http://mikrotik.moscow Новое в теме Трудно заставить переадресацию портов работать. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 13 Aug 2026 14:26:55 -0400 Трудно заставить переадресацию портов работать. RouterOS в форуме RouterOS.
Сделаю! (но репутационных очков у меня всё ещё нет… )
06.07.2016 20:04:00, ricotrevisan.]]> http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226561 http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226561 Wed, 06 Jul 2016 20:04:00 -0400 RouterOS Трудно заставить переадресацию портов работать. RouterOS в форуме RouterOS.
Без проблем, ricotrevisan. Не уверен, стоит ли это закрепить, грамматика ужасная! (Но мне лень исправлять) Если будет возможность повысить рейтинг поста, буду очень благодарен, спасибо. tslytsly
05.07.2016 08:01:00, tslytsly.]]> http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226560 http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226560 Tue, 05 Jul 2016 08:01:00 -0400 RouterOS Трудно заставить переадресацию портов работать. RouterOS в форуме RouterOS.
Круто! Очень понятное объяснение и классный полезный совет! Твой пост стоило бы сделать закрепленным и/или добавить в вики от Mikrotik.
05.07.2016 05:20:00, ricotrevisan.]]> http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226559 http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226559 Tue, 05 Jul 2016 05:20:00 -0400 RouterOS Трудно заставить переадресацию портов работать. RouterOS в форуме RouterOS.
Привет, ricotrevisan! Да, тебе нужны обе эти вещи, потому что NAT — это не то же самое, что фильтрация. Допустим, у тебя есть пакет, предназначенный для твоего публичного IP-адреса, который ты хочешь перенаправить на внутренний хост, например, с 2.2.2.2 на 1.1.1.1:80. Первое, что происходит, — роутер ищет в таблице NAT правило, которое подходит. Допустим, у нас есть правило, транслирующее всё, идущее на TCP-порт 80, во внутренний адрес 192.168.1.1. Итак, теперь роутер изменит IP-заголовок этого пакета, с src:2.2.2.2 dst:1.1.1.1 на src:2.2.2.2 dst:192.168.1.1. Пакет был переведен, но теперь нам нужно проверить, разрешен ли он. Роутер просматривает свою таблицу правил фильтра сверху вниз, ища подходящее правило, помни, что оно должно совпадать с IP-заголовком, в котором теперь внутренний IP-адрес 192.168.1.1 указан в поле назначения. Первое правило, которое совпадет, будет выполнено. Таким образом, если у тебя есть правило немедленной блокировки внизу этого списка, но нет допустимого правила разрешения, трафик не пройдет. Его перевели, но не пропустили через часть фильтра брандмауэра. Это может быть запутанно, особенно в том, как потребительские роутеры обрабатывают NAT. На потребительском роутере часто добавление правила NAT автоматически добавляет правило разрешения в фоновом режиме, о котором ты даже не знаешь. Профессиональные роутеры и брандмауэры этого не делают. В связи со всем вышесказанным, ты можешь запрограммировать аналогичную функциональность на RouterOS, используя следующее правило фильтра: /ip firewall filter
add chain=forward connection-nat-state=dstnat action=accept. Это правило просто указывает, что если роутер выполнил NAT поля dst-ip пакета, то он разрешен. Надеюсь, это поможет, tslytsly.
04.07.2016 16:00:00, tslytsly.]]> http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226558 http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226558 Mon, 04 Jul 2016 16:00:00 -0400 RouterOS Трудно заставить переадресацию портов работать. RouterOS в форуме RouterOS.
Спасибо за это. Получается, чтобы правильно настроить переадресацию портов, нужно: добавить порт во вкладке "Фильтр правил", а затем добавить NAT-переадресацию с указанием адреса назначения и порта? Я думал, будет достаточно только правила NAT, но оказалось, нужно и то, и другое. Какая же у меня долгая ночь выдалась, чтобы это понять.
04.07.2016 08:22:00, ricotrevisan.]]> http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226557 http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226557 Mon, 04 Jul 2016 08:22:00 -0400 RouterOS Трудно заставить переадресацию портов работать. RouterOS в форуме RouterOS.
Спасибо, ребята, переключение цепочки на пересылку, кажется, сработало.
11.08.2012 03:06:00, SeaCow.]]> http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226556 http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226556 Sat, 11 Aug 2012 03:06:00 -0400 RouterOS Трудно заставить переадресацию портов работать. RouterOS в форуме RouterOS.
Правила 3 accept:
1 chain=input action=accept protocol=tcp dst-port=7778
2 chain=input action=accept protocol=tcp dst-port=8000
3 chain=input action=accept protocol=tcp dst-port=8001

Никогда не будут работать, потому что правильная цепочка — forward, а не input. Поменяй цепочку на forward, и всё заработает:

1 chain=forward action=accept protocol=tcp dst-port=7778
2 chain=forward action=accept protocol=tcp dst-port=8000
3 chain=forward action=accept protocol=tcp dst-port=8001

Надеюсь, это поможет!
11.08.2012 00:34:00, greencomputing.]]> http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226555 http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226555 Sat, 11 Aug 2012 00:34:00 -0400 RouterOS Трудно заставить переадресацию портов работать. RouterOS в форуме RouterOS.
Флаги: X - отключено, D - динамический СПИСОК

АДРЕС 0 ;;; LAN local

192.168.0.0/24
11.08.2012 00:20:00, SeaCow.]]> http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226554 http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226554 Sat, 11 Aug 2012 00:20:00 -0400 RouterOS Трудно заставить переадресацию портов работать. RouterOS в форуме RouterOS.
Привет, сэр! Можете показать, как вы определили список локальных src-address (chain=inbound action=accept src-address-list=local)? Просто чтобы убедиться, что локальные адреса могут пересылать данные без попадания под правило дропа.
10.08.2012 23:09:00, greencomputing.]]> http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226553 http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226553 Fri, 10 Aug 2012 23:09:00 -0400 RouterOS Трудно заставить переадресацию портов работать. RouterOS в форуме RouterOS.
Пытаюсь разрешить доступ из интернета к Shoutcast серверу и веб-серверу с моего домашнего сервера. Может кто-нибудь помочь понять, что я делаю не так? Спасибо.

Вот мои настройки:

Внешний IP от провайдера: 1.1.1.1
Внутренний IP роутера: 192.168.0.1
Внутренний IP сервера: 192.168.0.101

Флаги: X - отключено, I - недействительно, D - динамический

0   ;;; Локальный доступ
chain=input action=accept protocol=tcp src-address-list=local dst-port=8291
1   chain=input action=accept protocol=tcp dst-port=7778
2   chain=input action=accept protocol=tcp dst-port=8000
3   chain=input action=accept protocol=tcp dst-port=8001
4   chain=input action=accept protocol=tcp src-port="" dst-port=443
5   chain=input action=accept protocol=tcp dst-port=22
6   chain=inbound action=drop src-address=50.19.91.18
7   chain=output action=drop dst-address=50.19.91.18
8 X chain=output action=drop protocol=tcp dst-port="" port=!80
9   ;;; wLAN chain=input action=accept in-interface=wlan1
10  ;;; eLAN chain=input action=accept in-interface=ether2
11  ;;; bridge chain=input action=accept in-interface=bridge1
12  ;;; Treat all traffic equally chain=input action=jump jump-target=inbound
13  ;;; Treat all traffic equally chain=forward action=jump jump-target=inbound
14  ;;; Drop invalid chain=inbound action=drop connection-state=invalid
15  ;;; Allow limited icmp chain=inbound action=accept protocol=icmp limit=50/5s,2
16  ;;; Drop excess icmp chain=inbound action=drop protocol=icmp
17  ;;; Accept established chain=inbound action=accept connection-state=established
18  ;;; Accept related chain=inbound action=accept connection-state=related
19  ;;; Internal traffic can do what it wants. chain=inbound action=accept src-address-list=local
20  ;;; And drop everything else chain=inbound action=drop
21  ;;; Allow everything out chain=output action=accept

[admin@MikroTik] > ip firewall nat print
Флаги: X - отключено, I - недействительно, D - динамический

0   ;;; NAT
chain=srcnat action=masquerade out-interface=ether1
1   chain=dstnat action=dst-nat to-addresses=192.168.0.101 to-ports=8000 protocol=tcp dst-port=8000
2   chain=dstnat action=dst-nat to-addresses=192.168.0.101 to-ports=8001 protocol=tcp dst-port=8001
3   chain=dstnat action=dst-nat to-addresses=192.168.0.101 to-ports=7778 protocol=tcp dst-port=35000
10.08.2012 22:46:00, SeaCow.]]> http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226552 http://mikrotik.moscow/forum/forum57/59609-trudno-zastavit-pereadresatsiyu-portov-rabotat./message226552 Fri, 10 Aug 2012 22:46:00 -0400 RouterOS