Данное решение не будет работать в случае использования DNS-over-HTTPS или аналогов на конечных устройствах или в случае, если приложение не использует доменные имена. Серверу назначения, которому в итоге придет запрос не будет видно IP адрес источника, так как им будет являться маршрутизатор. Если данный вариант не работает, просто сбросьте настройки нажатием кнопки Reset или отключением устройства от электросети на 10-15 секунд.

Базовая настройка безопасности

Межсетевой экран даёт возможность регулировать доступ к шлюзу и ресурсам, расположенным за ним. Прежде, чем переходить к настройкам, определитесь, действительно ли это нужно и для чего вы это делаете.

Safe Mode

Данную опцию у Mikrotik можно использовать, чтобы дистанционно и при этом безопасно настроить Firewall. Чтобы сделать это, нажмите соответствующую кнопку.

настройка Mikrotik

После выполнения настроек, вручную отключите опцию нажатием той же кнопки. Если вы завершите работу в этом режиме некорректно, настройки не сохранятся. Имейте это в виду, если прервётся соединение – настройки придётся выполнять заново.

Настройка Firewall в Mikrotik | Cloud4Y
Во вкладке General, в строке Chain выбираем: «dstnat». Далее правим строку Protocol: «6 (tcp)». И последние устанавливаем исходящий порт: Dst. Port — «80»
Черноволов Василий Петрович, эксперт по вопросам мобильной связи и интернета
Мнение эксперта
Черноволов Василий Петрович, эксперт по вопросам мобильной связи и интернета
Все сложные вопросы мы с вами решим вместе.
Задать вопрос эксперту
Предположим, что подключение осуществляют несколько провайдеров, и пользователь в какой-то момент хочет выбрать, чьими услугами воспользоваться или распределить их на разные машины. Если вам нужна бесплатная консультация, пишите мне!

All LAN — Проброс портов в роутере MikroTik

Как располагать правила в Firewall

1. Input – пакеты, которые были отправлены на роутер.

2. Forward –пакеты, которые проходят через маршрутизатор.

Готовые правила для настройки

Для начала есть смысл отбросить все недействительные (Invalid) пакеты. Это полностью мусорные данные, которые только создают лишнюю нагрузку.

Теперь делаем разрешение для icmp трафика, это позволит пинговать роутер

Если, наоборот, требуется этот трафик заблокировать, в action=accept впишите drop.

Последним правилом в цепи input будет блокировка все запросов, которые поступают не из локальной сети.

Следующим шагом запретим пакеты, поступающие из внешней сети через интерфейс ether1-wan.

Если вы настраиваете Mikrotik с нуля, то у вас не будет выхода во внешнюю сеть. Чтобы его получить, следует настроить NAT.

настройка Mikrotik

Большое количество беспроводных маршрутизаторов установленных у пользователей дома, в совокупности не имеют такого огромного количества отзывов о работоспособности, как Wi-Fi-роутер D-Link DIR 300. Всё дело в цене – новое устройство стоит не дороже 800 рублей. Pptp-порты это протоколы набор правил связи , который позволяет корпорациям расширять собственную корпоративную сеть через частные каналы и общедоступный интернет. Клиент будет напрямую обращаться на сервер назначения по локальной сети без использования маршрутизатора, а сервер назначения, в свою очередь, увидит настоящий адрес источника в локальной сети.

NAT Loopback / Hairpin NAT

Проблема

С новыми соединениями из интернета разобрались, но что будет, если устройство попытается обратиться на внешний адрес маршрутизатора из локальной сети? В зависимости от условия возможны следующие варианты:

  • Если в условии использовался внешний интерфейс, то правило не сработает и пакет будет отброшен маршрутизатором — соединение не состоится.
  • Если в условии использовался внешний адрес маршрутизатора, то правило сработает, но соединение не установится. Рассмотрим этот сценарий подробнее.

Mikrotik Проброс Портов Через Vpn • Настройка через gui

Пакет будет отброшен инициатором соединения

Запрос успешно дойдет до устройства назначения, однако ответ должен будет вернуться напрямую на устройство, без маршрутизатора. В результате при проверках на устройстве-инициаторе соединения пакет будет отброшен, так как от этого адреса источника он не ждет ответов. Соединение не установится.

Варианты решения

Подмена на уровне DNS

Если приложение использует DNS для определения IP адреса сервиса назначения (например, сайт), то самым правильным способом будет использование в локальной сети DNS-сервера, который будет отдавать внутренний IP адрес для домена. В случае использовании MikroTik DNS-сервера, правило будет выглядеть примерно так:

Таким образом настройка NAT Loopback не потребуется в принципе. Клиент будет напрямую обращаться на сервер назначения по локальной сети без использования маршрутизатора, а сервер назначения, в свою очередь, увидит настоящий адрес источника в локальной сети

Данное решение не будет работать в случае использования DNS-over-HTTPS или аналогов на конечных устройствах или в случае, если приложение не использует доменные имена.

Официальный

Многие ресурсы, включая wiki.mikrotik.com, предлагают примерно одни и те же варианты решения:

Этим правилом задаем, что: всем пакетам, которые идут из локальной сети, на адрес 192.168.88.5, на порты 80 и 443 и выходят с интерфейса LAN мы меняем адрес источника на адрес маршрутизатора в локальной сети.

Таким образом, соединение успешно устанавливается, однако есть несколько ограничений:

  • На каждое правило проброса порта потребуется еще одно правило для поддержки NAT Loopback
  • Можно легко попасться на граблю, не указав фильтр источника пакетов (src-address=192.168.88.0/24). Все запросы (включая те, что идут из интернета) на сервер назначения будут идти от адреса маршрутизатора, что в итоге может сломать фильтрацию на базе адресов источника на сервере назначения.
  • Серверу назначения, которому в итоге придет запрос не будет видно IP адрес источника, так как им будет являться маршрутизатор

Дополненный официальный способ

Официальный способ мне не понравился в первую очередь тем, что потребуется создавать несколько правил для одного проброса портов. Об этом легко забыть или ошибиться в составлении второго правила.

Черноволов Василий Петрович, эксперт по вопросам мобильной связи и интернета
Мнение эксперта
Черноволов Василий Петрович, эксперт по вопросам мобильной связи и интернета
Все сложные вопросы мы с вами решим вместе.
Задать вопрос эксперту
Для переправления всех внешних запросов на одно локальное устройство необходимо создать правило NAT, где в строке Chain поставлено значение dstnat. Если вам нужна бесплатная консультация, пишите мне!

MikroTik Проброс портов RDP и 80

Маршрутизатор на основании данных таблицы трансляции выполнит обратное преобразование, заменив на этот раз адрес источника с внутреннего адреса веб-сервера, на свой внешний адрес и отправит пакет запросившему его узлу. Но это еще не все, после PREROUTING пакет попадет в цепочку FORWARD, в которой запрещены любые внешние пакеты, кроме инициированных из локальной сети соединений. Веб-север обработает запрос, а так как он ничего не знает о сети получателя, то обратный пакет будет направлен шлюзу по умолчанию , т.

Если вам требуется прокинуть порт RDP, то в Dst. Port пишем 3389

Следует учесть, что в вашем случае протокол и порт назначения могут быть (и скорее всего будут) другими.

Переходим во вкладку Action, ставим параметр Action выставляем dst-nat, в поле To Addresses вбиваем IP-адрес нашего принтера или RDP сервера.

Настройка FireWall Mikrotik

3. Теперь попробуем подключиться к принтеру по 80 порту снаружи:

Во-первых, в нашем примере на роутере выполнена лишь базовая настройка брандмауэра, которая не блокирует ничего. Если у вас брандмауэр настроен более строго — необходимо будет донастроить его на разрешение правила порт-форвардинга (в рамках этой заметки на этом останавливаться не будем — оставим предупреждением).

Во-вторых, если вы планируете маскировать открытый порт (публикуя наружу, например, порт 6666, при соединении с которым должен будет ответить 80-й порт публикуемого сервиса/приложения/устройства), то в пункте 1 следует указать замаскированный Dst. Port, а в пункте 2 в параметре To Ports указать порт, по которому реально будет отвечать публикуемый узел.

Настройка через GUI
Затем открыть опцию «Action». В строке «Action» поставить значение «netmap», а в «To Adresses» — адрес внутреннего устройства, к которому осуществляется внешнее подключение.
Черноволов Василий Петрович, эксперт по вопросам мобильной связи и интернета
Мнение эксперта
Черноволов Василий Петрович, эксперт по вопросам мобильной связи и интернета
Все сложные вопросы мы с вами решим вместе.
Задать вопрос эксперту
Они будут работать как и в классическом сценарии при поступлении извне , так и в случае поступления запросов из локальной сети. Если вам нужна бесплатная консультация, пишите мне!

Официальный

Оцените, пожалуйста, публикацию:
Загрузка...

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *