http://mikrotik.moscow Новое в теме Еще один вопрос про NAT. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sun, 09 Aug 2026 17:04:45 -0400 Еще один вопрос про NAT. RouterOS в форуме RouterOS.
О, я согласен на все 100%… Я думаю, лучше явно разрешить нужным сервисам подключаться к этому хосту и отбрасывать всё остальное. Иначе твой сервер просто ждет, пока какой-нибудь хитрый тринадцатилетний пацан с сабсевен ботами и прочим его не взломает. Это все еще можно сделать в файервола переадресации, не обязательно делать это с несколькими NAT-правилами. И все равно нужно убедиться, что подключения, приходящие на один IP-адрес, уходят по тому же IP. Так что оставлять 1:1 NAT может быть не так уж плохо, просто добавь несколько правил файервола. В любом случае, возвращаемся к первоначальному вопросу: проблема решена или у тебя все еще есть сложности с настройкой NAT?
25.11.2005 17:24:00, wildbill442.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264253 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264253 Fri, 25 Nov 2005 17:24:00 -0500 RouterOS Еще один вопрос про NAT. RouterOS в форуме RouterOS.
Да, ты прав насчет 1:1 NAT, но вопрос в том, зачем это делать именно так. Какие преимущества у этого решения по сравнению с моим, где пробрасываются только веб-соединения? По-моему, лучше, если только определенные соединения явно разрешены к внутренней сети, потому что можно точно указать, что разрешить, а что блокировать. Что думаешь об этом?
24.11.2005 19:50:00, Tonda.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264252 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264252 Thu, 24 Nov 2005 19:50:00 -0500 RouterOS Еще один вопрос про NAT. RouterOS в форуме RouterOS.
Ну, ладно.. Правило №1 на самом деле не бесполезно, у него настроен 1:1 NAT. Двум публичным IP-адресам назначены интерфейсу Public, потому что он хочет, чтобы веб-сервер казался не NAT'ом. Если бы соединения приходили с одного IP-адреса, но оставались на другом IP-адресе, то это бы сломало TCP-соединение. Остальные твои предложения выглядят хорошо.
24.11.2005 17:53:00, wildbill442.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264251 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264251 Thu, 24 Nov 2005 17:53:00 -0500 RouterOS Еще один вопрос про NAT. RouterOS в форуме RouterOS.
Первое правило бесполезно, потому что эта маскировка выполняется путем обмана в четвертом правиле. RDP использует только TCP-соединение, так что третье правило тоже не нужно. Нет необходимости менять какой-то стандартный порт RDP. Можно использовать, например, вот это: chain=dstnat dst-address=70.x.x.9 protocol=tcp dst-port=35333 action=dst-nat to-addresses=IP1 to-ports=3389 chain=dstnat dst-address=70.x.x.9 protocol=tcp dst-port=35334 action=dst-nat to-addresses=IP2 to-ports=3389 где IP1 и IP2 — внутренние адреса этих двух ПК. Доступ к этим ПК из интернета осуществляется через 70.x.x.9:35333 и 70.x.x.9:35334 соответственно. Не покупай мне пиво, сохрани свои деньги и используй их скорее для улучшения своих сетевых навыков…
24.11.2005 06:38:00, Tonda.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264250 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264250 Thu, 24 Nov 2005 06:38:00 -0500 RouterOS Еще один вопрос про NAT. RouterOS в форуме RouterOS.
Я исправил проблему с веб-сервером с помощью правила src-nat. Теперь всё работает отлично. Сейчас работаю над тем, чтобы удалённый рабочий стол WinXP проходил через MikroTik. Вот что у меня получилось: [admin@MikroTik] ip firewall nat> print Flags: X - disabled, I - invalid, D - dynamic 0 chain=dstnat dst-address=70.x.x.10 action=dst-nat to-addresses=192.168.0.2 to-ports=0-65535 1 chain=srcnat dst-address=192.168.0.2 action=src-nat to-addresses=70.x.x.10 to-ports=0-65535 2 chain=dstnat dst-address=70.x.x.9 protocol=tcp dst-port=3395 action=dst-nat to-addresses=192.168.0.5 to-ports=3395 3 chain=dstnat dst-address=70.x.x.9 protocol=udp dst-port=3395 action=dst-nat to-addresses=192.168.0.5 to-ports=3395 4 chain=srcnat out-interface=Public action=masquerade В сети две машины на XP, поэтому я изменил номер порта, на котором слушает RDP, на порт 3395 на втором компьютере. По умолчанию номер порта 3389, а с этим я ещё даже заморачиваться не начал. Спасибо за всю вашу помощь, кстати. Как-нибудь залью тебе пива.
23.11.2005 19:39:00, Bert5150.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264249 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264249 Wed, 23 Nov 2005 19:39:00 -0500 RouterOS Еще один вопрос про NAT. RouterOS в форуме RouterOS.
Когда нужно перенаправлять только веб-соединения на твой внутренний веб-сервер, конечно, необходимо указать порт 80 как для параметра dst-port, так и для параметра to-ports в твоём правиле dstnat.
23.11.2005 17:30:00, Tonda.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264248 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264248 Wed, 23 Nov 2005 17:30:00 -0500 RouterOS Еще один вопрос про NAT. RouterOS в форуме RouterOS.
Я внес предложенные изменения в следующее: [admin@MikroTik] ip firewall nat> print
Flags: X - disabled, I - invalid, D - dynamic
0   chain=dstnat dst-address=70.x.x.x action=dst-nat to-addresses=192.168.0.2 to-ports=0-65535
1   chain=srcnat out-interface=Public action=masquerade

Теперь я вообще не могу подключиться к MikroTik или к чему-нибудь ещё. Браузер выдаёт ошибку, мол не может найти сервер. Есть какие-нибудь идеи? Спасибо.
23.11.2005 15:45:00, Bert5150.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264247 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264247 Wed, 23 Nov 2005 15:45:00 -0500 RouterOS Еще один вопрос про NAT. RouterOS в форуме RouterOS.
Моё сообщение не для тебя (jaytcsd), а для Bert5150…
23.11.2005 08:58:00, Tonda.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264246 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264246 Wed, 23 Nov 2005 08:58:00 -0500 RouterOS Еще один вопрос про NAT. RouterOS в форуме RouterOS.
Правило 0 даёт мне уникальный IP-адрес для этого ПК, остальные используют правило маскирования и показывают IP-адрес WAN.
23.11.2005 08:53:00, jaytcsd.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264245 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264245 Wed, 23 Nov 2005 08:53:00 -0500 RouterOS Еще один вопрос про NAT. RouterOS в форуме RouterOS.
Берту5150: правило номер 0 бесполезно, потому что эта маскировка выполняется через правило номер 2.
23.11.2005 08:06:00, Tonda.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264244 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264244 Wed, 23 Nov 2005 08:06:00 -0500 RouterOS Еще один вопрос про NAT. RouterOS в форуме RouterOS.
Мой NAT работает отлично в 2.9. Одно отличие в моих правилах от твоих – я не указываю интерфейс.

`ip firewall nat> print`
`Flags: X - disabled, I - invalid, D - dynamic`

`0   chain=srcnat src-address=192.168.0.47 action=src-nat to-addresses=166.59.194.57 to-ports=0-65535`
`1   ;;; masquerade hotspot network`
`chain=srcnat src-address=10.20.7.0/24 action=masquerade`
`2   ;;; masquerade private network`
`chain=srcnat src-address=192.168.0.0/24 action=masquerade`

`ip address> print`
`Flags: X - disabled, I - invalid, D - dynamic`

`ADDRESS            NETWORK         BROADCAST       INTERFACE`
`0   ;;; WAN IP`
`1   10.20.7.1/24       10.20.7.0       10.20.7.255     hotspot`
`2   192.168.0.10/24    192.168.0.0     192.168.0.255   private`
`3   ;;; ip for 192.168.0.47`
`166.59.194.57/24   166.59.194.0    166.59.194.255  public`
23.11.2005 06:11:00, jaytcsd.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264243 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264243 Wed, 23 Nov 2005 06:11:00 -0500 RouterOS Еще один вопрос про NAT. RouterOS в форуме RouterOS.
Привет. У меня тут куча проблем с перенастройкой MikroTik RouterOS 2.9.6 после замены вышедшей из строя сетевой карты. Когда я изначально настраивал роутер, у меня была версия 2.8 (но с тех пор я обновился), и инструкции по настройке NAT для внешнего IP-адреса к локальным машинам не покрывают изменения синтаксиса в версии 2.9.6. Вот что у меня сейчас: [admin@MikroTik] interface> print Flags: X - disabled, D - dynamic, R - running NAME TYPE RX-RATE TX-RATE MTU 0 R Local ether 0 0 1500 1 R Public ether 0 0 1500 [admin@MikroTik] ip address> print Flags: X - disabled, I - invalid, D - dynamic ADDRESS NETWORK BROADCAST INTERFACE 0 70.x.x.x/24 70.x.x.0 70.x.x.255 Public 1 192.168.0.254/24 192.168.0.0 192.168.0.255 Local 2 70.x.x.x/24 70.x.x.0 70.x.x.255 Public [admin@MikroTik] ip firewall nat> print Flags: X - disabled, I - invalid, D - dynamic 0 chain=srcnat out-interface=Public src-address=192.168.0.2 action=src-nat to-addresses=70.x.x.x to-ports=0-65535 1 chain=dstnat in-interface=Public dst-address=70.x.x.x action=dst-nat to-addresses=192.168.0.10 to-ports=0-65535 2 chain=srcnat out-interface=Public action=masquerade Правила dstnat & srcnat нужны для веб-сервера, расположенного в локальной сети, к которому нужен доступ через интерфейс WAN (Public). Проблема в том, что когда я пытаюсь зайти на веб-сервер в браузере, я вижу MikroTik, а не страницу этого сервера. Я прочитал сообщение с аналогичной проблемой и решением, но оно касалось версии V 2.8. Как много раз говорится на форуме, синтаксис команд изменился, и я недостаточно хорошо понимаю документацию, чтобы перевести их. Чтобы усложнить ситуацию, у меня есть 2 машины с Windows XP в локальной сети, к которым мне нужно удалённо подключаться через удалённый рабочий стол. Как я уже говорил, всё это было настроено в предыдущей версии MikroTik, поэтому 2 машины уже настроены для приема удалённых подключений на порту 3389 (машина А) и порту 3395 (машина Б). Я даже не пытался настроить переадресацию портов. Вот почему они не отображаются в моих правилах NAT. Буду очень благодарен за любую помощь! Спасибо.
22.11.2005 21:29:00, Bert5150.]]> http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264242 http://mikrotik.moscow/forum/forum57/67623-eshche-odin-vopros-pro-nat./message264242 Tue, 22 Nov 2005 21:29:00 -0500 RouterOS