+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Вопрос по NAT/masquerading.

Вопрос по NAT/masquerading., RouterOS

mag

Guest

20.03.2006 08:52:00

Я не могу понять, что вызывает следующую проблему: {LAN} – (MT-router, ROS 2.9.17) – {WAN} использует простую цепочку masquerading: chain=srcnat out-interface=to-wan src-address=10.10.1.0/24 action=masquerade. У роутера IP-адрес 10.10.1.1. Сейчас я пытаюсь пинговать www.heise.de src-address=10.10.1.1

193.99.144.85 ping timeout
193.99.144.85 ping timeout
Отправлено 3 пакета, получено 0, потеря 100% и я уверен, что раньше это работало… для клиентов в LAN все работает.

cmit

Guest

20.03.2006 08:59:00

Как это должно работать? Ты просишь свой роутер выйти в интернет со своим внутренним (!) IP-адресом — нет никакого способа, чтобы http://www.heise.de (или кто-то еще) знал, как маршрутизировать ответные пакеты на 10.10.1.1… Просто убери src-адрес в своей команде ping, и твой роутер использует свой публичный IP-адрес в качестве источника, и всё будет хорошо™ С уважением, Кристиан Майс.

normis Guest	#3 0 20.03.2006 09:05:00 cmit прав. И я думаю, тебе не нужен src-address в твоем правиле srcnat. А что, если у тебя появятся другие сети в будущем?

mag

Guest

20.03.2006 09:27:00

Хм, я думал, это должно соответствовать правилу маскирования? Как и для любого другого клиента на внутренней стороне NAT. Что касается схемы потока пакетов, я предположил, что оно должно проходить через local → output ->postrouting (src-nat/masquerading) → … → out-interface. Я не прав? @normis: в данном конкретном случае внутри есть другие подсети, которым интернет недоступен. В противном случае правило, конечно, должно быть (и я это тоже пробовал) chain=srcnat out-interface=to-wan action=masquerade (кстати, это не для прикола, сегодня утром у нас была проблема с поддержкой, когда VPN работал, но доступ в интернет был невозможен. После перезагрузки все было ок, но я все еще ищу причину) спасибо (я сойду с ума над этим…)

pekr Guest	#5 0 20.03.2006 15:21:00 Я тоже так думал… может, обычно, если использовать ping без параметра с адресом источника, оно бы замаскировалось, может, этот параметр его переопределяет? -pekr-

cmit

Guest

20.03.2006 15:25:00

Да, поток пакетов это подтверждает. Однако, так работать не должно. В связи с этим, пожалуй, стоит отозвать свой вопрос "Как должно?", который я задавал в первом сообщении – я просто долгое время принимал это как должное сам для себя… Кто-нибудь из MikroTik может пролить свет на ситуацию? С наилучшими пожеланиями, Кристиан Майс.

mag Guest	#7 0 20.03.2006 16:30:00 Если пинг отправляется без параметра src-addr, он сразу выходит через WAN-интерфейс, используя публичный IP-адрес, который есть у этого WAN-интерфейса. Я тоже это проверил. Да, это было бы очень любезно.

mag Guest	#8 0 21.03.2006 08:40:00 Ладно, не будем разбираться, почему это не работает… но как вообще можно протестировать работу NAT прямо с самого роутера?

pekr

Guest

21.03.2006 13:27:00

Не знаю - а как насчет правила файрвола на исходящем интерфейсе? В чем загвоздка, так это то, что NAT применяется после маршрутизации, так что не уверен, какую цепь нужно проверять, скорее всего это будет "forward". Или как насчет логирования трафика wan-интерфейса? Ищу пакеты с конкретным исходным адресом… иначе придется ставить свою машину на хаб с другим ПК и использовать инструменты типа Ethereal. (Может, есть какая-то встроенная функция в Winbox, которая отправляет трафик на такой "ethereal server". Но не воспринимайте меня всерьез, я всего лишь новичок в маршрутизации, если вообще -pekr-.

mag Guest	#10 0 23.03.2006 07:26:00 Из схемы потока пакетов видно, что src-NAT/Masquerading применяется после этого. А как насчет логирования трафика интерфейса WAN? Нужен поиск пакетов с конкретным исходным адресом… иначе придется подключать свой компьютер к хабу с другим ПК и использовать инструменты, вроде Ethereal. Ситуация была бы не проблема, если бы я мог быть на месте или имел удаленного клиента внутри.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры