add action=dst-nat chain=dstnat comment=“NAT HTTP” dst-port=80 in-interface=FiberOp-VLAN protocol=tcp to-addresses=192.168.0.100 to-ports=80

/ip neighbor
discovery set sfp1-gateway disabled=yes
set ether10-WAN disabled=yes
set wlan1 disabled=yes
set FiberOp-VLAN disabled=yes

/ip service
set telnet disabled=yes
set ftp disabled=yes
set www address=192.168.0.0/24 port=8080
set ssh address=192.168.0.0/24
set winbox address=192.168.0.0/24

/system clock
set time-zone-name=America/Moncton

/system ntp client
set enabled=yes primary-ntp=142.4.200.228 secondary-ntp=198.45.49.187

/system ntp server
set enabled=yes

/tool mac-server
add disabled=no interface=ether2
add disabled=no interface=ether3
add disabled=no interface=ether4
add disabled=no interface=ether5
add disabled=no interface=ether6-master-local
add disabled=no interface=ether7-slave-local
add disabled=no interface=ether8-slave-local
add disabled=no interface=ether9-slave-local
add disabled=no interface=wlan1
add disabled=no interface=bridge-local

/tool mac-server mac-winbox
set [ find default=yes ] disabled=yes
add interface=ether2
add interface=ether3
add interface=ether4
add interface=ether5
add interface=ether6-master-local
add interface=ether7-slave-local
add interface=ether8-slave-local
add interface=ether9-slave-local
add interface=wlan1
add interface=bridge-local

/tool sniffer
set filter-direction=any

cbrown

Guest

08.01.2014 15:35:00

Порядок правил важен, когда создаешь маскарадное правило. Попробуй перенести его наверх. В следующий раз, когда будешь выкладывать свою конфигурацию, просто публикуй /export, чтобы мы могли видеть все так же, как и роутер.

rogerking1 Guest	#3 0 08.01.2014 16:07:00 О какой именно правило мы сейчас говорим, которое нужно передвинуть вверх?

cbrown Guest	#4 0 09.01.2014 12:12:00 Правило hairpin NAT.

Rudios Guest	#5 0 09.01.2014 13:59:00 У меня также есть правило hairpin, которое стоит ниже правила generic masquerade. Единственная разница в том, что в правиле hairpin я указываю src-address.

rogerking1

Guest

09.01.2014 14:10:00

Как ни пробую настроить, всё равно не работает. Пытался использовать и другие out-интерфейсы, но ничего в моей цепочке при применении этого правила проблему не решает.
/ip firewall nat add action=masquerade chain=srcnat comment=“default configuration” disabled=yes out-interface=sfp1-gateway add action=masquerade chain=srcnat disabled=no dst-address=192.168.0.100 dst-port=80 out-interface=FiberOp-VLAN protocol=tcp src-address=192.168.0.0/24 add action=masquerade chain=srcnat disabled=no out-interface=FiberOp-VLAN src-address=192.168.0.0/24 add action=dst-nat chain=dstnat disabled=no dst-port=80 in-interface=FiberOp-VLAN protocol=tcp to-addresses=192.168.0.100 to-ports=80

Rudios Guest	#7 0 09.01.2014 14:14:00 В общем, советую убрать все ненужные записи "default configuration" из твоей конфигурации. И для правила Hairpin NAT твой исходящий интерфейс должен быть бриджем, как было раньше.

falestiny Guest	#8 0 09.01.2014 14:30:00 После применения правила "шпильки" попробуйте очистить все предыдущие подключения во вкладке "Соединения".

rogerking1

Guest

09.01.2014 15:56:00

/ip firewall nat add action=masquerade chain=srcnat comment=“Hairpin NAT HTTP” disabled=no dst-address=192.168.0.100 dst-port=80 out-interface=FiberOp-bridge protocol=tcp src-address=192.168.0.0/24 add action=masquerade chain=srcnat disabled=no out-interface=FiberOp-VLAN src-address=192.168.0.0/24 add action=dst-nat chain=dstnat comment=“NAT HTTP” disabled=no dst-port=80 in-interface=FiberOp-VLAN protocol=tcp to-addresses=192.168.0.100 to-ports=80

Перезагрузил роутер. Всё равно та же проблема.

SurferTim Guest	#10 0 09.01.2014 18:41:00 К какому интерфейсу подключен твой компьютер? Можешь ли ты подключиться к серверу по локальной сети, используя IP-адрес 192.168.0.100?

rogerking1 Guest	#11 0 09.01.2014 19:49:00 Пытался зайти и с самого сервера, и с другого компьютера через Wi-Fi. Оба работают по IP-адресу, но не по имени хоста.

rogerking1

Guest

#12

11.01.2014 17:51:00

Загрузил свой обновленный конфиг, вычистил всё, что только можно было. У кого-нибудь есть какие-нибудь предложения, как это можно отладить? Может, пошаговая инструкция, какой трафик смотреть, пока я пытаюсь подключиться, была бы полезной?

Rudios Guest	#13 0 11.01.2014 20:16:00 Есть ли у тебя статический публичный IP? Если да, попробуй установить его как адрес назначения (dst-address) для правила dst-nat и убрать селектор входящего интерфейса.

rogerking1 Guest	#14 0 12.01.2014 16:31:00 У меня нет статического адреса, но, кажется, это работает. Есть ли способ автоматизировать обновление этого, когда мой адрес меняется?

Rudios

Guest

#15

12.01.2014 16:34:00

Это можно сделать с помощью скрипта. Создайте скрипт, который регулярно проверяет WAN IP-адрес и сравнивает его с последним известным. Если IP-адрес изменился, меняйте правило NAT. Тем не менее, мне кажется, что должна быть возможность использования параметра в интерфейсе. Я протестирую это в течение пары дней.

rogerking1 Guest	#16 0 21.01.2014 02:33:00 Ты нашел время, чтобы взглянуть на эту проблему?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры