Mikrotik.moscow [тема: Проблемы с перенаправлением портов] http://mikrotik.moscow Новое в теме Проблемы с перенаправлением портов форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sun, 02 Aug 2026 17:59:29 -0400 Проблемы с перенаправлением портов Проблемы с перенаправлением портов RouterOS в форуме RouterOS.
RAW = Пользователь добавил изображение  
SRC-ADDRESS = Пользователь добавил изображение  
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++  
RAW = Пользователь добавил изображение  
SRC-ADDRESS = Пользователь добавил изображение
23.08.2022 18:57:00, anav.]]> http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403145 http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403145 Tue, 23 Aug 2022 18:57:00 -0400 RouterOS Проблемы с перенаправлением портов Проблемы с перенаправлением портов RouterOS в форуме RouterOS.
Ответ был вызван кем-то, кто постоянно критикует RAW.
23.08.2022 18:49:00, rextended.]]> http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403144 http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403144 Tue, 23 Aug 2022 18:49:00 -0400 RouterOS Проблемы с перенаправлением портов Проблемы с перенаправлением портов RouterOS в форуме RouterOS.
Что он сказал… коротко — это «перебор»: и по сложности, и по нагрузке для ??? Главное тут — с исходным адресом в правиле dst nat порт не виден при сканировании, да и доступ разрешён только для этого IP. Простота — как хорошее итальянское вино, а, похоже, rextended по ошибке выпил уксус.
23.08.2022 18:48:00, anav.]]> http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403143 http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403143 Tue, 23 Aug 2022 18:48:00 -0400 RouterOS Проблемы с перенаправлением портов Проблемы с перенаправлением портов RouterOS в форуме RouterOS.
С точки зрения безопасности ваша логика безупречна. С точки зрения производительности — не очень. Да, безопасность должна быть на первом месте, но если можно оптимизировать систему без потери безопасности, то разумно это сделать. Можно сравнить RAW-фильтр с проверками безопасности, которые выполняются для каждого пакета. А фильтр файрвола — с проверками безопасности только для пакетов, которым на данном этапе не доверяют.  

Теперь представьте: у вас в почтовом отделении приходит миллионы писем. Если безопасность проверять прямо на входе, бедный охранник должен будет досмотреть каждое письмо, и можно представить, сколько у него работы, даже если проверка занимает совсем немного времени. Поскольку охранник обычно отклоняет очень мало писем, остальные процессы не выигрывают от этого, но работать ему приходится изо всех сил.  

Если же, с другой стороны, письма сначала проходят сортировочную машину (connection tracking), и большая часть писем пропускается без проверки (потому что… как-то… им доверяют) — например, established, related, untracked — а проверки безопасности делаются только с оставшимися единичными письмами, то охранник работает гораздо меньше.  

Но тут заканчивается параллель — в файрволе это на самом деле один и тот же человек (или очень мало людей… то есть CPU-ядер), которые выполняют все операции. Если этот человек не будет делать базовые проверки безопасности для каждого входящего пакета, а только для тех, которым не доверяют, он сможет больше времени уделить сортировке и остальной обработке, и общее количество обработанных пакетов окажется выше, чем в первом случае.  

Конечно, бывают ситуации (например, DDoS), когда выгоднее удалять опасные пакеты прямо при входе (из-за огромного количества пакетов, которые отклоняет охранник), но в обычных условиях — нет.
23.08.2022 16:48:00, mkx.]]> http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403142 http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403142 Tue, 23 Aug 2022 16:48:00 -0400 RouterOS Проблемы с перенаправлением портов Проблемы с перенаправлением портов RouterOS в форуме RouterOS.
Raw не обязателен, если только у тебя нет чего-то, что нужно взорвать, тогда роутер тебя не спасёт — придут к тебе домой и поставят взрывчатку в машину... Советовать прописывать raw-правила файрвола для простой настройки проброса портов — это, по моему мнению, слишком уж серьёзно. Не говорю, что ты неправ, но если мне нужна просто футболка, ты предлагаешь кевларовый жилет.
23.08.2022 12:10:00, anav.]]> http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403141 http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403141 Tue, 23 Aug 2022 12:10:00 -0400 RouterOS Проблемы с перенаправлением портов Проблемы с перенаправлением портов RouterOS в форуме RouterOS.
Логика пропускать посылки в офис, а потом уже проверять, опасны ли они, даже если там бомба — однозначно хуже, чем сразу запрещать посылки, если их не заказывали. Проще говоря, лучше сразу блокировать пакет в RAW, вместо того чтобы по восемь раз зря его обрабатывать на всех этапах, пока он не дойдет до Firewall Filter.

Или проще, как вообще обрабатывается пакет? https://help.mikrotik.com/docs/display/ROS/Packet+Flow+in+RouterOS#PacketFlowinRouterOS-FlowofRoutedPacket  
Сначала проход через RAW, потом Connection-Tracking, Prerouting-Mangle, DST-NAT, Routing, управление TTL, Forward-Mangle, и наконец Forward-Filter и так далее.

Если блокировать пакет на этапе RAW, он не проходит следующие 7 шагов. Если же блокировать пакет на Filter, он уже прошел RAW, Connection-Tracking, Mangle, DST-NAT, Routing, TTL, снова Mangle и только потом Firewall Filter. Нет никакого смысла блокировать нежелательные соединения в конце этого восьмиэтапного процесса — лучше сделать это сразу.

Да, конечно, удалить всё в конце — вариант, но если точно известно, что какой-то трафик не нужен, лучше блокировать его сразу, а не тратить зря ресурсы, время и мощность на его обработку.

Если внимательно анализировать заблокированный трафик, можно понять, как создать правила в RAW, которые полностью остановят ненужный трафик ещё до того, как система начнёт его обрабатывать.

Пример наглядный: черные списки надо блокировать в RAW, а не в фильтре. Иначе пакеты обрабатываются восемь раз перед тем, как попасть в Firewall Filter (входящий трафик или форвард — без разницы).
22.08.2022 23:46:00, rextended.]]> http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403140 http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403140 Mon, 22 Aug 2022 23:46:00 -0400 RouterOS Проблемы с перенаправлением портов Проблемы с перенаправлением портов RouterOS в форуме RouterOS.
1 - Правило файрвола для разрешения проброса портов:  
add chain=forward action=accept connection-nat-state=dstnat

2 - Правило destination NAT для статического публичного IP, чтобы разрешить доступ к нужному IP и порту И ограничить доступ:  
add chain=dstnat action=dst-nat dst-address=159.54.54.54 dst-port=3999 protocol=tcp to-addresses=10.0.0.2 to-ports=22 src-address=104.230.44.200

Примечание 1: to-ports не требуется, если совпадает с dst-ports, в таком случае используется трансляция портов.  
Примечание 2: Если хотите разрешить доступ нескольким IP, используйте src-address-list=Authorized, где Authorized — список адресов в файрволе.  
add address=104.230.44.200 list=Authorized  
add address=fixedIPuser2 list=Authorized  
add address=fixedIPuser100 list=Authorized  
add address=Dyndns name userA list=Authorized  
add address=Dyndns name userZZZ list=Authorized

Роутер сам разрешит DYNDNS-имена в IP.

++++++++++++++++++++++++++++++++++++++++++++++++++

В общем, забудьте про первоначальный совет делать «голое» фильтрование — там всё было сильно пересолено, а я думал, что итальянцы хотя бы знают, как готовить мясо! К тому же, если у вас настроено правило destination NAT, соответствующий порт отображается при сканировании и обозначается как закрытый. Если добавить в настройку ограничение по исходным адресам, порт даже не появится в сканах, и поэтому я всегда советую именно такой подход.
22.08.2022 17:29:00, anav.]]> http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403139 http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403139 Mon, 22 Aug 2022 17:29:00 -0400 RouterOS Проблемы с перенаправлением портов Проблемы с перенаправлением портов RouterOS в форуме RouterOS.
Отличный ответ. Второй обратный путь — вот чего мне не хватало в настройках. Спасибо за пост!
22.08.2022 16:59:00, fatdollar.]]> http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403138 http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403138 Mon, 22 Aug 2022 16:59:00 -0400 RouterOS Проблемы с перенаправлением портов Проблемы с перенаправлением портов RouterOS в форуме RouterOS.
Привет! Я только что установил CHR и пытаюсь настроить переадресацию порта с WAN IP на приватный IP по порту 22. Вот схема, которая объясняет настройку. Также хочу, чтобы только с определённого IP можно было подключаться через этот внешний порт. Насколько я понимаю, нужно создать: a) правило NAT, b) правило фаервола, разрешающее подключение с этого конкретного внешнего IP.

Пока что, даже без правила фаервола, чтобы просто заставить переадресацию работать, порт в проверялке портов всё равно закрыт. Буду очень признателен за любую помощь. Если нужно выложить логи — подскажите, какие команды использовать, так как я делал настройки через webfig.

Спасибо!
25.06.2021 07:28:00, nox01x.]]> http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403137 http://mikrotik.moscow/forum/forum57/86100-problemy-s-perenapravleniem-portov/message403137 Fri, 25 Jun 2021 07:28:00 -0400 RouterOS