http://mikrotik.moscow Новое в теме Nat Hairpin в Router OS 7.1.1 форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 14 Jul 2026 01:34:54 -0400 Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
Я перенёс свою проблему сюда — http://forum.mikrotik.com/t/hairpin-issue-rb5009-on-7-1/155818/5 — чтобы быть на 100% уверенным, что дело не в настройках.
14.02.2022 13:00:00, kusmierz.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413660 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413660 Mon, 14 Feb 2022 13:00:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
Не то чтобы это что-то изменит, но попробовать стоит… поменяй порядок и измени правило…

/ip firewall nat add action=masquerade chain=srcnat out-interface-list=WAN  
add action=dst-nat chain=dstnat comment="www" dst-address=!192.168.144.1 dst-address-type=local dst-port=80 protocol=tcp to-addresses=192.168.144.22 to-ports=80  
add action=masquerade chain=srcnat comment=HairpinNat dst-address=!192.168.144.1 src-address=192.168.144.0/24  
/ip firewall nat add action=masquerade chain=srcnat comment=HairpinNat dst-address=192.168.144.0/24 src-address=192.168.144.0/24  
add action=masquerade chain=srcnat out-interface-list=WAN  
add action=dst-nat chain=dstnat comment="www" dst-address=!192.168.144.1 dst-address-type=local dst-port=80 protocol=tcp to-addresses=192.168.144.22 to-ports=80
14.02.2022 12:24:00, anav.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413659 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413659 Mon, 14 Feb 2022 12:24:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
Похоже, нас таких немало, включая меня. В 99% случаев это не моя вина (но, к сожалению, проверить на версии 6.x не могу, так как для RB5009 такой версии нет). # 13/02/2022 23:16:41 от RouterOS 7.1.2  
# модель = RB5009UG+S+

/ip firewall nat  
add action=masquerade chain=srcnat out-interface-list=WAN  
add action=dst-nat chain=dstnat comment="www" dst-address=!192.168.144.1 dst-address-type=local dst-port=80 protocol=tcp to-addresses=192.168.144.22 to-ports=80  
add action=masquerade chain=srcnat comment=HairpinNat dst-address=!192.168.144.1 src-address=192.168.144.0/24  

/ip firewall filter  
add action=accept chain=forward comment="Разрешить пересылку трафика для уже установленных/связанных соединений" connection-state=established,related  
add action=accept chain=forward comment="Разрешить пересылку трафика с LAN" connection-state=!invalid in-interface-list=LAN out-interface-list=WAN src-address=192.168.144.0/24  
add action=accept chain=forward comment="Разрешить пересылку трафика для перенаправлений портов и DMZ" connection-nat-state=dstnat  
add action=drop chain=forward comment="Запретить остальной пересылаемый трафик"  
add action=accept chain=output comment="Разрешить исходящий трафик"  
add action=accept chain=input comment="Разрешить входящий трафик для уже установленных/связанных соединений" connection-state=established,related  
add action=accept chain=input comment="Разрешить ICMP ping-запросы" icmp-options=8:0 protocol=icmp  
add action=accept chain=input comment="Разрешить ICMP сообщения о слишком большом размере пакета (необходима фрагментация)" icmp-options=3:4 protocol=icmp  
add action=accept chain=input comment="Разрешить новые подключения к Winbox сервису в LAN" connection-state=new dst-address=192.168.144.1 dst-port=8291,22,80 in-interface-list=LAN protocol=tcp src-address=192.168.144.0/24  
add action=accept chain=input comment="Разрешить запросы к DNS сервису из LAN" connection-state=new dst-address=192.168.144.1 dst-port=53 in-interface-list=LAN protocol=udp src-address=192.168.144.0/24  
add action=drop chain=input comment="Запретить остальной входящий трафик"
13.02.2022 22:02:00, kusmierz.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413658 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413658 Sun, 13 Feb 2022 22:02:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
Хотя это и не совсем невозможно, но очень-очень маловероятно. Это базовый srcnat, его используют почти все. Если бы с этим была какая-то проблема, заметили бы не только несколько человек.
23.01.2022 22:06:00, Sob.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413657 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413657 Sun, 23 Jan 2022 22:06:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
Похоже, что в версии ОС 7 что-то изменилось, из-за чего у многих перестала работать srcnat masquerade.
21.01.2022 19:52:00, VarTok.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413656 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413656 Fri, 21 Jan 2022 19:52:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
Ну, твоя попытка с hairpin неверна. Вот моя конфигурация, которая работает на версии 6.49.2:

action=masquerade chain=srcnat comment=“hairpin nat” dst-address=!192.xxx.xxx.1 log-prefix=hairpin src-address=192.xxx.xxx.0/24

Убери этот глупый символ/синтаксис "0" — и источник, и адрес назначения идентичны (то есть тот, на котором и сервер, и пользователи). И да, защищать приватный IP — это довольно забавно...
18.01.2022 15:26:00, anav.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413655 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413655 Tue, 18 Jan 2022 15:26:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
Дай угадаю, первый xxx — это 168, а второй xxx — от 0 до 255. Серьёзно, это же приватная подсеть, а не уникальный адрес, у миллионов людей такие же, смысла маскировать её нет. Что касается NAT, параметр out-interface=WAN явно бессмысленен для hairpin NAT, ведь там исходящий интерфейс — LAN. out-interface=WAN используется для основного NAT, для подключений с LAN в интернет. Hairpin NAT обычно задаётся через src-address= и dst-address=. Но твой вариант тоже работает. На самом деле, без указания out-interface правило может использоваться как для LAN->интернет, так и для hairpin LAN->LAN. И нет никаких причин, почему это не должно работать в версии 7. Опубликуй всю конфигурацию, там должно быть объяснение.
18.01.2022 03:43:00, Sob.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413654 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413654 Tue, 18 Jan 2022 03:43:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
В журнале у меня такие записи: harping srcnat: in:(unknown 0) out:bridge, протокол UDP, 192.xxx.xxx.xxx:1900->192.xxx.xxx.xxx:23xx, длина 275
18.01.2022 03:39:00, johnpaul24.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413653 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413653 Tue, 18 Jan 2022 03:39:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
Это моя конфигурация, работающая на версии 6.49.2:

action=masquerade chain=srcnat comment=“hairpin nat” dst-address=!192.xxx.xxx.1 log-prefix=hairping src-address=192.xxx.xxx.0/24

Следуя твоему совету, я изменил её так:

action=masquerade chain=srcnat comment=“hairpin nat” dst-address=!192.xxx.xxx.1 log-prefix=hairping out-interface=ether1 src-address=192.xxx.xxx.0/24

Но в версии 7.1 у меня всё равно не работает.
18.01.2022 03:26:00, johnpaul24.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413652 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413652 Tue, 18 Jan 2022 03:26:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
Как заметил sob, добавить action=masquerade chain=srcnat — это НЕ правильно! Это безусловно… Нужно добавить action=masquerade chain=srcnat out-interface=ether1 или out-interface-list=WAN (для динамического WAN IP). Кстати, если у вас WAN IP статический и фиксированный… правильный формат — не masquerade, а add action=src-nat chain=src nat to-address=fixedWANIP out-interface=ether1.
17.01.2022 16:00:00, anav.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413651 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413651 Mon, 17 Jan 2022 16:00:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
Точно такая же ситуация.
17.01.2022 00:40:00, johnpaul24.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413650 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413650 Mon, 17 Jan 2022 00:40:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
точно такая же ситуация
08.01.2022 20:47:00, chuk87.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413649 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413649 Sat, 08 Jan 2022 20:47:00 -0500 RouterOS Nat Hairpin в Router OS 7.1.1 RouterOS в форуме RouterOS.
После обновления CCR1009-7G-1C-1S+ с версии 6.49.2 до 7.1.1 Nat Hairpin перестал работать (возврат на 6.49.2 снова всё запускает). Все правила файрвола и остальные настройки в 7.1.1 такие же. В чем может быть проблема с конфигурацией? Спасибо. firewall.rsc (4.58 KB)
25.12.2021 18:42:00, kohral.]]> http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413648 http://mikrotik.moscow/forum/forum57/87117-nat-hairpin-v-router-os-7.1.1/message413648 Sat, 25 Dec 2021 18:42:00 -0500 RouterOS