미크로틱 NAT 헤어핀 설정 질문...

eu4you   
   조회 2516   추천 0    

안녕하세요, 미크로틱을 처음 사서 세팅하고 있습니다.

모델은 HEX RB750gr3입니다.


인터넷 잡고 포트포워딩까지 잘 마쳤는데.. NAT 헤어핀이 작동하지 않는 문제를 가지고 있습니다. 내부 DNS Static 선언도 먹히지 않구요.

뭐가 문제인지 모르겠습니다. 웬만하면 헤어핀으로 마무리하고 싶은데, 도움을 요청드립니다.


Gateway: 192.168.0.253

서버 : 192.168.0.200


일단 NAT 헤어핀을 3가지 방법으로 해봤습니다.

1. 둘 다 설정했지만 작동 안됨

ip firewall mangle add chain=prerouting action=mark-connection new-connection-mark=hairpin passthrough=no connection-state=new src-address=192.168.0.0/24 dst-address=!192.168.0.0/24 dst-address-type=local

ip firewall nat add chain=srcnat action=masquerade connection-mark=hairpin


2. 둘 중 하나도 작동 안됨(괄호는 넣든지 빼든지 다 작동 안됨)

ip firewall nat add chain=srcnat action=masquerade src-address=192.168.0.0/24 dst-address=!192.168.0.253 protocol=tcp (out-interface=local)

ip firewall nat add chain=srcnat action=masquerade src-address=192.168.0.0/24 dst-address=192.168.0.0/24 protocol=tcp (out-interface=local)


3. 개별로 지정해도 작동 안됨

ip firewall nat add chain=srcnat action=masquerade src-address=192.168.0.0/24 dst-address=192.168.0.200 protocol=tcp dst-port=8001 out-interface=local


3번을 제외하고는 모두 최상단에 두었구요. WAN보다도 위에 두었습니다.

3번은 각각 해당 Forwarding보다는 아래에 있습니다. 그러나 순서를 올려도 작동하지 않더군요.

3번은 계속 ON이 되어있는 상태에서 1,2번을 추가로 만들어 테스트해보았습니다.


뭐가 문제인지 모르겠습니다... ㅠㅠ

외부에서 접속할 때는 접속이 잘 됩니다.

그러나 로컬에서 도메인이나 외부IP를 입력했을 때는 연결거부가 뜹니다. 그런데 기본적으로 제 방화벽은, Related나 Established가 아니면 Drop이 되도록 해두었습니다.

그리고 요청이 이루어질 때 NAT 헤어핀에 들어오는 패킷 양에도 변화가 없습니다. 그래서 더 이상합니다.

고수님들의 도움을 부탁드립니다.

짧은글 일수록 신중하게.
블랙펄 2022-03
<haripin net>
add chain=srcnat , src.address=192.168.1.0/24 , dst.address=!192.168.1.1 ,
action=masquerade
add chain=srcnat , out.interface=eher1 , action=masquerade
add chain=dstnat , dst.adress=!192.168.1.1 , protocol=tcp , dst.port=443,80 ,
extra->dst.address type=local , action=dst-nat , to addresses=192.168.1.6 (nas ip주소)

제가쓰는 헤어핀입니다.
     
eu4you 2022-03
답변 감사합니다, 첫 번째 항목은 Hairpin, 두 번째 항목은 기본 NAT 설정이고, 세 번째 항목은 포트포워딩이네요. 기본 NAT과 포트포워딩은 저와 동일하게 되어있으시네요. 헤어핀은 제가 올려드린 두 번째 항목과 같은 것이어서, 사실상 동일하게 되어있습니다. ㅠㅠ
     
eu4you 2022-03
해결했습니다.

포트포워딩의 Input Interface가 WAN으로 잡혀있었기에, 헤어핀이 작동하지 않았습니다.
어디서 포트포워딩 방법이라 해서 위와 같이 되어있었는데, 헤어핀을 가정하지 않은 방법이었던 것 같습니다.
블랙펄님 예시대로 Input Interface를 해제해주고, extra->dst.address type=local을 해주니 제대로 작동합니다.
감사합니다!


QnA
제목Page 585/5724
2015-12   1762615   백메가
2014-05   5236959   정은준1
2022-03   2489   봉래
2022-03   2591   이희주
2022-03   2369   AMD빌런
2022-03   5174   서울I김동수
2022-03   2538   VSPress
2022-03   4231   가빠로구나
2022-03   4574   신관악산
2022-03   3520   김훈1
2022-03   2896   붕드
2022-03   2517   eu4you
2022-03   1796   무아
2022-03   1701   BlueApple
2022-03   2051   코아
2022-03   1697   화란
2022-03   2242   안철현
2022-03   1692   여주농민76
2022-03   1755   통신보안
2022-03   1894   httpd
2022-03   2217   네이쳐
2022-03   1664   카프카