전에 미크로틱 RB4011 공유기와 CRS305 스위치 하단에 물린 NAS 포트포워딩이 안되어 여러 회원분들의 도움을 받은 적이 있었습니다.
(이전 글 : http://2cpu.co.kr/network/7688 )
도메인으로 시놀로지 웹서버로 접근이 안되고 공인 IP로만 접근이 가능해서 지레짐작으로 포트포워딩의 문제인 줄로 알고 해결방안을 찾아 헤맸습니다만,
원인은 전혀 다른 곳에 있었습니다.
왜 그런지 아직 이유는 모르지만 시놀로지 나스에서 구동중인 DNS Server를 미크로틱이 제대로 읽어내지 못해서 발생하는 문제였습니다.
전에 쓰던 넷기어 공유기에서는 아무 문제없이 작동되던 것이 미크로틱으로 변경후부터 포트포워딩 등 필요한 부분을 맞게 세팅을 해도 안되었고
결국 여러 시행착오 끝에 네임서버를 미크로틱 하단에 물려진 시놀로지 내부가 아닌 외부 서비스업체, DNSEver로 옮기고 나서야
도메인을 통한 웹서버, 파일서버 접근이 정상적으로 동작하게 되었습니다.
전에는 시놀로지 내에서 다 되던 것이 외부업체까지 거쳐야 가능하다는 것이 매우 불편하게 느껴집니다.
미크로틱으로 옮기면서 다순히 이전에 쓰던 공유기의 역할을 그대로 대체하는 것도 이렇게 힘드리라고는 전혀 생각지 못했습니다.
넷기어 공유기에 설정된 내용을 미크로틱에 상응하는 메뉴에 잘 적용하면 아무 문제 없겠지 생각한 제가 순진한 것이지요.
이 분야에 전문가가 아닌 일반인이 미크로틱에 관심을 두고 계신다면 '결코 친절한 물건이 아니다'라는 점부터 아셔야 할 것 같습니다.
제품의 박스를 여는 순간, 깨알같이 작은 글자체의 지나치게 간략한 설명서를 보는 것부터 미크로틱은 막막함을 갖게 합니다.
개인적으로 많은 기대를 했는데 환상도 사라지고, 혹시 비슷한 일, 수많은 시행착오로 고생하실 분이 계실까 싶어 몇 마디 남겼습니다.
그리고 이번 일로, 짧은 지식으로 고생하던 저에게 자세한 내용으로, 자신의 일처럼 도움주셨던 분들께 다시한번 감사의 말씀을 올립니다.^^
<추가> hairpin nat 설정 화면
굳이 위와 같은 구성에 미크로틱 사양이 필요하나 싶은 의문이 들기도 합니다.
/ip firewall nat add action=masquerade chain=srcnat comment="Hairpin NAT" dst-address=\ !192.168.88.1 protocol=tcp src-address=192.168.88.0/24
Easy setup이 되는 web gui가 있어도 좋을법한데 아쉽긴 합니다.
방대한 네트웍을 다룰수 있는 장비다 보니 관련 지식이 적으면 너무나 어려울수밖에 없죠..
한가지 팁을 드리자면 유동ip를 공인 ip로 사용하시는 상황이라면 hairpin nat을 구성할 때 lan단 브리지로 나가는 인터페이스 masquerade할 때 dst-address-list를 하나 주시고 그 address-list에 도메인을 넣으시면 저게 자동으로 dynamic으로 ip를 업데이트 합니다.(저도 최근에 알았네요)
커맨드로 정리하면 이런 식이죠
/ip firewall nat add chain=srcnat src-address=192.168.0.0/24(lan 네트워크 주소) action=masquerade dst-address-list=hairpin dst-port=80(시놀로지에 접속하시게 될 포트들) protocol=tcp out-interface=br0(lan 인터페이스-보통 브리지)
/ip firewall address-list add address=mydomain.kr(사용하시는 도메인) list=hairpin
도메인에 ddns 업데이트가 잘 되고 있다고 가정한다면 그나마 시중에 나와있는 공유기들처럼 내부에서 외부 공인ip로 접속하여 사용할 수 있는 가장 좋은 방법입니다.
참고가 되시면 좋겠네요.
/ip firewall nat add action=masquerade chain=srcnat comment="Hairpin NAT" dst-address=\ !192.168.88.1 protocol=tcp src-address=192.168.88.0/24
내부 IP : 192.168.1.2
외부 회선에 연결된 인터페이스 : WAN
내부 네트워크의 인터페이스 : LAN
포트포워딩은 80이라고 했을 경우
일반적인 공유기의 NAT룰은 아래와 같이 하시고
/ip firewall
nat add chain=dstnat dst-address=1.1.1.1 protocol=tcp dst-port=80 action=dst-nat to-address=192.168.1.2
add chain=srcnat out-interface=WAN action=masquerad
그다음 아래 줄을 추가 해주시면 됩니다.
add chain=srcnat src-address=192.168.1.0/24 dst-address=192.168.1.2 protocol=tcp dst-port=80 out-interface=LAN action=masquerade
요즘 이 두 물건을 혼란스럽게도 뭉뚱그려서 라우터 라고 부르는 일이 부쩍 많아졌습니다만 엄연히 다른 물건이죠.
비교해야 하려면 시스코 라우터랑 비교해야 하는데 시스코 써보신분은 알겠지만 gui는 있으나마나이고 cli로만 컨트롤 할 수 있습니다. 완전 전문가아님 못쓰니 참으로 불친절하죠...
미크로틱의 모든 기기는 기본적으로 서비스 프로바이더와 미크로틱을 잘알만한 전문가 파워유저 용입니다.
우리나라 빼고는 그런 파워유저의 층이 수백만이니 가정에도 쓰일뿐이지요.
DMZ 설정을 해도 안되나요?
/ip firewall nat
add chain=dstnat action=dst-nat to-addresses=192.168.88.249 protocol=tcp dst-address=!192.168.88.1 dst-address-type=local
add chain=srcnat action=masquerade dst-address=!192.168.88.1
+) 저도 미크로틱 라우터에 스위치 물리고, 스위치 아래에 시놀로지 사용하고 있습니다.
시놀로지랑 넷기어 셋팅 더 알려주시면 테스트해보고 알려드리겠습니다.
/ip firewall nat add action=masquerade chain=srcnat dst-address=!192.168.88.1 protocol=tcp src-address=192.168.88.0/24
갑자기 생각나서 적어봅니다. (혹시 다음에 셋팅하거나, 이 글을 보는 누군가에게 도움이 됬으면 하는 마음으로..)
DNS는 TCP와 UDP 53번 포트를 사용합니다.
UDP 프로토콜도 포트포워딩이 필요했었는데 그걸 놓친것 같네요..
/ip firewall nat add action=dst-nat chain=dstnat comment="Nas-DNS Server" dst-address=\!192.168.88.1 dst-address-type=local dst-port=53 protocol=tcp \ to-addresses=192.168.88.249 to-ports=53 로 설정되어 있습니다. 올리신 글들로 인해 처음 접하는 분들이 많은 도움이 될 듯 합니다. 정말 정말 감사합니다.^^
그런데 protocol=tcp 말고 protocol=udp도 있나요?
DNS 쿼리에서는 udp가 더 중요합니다.
저도 동일한 문제가 있어서 설정 찾아서 해결 했습니다.
언젠가 쓰겠죠 머....