Dstnat в цепочке output?

Привет! С Новым годом с моим первым постом! Мне очень нужна эта функция, её ещё никак не реализовали? Я могу сделать это, используя другой RB в качестве файрвола для первого RB, но это совсем не удобно.

Это зависит от того, где именно находится твой локоть. Вывод в NAT требует доработки, чтобы убрать часть предупреждающей ленты из мозга, которая теперь уже устарела.

Если бы это добавили, я бы тоже использовал это для перенаправления DNS по доменам в нескольких местах, потому что это помогло бы хотя бы частично решить некоторые недостатки текущего слоя L7 (обход кеша и неработоспособность для самого роутера). Но очень надеюсь дожить до появления нормальной поддержки этого в DNS-резолвере RouterOS.

+1 Отправлено с моего iPhone через Tapatalk

После прочтения темы sindy «Multiple Road Warrior L2TP/IPsec clients behind NAT - solved» и когда мой мозг перестал болеть, я подумал: «Эй, этот трюк с циклом может сработать и для других задач». Идея в том, чтобы позволить трафику с роутера выйти наружу, затем вернуться обратно на роутер, и после этого можно делать dstnat. В примере показано, как перенаправить собственные DNS-запросы роутера на другой порт, но можно использовать это для чего угодно.

Сначала помечаем маршрутизацию для исходящего трафика, который нужно dstnat, а затем можно сопоставить это с in-interface=ipip-loop2 в цепочке dstnat.

/interface bridge  
add name=loopback protocol-mode=none  

/ip address  
add address=127.0.0.2/32 interface=loopback  

/interface ipip  
add local-address=127.0.0.1 name=ipip-loop1 remote-address=127.0.0.2  
add local-address=127.0.0.2 name=ipip-loop2 remote-address=127.0.0.1  

/ip route  
add distance=1 gateway=ipip-loop1 routing-mark=loophack  
add distance=1 dst-address=10.10.10.10/32 gateway=ipip-loop2  

/ip dns  
set allow-remote-requests=yes servers=208.67.222.222,208.67.220.220  

/ip firewall mangle  
add action=mark-routing chain=output dst-port=53 new-routing-mark=loophack passthrough=no protocol=udp  
add action=mark-routing chain=output dst-port=53 new-routing-mark=loophack passthrough=no protocol=tcp  

/ip firewall nat  
add action=src-nat chain=srcnat out-interface=ipip-loop1 to-addresses=10.10.10.10  
add action=dst-nat chain=dstnat dst-port=53 in-interface=ipip-loop2 protocol=udp to-ports=5353  
add action=dst-nat chain=dstnat dst-port=53 in-interface=ipip-loop2 protocol=tcp to-ports=5353  
add action=masquerade chain=srcnat out-interface=<WAN>

(10.10.10.10 — это какой-то случайный адрес, который нигде больше не используется)

Это работает, но теперь мой мозг снова болит.

Спасибо @sindy за это, я бы никогда сам не додумался до такой сумасшедшей идеи.

На самом деле, трюк с циклом — это действительно грязный приём, но если уж совсем прижало, его можно использовать. Проще было бы сделать dstnat в output доступным в RouterOS. Для этого, кажется, не нужен новый ядро, я встречал упоминания об этом в статьях про Linux 2.4, а в RouterOS, если память не подводит, стоит что-то из серии 3.x. Так что, скорее всего, это уже там есть, просто, видимо, никто не подумал, что кому-то это может понадобиться, и поэтому не открыли доступ. Если действительно нужно, можно попробовать отправить официальный запрос на добавление функции в техподдержку. Но если хочется этого для DNS, то лучше сразу просить именно то, что нужно — Feature Request: Conditional DNS Forwarding. Dstnat в output — это всего лишь костыль, чуть лучше того, что есть сейчас, но всё равно не фонтан.

Вы говорите, что функция была сделана видимой (доступной), и теперь люди могут менять адрес назначения в цепочке вывода. Можете привести пример, который был бы понятен тем из нас, кому такое требование встречается очень редко?