http://mikrotik.moscow Новое в теме Проблемы с NAT. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 10 Aug 2026 04:31:09 -0400 Проблемы с NAT. RouterOS в форуме RouterOS.
Я тоже спрашивал про DMZ, но не получил ничего полезного. Мне просто сказали использовать доменное имя и прописать его в файле hosts... Никто не объяснил, как подключиться по IP-адресу напрямую. Спасибо за подсказки!
22.12.2005 05:24:00, tinus.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251183 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251183 Thu, 22 Dec 2005 05:24:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Dst-nat — часть премаршрутинга, src-nat — часть постмаршрутинга. Думаю, нужно логировать поток пакетов, чтобы выяснить разницу в использовании порта 80 и порта 90. Можешь ли ты залогировать обмен пакетами между клиентом и твоим веб-сервером в обоих случаях? Нам нужно найти эту разницу.
09.12.2005 18:49:00, Tonda.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251182 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251182 Fri, 09 Dec 2005 18:49:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Вопрос: Выполняется ли src-nat раньше dst-nat? Вы написали, что мой второй веб-сервер (я использую порт 80) доступен как из внутренней, так и из внешней сети, поэтому я хотел спросить, настроен ли у вас прозрачный веб-прокси на Mikrotik? И второй вопрос: Что произойдет, если я настрою веб-прокси на Mikrotik на порту 90? Нет, я нигде не запускаю веб-прокси.
09.12.2005 17:32:00, eKo1.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251181 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251181 Fri, 09 Dec 2005 17:32:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Хм, пытаюсь нарисовать, что происходит при обращении к внутреннему веб-серверу из внутренней сети, используя публичный адрес, согласно твоим правилам src и dst nat, где: X.X.X.X – клиент из внутренней сети, 55.55.55.55 – публичный IP Mikrotik, 192.168.1.1 – внутренний IP Mikrotik, 192.168.1.103 – адрес веб-сервера только с примененным dst-nat.

Запрос: адрес источника X.X.X.X:3456, адрес назначения 55.55.55.55:90 отправляется на Mikrotik.
dst-nat выполняется, поэтому адрес источника X.X.X.X:3456, адрес назначения 192.168.1.103:90, и запрос отправляется на веб-сервер.

Проблема: веб-сервер отправляет ответ напрямую на X.X.X.X:3456. Это не сработает ни с dst-nat, ни с src-nat.

Запрос: адрес источника X.X.X.X:3456, адрес назначения 55.55.55.55:90 отправляется на Mikrotik.
dst-nat выполняется, поэтому адрес источника X.X.X.X:3456, адрес назначения 192.168.1.103:90.
src-nat выполняется, поэтому адрес источника 192.168.1.1:3456 и адрес назначения 192.168.1.103:90, и запрос отправляется на веб-сервер.

Веб-сервер отправляет ответ на 192.168.1.1:3456, но вопрос в том, как перенаправить ответ обратно на X.X.X.X:3456? Благодаря применению dst-nat и src-nat мы потеряли исходный адрес источника из запроса…

Поправь меня, если я не прав, но, IMHO, у этой задачи нет решения (без других помощников)…

Ты написал, что твой второй веб-сервер (ты используешь порт 80) доступен как из внутренней, так и из внешней сети, поэтому хочу спросить, настроен ли прозрачный веб-прокси на Mikrotik? И второй вопрос: что произойдет, если ты настроишь веб-прокси на Mikrotik на порту 90?
01.12.2005 20:58:00, Tonda.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251180 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251180 Thu, 01 Dec 2005 20:58:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Я вытащил to-src-port, но проблема никуда не делась.
01.12.2005 18:27:00, eKo1.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251179 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251179 Thu, 01 Dec 2005 18:27:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Представь себе поток пакетов: CLIENT X пытается подключиться к твоему ВНУТРЕННЕМУ WEB SERVER'у из интернета. Он использует ПУБЛИЧНЫЙ IP и порт 90 твоего Mikrotik в качестве адреса назначения и порта. Mikrotik должен изменить адрес назначения этого запроса на IP-адрес твоего ВНУТРЕННЕГО WEB SERVER'а и порт 90. Затем этот запрос направляется к твоему ВНУТРЕННЕМУ WEB SERVER'у. Итак, у нас первое правило: dst-nat правило с dst-address=ПУБЛИЧНЫЙ IP твоего Mikrotik и dst-port=90 и to-addresses=IP ВНУТРЕННЕГО WEB SERVER'а и to-ports=90.

Затем ВНУТРЕННИЙ WEB SERVER отвечает на запрос, но адрес источника этого ответа — IP-адрес твоего ВНУТРЕННЕГО WEB SERVER'а. Mikrotik, в свою очередь, должен изменить адрес источника этого ответа на ПУБЛИЧНЫЙ IP твоего Mikrotik. Итак, у нас второе правило: правило Masquerading с out-interface, установленным на выходной интерфейс твоего Mikrotik.

С точки зрения CLIENT X кажется, что он общается только с веб-сервером с ПУБЛИЧНЫМ IP твоего Mikrotik. Уф, стало чище?
30.11.2005 20:00:00, Tonda.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251178 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251178 Wed, 30 Nov 2005 20:00:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Я всё ещё использую старую версию. Попробуйте убрать порт 90 в to-src-address в вашем source nat (оставьте значение по умолчанию для всех портов). Вот что у меня: dst-address=192.168.0.20/32:80 protocol=tcp action=nat to-src-address=192.168.0.1
30.11.2005 00:25:00, squintr.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251177 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251177 Wed, 30 Nov 2005 00:25:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Окей, вот что у меня есть: [admin@windwireless] ip firewall src-nat> print
Flags: X - disabled, I - invalid, D - dynamic
0   dst-address=192.168.0.103/32:90 out-interface=Local protocol=tcp action=nat to-src-address=192.168.0.1 to-src-port=90
[admin@windwireless] ip firewall dst-nat> print
Flags: X - disabled, I - invalid, D - dynamic
0   in-interface=Public dst-address=55.155.155.55/32:90 protocol=tcp action=nat to-dst-address=192.168.0.103 to-dst-port=90

И всё равно не работает. Ну что за, блин, сложность с настройкой этого на Mikrotik, когда на обычном D-Link и Linksys всё легко настраивается.
30.11.2005 00:12:00, eKo1.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251176 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251176 Wed, 30 Nov 2005 00:12:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Огромное спасибо, сработало как по маслу!!
22.11.2005 15:39:00, squintr.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251175 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251175 Tue, 22 Nov 2005 15:39:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Для 192.168.0.98 порт 80 протокол tcp, например: ip firewall dst-nat add dst-address=55.155.155.55/32:80 protocol=tcp action=nat to-dst-address=192.168.0.98 и для внутренней сети: ip firewall src-nat add dst-address=192.168.0.98:80 protocol=tcp action=nat to-src-address= это заставит ответ приходить на Mikrotik, а не напрямую на внутреннюю машину, которая отправила запрос. Также обратите внимание, что dst-address — это 192.168.0.98, так как пакеты уже будут DNAT’ed. И, кстати, лучше отфильтруйте это правило дополнительными фильтрами, например, in-interface должно быть lan-интерфейсом Mikrotik. Надеюсь, это поможет.
22.11.2005 07:36:00, daskalos.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251174 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251174 Tue, 22 Nov 2005 07:36:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Нет, всё наоборот: проблема не в исходном адресе ответа сервера, а в конечном. Тебе нужно настроить исходный NAT или маскировку для всех запросов к серверу, идущих с локальных хостов сети. Я уже объяснял, как это работает, пожалуйста, перечитай предыдущее сообщение. Привет, Lastguru, похоже, ты хорошо разбираешься в этом вопросе. У меня та же проблема, что и у Eko1, и я был бы признателен, если бы ты мог добавить правильный синтаксис правила src-nat/masquerade. Я перечитал этот пост много раз и пробовал разные правила, но ничего не получается.
21.11.2005 22:48:00, squintr.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251173 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251173 Mon, 21 Nov 2005 22:48:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Насчет первой проблемы, с SSH, нужно отредактировать правило так, чтобы оно не применялось, когда dst-address – это роутер. Точную синтаксис уже не помню, в последний раз редактировал в Winbox.
21.11.2005 20:12:00, jeffevans62.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251172 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251172 Mon, 21 Nov 2005 20:12:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Нет, всё наоборот: проблема не в исходном адресе ответа сервера, а в конечном. Тебе нужно применять SNAT или masquerade для всех запросов к серверу с локальных сетевых хостов. Я уже объяснял, в чём причина, пожалуйста, перечитай предыдущее сообщение.
21.11.2005 10:34:00, lastguru.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251171 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251171 Mon, 21 Nov 2005 10:34:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Согласен. К сожалению, домена у меня своего нет.
18.11.2005 15:48:00, eKo1.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251170 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251170 Fri, 18 Nov 2005 15:48:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Я думаю, что лучшее решение, которое не требует никаких правил на роутере, — это правильно использовать внутренний DNS-сервер и обращаться к внутреннему веб-серверу по его имени, а не по IP-адресу. Внешние запросы к, скажем, webserver.domain.com разрешаются публичными DNS-серверами (DNS-ответ в этом случае 55.155.155.55), внутренние запросы — внутренним DNS-сервером (DNS-ответ в этом случае 192.168.0.103). Тогда вы можете обращаться к своему веб-серверу по его имени из обеих сетей одинаково.
18.11.2005 06:47:00, Tonda.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251169 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251169 Fri, 18 Nov 2005 06:47:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Единственное правило у меня – это правило, которое отбрасывает весь p2p трафик. Потому что у меня есть программа на веб-сервере, которая использует WAN IP на всех соединениях. Что касается твоего другого решения, у меня уже есть это: 0 src-address=192.168.0.103/32:90 out-interface=Local action=nat to-src-address=55.155.155.55 to-src-port=90. Разве это не должно решить проблему?
17.11.2005 23:56:00, eKo1.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251168 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251168 Thu, 17 Nov 2005 23:56:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Ах, второй вопрос — распространенная загадка, когда вы запрашиваете страницу по ее внешнему адресу. Она проходит dst-natted и пересылается на локальный адрес сервера. Теперь сервер хочет отправить ответ и просматривает свою таблицу маршрутизации, чтобы выяснить, как отправить его, и обнаруживает, что ответ можно отправить напрямую исходному отправителю, без маршрутизатора, поэтому хост получает ответ с внутреннего адреса сервера. Однако, поскольку отправитель отправил запрос на внешний адрес сервера, он ожидает получить ответ с этого внешнего адреса и отбрасывает ответы с других IP-адресов, что вполне стандартное поведение. Одно из возможных решений — использовать внутренний адрес внутри сети и внешний — для других сетей. Другое решение — использовать src-nat на маршрутизаторе для этих запросов, чтобы сервер думал, что запросы поступают от маршрутизатора.
17.11.2005 17:40:00, lastguru.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251167 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251167 Thu, 17 Nov 2005 17:40:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Можешь, пожалуйста, выложить здесь все твои правила фильтрации файрвола? Кстати, зачем тебе нужен доступ к твоему внутреннему веб-серверу через WAN-адрес из внутренней сети?
17.11.2005 15:50:00, Tonda.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251166 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251166 Thu, 17 Nov 2005 15:50:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
По поводу первого вопроса — добавь "protocol=tcp".
17.11.2005 14:40:00, lastguru.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251165 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251165 Thu, 17 Nov 2005 14:40:00 -0500 RouterOS Проблемы с NAT. RouterOS в форуме RouterOS.
Привет всем! У меня сейчас две проблемы: я хотел перенаправить 22-й порт одного из компьютеров в моей локальной сети, чтобы можно было подключиться к нему извне. Для этого я настроил следующее правило DST-NAT: add dst-address=55.155.155.55/32:8022 action=nat to-dst-address=192.168.0.103 to-dst-port=22. К сожалению, когда я попытался подключиться к своему роутеру по SSH, это правило сработало, и меня перекинуло на компьютер в локальной сети, хотя я просто хотел подключиться к роутеру по SSH. Что происходит? У меня есть пара компьютеров с веб-серверами в моей локальной сети. Два из них должны быть доступны извне сети, это 192.168.0.98 и 192.168.0.103. У меня следующие правила NAT настроены: ip firewall dst-nat print 0   dst-address=55.155.155.55/32:80 protocol=tcp action=nat to-dst-address=192.168.0.98 1   dst-address=55.155.155.55/32:21 protocol=tcp action=nat to-dst-address=192.168.0.98 2   dst-address=55.155.155.55/32:90 protocol=tcp action=nat to-dst-address=192.168.0.103 to-dst-port=90 ip firewall src-nat print 0   src-address=192.168.0.103/32:90 out-interface=Local action=nat to-src-address=55.155.155.55 to-src-port=90 1   src-address=192.168.0.0/24 out-interface=Public action=masquerade. Так вот, если я открываю браузер и захожу на 55.155.155.55, мне корректно отображается то, что работает на веб-сервере на 192.168.0.98 (неважно, делаю ли я это изнутри локальной сети или откуда-то еще в интернете). Теперь, если я пытаюсь открыть 55.155.155.55:90 извне локальной сети, это работает. Если я пытаюсь открыть его изнутри локальной сети, это не работает, за исключением компьютера с IP 192.168.0.103 (того, на котором работает веб-сервер). Я совершенно в замешательстве. Может, кто-нибудь поможет?
16.11.2005 20:48:00, eKo1.]]> http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251164 http://mikrotik.moscow/forum/forum57/64902-problemy-s-nat./message251164 Wed, 16 Nov 2005 20:48:00 -0500 RouterOS