Home » Misc » Настройка проброса портов на mikrotik

Настройка проброса портов на mikrotik


Как пробросить порты на Микротик

Инструкции

ИТ

ИТ-поддержка

ИТ-поддержка

Ранее мы уже писали о том, как настроить роутер MikroTik. В нашей очередной инструкции мы постарались ответить на вопрос - как пробросить порты на роутере MikroTik.

Любую сеть можно схематично представить в таком виде:

Схема 1 - Схематичное отображение типовой сети

Посмотрим немного подробнее, на примере роутера MikroTik RB951-2nb - у него 5 портов, плюс модуль WiFi.

Подключаемся через web-интерфейс или Winbox'ом к роутеру(по умолчанию логин admin, без пароля), заходим в список интерфейсов, это второй пункт в меню, Interfaces.

Тут мы видим все интерфейсы, доступные нашему роутеру (интерфейс — это, грубо говоря, канал связи роутера с другим компьютером/компьютерами)


  • Первым идёт bridge-local — «локальный мост». В данном случае он служит для установки моста между локальной сетью и беспроводными подключениями по WiFi (В Микротике для соединения вместе нескольких интерфейсов можно или объединить их в свитч, или соединить мостом (бриджем).
  • Далее, ether1-gateway. Ether1 — это первый RJ45-разъем на лицевой панели роутера. По умолчанию считается, что в него воткнут кабель с интернетом от провайдера. Поэтому он называется Gateway — «Ворота» (в принципе, это не обязательно должен быть первый порт, при желании можно назначить gateway'ем любой другой порт, и даже несколько портов одновременно при наличии подключений от нескольких провайдеров).
  • Затем идут 4 порта локальной сети. Они объединены в свитч, начиная со второго RJ45-разъёма, он называется ether2-master-local, остальные 3 — называются slave-local. Тут логика простая: в параметрах портов 3, 4 и 5 прописано, что главным у них является порт №2 — соответственно, все четыре порта автоматически объединяются в виртуальный свитч. А этот виртуальный свитч внутренней сети объединен с беспроводной сетью посредством бриджа из первой строки.
  • Между внешним интернетом и внутренней сетью находится NAT — Network Address Translation, дословно «Трансляция сетевых адресов». Механизм, позволяющий компьютерам, находящимся в локальной сети, иметь внутренние адреса своей сети, и при этом нормально общаться со всеми другими компьютерами и серверами в интернете (при этом для внешнего сервера все компьютеры внутри сети представляются одним адресом — внешним адресом роутера). Вкратце, это работает таким образом: при обращении из внутренней сети куда-нибудь в интернет, роутер подменяет внутренний адрес компьютера своим адресом, принимает ответ от сервера в интернете, и переадресовывает на локальный адрес компьютера, сделавшего исходный запрос. Это называется Masquerade — «Маскарад»: данные от машины в локальной сети как-бы «надевают маску» и для внешнего сервера это выглядит так, будто они исходят от самого роутера.
  • Точно так же, при подключении из внешней сети, нам нужно где-то задать правило, какой именно компьютер в локальной сети должен отвечать на попытки подключиться к какому-то порту на роутере.

Пример - мы хотим, чтобы при подключении к нашей сети роутера на порты 110 и 51413 — подключение переадресовывалось на компьютер PC1, а при подключении к порту 3189 — на машину PC2. Для этого и нужен NAT.

Схема 2 - Пример распределения подключения к сети

В Микротике управление NAT'ом находится в разделе IP->Firewall->NAT:


Тут мы видим, что одно правило уже есть. Оно автоматически создаётся конфигурацией по-умолчанию — это тот самый «Маскарад», он необходим для того, чтобы компьютеры во внутренней сети могли нормально обращаться к серверам в интернете.

Нам же нужно ровно наоборот — добавить правило для подключения извне к одной из машин в локальной сети. Например, для эффективной работы торрент-клиента мы хотим сделать доступным порт 51413 на машине с именем nas.

Нажимаем синий плюсик

В появившемся окне нового правила нам нужно всего несколько опций


  • Первое — это Chain (Цепочка). Тут может быть всего два варианта — srcnat и dstnat. Цепочка — это, грубо говоря, направление потока данных. Srcnat — из внутренней сети во внешнюю, dstnat — соответственно, из внешней во внутреннюю. Как легко догадаться, в нашем случае требуется выбрать dstnat.
  • Далее идут Src. Address (исходный адрес) и Dst. Address (адрес назначения). Для подключения извне исходный адрес будет адресом одного из миллиардов компьютеров в интернете, а адрес назначения — всегда внешний адрес роутера. Эти пункты ставить смысла нет.
  • Потом пункт Protocol (протокол). Здесь значение надо выбрать обязательно, иначе мы не сможем указать номер порта. Для торрентов выбираем тут tcp.
  • Src. Port (исходящий порт) — это тот порт, из которого удалённая машина инициирует соединение с нашим роутером. Нам это абсолютно без разницы, тут ничего не ставим.
  • Dst. Port (порт назначения) — а это как раз тот порт, на который мы хотим принимать соединение. Например, порт 51413.
  • Затем идёт пункт Any. Port (любой порт) — это объединение двух предыдущих пунктов, тут можно указать значение, которое будет работать и как исходный порт, так и как порт назначения. В целом, нам это не требуется.
  • In. interface (входящий интерфейс) — это тот интерфейс, на котором «слушается» указанный порт. Если не указан этот параметр, то порт перестанет так же быть доступен из внутренней сети, даже несмотря на то, что цепочка у нас dstnat. Поэтому выбираем тут интерфейс, через который мы подключены к интернету, в нашем случае — ether1-gateway.
  • Out. interface (исходящий интерфейс) — интерфейс, к которому подключена та машина, на которую мы делаем переадресацию. Тут что-либо ставить не имеет смысла.

В итоге, получается вот такая картина:

Вкладки Advanced (Продвинутый) и Extra (Дополнительный) содержат различные параметры тонкой настройки, нам они без надобности, идём сразу в Action (Действие)

Тут из списка Action нужно выбрать конкретное действие, которое следует выполнить с подключением на указанный ранее порт.

  • accept — Просто принимает пакет;
  • add-dst-to-address-list — Добавляет адрес назначения в указанный список адресов;
  • add-src-to-address-list — Аналогично предыдущему, но для исходного адреса;
  • dst-nat — Переадресовывает данные, пришедшие из внешней сети, во внутреннюю;
  • jump — Позволяет применить для данных правила из другой цепочки. Например, для цепочки srcnat — применить правила цепочки dstnat;
  • log — Просто добавляет информацию о пакете в лог роутера;
  • masquerade — Тот самый «Маскарад»: подмена внутреннего адреса машины из локальной сети на адрес роутера;
  • netmap — Отображение одного адреса на другой. Фактически, развитие dst-nat;
  • passthrough — Пропуск текущего пункта правил и переход к следующему. Используется в основном для статистики;
  • redirect — Перенаправляет данные на другой порт в пределах роутера;
  • return — Возвращает управление обратно, если в эту цепочку выполнялся прыжок правилом jump;
  • same — применяется в очень редких случаях, когда нужно применять одни и те же правила для группы адресов;
  • src-nat — Обратная dst-nat операция: перенаправление данных из внутренней сети во внешнюю.

Для наших целей подходит dst-nat и netmap. Последнее является более новым и улучшенным вариантом первого, логично использовать его:

В поле To Addresses нужно указать адрес машины, на которую мы хотим переадресовать порт, в поле To Ports — соответственно, сам порт.

Нажимаем кнопку Apply, роутер сам находит адрес машины:

Напоследок имеет смысл нажать Comment и указать комментарий для правила, чтобы в дальнейшем не приходилось вспоминать, что это за правило и зачем:

Всё, нажимаем OК в окошке ввода комментария и ОК в окне ввода правила:

Правило создано, всё работает.

Обратите внимание — дополнительно «открывать» порт не требуется!

Не нашли ответа на свой вопрос?

Смотрите также

Инструкции:

  • Почтовый переезд средствами IMAP
  • Схема действий в форс-мажорных ситуациях (IT)
  • Как организовать ИТ-поддержку клиентов

Содержание

Как в Микротик пробросить порт

Что за технология

У проброса портов есть масса названий, от чего может возникнуть путаница. Кто-то привык называть это форвардингом, кто-то – перенаправлением порта. В англоязычной литературе называют коротко и ёмко – Dst. NAT. Всё это означает одно и то же – разновидность трансляции сетевых адресов, при которых происходит подмена адреса назначения. Можно представить это как путь «снаружи-внутрь», в отличие от Маскарадинга (Src.NAT) – «изнутри-наружу».

Для чего это нужно

Когда сегмент локальной сети спрятан за NAT, обычно нет способов инициировать соединение с «серыми» адресами находясь со стороны Интернета. А это бывает необходимо, например, для организации удалённого доступа на какой-нибудь сервер в DMZ. Или, например, на видеорегистратор для удалённого просмотра изображений. Если возникла такая задача и в качестве маршрутизатора выступает Микротик, будем делать проброс нужных портов.

Как настроить

Шаг 0. Подготовительный

На этом шаге определяемся, какие сервисы на каких сетевых узлах нам необходимо «опубликовать». Для RDP-доступа на сервер 192.168.1.10, например, нужно публиковать 192.168.1.10:3389 (если порт по умолчанию не менялся). Для доступа на видеорегистратор, может публиковаться, например, 192.168.1.201:8080.

Шаг 1. Переходим в настройки Mikrotik

(покажу на примере winbox). Открываем раздел «IP» – «Firewall» на вкладку «NAT»


Шаг 2. Создаём правило

Нажимаем "+" в этом окне и указываем примерно следующее:

  • Chain (цепочка): dstnat
  • Protocol (протокол): tcp или udp
  • Dst.Port (порт назначения): порт внешний
  • In. Interface (входящий интерфейс): указывается сторона провайдера


Вкладка "Action" - действия:

  • Action (действие): В качестве действия выбираем "dst-nat" - подмена адреса назначения
  • Log (журналирование): по желанию.
  • To Addresses: адрес хоста, куда будет перенаправлен входящий пакет
  • To Ports: номер порта хоста, куда будет перенаправлен пакет.


Шаг 3: Правило должно быть раньше маскарадинга

Думаю, шаг не обязательный, но вот какое дело - Микротик обрабатывает правила по порядку. Теоретически есть шанс того, что в dst-nat пакет не залетит. Учитывая, что это более "узкое" правило, эффективнее его поставить первым. 


Написать отзыв

Похожие статьи

Как на Mikrotik отследить кто тратит траффик

Линейка домашних маршрутизаторов Mikrotik довольно часто используется как точка выхода в сеть Интернет. Типовая проблема, возникающая в этой области - маленькая скорость. Иначе говоря "Кто съел весь И..

Как в Mikrotik посмотреть кто подключен

Каждый администратор должен обладать информацией что и куда у него подключено. Администрирование Mikrotik – не исключение. Рассмотрим типовые точки внимания, которые можно быстро проверить и собрать..

Как на Ubiquiti UniFi сделать сброс Reset через инжектор

Никак :)Если вы повесили точку доступа на потолок, а потом что-то пошло не так, то можно не пытаться ее сбросить через тайную кнопку на инжекторе питания. Это бесполезно :)Если серьезно, то функция Re..

Переадресация портов Mikrotik - Переадресация портов RouterOS

Список контента, который вы прочтете в этой статье:

  • 1. Что такое Микротик?
  • 2. Что такое переадресация портов?
  • 3. Как настроить перенаправление портов Mikrotik?
  • 4. Заключение

MikroTik RouterOS — это автономная операционная система Linux, которая используется с сетевым оборудованием MikroTik. Однако это не единственная функция, которую он может выполнять. Это больше, чем просто ОС для маршрутизаторов. Фактически, это программное обеспечение можно установить даже на обычные ПК, чтобы превратить их в выделенные маршрутизаторы.

Тем не менее, в блоге есть пошаговая инструкция, как настроить проброс портов в MikroTik. Однако, прежде чем мы углубимся в это, мы сначала обсудим немного больше о самой ОС и дадим вам общее представление о том, что такое идентификатор переадресации портов и   Mikrotik port Forwarding и RouterOS Port Forwarding.

класс = "идентификатор ссылки">

MikroTik — латвийская компания по производству сетевого оборудования. Они разрабатывают и продают проводные и беспроводные сетевые маршрутизаторы, сетевые коммутаторы, точки доступа, операционные системы и вспомогательное программное обеспечение для своих продуктов.

MikroTik RouterOS — это операционная система, на которой работают его устройства и которая обладает очень высоким уровнем гибкости, когда дело доходит до управления сетью. RouterOS также можно установить на ПК, превратив его в маршрутизатор со всеми необходимыми функциями — маршрутизацией, брандмауэром, управлением полосой пропускания, беспроводной точкой доступа, транзитным каналом, шлюзом точки доступа, VPN-сервером и многим другим.

Сегодня мы рассмотрим функцию переадресации портов RouterOS. В отличие от других операционных систем, способ его настройки может быть не очень интуитивным, но по своей сути несложным. Перед настройкой конфигурации давайте сначала объясним, что такое перенаправление портов.

класс = "идентификатор ссылки">

Переадресация портов — это процесс перехвата трафика данных, направляемого на комбинацию IP-адреса/порта компьютера, и перенаправления его на другой IP-адрес и/или порт. Этот процесс можно легко выполнить с помощью маршрутизатора MikroTik или любой системы под управлением RouterOS.

Прежде чем мы дойдем до этого, попробуйте представить следующую ситуацию:

Вы ИТ-администратор. Вы создали большую сеть, и кто-то хочет удаленно подключиться к вашему VPS-серверу или выделенному серверу для удаленной работы. Вы не можете поделиться IP-адресом сервера с этим человеком из соображений безопасности. Что вы должны сделать? В этой ситуации вам следует использовать переадресацию портов на маршрутизаторе MikroTik для обработки всех запросов. Кроме того, вы можете проверить наш сервер Mikrotik VPS.

класс = "идентификатор ссылки">

Прежде всего, вы должны убедиться, что у вас установлена ​​последняя версия MikroTik RouterOS. Нажмите здесь, чтобы узнать, как обновить ОС MikroTik.

Шаг 1: Войдите на свой сервер MikroTik с правами администратора.

Шаг 2: Щелкните IP на левой боковой панели.

Шаг 3: В открывшемся подменю нажмите Брандмауэр .

Шаг 4: Перейдите к 9Вкладка 0017 NAT в окне брандмауэра.

Шаг 5: Нажмите кнопку + , чтобы создать новое правило.

Примечание . В этом сценарии предположим, что маршрутизатор подключается к IP-адресу (10.10.10.10), и мы хотим перенаправить все запросы с (10.10.10.10:5847) на (20.20.20.20:4324).

Шаг 6: Щелкните вкладку General и выберите dstnat из раскрывающегося списка chain .

Шаг 7: В Дст. В поле Address введите IP-адрес, с которого вы хотите пересылать все запросы (например, 10. 10.10.10 в нашем случае).

Шаг 8: В списке Протокол выберите протокол соединения, например TCP.

Шаг 9: В поле Dst. В поле «Порт » введите порт, с которого вы хотите пересылать запросы (например, 5847 в этом примере).

Шаг 10: Теперь перейдите на вкладку Действие .

Шаг 11: В раскрывающемся списке Action выберите dst-nat .

Шаг 12: В поле To Addresses введите IP-адрес, на который вы хотите пересылать все запросы (например, 20.20.20.20 в нашем случае).

Шаг 13: В поле To Ports введите порт, на который вы хотите пересылать запросы (например, 4324 в этом примере).

Шаг 14: Нажмите Применить , а затем OK , чтобы сохранить и добавить новое правило.

Вот и все. Вы успешно настроили свое первое правило переадресации портов на MikroTik. Чтобы добавить новые правила переадресации портов, просто выполните шаги с новыми портами или IP-адресами.

класс = "идентификатор ссылки">

Мы надеемся, что с помощью этой статьи вы теперь лучше понимаете Переадресация портов Mikrotik и можете без проблем настроить конфигурацию переадресации портов на MikroTik. Если вы столкнулись с проблемой или у вас есть какие-либо вопросы, вы можете опубликовать их в разделе комментариев ниже или связаться с нами через чат или по электронной почте.

Люди также читают:

  • Как сделать резервную копию конфигурации MikroTik?
  • Заблокировать URL на MikroTik
  • Как заблокировать сканер портов в MikroTik?
  • Трассировка на MikroTik
  • Тест пропускной способности MikroTik
  • Пароль Микротика по умолчанию