Mikrotik: Настройка проброса порта, чтобы и из локальной сети работал

Настройка проброса портов на роутерах Mikrotik дело не хитрое, если достаточно того, чтобы проброшенный порт был доступен только из интернета. Но иногда возникают ситуации, когда этот проброшенный порт должен отвечать и из локальной сети. В этой заметке я и покажу как настроить проброс порта, чтобы он работал и в локальной сети.

Проброс портов (Port Forwarding) - это технология, которая позволяет обращаться из Интернет к компьютеру во внутренней сети за маршрутизатором, использующим NAT. Доступ осуществляется при помощи перенаправления трафика определенных портов с внешнего адреса маршрутизатора на адрес выбранного компьютера в локальной сети.

Мы имеем:

• маршрутизатор Mikrotik с внешним IP-адресом 121.122.123.124
• локальная сеть 10.123.1.0/24
• внутренний адрес нашего Mikrotik 10.123.1.235
• web-сервер в локальной сети с адресом 10.123.1.9
• web-сервер слушает 80, который нам и нужно пробросить

Первым делом создадим правило, чтобы при обращении на 121.122.123.124:80 нам отвечал 10.123.1.9:80

ip firewall nat add chain=dstnat protocol=tcp dst-port=80 in-interface=ether1-MTC action=dst-nat to-addresses=10.123.1.9 to-ports=80

В Winbox'e это будет выглядеть так:

Ну и теперь опишем то, ради чего все это писалось - настроим проброс порта, чтобы он из локальной сети работал.

Правило первое - для проброса портов из локальной сети:

ip firewall nat add chain=dstnat src-address=10.123.1.0/24 dst-address=121.122.123.124 protocol=tcp dst-port=80 action=dst-nat to-addresses=10.123.1.9 to-ports=80

Скрины с Winbox'а:

Правило второе - для source-nat:

ip firewall nat add chain=srcnat src-address=10.123.1.0/24 dst-address=10.123.1.9 protocol=tcp dst-port=80 action=src-nat to-addresses=10.123.1.235

И снова скрины:

Все это путешествие для пакетов выглядит примерно так:

1. LAN-клиент -> Mikrotik, 10.123.1.123:80 -> 121.122.123.124:80 - тут пакеты проходят через первое правило.
2. Mikrotik -> web-сервер, 10.123.1.123:80 -> 10.123.1.9:80 - тут произошло перенаправление и пакеты теперь успешно проходят в локальную сеть после замены адреса назначения. Далее наш web-сервер получает перенаправленный через роутер пакет и отвечает на него напрямую в обход роутера.
3. web-сервер -> LAN-клиент, 10.123.1.9:80 -> 10.123.1.123:80 - это ответный пакет от сервера. Но клиент ожидает пакеты с адресом источника 121.122.123.124, поэтому эти пакеты отбрасывает. Вот здесь нам понадобилось второе правило, чтобы ответные пакеты web-сервера также прошли через маршрутизатор.

Всем удачи в настройке!

• Опубликовано: 19 августа 2016
• Обновлено: 04 августа 2017
• Рубрика: Mikrotik