Проблемы с конфигурацией NAT Hairpin

Верно, hairpin NAT обычно применяется, когда пользователи находятся в той же подсети, что и сервер, но пытаются обратиться к серверу через DYNDNS-адрес роутера (то есть по WANIP роутера, так же, как это делают внешние пользователи), вместо того чтобы просто использовать LANIP сервера. В лучшем случае, если нельзя использовать LANIP, просто переведите пользователей или сервер в другую подсеть или VLAN — и hairpin NAT больше не понадобится.

Другой вариант — использовать Wireguard VPN, тогда входящие пользователи смогут безопасно подключаться к LAN-серверу, и открывать порты не потребуется. Ещё один вариант — Zerotier.

Если по какой-то причине это невозможно, убедитесь, что выполняется одно из следующих условий:

A. Правила цепочки forward для перенаправления портов изменены с дефолтных:

add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN

TO

add action=accept chain=forward comment="internet access" in-interface-list=LAN out-interface-list=WAN

add action=accept chain=forward comment="port forwarding" connection-nat-state=dstnat

add action=drop chain=forward comment="Drop all else"

Мы включаем перенаправление портов с отдельным, чётко определённым правилом, которое позволяет трафик перенаправления портов и из LAN, и из WAN. Это заменяет подход «принимать всё, сбрасывать что-то» на более безопасный — разрешать интернет, порт-форвардинг, а всё остальное сбрасывать.

B. Убедитесь, что у вас есть правило source NAT, которое гарантирует, что исходный запрос возвращается по тому же пути, по которому пришёл, а не напрямую с сервера пользователю:

add action=masquerade chain=srcnat src-address=serverSubnet dst-address=serverSubnet

Эти диаграммы отлично это иллюстрируют: https://gregsowell.com/?p=4242

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++­++++++++++++++++++++++

Другие сложности возникают, если WANIP — динамический публичный IP, а не статический, но это не тема данной ветки.

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++­++++++++++++++++++++++

Ещё один вариант, как отметил Tangent: «Hairpinning — штука сложная. Лично я его избегаю. На одном из роутеров MT настраиваю локальный DNS-сервер для LAN и даю внутренним хостам внутренние имена». Это позволяет решить задачу для внутреннего трафика (и тогда правило hairpin NAT с srcnat не потребуется) с помощью DNS (благодаря rextended и Zerobyte).

Порядок применения DNS в роутере таков, и мы используем это себе на пользу:

a. сначала статические записи,  
b. потом статические с использованием regexp,  
c. потом остальные...

/ip dns static add address=192.168.88.68 regexp="(^|www\.)myserver\.net$" ttl=5m

Это правило говорит роутеру, что для любого DNS-запроса на домен www.myserver.net не нужно обращаться к динамическим, кэшированным или внешним DNS-серверам — запрос сразу направляется на LAN IP нашего сервера.

(i) Убедитесь, что в /IP DNS включена опция «allow remote request»,  
(ii) Проверьте, чтобы не было других статических записей с более высоким приоритетом,  
(iii) И подтвердите, что весь входящий трафик (или хотя бы из WAN) сбрасывается — DNS запросы с WAN никогда не должны быть разрешены.

Всем доброе утро. Извиняюсь, что пишу в старой ветке, но именно тут мне лучше всего объяснили hairpin NAT, а всё равно у меня не получается это настроить. Я читал и другие темы, но всё равно не получается разобраться. Мой роутер настроен через Quick Set. Есть несколько статических DHCP-записей, но кроме этого и изменений в /ip firewall — всё должно быть стандартно.

Все правила NAT:  
/ip firewall nat  
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN  
add action=dst-nat chain=dstnat comment="HTTP to NPM" dst-address=!192.168.1.1 dst-address-type=local dst-port=80 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.20 to-ports=80  
add action=dst-nat chain=dstnat comment="HTTPS to NPM" dst-address=!192.168.1.1 dst-address-type=local dst-port=443 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.20 to-ports=443  
add action=masquerade chain=srcnat dst-address=192.168.1.0/24 src-address=192.168.1.0/24

Все правила фильтрации:  
/ip firewall filter  
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked  
add action=accept chain=forward comment="port forwarding" connection-nat-state=dstnat  
add action=accept chain=forward in-interface=bridge out-interface=ether1  
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid  
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp  
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1  
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN  
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec  
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec  
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes  
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked  
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid  
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN

Так как я уже перепробовал кучу вариантов, возможно, что-то здесь не так. Но, пожалуйста, подскажите, что я делаю не так.

P.S. Извиняюсь, не понимаю, почему второй блок кода отображается некорректно. Для удобства я заменил его на цитату.