Mikrotik.moscow [тема: NAT (dstnat) перестаёт работать примерно раз в месяц.]

NAT (dstnat) перестаёт работать примерно раз в месяц.

Tue, 11 Jun 2024 05:56:00 +0300

NAT (dstnat) перестаёт работать примерно раз в месяц. RouterOS в форуме RouterOS.
Всем привет! Прошло чуть больше 20 дней с тех пор, как я почистил правила фильтрации в фаерволе. Самое главное — я отключил правила для защиты от DDoS, которые взял из документации Mikrotik. Пока никаких проблем с моими настройками dstnat не было. Прошел ещё не месяц, но надеюсь, что всё сработало, и я просто хотел предупредить форум — вдруг у кого-то такие же проблемы. Пока что спасибо за помощь @erlinden!
11.06.2024 05:56:00, hjh.

NAT (dstnat) перестаёт работать примерно раз в месяц.

Mon, 20 May 2024 08:52:00 +0300

NAT (dstnat) перестаёт работать примерно раз в месяц. RouterOS в форуме RouterOS.
Надеюсь, это тебе поможет, держи нас в курсе!
20.05.2024 08:52:00, erlinden.

NAT (dstnat) перестаёт работать примерно раз в месяц.

Mon, 20 May 2024 08:09:00 +0300

NAT (dstnat) перестаёт работать примерно раз в месяц. RouterOS в форуме RouterOS.
По умолчанию вы имеете в виду правила из https://help.mikrotik.com/docs/display/ROS/Building+Your+First+Firewall, да? Раньше я не включал логирование правил drop. Включу его и посмотрю, будет ли что-то отображаться. Я отключил правила DDoS, посмотрю, поможет ли это. Спасибо за совет.
20.05.2024 08:09:00, hjh.

NAT (dstnat) перестаёт работать примерно раз в месяц.

Mon, 20 May 2024 08:01:00 +0300

NAT (dstnat) перестаёт работать примерно раз в месяц. RouterOS в форуме RouterOS.
Порядок правил фаервола у тебя полный беспорядок… Не мог бы ты хотя бы упорядочить их для входящего и переадресованного трафика? Просто проверь стандартные правила и расставь их соответственно. Что говорит лог? Особенно интересно про правила drop, которые стоят перед dstnat. Можешь (временно) отключить часть, отвечающую за DDOS? В конце концов, DDOS ты так не остановишь (для этого нужно больше, чем просто правила фаервола).
20.05.2024 08:01:00, erlinden.

NAT (dstnat) перестаёт работать примерно раз в месяц.

Mon, 20 May 2024 01:23:00 +0300

NAT (dstnat) перестаёт работать примерно раз в месяц. RouterOS в форуме RouterOS.
Это случалось примерно два раза с момента первого поста. Какие-нибудь мысли?
20.05.2024 01:23:00, hjh.

NAT (dstnat) перестаёт работать примерно раз в месяц.

Sat, 20 Apr 2024 08:00:00 +0300

NAT (dstnat) перестаёт работать примерно раз в месяц. RouterOS в форуме RouterOS.
Здравствуйте,
Наш Ethernet-маршрутизатор CCR2004-1G-12S+2XS имеет несколько портов, открытых для доступа из интернета. В среднем раз в 30 дней мой веб-сервер становится недоступен из интернета. При этом доступ в интернет из внутренней сети работает. Перезагрузка маршрутизатора решает проблему.

Согласно этой теме http://forum.mikrotik.com/t/nat-issues-every-10-14-days/158414/1 я также установил TCP Established Timeout на 2 часа 5 минут:
set tcp-established-timeout=2h5m

Буду признателен за любую помощь. Спасибо.

# 2024-04-20 03:13:01 by RouterOS 7.13
# software id = **ELIDED**
#
# model = CCR2004-1G-12S+2XS
# serial number = **ELIDED**

/ip firewall address-list
add list=ddos-attackers
add address= list=PUBLIC_IP
add address=10.0.0.0/16 list=LDAP_ALLOWED_HOSTS
add address=10.0.0.0/16 list=WANLAN
add address= list=WANLAN
add address= list=ddos-targets

/ip firewall connection tracking
set tcp-established-timeout=2h5m

/ip firewall filter
add action=fasttrack-connection chain=forward connection-state=established,related hw-offload=yes
add action=accept chain=forward connection-state=established,related
add action=accept chain=input connection-state=established,related
add action=jump chain=forward comment=DDoS connection-state=new jump-target=detect-ddos
add action=return chain=detect-ddos dst-limit=100,100,src-and-dst-addresses/10s
add action=add-dst-to-address-list address-list=ddos-targets address-list-timeout=10m chain=detect-ddos disabled=yes src-address-list=!WANLAN
add action=add-src-to-address-list address-list=ddos-attackers address-list-timeout=10m chain=detect-ddos log=yes log-prefix=!ddos_attckrs src-address-list=!WANLAN
add action=drop chain=forward comment="Drop Invalid" connection-state=invalid
add action=drop chain=input connection-state=invalid
add action=accept chain=input comment="Allow Winbox" connection-state="" dst-port=8291 protocol=tcp src-address=10.0.0.0/16
add action=accept chain=input comment="Allow ICMP" protocol=icmp
add action=drop chain=input comment="Drop all other input" log-prefix=!input_drop

/ip firewall nat
add action=masquerade chain=srcnat comment="Hairpin" out-interface=sfp-sfpplus2
add action=masquerade chain=srcnat dst-address=10.0.0.0/16 src-address=10.0.0.0/16
add action=dst-nat chain=dstnat comment=LDAP disabled=yes dst-address-list=PUBLIC_IP dst-port=51389 protocol=tcp src-address-list=LDAP_ALLOWED_HOSTS to-addresses=10.0.220.2 to-ports=389
add action=dst-nat chain=dstnat dst-address-list=PUBLIC_IP dst-port=51812 protocol=udp src-address-list=LDAP_ALLOWED_HOSTS to-addresses=10.0.220.2 to-ports=1812
add action=dst-nat chain=dstnat comment="Web" dst-address-list=PUBLIC_IP dst-port=80 protocol=tcp to-addresses=10.0.50.1 to-ports=80
add action=dst-nat chain=dstnat dst-address-list=PUBLIC_IP dst-port=443 protocol=tcp to-addresses=10.0.50.1 to-ports=443
add action=dst-nat chain=dstnat comment=ETRI dst-address-list=PUBLIC_IP dst-port=52079 protocol=tcp to-addresses=10.0.5.1 to-ports=22

/ip firewall raw
add action=drop chain=prerouting dst-address-list=ddos-targets src-address-list=ddos-attackers
20.04.2024 08:00:00, hjh.