Přístup z veřejné ip adresy na mikrotik za natem s PPTP tunelem

rack

Dobrý den, mám dvě sítě s mikrotiky .
MK1 má veřejnou ip adresu.
MK2 je schovaný za natem poskytovatele a potřeboval bych se dostat z internetu na zařízení v síti LAN.
vytvořil jsem tedy spojení pomoci PPTP nastavil routy a nyní jsem ve stavu že se z lokální sít MK1 dostanu na zařízení v lokálni siti MK2.
Bohužel nemohu přijít na to jak nastavit Dnat tak aby ,když se připojím na veřejnou ip adresu MK1 jsem se dostal na zařízeni v lan síti MK2.
Je to vůbec možné nastavit ,takhle přes PPTP tunel?

MK1 LAN 192.168.4.0/24 gw192.168.4.1
MK1 Tunel ip 10.0.10.1
MK2 LAN 192.168.6.0/24 192.168.6.1
MK2 Tunel IP 10.0.10.2
Routa na MK1 192.168.6.0/24 10.0.10.2
Routa na MK2 192.168.4.0/24 10.0.10.1

Když nastavím DNAT na MK1 z veřejné ip adresy na ip adresu 192.168.6.50 ,tak se na zařízení nedostanu.
zařízení mi pinká z terminálu mk1 a je i dostupné z LAN mk1 ,ale nepinká z interfacu ,které je na na lan MK1.
Myslím se že v tom bude problém.
NA MK2 jsem vypnul FW.
Otázka tedy zní , je reálné touto cestou dosáhnout mého požadavku? 😃
Za jakékoliv nakopnutí budu rád. 😀
Děkuji za odpovědi 🙂

majklik

Jo, jde to nastavit třema způsoby:
a) na MK1 budeš současně s DSTNAT směr MK2 dělat i SRC nat toho spojneí z internetu, aby se pakety z MK2 vracely tunelem k MK1 (jednodušší řešení, nevýhoda je, že v MK2 logu uvidíš tyto spojneí schované za PPTP IP toho MK1),
b) na MK1 necháš jen ten DSTNAT a na MK2 použiješ markování paketů, že přišel PPTP tunelem a dle toho použiješ routovací tabulku, že co přišlo tunelem, to odroutuji zpět do tunelu.
c) zjednodušená verz Béčka směřuji jen na základě zdrojové adresy, pokud to DSTNAT na MK1 provádím na IPčko 10.0.10.2, tak pak jen použiju policy routing na MK2, že od této adresy to narvu do tunelu. Např:
/ip route rule add comment="Vnitrni cilove IP routuj vzdy pres main tabulku" dst-address=10.0.0.0/8 table=main add dst-address=192.168.0.0/16 table=main add comment="Pakety z jen IP 10.0.10.2 cpu vzdy do tunelu, pokud cilova IP neni 10/8 a 192.168/16" src-address=10.0.10.2 table=tunel action=lookup-only-in-table /ip route add distance=1 gateway=10.0.10.1 pref-src=10.0.10.2 routing-mark=tunel add distance=5 routing-mark=tunel type=unreachable </pre>

rack

majklik
Děkuji za odpověď.
Bohužel jsem zatím žádnou z možností nezprovoznil.
co se týče toho áčka ,tak jsem zkoušel toto nastavení:
na mk1 s veřejnou ip adresou udělat DSTNAT chain=dstnat action=dst-nat to-addresses=10.0.10.0/24 to-ports=80
protocol=tcp in-interface=WAN dst-port=88 log=no log-prefix=""

na mk2 chain=srcnat action=src-nat to-addresses=192.168.6.50
src-address=10.0.10.0/24 out-interface=all-ppp log=no log-prefix=""
na mk2 mám zaplou maškarádu ,ale zkusil jsem jí omezit ,tak aby nereagovala na provoz z tunelu.
chain=srcnat action=masquerade src-address=192.0.0.0/8
out-interface-list=WAN log=no log-prefix="" ipsec-policy=out,none

Dál si nevím rady.
Vidíte prosím někde chybu? SRCNAT řeším poprvé a zatím dost tápu.😃
Děkuji ještě jednou za odpověď.

hapi

Romon

rack

hapi
Romon je pouze na nastavování mikrotiku ne? 🙂
Já bych se potřeboval dostat do nemikrotik zařízení. 😃