NAT 1:1 + Firewall

[Petr S.]

Ahoj,

mám takovej blbej dotaz

Nastavil jsem si NAT 1:1

Kód: Vybrat vše

 
 6
      chain=dstnat action=dst-nat to-addresses=192.168.10.24
      dst-address=19.14.11.11 log=no log-prefix=""

 7
      chain=srcnat action=src-nat to-addresses=19.14.11.11
      src-address=192.168.10.24 log=no log-prefix=""



Vše jede, ale teď bych chtěl ještě firewallem nějaký IP adresy, který přistupujou na tu veřejnou IP zaříznout. Ale nějak se mě nedaří. Podle mě je to forward chain, takže něco takého... ale nejede mi to. Netuší někdo, kde by mohl být zádrhel? Někde mám nějakou blbou chybu...

Kód: Vybrat vše

      chain=forward action=drop protocol=tcp dst-address=19.14.11.11
      dst-port=3389 log=no log-prefix=""

[ludvik]

Podívej se na obrázek Packet Flow. Třeba na wiki.mikrotik.com

Pak ti to bude jasné. V momentě, kdy jde paket forwardem tam už ta veřejná IP není.

[Petr S.]

No, ale když si dám Torch, tak tam vidím, že někdo přistoupil z veřejky a jde to na tu vnitřní IP... Nebo to co ukazuje Torch nemusí přesně odpovídat?

[ludvik]

Ano ... jde z nějaké veřejné (tu neměníš), na vnitřní. Ale v tom forwardu máš tvojí veřejnou IP, tedy tu, co měníš v rámci DST-NAT. Koukni se na ten obrázek ...

[Petr S.]

Díky. To pravidlo mi takhle ale nejelo, musel jsem místo veřejné použít buď vnitřní IP rozhraní do sítě a nebo nastavit input interface. Pak už to jede.

Ten obrázek myslíš tento http://wiki.mikrotik.com/wiki/Manual:Packet_Flow_v6 ?
Nějak to v tom nevidím

[ludvik]

No o tom jsem mluvil ... měl jsi tam: chain=forward action=drop protocol=tcp dst-address=19.14.11.11
Jenže ta DST tam už v tom paketu prostě není.

Díky. To pravidlo mi takhle ale nejelo, musel jsem místo veřejné použít buď vnitřní IP rozhraní do sítě a nebo nastavit input interface. Pak už to jede.

Ten obrázek myslíš tento http://wiki.mikrotik.com/wiki/Manual:Packet_Flow_v6 ?
Nějak to v tom nevidím

http://wiki.mikrotik.com/wiki/File:Pack ... m_v6_b.svg
Fakt ne? Co je v tom prerouting?
http://wiki.mikrotik.com/wiki/File:Pfd.png
Končí dstnat ...

[Petr S.]

jooo, uz to asi chápu dík.