Объявление

Свернуть
Пока нет объявлений.

Проброска портов на Mikrotik 750

Свернуть
X
 
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

    #16
    Сообщение от Algon Посмотреть сообщение
    3 локальных сегмента, адреса: 10.10.101.0, 10.10.102.0, 10.10.103.0. Маски 255.255.255.0.
    2 канала на интернет, один с DHCP, на нем проброс делать не надо. Второй IP статический, но по DHCP получает серверы DNS и маршруты, которые иногда меняются.

    Задача состоит в том, чтобы ходил трафик между локальными сегментами, а остальное отправлялось в Интернет. И можно было при необходимости пробросить порт со второго внешнего канала любому локальному пользователю.

    З.Ы. Может тоже надо: распределение трафика между внешними каналами по группам пользователей. Mark route при помощи Mangle и дальше все промаркированные через NAT на один канал, все без маркера через NAT на другой.
    Как я это вижу:
    1 порт - провайдер 1
    2 порт - провайдер 2
    3 порт - 10.10.101.1/24
    4 порт - 10.10.102.1/24
    5 порт - 10.10.103.1/24

    Создаем в IP-Routes маршруты:
    Dst. address 10.10.101.0/24, Gateway 3 порт
    Dst. address 10.10.102.0/24, Gateway 4 порт
    Dst. address 10.10.103.0/24, Gateway 5 порт

    Создаем правила НАТа:
    Chain src-nat, Out. Interface порт 3, Action masquerade
    Chain src-nat, Out. Interface порт 4, Action masquerade
    Chain src-nat, Out. Interface порт 5, Action masquerade

    Правила Mangle:
    Chain forward, Protocol tcp, In. interface порт 3, Action change MSS, New TCP MSS 1420, Passthrough - да
    Chain forward, Protocol tcp, Out. interface порт 3, Action change MSS, New TCP MSS 1420, Passthrough - да
    Chain forward, Protocol tcp, In. interface порт 4, Action change MSS, New TCP MSS 1420, Passthrough - да
    Chain forward, Protocol tcp, Out. interface порт 4, Action change MSS, New TCP MSS 1420, Passthrough - да
    Chain forward, Protocol tcp, In. interface порт 5, Action change MSS, New TCP MSS 1420, Passthrough - да
    Chain forward, Protocol tcp, Out. interface порт 5, Action change MSS, New TCP MSS 1420, Passthrough - да

    Проброс портов:
    Правило в файерволле - Chain Input, protocol tcp, Dst. port нужный порт, In. interface порт 2, Action accept
    Правило в НАТе - Chain dst-nat, protocol tcp, Dst. port нужный порт, In. interface порт 2, Action dst-nat адрес, порт

    Комментарий


      #17
      По портам так и есть, 1 и 2 ваны, остальные ланы.

      В Routes такие маршруты созданы автоматом, я их не трогал. Но приоритет у них ниже, чем у маршрутов в интернет (на 0.0.0.0/0) поэтому весь трафик, адресованный в другой сегмент - валит в интернет. Как изменить приоритеты маршрутов - сие есть большая и страшная тайна. Нигде не нашел.

      Наты у меня чуть по-другому, но работают. Попробую такой вариант.

      А зачем менять MSS? У меня нет коммутируемых соединений и VPN, все идет по LAN напрямую, MTU везде 1500.

      Проброс тоже чуть отличается от того, что я пробовал, но его надо пробовать после того, как заработают маршруты.

      Комментарий


        #18
        Сообщение от Algon Посмотреть сообщение
        По портам так и есть, 1 и 2 ваны, остальные ланы.

        В Routes такие маршруты созданы автоматом, я их не трогал. Но приоритет у них ниже, чем у маршрутов в интернет (на 0.0.0.0/0) поэтому весь трафик, адресованный в другой сегмент - валит в интернет. Как изменить приоритеты маршрутов - сие есть большая и страшная тайна. Нигде не нашел.

        Наты у меня чуть по-другому, но работают. Попробую такой вариант.

        А зачем менять MSS? У меня нет коммутируемых соединений и VPN, все идет по LAN напрямую, MTU везде 1500.

        Проброс тоже чуть отличается от того, что я пробовал, но его надо пробовать после того, как заработают маршруты.
        Приоритет у локальных маршрутов должен быть 0, для маршрутов вида 0.0.0.0./0 должен быть 1.
        Попробуйте пропишите маршруты не автоматом.

        Комментарий


          #19
          Где задать приоритеты???

          Нажмите на изображение для увеличения.

Название:	Снимок.jpg
Просмотров:	1
Размер:	62.6 Кб
ID:	213786

          Комментарий


            #20
            Distance

            Комментарий


              #21
              Сообщение от Algon Посмотреть сообщение
              Где задать приоритеты???

              [ATTACH=CONFIG]12930[/ATTACH]
              Ну как результаты?

              Комментарий


                #22
                Пробовал. Ничего не меняется. Маршруты типа "10.10.101.0/24, Gateway ether3" все равно не работают, вне зависимости от того, какое значение Distance указано для интерфейсов.
                Даже проводил эксперимент, ставил разные значения для обоих WAN и отключал маркировки. По идее в этом случае весь интернет-трафик должен идти на порт, приоритет которого выше. Правильно?
                А через второй порт должно проходить только в том случае, если первый недоступен. Но реально пакеты все равно случайным образом прут через оба интерфейса.

                Комментарий


                  #23
                  Значит что-то не так с остальными настройками. Я бы посмотрел на сам маршрутизатор. В чудеса не верю...

                  Комментарий


                    #24
                    Сообщение от Алексей Посмотреть сообщение
                    Все большое спасибо , роутер настроен
                    Немного с поздним зажиганием......
                    А в чем дело было ? Я сейчас тоже мучаюсь, не могу ftp микротика открыть на внешку.

                    Комментарий


                      #25
                      Нажмите на изображение для увеличения.

Название:	1.PNG
Просмотров:	1
Размер:	13.8 Кб
ID:	221927
                      Нажмите на изображение для увеличения.

Название:	2.PNG
Просмотров:	1
Размер:	8.3 Кб
ID:	221928
                      Вот таким образом сделан проброс... все функционирует
                      pppoe_out подключение для выхода в тырнет
                      172.24.0.0 локалка для pppoe внутри сети

                      Комментарий


                        #26
                        Спасибо уже разобрался :
                        IP - Firewall - Service Ports (ftp был выключен).

                        P.S. Как говорится, если вам не нравится микротик, то вы просто не умеете его настраивать:mda:

                        Комментарий


                          #27
                          Кстати, а чем предпочтительней использование netmap?
                          Вроде, и dstnat работает.....
                          Это я про вкладку action

                          Комментарий

                          Обработка...
                          X