problem sa forvardovanjem portova

Postovani,

imam problem sa forvardovanjem portova na mikrotik-u 2011, radi se o sledecem....

na eternet 1 portu nalazi se WAN i tu dolazi SBB internet, na eternet 3 portu je lan izlaz gde je konfigurisan DHCP u opsegu 192.168.31.1 - 192.168.31.200, a na eternet 4 portu je lan 2 gde je konfigurisan DHCP sa opsegom 192.168.2.1 - 192.168.2.200...

Radi se o dve firme koje koriste razlicite opsege a isti ruter i onda sam od prve firme sa opsegom 31.1 dobio zahtev da preusmerim portove 3389 za adresu 192.168.31.100. i za istu tu adresu opseg portova od 50000 - 52000, i to sve radi korektno...

Problem nastaje kada sam dobio zahtev od druge firme sa opsegom 2.1, takodje da preusmerim portove 8101 - 8105 i 9001-9010, i desava se sledece , kada u open port chk pogledam koji su portovi otvoreni on izbacuje samo 8101, 8105, 9001, 9010, ya ostale portove kaze da su zatvoreni....

da napomenem da je na istom ruteru konfigurisan IPSEC prema telenoru koji funkcionise normalno.....

da li neko moze da mi pomogne oko ovog problema....

daj export tog pravila iz NAT-a koje ti ne radi

Potpis

Šaka

ip firewall nat
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=3389 in-interface=ether1 protocol=tcp to-addresses=192.168.31.1 to-ports=3389
add action=dst-nat chain=dstnat dst-address=89.216.209.165 in-interface=ether1 protocol=tcp to-addresses=192.168.31.1 to-ports=50000-52000
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=8101 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=8101
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=8102 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=8102
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=8103 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=8103
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=8104 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=8104
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=8105 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=8105
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9001 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9001
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9002 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9002
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9003 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9003
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9004 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9004
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9005 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9005
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9006 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9006
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9007 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9007
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9008 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9008
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9009 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9009
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9010 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9010
add action=masquerade chain=srcnat out-interface=ether1

da napomenem da port 3389 i opseg portova od 50000-52000 bez problema rade, jedino sto ne radi je 8101-8105 i 9001-9010

_{[Ovu poruku je menjao scsi77 dana 18.01.2019. u 14:15 GMT+1]}

Meni je čudno što ti ovde:

add action=dst-nat chain=dstnat dst-address=89.216.209.165 in-interface=ether1 protocol=tcp to-addresses=192.168.31.1 to-ports=50000-52000

fali dst-port


Probaj ili da namestis dst-port=50000-52000 ili da to rpavilo pomeris na kraj svih dst-nat pravila.

Potpis

http://pedja.supurovic.net - http://wireless.uzice.net - Besplatni .RS domeni - Mikrotik uputstva - YT9TP - OpenStreetMap Srbija

@scsi77
Predpostavljam da hoces dolazne portove 8101-8105 i 9001-9010 (sa bilo koje dolazne destinacije) da okrenes na host 192.168.2.100 koji je iza NAT-a unutar tvoje mreze.
Ja bi to uradio ovako:


Pravilo bi trebalo da sve portove koji su u rasponu definisanom okrene na IP adresu 192.168.2.100 sa istim portom sa kojim je i dosao paket i trebalo bi da radi...tj mislim da ne treba dst-port

Kako od provajdera dobijas adresu na eth1? Jel dobija javnu direktno ili PPPoE ili mozda jos tvoj modem pravi NAT?

Potpis

Šaka

Jos malo pojasnjenja....

imam 5 DVR uredjaja, i u njima je konfigurisana statucka adresa lokacije na kojoj se nalazi MIKROTIK, sto znaci da oni napadaju mikrotik. Na serveru koji se nalazi iza mikrotika u softveru konfigurisani su portovi 8101-8105 i 9001-9010. Sto znaci da DVR-ovi napadaju mikrotik preko staticke adrese i uz pomoc IP adrese 192.168.2.100 i otvorenih portova pristupaju serveru (cija je adresa 2.100)


Internet od provajdera dobijam direktno sa modema na moj ruter....

Najvise me buni sto sam ja na istom ruteru za FIRMU I preusmerio port 3389 za adresu 192.168.31.1 i opseg portova 50000-52000 za adresu 192.168.31.1 i radi odlicno

a onda dobio drugi zahtev da za FIRMU II otvorim opseg portova 8101-8105 i 9001-9010 za adresu 192.168.2.100 i nece da radi, ali mi se desavalo da kada pomerim poziciju preusmerenog porta on proradi....

Izvini ja bi ti pomogao ali ja ne mogu da te pohvatam nikako.

Nisam ni mislio da ga dobijas sa cesme slaufom ;) nisi sa tim nista rekao Jel PPPoE podignut na Mikrotiku ili Mikrotik ima direktno javnu IP adresu? tj koja ti je adresa na eth1 na Mikrotiku? Ako ima ne eth1 neku privatnu adresu onda ti taj modem radi NAT i onda je skroz druga problematika zasto ti to ne radi.

ovaj dio nikako ne razumijem sta hoces da kazes
Predpostavka kada se radi foward portova je da neki host sa interneta zeli da pristupi po nekom portu na neki uredjaj koji se nalazi u tvojoj mrezi...u tvoj slucaju neko hoce da pogleda kamere?
E ti sad pominjes i servere i DVR pa nisam bas siguran da razumijem sta hoces da uradis, mozda bi najbolje bilo neku sliku ili semu da nacrtas pa objasnis

Potpis

Šaka

jesam malo iskomplikovao pricu i sebi i vama koji pokusavate da mi pomognete, ali radi se o sledecem... ovo su forvardovani portovi

ip firewall nat
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=3389 in-interface=ether1 protocol=tcp to-addresses=192.168.31.1 to-ports=3389
add action=dst-nat chain=dstnat dst-address=89.216.209.165 in-interface=ether1 protocol=tcp to-addresses=192.168.31.1 to-ports=50000-52000
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=8101 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=8101
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=8102 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=8102
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=8103 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=8103
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=8104 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=8104
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=8105 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=8105
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9001 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9001
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9002 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9002
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9003 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9003
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9004 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9004
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9005 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9005
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9006 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9006
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9007 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9007
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9008 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9008
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9009 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9009
add action=dst-nat chain=dstnat dst-address=89.216.209.165 dst-port=9010 in-interface=ether1 protocol=tcp to-addresses=192.168.2.100 to-ports=9010
add action=masquerade chain=srcnat out-interface=ether1

ovo sto je oznaceno plavim to radi normalno i sa tim nemam problema, ali portovi koji su oznaceni crvernim mi ne rade, ako portove koji su plavi pomerim neki red nize ni oni nece raditi....

PPPoe nije podignut, vec adresu dobija sa modema, adresu koju dobijam na mikrotiku je 89.216.209.165

Napisao sam ti u prvom postu:

Ne treba ti dst-address=89.216.209.165 jer si rekao da ti je in interface ether1, i predpostavljam da nemas vise up linkova prema net-u
Ova 2 pravila ce ti sve dolazne portove 8101-8105 9001-9010 proslediti na adresu 192.168.2.100 koja se krija iza NAT-a na javnoj IP 89.216.209.165...i ako adresa 192.168.2.100 osluskuje ove protove imaces komunikaciju sa njima i ono sto hoces...ako ovo uopste hoces?

Potpis

Šaka

Uradi kako ti je predložio Peđa. Ukoliko ne želiš to da probaš prebaci pravilo

da bude pretposlednje (ispred maskarade) jer u tvojoj konfiguraciji sve ispod nema smisla.
Pošto je u pitanju lanac akcija(karika), prva akcija(karika) je da se zahtevi ka portu 3389 preusmere na port 3389 , sledeća akcija(karika) je da se svi tcp zahtevi ka adresi 89.216.209.165 preusmere na lokalnu adresu 192.168.31.1 na portove 50000-52000
Sve ostalo u lancu ispod ove akcije(karike) preusmerava konekcije na lokalnu adresu 192.168.31.1 na portove 50000-52000

Probaj ovako da poređaš prvila za nat

Potpis

Teorija - to je kada znate sve, a ništa ne radi
Praksa - to je kada sve radi, a neznate zašto
Mi smo spojili teoriju i praksu - kod nas NIŠTA ne radi i NE ZNAMO zašto
ex YT1ENG
KN03XH-16DQ