Nastavení přesměrování portů

[polo]

Ahoj, prejdu rovnou k veci. Mam verejnou adresu a za routerem(mikrotik) je LAN s PC kam potrebuju presmerovat porty. Vse co dojde na "verejnou:3389" presmeruj na "PC v LAN:3389" Nastavil jsem si jak FW tak NAT, podle kolegy z prace by to melo byt OK, ale spojeni presto nejede:( Muzete mi prosim poradit kde je chyba? Pro usnadneni jsem udelal screeny a umistil na web: http://abebe.wz.cz/vut.html
Jsou tam 4 screeny "mikrotik". Muj nazor je ten ze je neco spatne s NAT protoze z venku je na mikrotik prihlasit tzn FW by mel byt nasteveny dobre.
Diky za pripadnou radu.

[Nick_xx]

Vyzkoušej:

Kód: Vybrat vše

/ip firewall filter \
add action=accept chain=forward comment="" disabled=no dst-port=3389 \
in-interface=<ROZHRANÍ.DO.NETU> protocol=tcp

/ip firewall nat \
add action=netmap chain=dstnat comment="" disabled=no dst-address=<VEŘEJNÁ.IP> dst-port=3389 \
in-interface=<ROZHRANÍ.DO.NETU> protocol=tcp to-addresses=192.168.0.2

[polo]

in-interface=<ROZHRANÍ.DO.NETU> tady mam zadavat co? Zkousel jsme jak verejnou adr tak nazev rozhrani ktere je do netu "ether5-wan". Napise to:
input does not match any value of interface. Nenapada co jineho by to chtelo...

[Nick_xx]

Je to rozhraní, na kterém je nastavená veřejná IP. Zkus tedy pouze ve filtru (první obrázek) nastavit forward místo inputu. Když nepomůže a bude nutné i rozhraní (které ti vyhazuje chyby), snad poradí někdo jiný - já se s touto chybou ještě nesetkal.

[hermanek.t]

NAT a forwarding portu jsem resil tady 81.31.47.210 user demo heslo demo... snad ti to helfne

[polo]

Nastavil jsem to podle user demo a jede to. Dal jsem na web zase screen(zmenil jsem jen ten prvni). Jeste bych se chtel zeptat ... kdyz jsem tam mel napsanou VEREJNOU IP (v polozce dst.adress) tak to nejelo. Podle me i kdyz to funguje tak to nejede spravne a to proto ze podle toho pravidla totiz kdyz neco dojde na !JAKEKOLIV! rozhrani Mikrotiku:3389 tak to forwarduje vzdy na 192.168.0.2:3389 coz jsme nechtel. Chtel jsem vse co prijde na verejnou:3389 -> 192.168.0.2:3389. Ale asi nema se smysl se v tom zas tak rypak - muzu byt rad ze to jede. "U posledniho screenu" jsme zjistil ze je jedno zda se tam napise do kolonky action: dst.nat nebo netmap.
Dodal bych snad jen to ze do kolonky "in. interface" mohu vybrat ether5-WAN coz je rozhrani s verejnou adr - tim si pojistim ze nedojde k tomu co jsme tu popsal(ale zahadou je mi stejne to ze ether5-wan to vezme ale IP ne). Dekuji vsem za pomoc

[Nick_xx]

Zkus dat demo, docela bych se mrknul.

[hermanek.t]

hele jakk rika nick_xx jestli to nejak pude zkus dat demo pak ti rekneme vicero me kazdopadne pokud dam neco z vnitrni site a dam ip ty venkovni adresy kdyz jsem si nastawil 80 port tak to hodi wem MK ale pokud to dam z venku kamzite to hodi web co tam mam na serveru

[polo]

Omlouvám se ale jsem zacatecnik(co s etyka konfigurace mikrotiku) a nechapu ted ktera bije. Co znamena dej Demo? Mam nastavit konfiguraci jako je v tom demu? To jsme prece udelal - a dal jsme to na vyse zminovany web. Jsou tam screeny jak to mam nastavene.

[hermanek.t]

demo to znamena tad ip toho zarizeni a nastavit na nej demo ucet s heslem a mi se tam prihlasime nic nezmenime pac to das v read only a vypnes pro read restart a pak ti sem napisem proc a co ti to dela...

[polo]

No on ten router neni uplne muj... kolega mi nedovoli davat na net udaje o verejne IP a uz vubec ne poskytovat pristup na router. Jde i to ze pak se tam muze kdokoliv prihlasit a muze se podivat co tam mam za USERy. Tim padem pak uz bude jen hadat heslo.
Kdyby to bylo na me tak bych to sem hodil a pak usery zmenil , ale on je chce zachovat a neprovadet zadne zmeny.

[hermanek.t]

no tak to je na lupinu tak sem poslat nejaky screeny

[Nick_xx]

No on ten router neni uplne muj... kolega mi nedovoli davat na net udaje o verejne IP a uz vubec ne poskytovat pristup na router. Jde i to ze pak se tam muze kdokoliv prihlasit a muze se podivat co tam mam za USERy. Tim padem pak uz bude jen hadat heslo.
Kdyby to bylo na me tak bych to sem hodil a pak usery zmenil , ale on je chce zachovat a neprovadet zadne zmeny.

Bud kolega trpí paranojou, nebo má login/pass: franta/franta. První případ se ošetřuje zabanováním IP po několika neúspěšných pokusech (ve FW by mělo být každopádně - návod zde na fóru), druhý případ se léčí "hacknutím"

[polo]

No s tim blokovani IP po nekolika neuspesnych prihlasenich by mi dovolil dat IP aj pristup:) Akorat jsme ten navod tady na foru nenasel:( Nemohl by jsi mi poslat link? Na mikrotiku jsme to taky nenasel.

[Nick_xx]

viewtopic.php?t=2403