SRC-NAT \ DST-NAT странно себя ведут

[Popsodav]

Есть такая задача для Микротика.

Имеем некоторый сервер во внутренней сети компании (172.16.0.2).

Микротик имеет внутренний адрес 172.16.0.1 и устанавливает PPPoE соединение к провайдеру с получаемым адресом 10.0.0.1.

Необходимо:

1. завернуть весь входящий траффик из сети 1.2.3.0/24 с 10.1.1.1 на 172.16.0.2

2. трафик с 172.16.0.2 на подсеть 1.2.3.0/24 завернуть на это PPPoE соединение.

 

Настроено через src-nat, dst-nat и mangle:

 

[admin@MikroTik] > /ip firewall nat print

Flags: X - disabled, I - invalid, D - dynamic

4 chain=dstnat action=dst-nat to-addresses=172.16.0.2 routing-mark=traffic-in

5 chain=srcnat action=src-nat to-addresses=10.1.1.1 routing-mark=traffic-out

 

[admin@MikroTik] > /ip firewall mangle print

Flags: X - disabled, I - invalid, D - dynamic

0 chain=prerouting action=mark-routing new-routing-mark=traffic-out passthrough=yes src-address=172.16.0.2 dst-address=1.2.3.0/24

1 chain=prerouting action=mark-routing new-routing-mark=traffic-in passthrough=yes src-address=1.2.3.0/24 dst-address=10.1.1.1

 

 

И вроде бы всё даже работает, но:

1. В статистику правил фаервола попадает очень мало пакетов (хотя в mangle они все отображаются)

2. Почему то трафик с адреса 1.2.3.27 не доходит до 172.16.0.2. на 172.16.0.2 запускаю пинг до 1.2.3.27, таймаут. сделал tcpdump на микротике - ответ на пинг от 27 возвращается, микротик не роутит его дальше. с другими адресами из сети 1.2.3.0/24 такой проблемы нет.

3. Иногда перестаёт ходить траффик с адреса 1.2.3.4 на 172.16.0.2. из сети 1.2.3.4 видно, что мой микротик реджектит этот траффик.

 

Может быть я некорректно настроил NAT\MANGLE для такой задачи?

Заранее спасибо за помощь.

Edited August 25, 2014 by Popsodav

[lynx.palana]

что-то Вы намудрили...

 

тут маршруты прописать нужно

смотрите кто у кого шлюз

 

если 172.16.0.1 для 172.16.0.2 не шлюз по умолчанию, однозначно говорим ему что за 172.16.0.1 есть подсеть 1.2.3.0/24

Для 1.2.3.0/24 не понятно как подсеть связанна с 10.0.0.1 и что за адрес 10.1.1.1

[Popsodav]

10.1.1.1 везде должен быть, очепятка.

на 172.16.0.2 роутинг идёт через 172.16.0.1, всё ок.

смущает то, что проблема именно с одним адресом из сети 1.2.3.0/24...

[lynx.palana]

так на этом одном адресе, проблему и смотрите :)

[Popsodav]

Проблема в том, что на Микротик пакеты с этого 27 хоста приходят без каких либо проблем.

Микротик дальше их не роутит.

Есть ли какая-нибудь возможность в Микротике сделать трассировку прохождения пакета внутри него по фаерволу \ правилам роутинга?

[lynx.palana]

Правила в миктротике еще есть какие?

экспорт правил сделайте...

 

Трассировка внутри фаервола хз, а такое гдето есть вобще?

Есть блок-схема как в микрутике хотят пакеты, и смотрим правила

Edited August 26, 2014 by lynx.palana