Porta RouterOS para a frente

Question

Eu quero encaminhar o tráfego HTTP de 1.1.66.166:80 para LAN-ip 10.13.37.10:80 no meu roteador executando RouterOS 6.40

Configuração:

/ip address print
Flags: X - disabled, I - invalid, D - dynamic 
 #   ADDRESS            NETWORK         INTERFACE                                                                                                                                                                                                          
 0   10.13.37.62/26     10.13.37.0      ether2                                                                                                                                                                                                             
 1   1.1.66.166/27      1.1.66.160      ether1 

/ip firewall nat print
Flags: X - disabled, I - invalid, D - dynamic 
 0    chain=dstnat action=dst-nat to-addresses=10.13.37.10 protocol=tcp dst-address=1.1.66.166 dst-port=80 log=yes log-prefix="" 

 1    chain=srcnat action=masquerade out-interface=ether1 log=no

Mas nenhum tráfego está atingindo o host interno. Estou faltando alguma coisa aqui?

Eu verifiquei que posso alcançar 10.13.37.10:80 do roteador.

Eu comecei a registrar que a regra foi acionada:

firewall,info dstnat: in:ether1 out:(none), src-mac xx:xx:d0:xx:3c:00, proto TCP (SYN), xx.xx.174.107:22880->1.1.66.166:80, len 60 

    

Answer 1

Espero que seja apenas parte de suas regras de firewall :) Você deve filtrar todas as exceções estabelecidas e relacionadas!

Como o encaminhamento de porta é FORWARD, pode ser que eu deva permitir o envio de pacotes para a porta 10.13.37.10 tcp 80?

chain=forward action=accept protocol=tcp in-interface=ether1 dst-port=80 log=yes log-prefix="---FORWARD-TO-80--- "

Não é um risco de segurança, porque você permite uma conexão direta para 80 / tcp. O destino final que você gerencia com a regra dstnat.

Observe que você deve ter estabelecido e relacionado:

chain=forward action=accept connection-state=established
chain=forward action=accept connection-state=related

porque seu servidor da web na LAN responderá e suas respostas poderão acessar o cliente remoto.