Страница 1 из 1

Снова проброс портов

Добавлено: 10 апр 2019, 13:28
bootal
Добрый день уважаемые форумчане.
Столкнулся с такой проблемой:
Есть hap lite. На нем проброшено куча портов и все они работают.
Возникла необходимость пробросить порт от камеры снаружи до регистратора за NAT.
Но к сожалению правило не работает, во вкладке firewall счетчик пакетов тикает, в NAT не тикает.
По логу эти пакеты попадают под proto tcp (syn) , сейчас как назло их в логах нету.
  • chain=forward action=accept protocol=tcp dst-port=5073 log=yes log-prefix=""

    chain=dstnat action=dst-nat to-addresses=192.168.10.73 to-ports=5073 connection-limit=100,32 protocol=tcp dst-address=82.144.202.120 in-interface=ether1 dst-port=5073 limit=1,5:packet dst-limit=1,5,dst-address/1m40s log=yes log-prefix="

Re: Снова проброс портов

Добавлено: 10 апр 2019, 14:27
Chupaka
Добрый. В какой из вкладок firewall у вас тикает?

Попробуйте в NAT убрать всё лишнее из правила (типа limit'ов) и перепроверить.

Другое правило (выше по списку) не может перехватывать эти пакеты?

Re: Снова проброс портов

Добавлено: 10 апр 2019, 15:24
bootal
Chupaka писал(а): 10 апр 2019, 14:27 Добрый. В какой из вкладок firewall у вас тикает?

Попробуйте в NAT убрать всё лишнее из правила (типа limit'ов) и перепроверить.

Другое правило (выше по списку) не может перехватывать эти пакеты?
Тикает во вкладке Filter rules
Лимиты то я уже потом добавил без них тоже самое было
Специально перенес в верх списка так что не должно

Вот что пишет в логе по этим пакетам

Код: Выделить всё

15:27:12 firewall,info dstnat: in:ether1 out:(unknown 0), src-mac c4:64:13:fa:2f:d9, proto TCP (SYN), 195.34.74.171:41199->82.144.202.120:5073, len 52 

Re: Снова проброс портов

Добавлено: 10 апр 2019, 17:29
Chupaka
Ну, значит, работает. Если правило записывает в лог - значит, счётчик на нём должен увеличиваться. Если он у вас не увеличивается - это мистика какая-то...

Re: Снова проброс портов

Добавлено: 15 май 2019, 16:55
Sanya
Попробуйте, как минимум изменить правило на:
chain=dstnat action=netmap to-addresses=192.168.10.73 to-ports=5073 connection-limit=100,32 protocol=tcp dst-address=82.144.202.120 in-interface=ether1 dst-port=5073 limit=1,5:packet dst-limit=1,5,dst-address/1m40s log=yes log-prefix="

Re: Снова проброс портов

Добавлено: 15 май 2019, 17:12
Sanya
Или вот так. По-моему, нигде не ошибся.

/ip firewall filter
add action=accept chain=forward dst-address=192.168.10.73 dst-port=5073 protocol=tcp
add action=netmap chain=dstnat dst-port=5073 in-interface=ether1 protocol=tcp to-addresses=192.168.10.73 to-ports=5073

Re: Снова проброс портов

Добавлено: 15 май 2019, 17:17
Chupaka
Sanya писал(а): 15 май 2019, 16:55 Попробуйте, как минимум изменить правило на:
chain=dstnat action=netmap
Шило на мыло же =) Для отдельных адресов (не подсетей) оно работает идентично.

Re: Снова проброс портов

Добавлено: 16 май 2019, 09:21
Sanya
Да нет, по-моему.

Re: Снова проброс портов

Добавлено: 16 май 2019, 11:57
Chupaka
Раскроете мысль?

Re: Снова проброс портов

Добавлено: 16 май 2019, 14:04
Sanya
А что раскрывать то?
chain=dstnat action=netmap - так работает.
chain=dstnat action=dst-nat - так нет.
(по состоянию на некоторое время назад. но, думаю, что и сейчас ситуация не изменилась)

Re: Снова проброс портов

Добавлено: 17 май 2019, 00:25
Chupaka
Видимо, это какое-то сильное колдунство... У меня всегда dst-nat работал, а netmap я не использую за ненадобностью. Видел пару раз, как люди жаловались, что dst-nat не работает — но всегда дело было в корявом конфиге.

Re: Снова проброс портов

Добавлено: 21 май 2019, 09:26
Sanya
У меня нет большого опыта с микротиками, но в парочке мест доступ к камерам был именно с помощью netmap. А dst-nat, увы не работал.

Re: Снова проброс портов

Добавлено: 15 июн 2020, 11:44
mils77
Подскажите пожалуйста.
Есть mikrotik который является шлюзом 192.168.88.1
Решил создать vlan для камер 192.168.89.1
Как пробросить порты вовне на несколько устройств из 192.168.89.1?

Re: Снова проброс портов

Добавлено: 15 июн 2020, 15:56
Chupaka
Наверное, вовнутрь извне, а не вовне... Собственно, как всегда, правилом DST-NAT: https://wiki.mikrotik.com/wiki/Talk:For ... nternal_IP