NAT - na jinou veřejnou IP

zip

Hezký den,

jedno zařízení se mi hlásí na veřejnou IP 2.2.2.2 a port 4433. Krabička, které tam poslouchala odešla a nyní bych potřeboval na daném Mikrotiku provést přesměrování potu 4433 tj. jakýkoliv požadavek přijde na 2.2.2.2:4433, aby se poslal na veřejnou IP 88.88.88.88:4433. Nynější Mikrotik bude pouze přeposílauč daného portu.

Pro doplnění na tom první Mikrotiku je veřejná IP natovaná na lokální IP .. Na druhé straně už je routovaná.

tj - klient -> pošle paket na 2.2.2.2:4433 MK to přepošle na 88.88.88.88:4433.

schrotterp

tak udelej dst-nat

zip

DST-NAT ti to nevyřeší jelikož musíš změnit source na tvojí IP a pak to poslat na remote IP.

skrivy

DST-NAT + SRC-NAT.
Takhle nejak by to mohlo vypadat v iptables:

-A PREROUTING -d 2.2.2.2/32 -p tcp -dport 4433 -j DNAT --to-destination 88.88.88.88:4433
-A POSTROUTING -d 88.88.88.88/32 -j SNAT --to-source 2.2.2.2

zip

skrivy v Linuxu si umim poradit 🙂

Cesta je spravna 🙂, ale jak na MK to zatim netusim ..

theitman

[neznámý] ta druhá veřejná ip se nachází na jiném routeru? v jiné části sítě? nebo přes internet nebo jak ?

zip

theitman ano je to uplne cizi router nekde v netu ..

theitman

zip no
pokud se tomu zdrojovému zařízení nelíbí, že mu odpověď přijde od jiné ip není moc možností, mě osobně by to nefungovalo nijak protože já blokuju vše co přijde z WANU a chce WANnem za se odejít 😃, na tohle pravidlo je potřeba dát pozor.
Jinak teoreticky ( i když takhle v noci už mi to moc nemyslí)
na MK s vIP1 udělat DST-NAT portu 4433 vIP1 na port 4433 vIP2
na MK s VIP1 udělat SRC-NAT kde SRC-IP bude vIP2 a src-nat bude vIP2

na MK s VIP2 udělat dst nat na cílovou interní ip, a srcnat za VIP2, je l tam víc možností, jinak stačí maškaráda

osobně bych ale ty mikrotiky spojil jakoukoliv vpnkou a posílal to tudy když už to musí jít přes oba, je mi jasné že u toho zařízení asi nejde změnit IP, ale navrhoval bych kvůli takovým aplikacím používat doménová jména

ludvik

Mikrotik je linux. Jen si to holt musíš naklikat, dle názvů políček si to (až na nějaké "mikrotik" speciality) dohromady dáš. Nebo máš i příkazovou řádku, tam už to trochu jinak vypadá ... ale i tak je to čitelné.

zip

add action=dst-nat chain=dstnat dst-address=PubIP1(local IP, když je to za NATEM) dst-port= 4433 in-interface=WAN1 protocol=tcp to-addresses=PubIP2 to-ports= 4433
add action=src-nat chain=srcnat src-address= PubIP2 to-addresses=PubIP1(local IP, když je to za NATEM)

theitman

Pokud máš tu 2.2.2.2 od isp natovanou na tvůj router třeba na interni IP na WANu tak ano, ale v tu chvíli se ten provoz natuje 3x
podle mě by to mělo fungovat