Rivalry2

HTML Diff

0 added 0 removed

Original 2026-01-01

Modified 2026-03-10

1 <ul><li><a>Что такое проброс</a></li>

2 <li><a>Destination NAT</a><ul><li><a>Для удаленного рабочего стола</a></li>

3 <li><a>Видеонаблюдение</a></li>

4 <li><a>Несколько внешних IP</a></li>

5 <li><a>Перенаправление на роутер</a></li>

6 </ul></li>

7 <li><a>Через L2TP</a></li>

8 <li><a>Source NAT</a><ul><li><a>Статический WAN</a></li>

9 <li><a>Динамический WAN</a></li>

10 </ul></li>

11 <li><a>Секреты быстрого изучения</a></li>

12 </ul>Для работы интернета в офисах часто используются устройства Микротик. Они славятся своей стоимостью и функциональностью. Однако настройка подключений на роутере Mikrotik может вызывать определенные вопросы даже у опытных администраторов.

13 Далее предстоит научиться делать проброс порта на роутере Микротик. Предложенная информация будет особо полезна новичкам, которые ранее не имели существенного опыта в настройке маршрутизатора.

14 <h2>Что такое проброс</h2>

15 Проброс портов (Port Forwarding) Mikrotik - это одна из наиболее востребованных конфигураций роутера. Она представлена технологией, позволяющей обращаться к узлам, размещенным за маршрутизатором, путем перенаправления трафика. Делается это для определенных портов. "Сигнал" с внешнего адреса маршрутизатора перенаправляется на внутренний адрес узла в заданной локальной сети. Соответствующая операция становится возможной за счет NAT.

16 NAT (или Network Address Translation) - способ преобразования сетевых адресов. Основное предназначение технологии заключается в экономии белых IP-адресов, а также в повышении уровня безопасности Сети. Результат достигается за счет ограничений, устанавливаемых относительно обращений к внутренним хостам LAN снаружи, а также возможностей скрытия сервисов подменой портов.

17 Классический тип NAT технологии предполагает, что количество одновременных выходов в интернет из локальной сети за пределами доступа "ната" ограничивается количеством свободных ports TCP/UDP.

18 По умолчанию для LAN-сетей, расположенных за NAT, доступ к интернету предоставляется. Из глобальной сети в NAT-сеть попасть не получится. Исключение есть, причем всего одно - это проброс портов. Настроить его не всегда легко.

19 Проброс портов на Mikrotik роутере через NAT подразделяется на несколько видов:

20 <ol><li>Destination NAT. Это изменение IP-адреса назначение, а также выполнение обратной функции для ответа. Преобразование адреса получателя получило название "dst-nat".</li>

21 <li>Source NAT. Так называется изменение IP-адреса источника и выполнение обратной функции для ответа. Процедура называется src-nat.</li>

22 </ol>Все остальные манипуляции в роутере при его настройке - это производные от dst-nat и src-nat. NAT будет обрабатывать только первый пакет соединения.

23 <h2>Destination NAT</h2>

24 Пробросить порт через цепочку Dstnat в Микротике можно для изменения IP-адреса, а также port назначения с последующим выполнением обратной функции для ответа. Используется соответствующий вариант для проброса в локальной сети и доступа извне. Допускается реализация такой настройки для перенаправления любого имеющегося DNS-трафика через подключенный маршрутизатор.

25 К стандартным действиям цепочки dst-nat относят: redirect (преобразование на адрес маршрутизатора) и dst-nat - преобразования порта и адреса получателя. Далее будут рассмотрены примеры реализации соответствующих конфигураций для различных подключений.

26 <h3>Для удаленного рабочего стола</h3>

27 <a>Технология удаленного рабочего стола</a>(RDP) позволяет сделать администрирование намного удобнее и проще. Она открывает "операционную систему" выбранного компьютера, позволяя пользователю работать с ней через интернет.

28 При использовании RDP не рекомендуется пользоваться стандартным port 3389. Связано это с тем, что он часто подвергается атакам. Поэтому сервис будет скрыт через подмену порта. Для этого потребуется:

29 <ol><li>Открыть ip firewall - Nat.</li>

30 <li>Нажать на "+".</li>

31 <li>Во вкладке General задать цепочку правил,<a>протокол</a>, а также протокол подключения и входящий интерфейс: .</li>

32 <li>Перейти в раздел Action.</li>

33 <li>Заполнить данные: .</li>

34 <li>Сохранить конфигурационные настройки.</li>

35 </ol>Если необходимо пробросить порт в Микротике, обязательно указывается входящий интерфейс. В противном случае не исключены серьезные проблемы подключения.

36 В разделе General каждая строка отвечает за свои параметры:

37 <ul><li>chain: dstnat - цепочка правил, которые устанавливаются для IP-адреса назначения;</li>

38 <li>protocol: 6 (tcp) - протокол, используемый для конфигурации в роутере;</li>

39 <li>dst. Ports: 47383 - номер port по которому происходит обращение к маршрутизатору;</li>

40 <li>in. Interface - входящий интерфейс WAN (в примере - это ether1).</li>

41 </ul>При заполнении раздела Action:

42 <ul><li>в<a>поле</a>Action указывается значение dst-nat;</li>

43 <li>to addresses - внутренний IP хоста, к которому необходимо получить доступ через RDP;</li>

44 <li>to ports - port, на который перенаправляются запросы.</li>

45 </ul>Это - один из вариантов forward, который встречается при администрировании сетей.

46 <h3>Видеонаблюдение</h3>

47 Пробросить подключение для системы видеонаблюдения можно, изучив инструкцию для конкретного оборудования. Далее - пример для видеосервера с программным обеспечением "Линия". В случае с пробросом на Микротик напрямую, настройки будут выставляться аналогичным образом.

48 В примере предполагается, что есть видеосервер к которому необходимо подключиться извне. Сначала потребуется открыть настройки программного обеспечения "Линия". Это необходимо для уточнения порта веб сервера:

49 Сделать проброс потребуется для порта 9786. Для этого необходимо:

50 <ol><li>Открыть Winbox.</li>

51 <li>Добавить правило со следующими параметрами: .</li>

52 <li>Во вкладке Action указываются такие настройки: .</li>

53 </ol>После сохранения изменений соединение будет настроено. Обязательно при работе с роутером Микротик требуется указывать интерфейсы.

54 <h3>Несколько внешних IP</h3>

55 Сделать проброс для нескольких WAN удастся через создание Interface List. Сюда потребуется добавить все необходимые интерфейсы. Далее созданный list указывается в качестве значения параметра in. interface list.

56 Настройка forwarding на несколько внешних IP осуществляется так:

57 <ol><li>Создать новый лист для интерфейсов ISP. Для этого перейти в Interface - Interface List - Lists. Нажать на "+": .</li>

58 <li>Добавить WAN интерфейсы: .</li>

59 <li>Повторить предыдущий шаг для всех WAN.</li>

60 <li>Forwarding может быть настроен через модернизацию ранее установленного правила проброса RDP. Достаточно добавить ISP в In. Interface List: .</li>

61 </ol>Но и это еще не все возможные варианты настройки подключения. Можно перенаправлять трафик прямо на маршрутизатор.

62 <h3>Перенаправление на роутер</h3>

63 При помощи действий redirect Микротик поддерживает перенаправление трафика на маршрутизатор. Далее настраиваем NAT путем выполнения переадресации DNS-запросов.

64 Перенаправление будет выполняться для всего DNS-трафика. Пользователи в LAN, независимо от настроек DNS, будут считать, что им отвечает DNS-сервер, которому делается запрос. На самом деле ответ фактически придет от подключенного маршрутизатора.

65 Для этого предстоит выполнить следующие действия:

66 <ol><li>Дождаться открытия Winbox.</li>

67 <li>Открыть IP - Firewall - NAT.</li>

68 <li>Нажать на "+".</li>

69 <li>Во вкладке General выставить такие forward настройки NAT: .</li>

70 <li>В разделе Action указать действие типа redirect: .</li>

71 </ol>Остается сохранить изменения - и настройка проброса портов в Mikrotik будет завершена.

72 <h2>Через L2TP</h2>

73 Несколько устройств Микротика могут настраивать NAT forward друг другу через L2TP. В данной ситуации есть два роутера: один выходит в Сеть по "серому IP-адресу", второй - через выданный провайдером "белый IP".

74 Выше - пример того, как будет выглядеть схема веб подключения. Port пробрасывается до WS01 через GW1. Чтобы добиться соответствующего результата, потребуется:

75 Зайти на маршрутизатор GW2.

76 Открыть IP - Firewall- Mangle - "+".

77 В разделе Action написать: .

78 Промаркировать соединения цепочки forward аналогичным образом: .

79 В Action написать: .

80 Сделать маркировку маршрутов для веб подключения:

81 .

82 Для prerouting установить настройки: .

83 Теперь необходимо для L2TP добавить маршрут по умолчанию для макетов, которые получили маркировку в качестве пришедших из туннеля. Для этого необходимо:

84 Перейти в IP - Routers - "+".

85 Установить значения: .

86 Перейти к конфигурациям GW1 путем проброса порта до хоста 192.168.13.48:

87 Теперь все будет открываться так, как было задумано изначально. Если же требуется создать внутреннюю сеть, можно использовать приложение OPEN VPN.<a>Здесь</a>- пример настройки соответствующего подключения.

88 <h2>Source NAT</h2>

89 Source NAT используется для того чтобы изменить IP-адрес и порт источника. Далее - для выполнения обратной функции ответа. Наиболее распространенное применение - это выход из множества компьютеров в интернет (web) при помощи одного "белого" IP.

90 Для Sources forwarded актуальные действия:

91 <ul><li>src-nat - преобразование адреса/порта отправителя;</li>

92 <li>masquerade - отвечает за преобразование адреса отправителя на адрес исходящего интерфейса, а порта - на случайный.</li>

93 </ul>Далее будут рассмотрены примеры соответствующей технологии.

94 <h3>Статический WAN</h3>

95 При получении статического IP-адреса от провайдера, рекомендуется настройки NAT осуществлять через правило src-nat. Связано это с тем, что устройства, которые подключены к LAN, смогут подключаться к глобальной Сети.

96 Для этого нужно:

97 <ol><li>Зайти в WinBox в настройки NAT.</li>

98 <li>Указать там следующие параметры: .</li>

99 <li>Переключиться в Action и задать характеристики: .</li>

100 </ol>Теперь остается сохранить изменения. Если все сделано верно, при выходе в интернет из LAN-сети результат будет access.

101 <h3>Динамический WAN</h3>

102 Динамический IP - это ситуация, при которой у<a>Mikrotik проброс портов</a>сводится не к VPN или src, а к Masquerade. Он представлен частным случаем src-nat для ситуаций, при которых внешний IP может меняться динамически.

103 При наличии нескольких внешних интерфейсов рекомендуется добавить условие выделения трафика по адресу источника:

104 .

105 Если использовать masquerade вместо src-nat, не исключены проблемы с телефонией, а также с установкой подключения при 2-х и более WAN-каналах. Также на центральный процессор оказывается повышенная нагрузка, если создается большое количество PPPoE-соединений.

106 <h2>Секреты быстрого изучения</h2>

107 Микротик - оборудование, которое требует определенных знаний и умений при конфигурировании, будь то VPN или другие соединения. Самостоятельно изучить настройки не всегда легко, поэтому на помощь приходят разнообразные компьютерные курсы. Они дистанционно, в режиме "онлайн", смогут научить пользователя с нуля не только настраивать оборудование, но и писать программы на различных языках.

108 Во время занятий автор курса и тренер будет курировать учеников, а также давать им интересные лабораторные работы (практику) и домашние задания. Пользователи всегда смогут посмотреть пропущенные вебинары в записи, сформировав собственные схемы обучения работе с NAT и портами, Микротиком и другим оборудованием. В конце обучения выдается электронный сертификат для подтверждения приобретенных знаний.

109 P. S. Интересуют компьютерные сети, сетевые технологии, протоколы передачи данных? Обратите внимание на следующие курсы в Otus:

110 <ul><li>"<a>Network engineer</a>";</li>

111 <li>"<a>Network engineer. Basic</a>".</li>

112 </ul>