http://mikrotik.moscow Новое в теме Понимание NAT... форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 11 Aug 2026 08:28:11 -0400 Понимание NAT... RouterOS в форуме RouterOS.
Просто добавь проверку по исходному IP-адресу сети. Или, если ты продвинутый пользователь, помечай пакеты при их входе в интерфейс, чтобы направлять их в зависимости от интерфейса. Flovin
27.02.2006 11:29:00, flovin.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283079 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283079 Mon, 27 Feb 2006 11:29:00 -0500 RouterOS Понимание NAT... RouterOS в форуме RouterOS.
Я уже сообщал об этой ошибке!
28.02.2006 06:35:00, macgaiver.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283078 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283078 Tue, 28 Feb 2006 06:35:00 -0500 RouterOS Понимание NAT... RouterOS в форуме RouterOS.
Нашёл! Оказывается, они просто перепутали "после" и "до" между srcnat и dstnat.
28.02.2006 06:30:00, macgaiver.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283077 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283077 Tue, 28 Feb 2006 06:30:00 -0500 RouterOS Понимание NAT... RouterOS в форуме RouterOS.
Ну вот, опять я запутался. Только что перечитал документацию, и там по chain=srcnat написано так: «правило, размещенное в этом цепочке, применяется до маршрутизации…», что как-то противоречит тому, что ты сказал, Петр.
27.02.2006 15:24:00, pekr.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283076 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283076 Mon, 27 Feb 2006 15:24:00 -0500 RouterOS Понимание NAT... RouterOS в форуме RouterOS.
Наконец-то ты на правильном пути! Техники маршрутизации… хм… есть три пункта: простое маршрутизирование — в любой книге по основам TCP/IP, простое маршрутизирование с метками пакетов (вот эта тема) и продвинутое маршрутизирование — попробуй поискать информацию про OSPF, BGP, RIP.
27.02.2006 13:25:00, macgaiver.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283075 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283075 Mon, 27 Feb 2006 13:25:00 -0500 RouterOS Понимание NAT... RouterOS в форуме RouterOS.
Ну и что? Тогда зачем вообще поля исходного адреса и целевого адреса? Ладно, может, я начинаю немного понимать. Дело в том, что я как-то не могу “представить”, что делает NAT с пакетом изнутри. Он просто меняет исходные/целевые адреса соответственно? Значит, NAT тут ни при чем с "маршрутизацией пакетов" туда-сюда, верно? Он просто берет пакеты на каком-то интерфейсе и переписывает их адреса, никакой маршрутизации, пересылки, ничего подобного, верно? Так что все зависит от того, как определена маршрутизация. Ваш пример с mangle несложно понять, я сделаю это по вашему предложению. Кстати, посоветуете ли вы какую-нибудь хорошую книгу по маршрутизационным техникам? Спасибо большое, Петр.
27.02.2006 13:12:00, pekr.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283074 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283074 Mon, 27 Feb 2006 13:12:00 -0500 RouterOS Понимание NAT... RouterOS в форуме RouterOS.
Не сработает!
27.02.2006 12:24:00, macgaiver.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283073 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283073 Mon, 27 Feb 2006 12:24:00 -0500 RouterOS Понимание NAT... RouterOS в форуме RouterOS.
Ок, вот как это работает: Сначала создадим пакеты из групп клиентов в интернет: /ip firewall mangle add chain=prerouting in-interface=wlan1 dst-address=!10.0.1.0/24 action=mark-routing new-routing-mark=client1 /ip firewall mangle add chain=prerouting in-interface=wlan2 dst-address=!10.0.0.0/24 action=mark-routing new-routing-mark=client2 Затем добавим конкретные шлюзы для этих меток: /ip route add gateway=9.9.9.9 routing-mark=client1  // 9.9.9.9 шлюз первого провайдера /ip route add gateway=8.8.8.8 routing-mark=client2  // 8.8.8.8 шлюз второго провайдера Затем сделаем простую маскировку: /ip firewall nat add chain=srcnat out-interface=wlan1 action= masquerade /ip firewall nat add chain=srcnat out-interface=wlan2 action= masquerade Кажется, для меня это просто.
27.02.2006 12:22:00, macgaiver.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283072 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283072 Mon, 27 Feb 2006 12:22:00 -0500 RouterOS Понимание NAT... RouterOS в форуме RouterOS.
Окей, давай предположим, что маркировка пакетов — это следующий уровень моих упражнений (хотя это не должно быть сложным), просто интересно, может ли что-то вроде следующего сработать? Определить два правила:
/ip firewall nat add chain=srcnat src-address=10.0.0.1 out-interface=wlan1 action=masquerade
/ip firewall nat add chain=srcnat src-address=10.0.1.1 out-interface=wlan2 action=masquerade
Чтобы это маскировало трафик выборочно по исходному адресу на нужный исходящий интерфейс? Может быть, я даже мог бы использовать in-interface вместо src-address в моем случае… просто интересно, сработают ли вышеуказанные правила так, как я ожидаю? -pekr-
27.02.2006 12:20:00, pekr.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283071 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283071 Mon, 27 Feb 2006 12:20:00 -0500 RouterOS Понимание NAT... RouterOS в форуме RouterOS.
Эмм, NAT делается после принятия решения о маршрутизации? Это странно, правда? У тебя пакет приходит на локальный интерфейс. Теперь он смотрит в таблицу маршрутизации, что делать, и если там не будет маскирования, то, по моему мнению, пакет не пройдёт… Потому что, по моему мнению, только после маскирования до IP-сети выходного интерфейса он узнаёт шлюз, да? Но, возможно, я просто смотрю на это не так. Я просто хочу добиться того, чтобы у нас было два шлюза к нашим провайдерам, без объединения, без автоматического переключения, без проблем с маркировкой пакетов для целей маршрутизации, просто для выбора, к какому интерфейсу (сети) маскируются пакеты для какого назначения… Простая схема: eth1 - local1 - 10.0.0.1 eth2 - local2 - 10.0.1.1 wlan1 - public1 - 10.5.0.1 wlan2 - public2 - 10.5.1.1 Я просто хочу “маскировать” eth1 на wlan1 и eth2 на wlan2. Я не могу использовать просто chain=srcnat, outgoing interface=wlan1, action=masquerade, потому что всё будет маскироваться на этот интерфейс. Так что, возможно, без определения исходящего интерфейса, я могу использовать параметры source address и destination address, чтобы добиться того, что я хочу - просто чтобы eth1 маскировался на wlan1, а eth2 на wlan2? Большое спасибо, Петр.
27.02.2006 11:19:00, pekr.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283070 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283070 Mon, 27 Feb 2006 11:19:00 -0500 RouterOS Понимание NAT... RouterOS в форуме RouterOS.
Давай посмотрим на: http://www.mikrotik.com/docs/ros/2.9/graphics:packet_flow31.jpg Как видите, src-nat идет после действия "routing-decision", так что я предполагаю, что когда вы используете src-nat, то уже определилось, через какой порт он будет выходить. Попробуйте использовать действие mark-routing в mangle в цепочке prerouting и затем задать эти метки для конкретных шлюзов. Пожалуйста, сообщите мне о любых успехах.
27.02.2006 06:41:00, macgaiver.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283069 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283069 Mon, 27 Feb 2006 06:41:00 -0500 RouterOS Понимание NAT... RouterOS в форуме RouterOS.
Итак, следующий вопрос насчет NAT: Мы используем простой сценарий — просто используем chain=srcnat, outgoing-interface=public и, наконец, action=masquerade. Работает как часы. Но теперь мы хотим иметь два шлюза, так как у нас две линии ISP. Пока забудем bonding и failover. Допустим, мы хотим использовать один ISP для некоторых наших подсетей, а другой ISP — для других подсетей. Мое понимание такое, что мне нужно использовать source NAT, без masquarading? Я попробовал что-то, но похоже, не сработало. Есть здесь какой-нибудь пример? Когда мне нужно получить публичный IP для какого-то внутреннего сетевого интерфейса, достаточно ли определить DST nat на машине ISP и srcnat на нашей внутренней машине, как показано в документации? Без маршрутизации? Большое спасибо, -pekr-
25.02.2006 11:11:00, pekr.]]> http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283068 http://mikrotik.moscow/forum/forum57/71138-ponimanie-nat.../message283068 Sat, 25 Feb 2006 11:11:00 -0500 RouterOS