[РЕШЕНО] HAIRPIN NAT не работает

Если что, я боролся с этой проблемой годами и наконец решил её благодаря этой теме. Для полноты картины вот рабочая конфигурация hairpin NAT с пробросом портов:

Первый src-nat — это маскарадинг с локалки в интернет. Второй src-nat — маскарадинг локалка-внутри сети. dst-nat переправляет локальный и внешний трафик с порта 1234 внешнего IP на 192.168.88.120:1234.

/ip firewall nat export  
# jul/13/2016 17:35:49 by RouterOS 6.27  
# software id = A7N0-8U7V  
#  
/ip firewall nat  
add action=masquerade chain=srcnat comment="default configuration" out-interface=ether1-gateway to-addresses=0.0.0.0  
add action=masquerade chain=srcnat comment="hairpin nat" dst-address=!192.168.88.1 src-address=192.168.88.0/24  
...  
add action=dst-nat chain=dstnat dst-address=!192.168.88.1 dst-address-type=local dst-port=1234 log-prefix="" protocol=tcp to-addresses=192.168.88.120 to-ports=1234

Поменял свой 8-летний роутер dlink на новый RouterBoard с прошивкой v6.38.5. Всё запустил, вайфай настроил и защитил. Основные моменты готовы к работе. Пока что прочитал вики про hairpin NAT и ещё пару разных постов. Добавил 2 NAT правила, как указано в вики, но веб-сервер всё равно заблокирован на порту 8080. Он настроен на работу по портам 80 и 8080. По локальному IP на 80-й порт заходит сразу, а на 8080 — ни в какую. Ещё он запускает сервис динамического DNS и настроен на мой публичный IP:8080, потому что Cox не пропускает исходящие на порт 80. Входящий трафик на 8080 с моего интернет-IP должен пробрасываться к веб-серверу в сети 192 на тот же порт 8080.

Пробовал такое правило сначала:  
add action=dst-nat chain=dstnat comment=“” disabled=no dst-port=8080 in-interface=ether1 protocol=tcp to-address=192.168.0.200 to-ports=8080  

Но это не сработало. Потом прочитал вики про Hairpin NAT. Там два правила: первое очень похоже на вышеописанное, но с добавлением dst-address=(мой публичный IP) и без to-ports=8080, а второе — это: add chain=srcnat out-interface=ether1 action=masquerade. Добавил второе правило — всё равно нет удачи, даже на локальном IP:8080. Пробовал как с to-ports, так и без — результата нет.

Потом нашёл эту тему, выглядит перспективно. Я не использую pppoe, возможно именно из-за этого копирование почти дословно — моя проблема.

Вот моя текущая конфигурация после обновления NAT правил:  
[admin@MikroTik] > ip firewall nat export
apr/26/2017 19:49:55 by RouterOS 6.38.5 software id = T5XA-V4CM  

/ip firewall nat  
add action=masquerade chain=srcnat comment=“defconf: masquerade” out-interface=ether1  
add action=masquerade chain=srcnat comment=“Hairpin Nat” dst-address=!192.168.0.1 src-address=192.168.0.0/24  
add action=dst-nat chain=dstnat comment=“8080 Forward to webserver” dst-address=!192.168.0.1 dst-address-type=local dst-port=8080 protocol=tcp to-addresses=192.168.0.200 to-ports=8080  

Отличие, которое я вижу — отсутствует параметр “in-interface”, и dst-address не равен (не “equals”).

Надеюсь, кто-то сможет помочь мне это запустить.

Привет, у меня такая же проблема. Хочу просканировать публичный IP моего Mikrotik роутера. Но каждый раз, когда запускаю nmap, он показывает открытые порты для LAN, а не для WAN-интерфейса. Вот мои правила ip firewall nat:

chain=srcnat action=masquerade src-address-list=portlane out-interface=portlane  
chain=srcnat action=masquerade out-interface=eth1-gw  
out-interface=portlane – VPN-туннель  
out-interface=eth1-gw – ISP порт

Прочитав https://wiki.mikrotik.com/wiki/Hairpin_NAT, решил добавить:

chain=srcnat action=masquerade src-address=10.2.0.0/22 dst-address=10.2.0.1 out-interface=bridge

10.2.0.0/22 – LAN  
10.2.0.1 – Mikrotik роутер

Но это не работает. Не подскажете, где я ошибаюсь? Заранее спасибо!

Привет, Sob. Здесь всего два правила для перенаправления всех DNS-запросов на Mikrotik:  
chain=dstnat action=dst-nat to-addresses=10.2.0.1 to-ports=53 protocol=tcp in-interface=bridge dst-port=53 log=no log-prefix=""  
chain=dstnat action=dst-nat to-addresses=10.2.0.1 to-ports=53 protocol=udp in-interface=bridge dst-port=53 log=no log-prefix=""

Суть в том, что я хочу иметь возможность сканировать внешний интерфейс моего Mikrotik с любых клиентов в LAN. Конкретно — я хочу запускать nmap -sS -Pn -vvv -O external_ip и видеть внешний интерфейс, а не 10.2.0.1, который я вижу сейчас с открытыми портами tcp/80 и tcp/8291.  

И, указывая внутренний ip 10.2.0.1, я бы хотел видеть все открытые порты так, как они должны быть.  

nmap -sS -Pn -vvv -O external_ip  

Это должно позволить мне видеть все порты на внешнем интерфейсе Mikrotik.

Спасибо, Sob, но это довольно странно. Я уверен, что смог бы сделать это даже на базовой прошивке Tomato для Linksys WRT-54GL, например — там просто ставишь галочку «NAT loopback» и всё работает.