행복하세 2019-12

내부망이 구성되는 라우터로 되어있다면 포트포워딩 해주셔야됩니다
그냥 아이피만 분리해주는 스위치라면 상위의 라우터를 만져주세야되구요
4011은 당연히 포워딩해주셔야되구요~
305는 제가 기기를 잘모르지만 스위치모드라고한다면 안해주셔도되구요
또 다시 내부망을 만드는 세팅이라면 이것도 포워딩해주셔야됩니다~

2번이라고한다면 아마도 4011 혼자 라우팅을 구성하는것같은데 일반적으로 4011만 세팅해주심됩니다

yootopia 2019-12

답변 감사드립니다. 4011만 세팅해 봐야 겠군요.^^

레몬트리7 2019-12

네트워크 공부가 필요해 보입니다.
미크로틱은 엔터프라이즈급 장비로 아이피타임처럼 만만하게 보시면 안되는데.. (그래도 미크로틱은 쉬운편입니다.)
네트워크 지식도 없이 미크로틱을 셋팅하는건 거의 불가능합니다.

레몬트리7 2019-12

1번.
미크로틱 ROS에서는 스위치를 라우터로 사용할 수 있긴 하지만 보통은 이렇게 사용하지 않습니다. (스위치는 스위치일 뿐..)
따라서 스위치에서는 포트포워딩을 설정할 수 없습니다. (할 필요도 없고요.)
RB4011에서만 포트포워딩 설정하면 됩니다.
RB4011에 나스가 다이렉트로 물린게 아니니 인터페이스 리스트에 보이지 않는건 당연합니다.
DHCP를 사용하시는거 같으니 DHCP 서버에서 아이피를 보시면 됩니다.

2번.
포트포워딩은 IP Firewall에서 dst-nat로 설정하시면 되는데,
내부에서 외부아이피로 접속할 때 패킷이 폐기되는 현상을 막으려면
src-nat으로 헤어핀 셋팅 추가적으로 해줘야 합니다.

NAT 셋팅
https://wiki.mikrotik.com/wiki/Manual:IP/Firewall/NAT

포트포워딩
http://www.mikrotik.co.kr/tn/?mod=document&uid=47&page_id=1569

헤어핀
http://www.mikrotik.co.kr/wiki/index.php/%EB%A9%94%EB%89%B4%EC%96%BC:Hairpin_NAT

다른게 궁금하면 공식 위키 참고하세요.
https://wiki.mikrotik.com/wiki/Manual:TOC

yootopia 2019-12

말씀대로 공부도 필요하고 쉽지 않군요. 포트포워딩을 링크로 알려주신 메뉴를 따라가며 해도 안되는군요. 헤어핀은 포트포워딩 된 이후에 찬찬히 해 봐야 겠습니다. 상세한 답변 감사합니다.^^

레몬트리7 2019-12

그리고 IPTV는 가급적 공인망에 물리세요.
미크로틱에서 IGMP가 안되는건 아닌데 공인망에 물려야 안정적입니다.

RIGIDBODY 2019-12

일단 연결은 잘되어 있고요, 다만 윗분 말씀처럼 IP TV(셋탑박스)는 KT 모뎀에 직결해주시고요, 이제 셋팅이 남았는데, NAT(주소 변환) 및 포트포워딩은 라우터인 RB해서 해주시고 스위치인 CRS를 L2로만 사용하신다는 전제로하면 만질것은 없어요. 모두 라우터인 RB에서 셋팅해주시면 되는데요, NAT/Hairpin NAT 및 포트포워딩은 링크로 대신합니다. http://m.blog.naver.com/joongon/221684828617

yootopia 2019-12

멋진 블로그 잘 봤고 많은 도움이 될 듯 합니다. 감사드리며 실례가 안된다면  몇 가지 질문을 드리고자 합니다.
먼저, 블로그 글에서 첫 번째 설정내용은 어디에 필요한 것인지요? WAN으로 설정하면 붉은 글씨로 에러가 나고 Bridge로 설정하라고 안내를 하는데 무엇이 문제일까요?
IP>Firewall>NAT> "+"로 Rule을 추가한다.
1. General TAB, Chain : srcnat, Out.Interface : WAN(Modem과 연결된 포트 지정)
2. Action TAB, Action : masquerade

둘째로, 말씀하신 내용대로 설정을 마쳤지만 여전히 포트포워딩은 안되고 있습니다. 혹시 더 손봐야 할 곳은 없을까요? 답답한 마음에 또 부탁을 드립니다. 감사합니다.^^

RIGIDBODY 2019-12

첫번째는 내부의 기기들(사설IP)이 인터넷을 할 수 있도록 NAT설정하는 겁니다. 이부분은 잘 되나요?? 다음 질문의
포트포워딩설정은 블로그 해당글 아래 부분에 나와 있습니다.

아 그리고 NAT설정에서 아웃인터페이스는 KT Modem이 연결된 포트를 지정해주셔야합니다. 저 같은경우 브릿지로 설정하고 이름을 Wan으로 한 것 뿐이거든요. 브릿지 설정을 안하셨다면 그냥 해당 포트를 지정하시면 됩니다.

yootopia 2019-12

상세한 설명 감사합니다. ^^  많은 도움이 되었습니다.

레몬트리7 2019-12

*비밀글입니다

yootopia 2019-12

답변 감사드립니다.^^ 포트는 모두 셋팅 되어 있습니다. 도무지 원인을 모르겠습니다.

yootopia 2019-12

죄송을 무릅쓰고 추가 질문을 드립니다.~ㅠ

아래 텍스트는 설정값을 Export해 본 것입니다. 포트포워딩은 매우 단순한데 혹시 포트포워딩 말고 다른 부분에서 잘못 설정된 것은 없을까요?
예를 들면 포트의 권한 또는 용도 등에 있어서 잘못이 있다거나하는...
참고로 4011과 305는 SFP+로 동축 케이블로 연결되어 있고, 305 하단에  나스와 PC가 역시 SFP+ 지빅 광케이블로 붙어 있습니다.

아무리 해도 안되어 별의별 생각이 다 듭니다만...
설마 4011이 가정용이라 Firewall에서 뭔가 디폴트로 제한을 걸어놓는 것은 아니겠지요?

그리고 미크로틱 스마트폰 어플에서 동일망 와이파이에 연결된 상태에서 공유기(192.168.88.1)에 접근이 가능한데,
외부 회선(LTE)로 KT 공인IP(예를 들면, 14.42.xxx.xxx)에 접근하려하면 접근이 안되고 있는데, 무언가 단서가 되지 않을까요?
 
두서없이 생각나는 대로 적습니다. 이해를 부탁드립니다. 감사합니다.

# dec/22/2019 23:37:44 by RouterOS 6.46.1
# software id = xxxxxx
#
# model = RB4011iGS+5HacQ2HnD
# serial number = xxxxxxxxx
/interface bridge
add admin-mac=xxxxxxxxxxxx auto-mac=no comment=defconf name=bridge
/interface wireless
set [ find default-name=wlan1 ] band=5ghz-a/n/ac channel-width=\
    20/40/80mhz-XXXX country="korea republic" disabled=no distance=indoors \
    frequency=auto installation=indoor mode=ap-bridge secondary-channel=auto \
    ssid=JH-Mik5G wireless-protocol=802.11
set [ find default-name=wlan2 ] band=2ghz-b/g/n channel-width=20/40mhz-XX \
    country="korea republic" disabled=no distance=indoors frequency=auto \
    installation=indoor mode=ap-bridge ssid=JH-Mik2.4G wireless-protocol=\
    802.11
/interface ethernet switch port
set 0 default-vlan-id=0
set 1 default-vlan-id=0
set 2 default-vlan-id=0
set 3 default-vlan-id=0
set 4 default-vlan-id=0
set 5 default-vlan-id=0
set 6 default-vlan-id=0
set 7 default-vlan-id=0
set 8 default-vlan-id=0
set 9 default-vlan-id=0
set 10 default-vlan-id=0
set 11 default-vlan-id=0
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa-psk,wpa2-psk mode=\
    dynamic-keys supplicant-identity=MikroTik wpa-pre-shared-key=\
    xxxxxxxxxxxx wpa2-pre-shared-key=xxxxxxxxxxxxxxxx
/ip pool
add name=dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=ether6
add bridge=bridge comment=defconf interface=ether7
add bridge=bridge comment=defconf interface=ether8
add bridge=bridge comment=defconf interface=ether9
add bridge=bridge comment=defconf interface=ether10
add bridge=bridge comment=defconf interface=sfp-sfpplus1
add bridge=bridge comment=defconf interface=wlan1
add bridge=bridge comment=defconf interface=wlan2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=ether2 network=\
    192.168.88.0
/ip dhcp-client
add comment=defconf disabled=no interface=ether1
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf gateway=192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="Hairpin NAT" dst-address=\
    !192.168.88.1 protocol=tcp src-address=192.168.88.0/24
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
add action=dst-nat chain=dstnat comment=Https dst-address=!192.168.88.1 \
    dst-address-type=local dst-port=443 protocol=tcp to-addresses=\
    192.168.88.249 to-ports=443
add action=dst-nat chain=dstnat comment=Http dst-address=!192.168.88.1 \
    dst-address-type=local dst-port=8080 protocol=tcp to-addresses=\
    192.168.88.249 to-ports=80
add action=dst-nat chain=dstnat comment=Http dst-address=!192.168.88.1 \
    dst-address-type=local dst-port=80 protocol=tcp to-addresses=\
    192.168.88.249 to-ports=80
/system clock
set time-zone-name=Asia/Seoul
/system leds
add interface=wlan2 leds="wlan2_signal1-led,wlan2_signal2-led,wlan2_signal3-le\
    d,wlan2_signal4-led,wlan2_signal5-led" type=wireless-signal-strength
add interface=wlan2 leds=wlan2_tx-led type=interface-transmit
add interface=wlan2 leds=wlan2_rx-led type=interface-receive
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

RIGIDBODY 2019-12

방화벽을 한번 꺼보고 해보세요. NAT만 살리고..., 그리고 어플을 통해 외부에서 접근이 불가능한 것은 포트포워딩 설정이 잘못 되었거나, 아니면 방화벽에서 차단되었거나 둘 중 하나 입니다. 어플은 SSH를 사용하는데, 위의 설정에는 SSH를 위한 포트포워딩 설정이 없네요.

yootopia 2019-12

신경써 주셔서 정말 정말 감사드립니다.^^ 방화벽 설정 값을 다 지우고 접속을 해도 안되는 상황입니다. 그런데 특이한 점은 공인IP로 웹페이지 들어가 보니 사진은 안뜨고 텍스트만 틀이 깨진 것처럼 보이는 상황입니다. 공인 IP 대신 도메인을 입력하면 네트워크 서버를 찾을 수 없다는 메시지가 나옵니다. 네임서버의 문제인가 싶어서 현재 사용중인 것을 다른 곳으로 교체중에 있습니다. 문제없이 잘 사용하던 네임서버인데 4011로 교체하자마자 문제가 발생한다는 것이 언뜻 이해가 어렵긴 하지만 짚푸라기 잡는 심정으로 교체를 해보고 결과를 볼 계획입니다. 감사합니다.^^

레몬트리7 2019-12

혹시 KT 모뎀이 미크로틱에 사설 아이피를 주는게 아닌가 싶네요.
DHCP Client에 들어가서 미크로틱이 받은 아이피가 192.168로 시작하는지 확인해보세요.

맞다면 KT 모뎀을 브릿지모드로 바꿔보세요

RIGIDBODY 2019-12

제가 알기로 KT Modem은 셋팅이 안될겁니다. NAT기능이 없고 브릿지모드일겁니다. 기본값이....

레몬트리7 2019-12

위에 올려주신대로 셋팅해보았습니다. 저는 잘 되네요..

add action=dst-nat chain=dstnat comment=Http dst-address=!192.168.88.1 \
    dst-address-type=local dst-port=8080 protocol=tcp to-addresses=\
    192.168.88.249 to-ports=80
add action=dst-nat chain=dstnat comment=Http dst-address=!192.168.88.1 \
    dst-address-type=local dst-port=80 protocol=tcp to-addresses=\
    192.168.88.249 to-ports=80

여기서 to-ports가 둘다 80으로 되있는데 전자를 8080으로 수정해보세요.
(사실 dst-port와 to-ports가 같다면 to-ports는 안써도 되긴 합니다.)

yootopia 2019-12

몸소 테스트까지 해 주셔서 정말 감사합니다.^^  짧은 지식으로 제가 얻은 소견으로는 포트포워딩에는 문제가 없는 것 같다라는 생각입니다. 도메인으로 접근시는 블럭이 걸려서 도메인과 공인IP와의 연결을 의심하여 네임서버를 교체중에 있습니다. 교체 결과를 보고 다시 말씀드리겠습니다. 거듭 감사합니다.^^