Проброска портов на Mikrotik 750

[KpblcuK]

3 локальных сегмента, адреса: 10.10.101.0, 10.10.102.0, 10.10.103.0. Маски 255.255.255.0.
2 канала на интернет, один с DHCP, на нем проброс делать не надо. Второй IP статический, но по DHCP получает серверы DNS и маршруты, которые иногда меняются.

Задача состоит в том, чтобы ходил трафик между локальными сегментами, а остальное отправлялось в Интернет. И можно было при необходимости пробросить порт со второго внешнего канала любому локальному пользователю.

З.Ы. Может тоже надо: распределение трафика между внешними каналами по группам пользователей. Mark route при помощи Mangle и дальше все промаркированные через NAT на один канал, все без маркера через NAT на другой.

Как я это вижу:
1 порт - провайдер 1
2 порт - провайдер 2
3 порт - 10.10.101.1/24
4 порт - 10.10.102.1/24
5 порт - 10.10.103.1/24

Создаем в IP-Routes маршруты:
Dst. address 10.10.101.0/24, Gateway 3 порт
Dst. address 10.10.102.0/24, Gateway 4 порт
Dst. address 10.10.103.0/24, Gateway 5 порт

Создаем правила НАТа:
Chain src-nat, Out. Interface порт 3, Action masquerade
Chain src-nat, Out. Interface порт 4, Action masquerade
Chain src-nat, Out. Interface порт 5, Action masquerade

Правила Mangle:
Chain forward, Protocol tcp, In. interface порт 3, Action change MSS, New TCP MSS 1420, Passthrough - да
Chain forward, Protocol tcp, Out. interface порт 3, Action change MSS, New TCP MSS 1420, Passthrough - да
Chain forward, Protocol tcp, In. interface порт 4, Action change MSS, New TCP MSS 1420, Passthrough - да
Chain forward, Protocol tcp, Out. interface порт 4, Action change MSS, New TCP MSS 1420, Passthrough - да
Chain forward, Protocol tcp, In. interface порт 5, Action change MSS, New TCP MSS 1420, Passthrough - да
Chain forward, Protocol tcp, Out. interface порт 5, Action change MSS, New TCP MSS 1420, Passthrough - да

Проброс портов:
Правило в файерволле - Chain Input, protocol tcp, Dst. port нужный порт, In. interface порт 2, Action accept
Правило в НАТе - Chain dst-nat, protocol tcp, Dst. port нужный порт, In. interface порт 2, Action dst-nat адрес, порт

[Algon]

По портам так и есть, 1 и 2 ваны, остальные ланы.

В Routes такие маршруты созданы автоматом, я их не трогал. Но приоритет у них ниже, чем у маршрутов в интернет (на 0.0.0.0/0) поэтому весь трафик, адресованный в другой сегмент - валит в интернет. Как изменить приоритеты маршрутов - сие есть большая и страшная тайна. Нигде не нашел.

Наты у меня чуть по-другому, но работают. Попробую такой вариант.

А зачем менять MSS? У меня нет коммутируемых соединений и VPN, все идет по LAN напрямую, MTU везде 1500.

Проброс тоже чуть отличается от того, что я пробовал, но его надо пробовать после того, как заработают маршруты.

[KpblcuK]

По портам так и есть, 1 и 2 ваны, остальные ланы.

В Routes такие маршруты созданы автоматом, я их не трогал. Но приоритет у них ниже, чем у маршрутов в интернет (на 0.0.0.0/0) поэтому весь трафик, адресованный в другой сегмент - валит в интернет. Как изменить приоритеты маршрутов - сие есть большая и страшная тайна. Нигде не нашел.

Наты у меня чуть по-другому, но работают. Попробую такой вариант.

А зачем менять MSS? У меня нет коммутируемых соединений и VPN, все идет по LAN напрямую, MTU везде 1500.

Проброс тоже чуть отличается от того, что я пробовал, но его надо пробовать после того, как заработают маршруты.

Приоритет у локальных маршрутов должен быть 0, для маршрутов вида 0.0.0.0./0 должен быть 1.
Попробуйте пропишите маршруты не автоматом.

[Algon]

Где задать приоритеты???

[KpblcuK]

Distance

[KpblcuK]

Где задать приоритеты???

[ATTACH=CONFIG]12930[/ATTACH]

Ну как результаты?

[Algon]

Пробовал. Ничего не меняется. Маршруты типа "10.10.101.0/24, Gateway ether3" все равно не работают, вне зависимости от того, какое значение Distance указано для интерфейсов.
Даже проводил эксперимент, ставил разные значения для обоих WAN и отключал маркировки. По идее в этом случае весь интернет-трафик должен идти на порт, приоритет которого выше. Правильно?
А через второй порт должно проходить только в том случае, если первый недоступен. Но реально пакеты все равно случайным образом прут через оба интерфейса.

[KpblcuK]

Значит что-то не так с остальными настройками. Я бы посмотрел на сам маршрутизатор. В чудеса не верю...

[lexxkin]

Все большое спасибо , роутер настроен

Немного с поздним зажиганием......
А в чем дело было ? Я сейчас тоже мучаюсь, не могу ftp микротика открыть на внешку.

[ZHNet]

Вот таким образом сделан проброс... все функционирует
pppoe_out подключение для выхода в тырнет
172.24.0.0 локалка для pppoe внутри сети

[lexxkin]

Спасибо уже разобрался :
IP - Firewall - Service Ports (ftp был выключен).

P.S. Как говорится, если вам не нравится микротик, то вы просто не умеете его настраивать:mda:

[lexxkin]

Кстати, а чем предпочтительней использование netmap?
Вроде, и dstnat работает.....
Это я про вкладку action