Что за технология
У проброса портов есть масса названий, от чего может
возникнуть путаница. Кто-то привык называть это форвардингом, кто-то –
перенаправлением порта. В англоязычной литературе называют коротко и ёмко – Dst. NAT. Всё это означает одно и то же –
разновидность трансляции сетевых адресов, при которых происходит подмена адреса
назначения. Можно представить это как путь «снаружи-внутрь», в отличие от
Маскарадинга (Src.NAT) – «изнутри-наружу».
Для чего это нужно
Когда сегмент локальной сети спрятан за NAT, обычно нет способов инициировать
соединение с «серыми» адресами находясь со стороны Интернета. А это бывает
необходимо, например, для организации удалённого доступа на какой-нибудь сервер
в DMZ. Или, например,
на видеорегистратор для удалённого просмотра изображений. Если возникла такая
задача и в качестве маршрутизатора выступает Микротик, будем делать проброс
нужных портов.
Как настроить
Шаг 0. Подготовительный
На этом шаге определяемся, какие сервисы на каких сетевых
узлах нам необходимо «опубликовать». Для RDP-доступа на сервер 192.168.1.10, например, нужно публиковать
192.168.1.10:3389 (если порт по умолчанию не менялся). Для доступа на
видеорегистратор, может публиковаться, например, 192.168.1.201:8080.
Шаг 1. Переходим в настройки Mikrotik
(покажу на примере winbox). Открываем раздел «IP» – «Firewall» на вкладку «NAT»
Шаг 2. Создаём правило
Нажимаем "+" в этом окне и указываем примерно следующее:
- Chain (цепочка): dstnat
- Protocol (протокол): tcp или udp
- Dst.Port (порт назначения): порт внешний
- In. Interface (входящий интерфейс): указывается сторона провайдера
- Action (действие): В качестве действия выбираем "dst-nat" - подмена адреса назначения
- Log (журналирование): по желанию.
- To Addresses: адрес хоста, куда будет перенаправлен входящий пакет
- To Ports: номер порта хоста, куда будет перенаправлен пакет.
Шаг 3: Правило должно быть раньше маскарадинга
Думаю, шаг не обязательный, но вот какое дело - Микротик обрабатывает правила по порядку. Теоретически есть шанс того, что в dst-nat пакет не залетит. Учитывая, что это более "узкое" правило, эффективнее его поставить первым.
