Снова проброс портов

[bootal]

Добрый день  уважаемые форумчане. Столкнулся с такой проблемой:

Есть hap lite. На нем проброшено куча портов и все они работают. 

Возникла необходимость пробросить порт от камеры снаружи до регистратора за NAT.

Но к сожалению правило не работает, во вкладке firewall счетчик пакетов тикает, в NAT не тикает. 

По логу эти пакеты показывают

Скрытый текст

15:27:12 firewall,info dstnat: in:ether1 out:(unknown 0), src-mac c4:64:13:fa:2f:d9, proto TCP (SYN), 195.34.74.171:41199->82.144.202.120:5073, len 52 
15:27:12 firewall,info 111 forward: in:ether1 out:bridge, src-mac c4:64:13:fa:2f:d9, proto TCP (SYN), 195.34.74.171:41199->192.168.10.73:5073, NAT 195.34.74.171:41199->(82.144.202.120:5073->192.168.10.73:5073), len 52 
15:27:12 firewall,info 111 forward: in:ether1 out:bridge, src-mac c4:64:13:fa:2f:d9, proto TCP (ACK), 195.34.74.171:41199->192.168.10.73:5073, NAT 195.34.74.171:41199->(82.144.202.120:5073->192.168.10.73:5073), len 40 
15:27:12 firewall,info 111 forward: in:ether1 out:bridge, src-mac c4:64:13:fa:2f:d9, proto TCP (ACK), 195.34.74.171:41199->192.168.10.73:5073, NAT 195.34.74.171:41199->(82.144.202.120:5073->192.168.10.73:5073), len 40 
15:27:12 firewall,info 111 forward: in:ether1 out:bridge, src-mac c4:64:13:fa:2f:d9, proto TCP (ACK,FIN), 195.34.74.171:41199->192.168.10.73:5073, NAT 195.34.74.171:41199->(82.144.202.120:5073->192.168.10.73:5073), len 40

Скрытый текст

chain=forward action=accept protocol=tcp dst-port=5073 log=yes log-prefix="" 
 

chain=dstnat action=dst-nat to-addresses=192.168.10.73 to-ports=5073 connection-limit=100,32 protocol=tcp dst-address=82.144.202.120 in-interface=ether1 dst-port=5073 limit=1,5:packet dst-limit=1,5,dst-address/1m40s log=yes log-prefix="

 

Edited April 10, 2019 by bootal

[VolanD666]

На камеру точно трафик не идет?

[bootal]

 

8 минут назад, VolanD666 сказал:

На камеру точно трафик не идет?

Скорей всего идет,  это порт аналитики

[VolanD666]

Я в смысле трафик точно на регистратор не идет от этой камеры?

[bootal]

1 минуту назад, VolanD666 сказал:

Я в смысле трафик точно на регистратор не идет от этой камеры?

По этому порту нет, видео приходит

[VolanD666]

А на микроте вы трафик видите прям с этой камеры, до ната?

[bootal]

К сожалению не настолько специалист что бы полностью посмотреть трафик, по этому ориентируюсь по счетчикам  возле правил.

И в фаерволе он меняется а НАТ он по нулям. До этого был TP-link на нем все работало

[fractal]

6 часов назад, bootal сказал:

К сожалению не настолько специалист что бы полностью посмотреть трафик, по этому ориентируюсь по счетчикам  возле правил.

И в фаерволе он меняется а НАТ он по нулям. До этого был TP-link на нем все работало

протелнеть снаружи

[boav]

@bootal пуркуа вам правило в filter rules? Достаточно для проброса правила нат. 

Проверьте в камере есть ли шлюз и микротик там айпишник или другой кааой

[maxkst]

В 10.04.2019 в 13:49, boav сказал:

Проверьте в камере есть ли шлюз и микротик там айпишник или другой кааой

@bootal Правильный совет. Если микрот прописан шлюзом - одного dstnat rule достаточно. А если нет - то еще и src правило понадобится. Сам с таким частенько сталкиваюсь при пробросе портов. 

[Prochor]

Вопрос если камера имеет прямой ip ( ZIP-262ER9-X10DU ) , то причем тут нат.

Согласно эти данным

https://www.ergozoom.ru/catalog/ip_camera/ipc262er9_x10du/

Протоколы:    IPv4, IGMP, ICMP, ARP, TCP, UDP, DHCP, PPPoE, RTP, RTSP, RTCP, DNS, DDNS, NTP, FTP, UPnP, HTTP, HTTPS, SMTP, 802.1x, SNMP
Совместимость:    ONVIF, API

 

СМОТРИТЕ /ip firewall filter - Правила  chain=forward по tcp или udp

[VolanD666]

1 минуту назад, Prochor сказал:

Вопрос если камера имеет прямой ip ( ZIP-262ER9-X10DU ) , то причем тут нат.

Согласно эти данным

https://www.ergozoom.ru/catalog/ip_camera/ipc262er9_x10du/

Протоколы:    IPv4, IGMP, ICMP, ARP, TCP, UDP, DHCP, PPPoE, RTP, RTSP, RTCP, DNS, DDNS, NTP, FTP, UPnP, HTTP, HTTPS, SMTP, 802.1x, SNMP
Совместимость:    ONVIF, API

 

СМОТРИТЕ /ip firewall filter - Правила  chain=forward по tcp или udp

Да

[bootal]

Нат для аналитики

[Prochor]

Пример рабочей конфы на базе системы Линия от DEVLINE.

Подключение снаружи к Серверу видео наблюдения.

А так же Подключение из локальной сети к Серверу видео наблюдения.

 

/ip firewall nat

add action=dst-nat chain=dstnat comment="DEVLINE EXT" dst-address=ВНЕШИЙ_IP dst-port=9779 protocol=tcp to-addresses=192.168.3.200 to-ports=9779
add action=dst-nat chain=dstnat dst-address=ВНЕШИЙ_IP dst-port=9780 protocol=tcp to-addresses=192.168.3.200 to-ports=9780
add action=dst-nat chain=dstnat dst-address=ВНЕШИЙ_IP dst-port=9786 protocol=tcp to-addresses=192.168.3.200 to-ports=9786
add action=masquerade chain=srcnat comment="DEVLINE LOC" dst-address=192.168.3.200 dst-port=9779 protocol=tcp src-address=192.168.0.0/24
add action=masquerade chain=srcnat dst-address=192.168.3.200 dst-port=9780 protocol=tcp src-address=192.168.0.0/24
add action=masquerade chain=srcnat dst-address=192.168.3.200 dst-port=9786 protocol=tcp src-address=192.168.0.0/24