http://mikrotik.moscow Новое в теме Hairpin NAT и DDNS (новичок) форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 13 Aug 2026 21:04:19 -0400 Hairpin NAT и DDNS (новичок) RouterOS в форуме RouterOS.
Если вы можете получить к нему доступ внешне, а внутри — нет, то обычно это проблема с маскарадом. По умолчанию маскарад обычно применяется к LAN-трафику, который уходит через ether1. Однако если временно убрать ether1 из правила и применить его, я предполагаю, что всё будет работать нормально. Если так, то вы сможете настроить нужные правила для локального доступа к устройствам.
27.03.2018 04:19:00, jspool.]]> http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432221 http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432221 Tue, 27 Mar 2018 04:19:00 -0400 RouterOS Hairpin NAT и DDNS (новичок) RouterOS в форуме RouterOS.
Посмотри это: https://www.steveocee.co.uk/mikrotik/hairpin-nat/hairpin-nat-video/ Если зайдёшь на https://www.steveocee.co.uk/mikrotik/hairpin-nat/, там найдёшь полностью описанную настройку с готовыми скриптами.
26.03.2018 20:03:00, Steveocee.]]> http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432220 http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432220 Mon, 26 Mar 2018 20:03:00 -0400 RouterOS Hairpin NAT и DDNS (новичок) RouterOS в форуме RouterOS.
Пытаюсь настроить Hairpin с помощью dst-address-list, но, похоже, что-то упускаю.  
[admin@MikroTik] /ip firewall filter> /ip firewall address-list print

Флаги: X - отключено, D - динамическое  
#   СПИСОК           АДРЕС  
0   Hairpin           xxxx.sn.mynetname.net  
1 D ;;; xxx.sn.mynetname.net  
    Hairpin           xxx.xx.xx.182  

[admin@MikroTik] /ip firewall filter> /ip firewall filter print
Флаги: X - отключено, I - недействительно, D - динамическое  
0  D ;;; специальное тестовое правило для отображения счётчиков fasttrack  
     цепочка=forward действие=passthrough  

1    ;;; defconf: принять established,related,untracked  
     цепочка=input действие=accept состояние-соединения=established,related,untracked  

2    ;;; разрешить IPsec NAT  
     цепочка=input действие=accept протокол=udp порт-приема=4500  

3    ;;; разрешить IKE  
     цепочка=input действие=accept протокол=udp порт-приема=500  

4    ;;; разрешить l2tp  
     цепочка=input действие=accept протокол=udp порт-приема=1701  

5    ;;; разрешить pptp  
     цепочка=input действие=accept протокол=tcp порт-приема=1723  

6    ;;; разрешить sstp  
     цепочка=input действие=accept протокол=tcp порт-приема=443  

7    ;;; defconf: отбросить недействительные  
     цепочка=input действие=drop состояние-соединения=invalid  

8    ;;; defconf: принять ICMP  
     цепочка=input действие=accept протокол=icmp  

9    ;;; defconf: отбросить всё, что не из LAN  
     цепочка=input действие=drop вход-интерфейс-список=!LAN  

10    ;;; defconf: принять в ipsec политике  
     цепочка=forward действие=accept ipsec-политика=in,ipsec  

11    ;;; defconf: принять из ipsec политики  
     цепочка=forward действие=accept ipsec-политика=out,ipsec  

12    ;;; defconf: fasttrack  
     цепочка=forward действие=fasttrack-connection состояние-соединения=established,related  

13    ;;; defconf: принять established,related,untracked  
     цепочка=forward действие=accept состояние-соединения=established,related,untracked  

14    ;;; defconf: отбросить недействительные  
     цепочка=forward действие=drop состояние-соединения=invalid  

15    ;;; defconf: отбросить всё от WAN, если не DSTNAT  
     цепочка=forward действие=drop состояние-соединения=new состояние-nat!=dstnat  
     вход-интерфейс-список=WAN  

[admin@MikroTik] /ip firewall filter> /ip firewall nat print
Флаги: X - отключено, I - недействительно, D - динамическое  
0    ;;; defconf: masquerade  
     цепочка=srcnat действие=masquerade выход-интерфейс-список=WAN  
     ipsec-политика=out,none  

1    ;;; маскарад VPN трафика  
     цепочка=srcnat действие=masquerade src-адрес=192.168.89.0/24  

2    цепочка=dstnat действие=dst-nat to-адреса=192.168.7.21 to-порты=41234  
     протокол=tcp вход-интерфейс=ether1 порт-приема=41235 log=no log-prefix=""  

3 X  цепочка=dstnat действие=dst-nat to-адреса=192.168.7.21 to-порты=3389  
     протокол=tcp вход-интерфейс=ether1 порт-приема=3389 log=no log-prefix=""  

4    цепочка=dstnat действие=dst-nat to-адреса=192.168.7.21 to-порты=41234  
     протокол=tcp dst-address-list=Hairpin вход-интерфейс=bridge порт-приема=41235  
     log=no log-prefix=""  

5    цепочка=dstnat действие=dst-nat to-адреса=192.168.7.11 to-порты=22  
     протокол=tcp dst-address-list=Hairpin вход-интерфейс=bridge порт-приема=22  
     log=no log-prefix=""  

Запрос на соединение срабатывает на правилах фаервола/NAT dst-nat 4 и 5, но до to-адреса не доходит. Нужно ли делать src-nat masquerade для локальной сети?
26.03.2018 11:30:00, neven.]]> http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432219 http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432219 Mon, 26 Mar 2018 11:30:00 -0400 RouterOS Hairpin NAT и DDNS (новичок) RouterOS в форуме RouterOS.
Не могли бы вы поделиться своей окончательной полной конфигурацией правил NAT? Я пытаюсь заставить это работать и сталкиваюсь с похожими проблемами, которые вы изначально описывали.
16.12.2018 16:17:00, ilovepancakes.]]> http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432218 http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432218 Sun, 16 Dec 2018 16:17:00 -0500 RouterOS Hairpin NAT и DDNS (новичок) RouterOS в форуме RouterOS.
Да, маскарад для bridge к локальной подсети в src-chain сработал. Всем спасибо.
29.03.2018 09:43:00, neven.]]> http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432217 http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432217 Thu, 29 Mar 2018 09:43:00 -0400 RouterOS Hairpin NAT и DDNS (новичок) RouterOS в форуме RouterOS.
Привет, эксперты Mikrotik! Я полный новичок в Mikrotik и routerOS и очень нуждаюсь в вашей драгоценной помощи. (так что будьте ко мне помягче)

Главный вопрос — Hairpin NAT.

Моя схема следующая: LAN > Mikrotik (с PPPoE подключением) > МОДЕМ > провайдер (с динамическим IP).  
У меня в локальной сети несколько серверных устройств (1 NVR, 1 веб-переключатель освещения, 2 IP-камеры), и мне удалось сделать проброс портов через правила dstnat. Теперь я могу заходить на устройства из интернета, используя DDNS-адрес, который регулярно обновляется при помощи специального скрипта. Всё работает отлично.

Но вот не понимаю, как настроить роутер, чтобы при подключении к LAN запросы на DDNS перенаправлялись на внутренние IP. Я знаю, что нужно сделать Hairpin NAT, но никак не могу разобраться в структуре правил.

Если точнее:  
Мой публичный DDNS: mymikrotik.two-dns.de  
Внутренний переключатель (веб-сервер) работает на 192.168.128.199, порт 8880  
Роутер находится на 192.168.128.1

Может, кто-нибудь приведёт пример настройки firewall-правил для Hairpin NAT?

Заранее спасибо!
27.01.2017 20:44:00, limbo.]]> http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432216 http://mikrotik.moscow/forum/forum57/88969-hairpin-nat-i-ddns-_novichok/message432216 Fri, 27 Jan 2017 20:44:00 -0500 RouterOS