Стандартная настройка — никак не получается заставить работу проброса портов [rb750gr3]

Жизнь была довольно суматошной, поэтому у меня было всего пару моментов, чтобы поковыряться с этим. Я вижу пакеты и трафик, но не могу получить доступ ни к чему вне LAN, а проверщики портов говорят, что мои порты закрыты / время ожидания соединения истекло. Вот моя последняя конфигурация:

# oct/28/2022 00:30:24 by RouterOS 7.6  
# software id =  
# model = RB750Gr3  
# serial number =  

/interface bridge  
add admin-mac=XXX auto-mac=no comment=defconf name=bridge  

/interface ethernet  
set [ find default-name=ether1 ] name=ether1_WAN
set [ find default-name=ether2 ] name=ether2_LAN
set [ find default-name=ether3 ] disabled=yes
set [ find default-name=ether4 ] disabled=yes
set [ find default-name=ether5 ] disabled=yes

/interface list  
add comment=defconf name=WAN  
add comment=defconf name=LAN  

/interface lte apn  
set [ find default=yes ] ip-type=ipv4 use-network-apn=no

/interface wireless security-profiles  
set [ find default=yes ] supplicant-identity=MikroTik

/ip pool  
add name=dhcp ranges=10.0.0.3-10.0.0.99  

/ip dhcp-server  
add address-pool=dhcp interface=bridge name=defconf  

/port  
set 0 name=serial0  

/routing bgp template  
set default disabled=no output.network=bgp-networks  

/routing ospf instance  
add disabled=no name=default-v2  

/routing ospf area  
add disabled=yes instance=default-v2 name=backbone-v2  

/interface bridge port  
add bridge=bridge comment=defconf ingress-filtering=no interface=ether2_LAN  
add bridge=bridge comment=defconf ingress-filtering=no interface=ether3  
add bridge=bridge comment=defconf ingress-filtering=no interface=ether4  
add bridge=bridge comment=defconf ingress-filtering=no interface=ether5  

/ip neighbor discovery-settings  
set discover-interface-list=LAN  

/ipv6 settings  
set disable-ipv6=yes max-neighbor-entries=8192  

/interface detect-internet  
set detect-interface-list=all  

/interface list member  
add comment=defconf interface=bridge list=LAN  
add comment=defconf interface=ether1_WAN list=WAN  

/interface ovpn-server server  
set auth=sha1,md5  

/ip address  
add address=10.0.0.2/24 comment=defconf interface=bridge network=10.0.0.0  

/ip arp  
add address=10.0.0.10 comment=Server interface=bridge mac-address=XXX  
add address=10.0.0.3 comment=Desktop interface=bridge mac-address=XXX  

/ip cloud  
set ddns-enabled=yes  

/ip cloud advanced  
set use-local-address=yes  

/ip dhcp-client  
add comment=defconf interface=ether1_WAN  

/ip dhcp-server lease  
add address=10.0.0.3 address-lists=LAN_list client-id=xxx comment=Desktop mac-address=XXX server=defconf use-src-mac=yes  
add address=10.0.0.10 client-id=xxx comment=Server mac-address=XXX server=defconf use-src-mac=yes  

/ip dhcp-server network  
add address=10.0.0.0/24 comment=defconf gateway=10.0.0.2 netmask=24  

/ip dns  
set allow-remote-requests=yes  

/ip dns static  
add address=10.0.0.2 comment=defconf name=router.lan  

/ip firewall address-list  
add address=[mydomain that resolves correctly to my dynamic public ip] list=WAN_list
add address=10.0.0.0/24 list=LAN_list  

/ip firewall filter  
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked  
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid  
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp  
add action=accept chain=input in-interface-list=LAN  
add action=drop chain=input  
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" disabled=yes dst-address=127.0.0.1  
add action=drop chain=input comment="defconf: drop all not coming from LAN" disabled=yes in-interface-list=!LAN  
add action=accept chain=forward comment="defconf: accept in ipsec policy" disabled=yes ipsec-policy=in,ipsec  
add action=accept chain=forward comment="defconf: accept out ipsec policy" disabled=yes ipsec-policy=out,ipsec  
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes  
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked in-interface-list=WAN  
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid log=yes log-prefix=inva  
add action=accept chain=forward comment="Allow internet traffic" in-interface-list=LAN out-interface-list=WAN  
add action=accept chain=forward comment="Port forward test" connection-nat-state=dstnat  
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN  

/ip firewall nat  
add action=masquerade chain=srcnat comment="HAIRPIN NAT" dst-address=10.0.0.0/24 src-address=10.0.0.0/24  
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN  
add action=dst-nat chain=dstnat comment=HTTP dst-address-list=WAN_list dst-port=80 protocol=tcp to-addresses=10.0.0.10  
add action=dst-nat chain=dstnat comment=SSH dst-address-list=WAN_list dst-port=220 protocol=tcp to-addresses=10.0.0.10 to-ports=220  
add action=dst-nat chain=dstnat comment="qBittorrent TCP" dst-address-list=WAN_list dst-port=34343 protocol=tcp to-addresses=10.0.0.3 to-ports=34343  
add action=dst-nat chain=dstnat comment="qBittorrent UDP" dst-address-list=WAN_list dst-port=34343 protocol=udp to-addresses=10.0.0.3 to-ports=34343  

/ip service  
set www port=81  
set ssh port=666  

/ip upnp interfaces  
add interface=ether1_WAN type=external  
add interface=bridge type=internal  

/system clock  
set time-zone-name=XXX  

/system ntp client  
set enabled=yes  

/system ntp client servers  
add address=162.159.200.123  
add address=188.165.138.207  

/tool mac-server  
set allowed-interface-list=LAN  

/tool mac-server mac-winbox  
set allowed-interface-list=LAN  

Как я уже говорил, я могу нормально заходить по SSH и HTTP на сервер по адресу 10.0.0.10 и по доменному имени в LAN, и кажется, что торрент-клиент на моём десктопе получает много UDP-трафика, но очень мало TCP (оба протокола включены в клиенте): (только что заметил, что сделал этот скриншот сразу после перезагрузки роутера, так что он может быть не очень показателен).

Да, я полностью уверен, что мой публичный IP действительно публичный и роутер его видит. Я пробовал разные варианты настройки dst-nat с указанием интерфейса, списка интерфейсов, ставил текущий публичный IP в адрес назначения и так далее — ничего не работает.

**** проблема может исходить из правила цепочки forward (параграф 5) ****  
исправление: вижу, sob уже ответил на это, но всё же внесите изменения, так как формат неверен…

(1) Поменяйте это на NONE, никто так не пользуется.  
/interface detect-internet set detect-interface-list=all

(2) Для тестирования ОТКЛЮЧИТЕ эту строку в конфигурации, так как она связана с сервером.  
/ip arp add address=10.0.0.10 comment=Server interface=bridge mac-address=XXX

(3) Кроме того, если у вас здесь что-то лишнее (кроме того, чтобы серверу был назначен статический LANIP), удалите это.  
add address=10.0.0.10 client-id=xxx comment=Server mac-address=XXX server=defconf use-src-mac=yes

(4) Правила в цепочке Input требуют небольшого упорядочивания (порядок, дубли и прочее). Ниже прикладываю исправленный вариант.  
/ip firewall filter  
{Default rules}  
add action=accept chain=input comment=“defconf: accept established,related,untracked” connection-state=established,related,untracked  
add action=drop chain=input comment=“defconf: drop invalid” connection-state=invalid  
add action=accept chain=input comment=“defconf: accept ICMP” protocol=icmp  
add action=accept chain=input comment=“defconf: accept to local loopback (for CAPsMAN)” disabled=yes dst-address=127.0.0.1  
{Admin entered rules}  
add action=accept chain=input in-interface-list=LAN  
add action=drop chain=input comment=“drop all else”

(5) Аналогично для цепочки forward… если не используете ipsec, можно убрать лишние правила. Ещё, думаю, проблема может быть вызвана тем, что вы добавили в дефолтное правило что-то лишнее — это нужно убрать!!  
add action=accept chain=forward comment=“defconf: accept established,related,untracked” connection-state=established,related,untracked in-interface-list=WAN

Исправленная версия…  
{Default rules}  
add action=fasttrack-connection chain=forward comment=“defconf: fasttrack” connection-state=established,related hw-offload=yes  
add action=accept chain=forward comment=“defconf: accept established,related,untracked” connection-state=established,related,untracked  
add action=drop chain=forward comment=“defconf: drop invalid” connection-state=invalid log=yes log-prefix=invalid  
add action=accept chain=forward comment=“Allow internet traffic” in-interface-list=LAN out-interface-list=WAN  
add action=accept chain=forward comment=“allow port forwarding” connection-nat-state=dstnat  
add action=drop chain=forward comment=“drop all else”

(6) Отличное правило hairpin nat.

(7) Отключите UPNP — вряд ли потребуется.

(8) Зачем, почему у вас запущены http и SSH серверы и для каких целей? Просто говорю — вы таким образом открываете дорогу куче попыток взлома. Если нужен доступ к маршрутизатору — используйте VPN, например wireguard. Кроме того, SSH уже встроен в роутер, зачем пробрасывать порт к отдельному экземпляру? Мне это не очень понятно. Опишите, что вам нужно, возможно, есть более безопасные способы добиться того же!

Да, всё верно, но по моему мнению, рисковать, открывая порты на роутере для чего попало, — не лучший вариант. Можно легко разместить сайт на стороннем хостинге или арендовать сервер и сделать это там. Лично я никогда не стал бы настраивать проброс портов на сервер, а если бы и делал, то обязательно ограничил бы доступ только для определённых исходящих адресов.

По крайней мере, ты честен!

Надеюсь, кто-то записывает эти жизненные уроки! Похоже на одиннадцатую заповедь. :-0