Mikrotik.moscow [тема: Hairpin NAT не работает]

Hairpin NAT не работает

Mon, 30 Jul 2018 15:58:00 -0400

Hairpin NAT не работает RouterOS в форуме RouterOS.
Создай новую тему на этом форуме (чтобы не засорять эту) и выложи свою конфигурацию. Пройдемся по ней и разберёмся.
30.07.2018 15:58:00, Steveocee.

Hairpin NAT не работает

Mon, 30 Jul 2018 15:07:00 -0400

Hairpin NAT не работает RouterOS в форуме RouterOS.
Привет, Steveo! Весь выходной пересматривал твоё видео, настроил всё точно так же, как у тебя, только добавил фиксированный WAN IP. Но всё равно не работает. Какие-нибудь мысли?
30.07.2018 15:07:00, romself.

Hairpin NAT не работает

Fri, 27 Jul 2018 21:32:00 -0400

Hairpin NAT не работает RouterOS в форуме RouterOS.
Привет! У меня похожая проблема, уже долго пытаюсь настроить hairpin NAT. Мой почтовый сервер находится за DMZ-коммутатором, снаружи, через другого провайдера, к нему доступ есть, а изнутри нашей сети не видно.

Для примера:
Vlan 205 — это мой WAN доступ
1.1.1.1 — WAN IP по этому вопросу
192.168.20.65 — IP-адрес моего почтового сервера

```
add action=masquerade chain=srcnat comment=“Natting Incoming” out-interface=“Vlan 205”
add action=masquerade chain=srcnat comment=“Hairpin NAT” dst-address=192.168.0.0/16 src-address=192.168.0.0/16
add action=dst-nat chain=dstnat comment=“HTTP/SSL” dst-address=1.1.1.1 dst-address-type=“local” dst-port=443 protocol=tcp to-addresses=192.168.20.65 to-ports=443
```

Буду признателен за любую помощь, спасибо!
27.07.2018 21:32:00, romself.

Hairpin NAT не работает

Mon, 30 Jul 2018 12:33:00 -0400

Hairpin NAT не работает RouterOS в форуме RouterOS.
Посмотрите на это. Мой очень простой способ организации hair-pinning вашего NAT. https://www.youtube.com/watch?v=_kw_bQyX-3U
30.07.2018 12:33:00, Steveocee.

Hairpin NAT не работает

Mon, 30 Jul 2018 11:01:00 -0400

Hairpin NAT не работает RouterOS в форуме RouterOS.
Спасибо за помощь, но я добавил порт LAN в Hairpin NAT, и всё равно не работает.
30.07.2018 11:01:00, romself.

Hairpin NAT не работает

Mon, 30 Jul 2018 00:09:00 -0400

Hairpin NAT не работает RouterOS в форуме RouterOS.
Маскируйте трафик, который приходит из вашей локальной подсети обратно в вашу локальную подсеть через локальный интерфейс.
30.07.2018 00:09:00, gotsprings.

Hairpin NAT не работает

Sat, 30 Jun 2018 21:00:00 -0400

Hairpin NAT не работает RouterOS в форуме RouterOS.
У меня есть публичный IP 1.1.1.1 с разными пробросами портов. Например, 1.1.1.1:80 <> 192.168.1.1:80 (так же по 443 и другим). Когда я пытаюсь зайти на домен внутри сети (domain.com = 1.1.1.1), получаю отказ в соединении. Внешний доступ внутрь работает нормально.
jack@apollo:~ » curl 1.1.1.1. 80
curl: (7) Failed to connect to 1.1.1.1 port 80: Connection refused

Я пробовал настроить hairpin NAT, чтобы обойти эту проблему. Ниже мои правила NAT (eth1 — WAN интерфейс):
0 ;;; HAIRPIN
chain=srcnat action=masquerade src-address=192.168.1.0/24 dst-address=192.168.1.0/24 log=yes log-prefix="HAIRPIN!!"

1 ;;; masquerade internal to eth1
chain=srcnat action=masquerade out-interface=ether1 log=no log-prefix=""

2 ;;; 443 to proxy
chain=dstnat action=dst-nat to-addresses=192.168.1.1 to-ports=443 protocol=tcp in-interface=ether1 dst-port=443 log=no log-prefix=""

3 ;;; 80 to proxy
chain=dstnat action=dst-nat to-addresses=192.168.1.1 to-ports=80 protocol=tcp in-interface=ether1 dst-port=80 log=no log-prefix="NATTTT"

Однако это, похоже, не работает. При попытках доступа к ‘domain.com’ счетчик hairpin NAT не растет. Я также пробовал telnet, wget и curl на порт 80, чтобы проверить счетчик — безрезультатно.

Ниже мои правила файрвола, которые не блокируют этот трафик:
0 D ;;; специальное фиктивное правило для отображения счетчиков fasttrack
chain=forward action=passthrough

1 ;;; Разрешить established
chain=input action=accept connection-state=established log=no log-prefix=""

2 ;;; Разрешить related
chain=input action=accept connection-state=related log=no log-prefix=""

3 ;;; Разрешить веб трафик на web.homelab
chain=forward action=accept connection-nat-state=dstnat protocol=tcp dst-address=192.168.1.1 in-interface=ether1 dst-port=80,443,5000 log=no log-prefix=""

4 ;;; DST NAT разрешен
chain=forward action=accept connection-state="" connection-nat-state=dstnat log=no log-prefix=""

5 ;;; defconf: fasttrack
chain=forward action=fasttrack-connection connection-state=established,related log=no log-prefix=""

6 ;;; Блокировать всё с WAN
chain=input action=drop connection-state="" in-interface=ether1 log=no log-prefix=""

7 ;;; Блокировать неверные соединения
chain=input action=drop connection-state=invalid log=no log-prefix=""

8 ;;; Блокировать весь вход с WAN, кроме DSTNAT
chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN log=no log-prefix=""

9 ;;; Нет совпадений по правилам
chain=forward action=passthrough log=no log-prefix=""

Даже при выключении всех правил блокировки счетчик hairpin NAT не увеличивается. Буду признателен за любую помощь, идеи кончаются.
30.06.2018 21:00:00, jack21397.