Redirecionamento 80(tcp) para servidor interno Externo:OK, Interno:NOK

[rodrigoadachi]

Ola,

Tenho um servidor web 192.168.0.10 porta padrão 80, com as regras abaixo quando acesso por fora da rede pelo host_noip funciona perfeito, mas quando estou dentro da rede e tento acesso pelo host_noip não me dar acesso.

uso o mikrotik 6.33 em uma RB 750 GL

/ip firewall nat
add action=masquerade chain=srcnat comment=Mascaramento out-interface=adsl
add action=dst-nat chain=dstnat dst-address-list=ip-dns dst-port=80 protocol=\
tcp to-addresses=192.168.0.10 to-ports=80

add name=noip owner=admin policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive source=":local \
DDNSuser \"user_noip\"\r\
\n:local DDNSpass \"pass_noip\"\r\
\n:local DDNShost \"host_noip\"\r\
\n:global LIST \"ip-dns\";\r\
\n\r\
\n:local CURRip [/tool fetch url=\"http://myip.dnsomatic.com/index.html\" \
mode=http dst-path=CURRip; :delay 1; /file get CURRip contents; /file remo\
ve CURRip]\r\
\nif ([:resolve \$DDNShost] != \$CURRip) do={\r\
\n /tool fetch url=\"http://dynupdate.no-ip.com/nic/update\?hostname=\$\
DDNShost&myip=\$CURRip\" mode=http user=\$DDNSuser password=\$DDNSpass dst\
-path=DDNShost keep-result=no;\r\
\n /log info message=(\"DDNS: Updating \$DDNShost to:\$CURRip\")\r\
\n }\r\
\n\r\
\n:global IP [:resolve \"\$DDNShost\"];\r\
\n\r\
\n/ip firewall address-list set [find list=\"\$LIST\"] address=\"\$IP\";\r\
\n\r\
\n:log info (\"Atualizado IP do host \$DDNShost na lista \$LIST com IP: \"\
\_. \$IP);"



/system scheduler
add interval=1m name=noip on-event=noip policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive start-time=\
startup

[Vidau]

Bom dia Rodrigoadachi, mas pelo IP 192.168.0.10, você acessa esse servidor? Pois a utilização do NO-IP é para acesso externos mesmo, você permite que se você não possui um IP fixo, o NO-IP atualiza sempre para você este IP, mas com o IP da sua internet, com isso, na rede local você não tem acesso a este IP. Somente por acesso externo.

[rodrigoadachi]

Sim com o ip eu acesso tranquilo, tenho um dominio onde redireciono para o noip onde dentro e fora da rede acesso pelo domínio.

[Vidau]

Poderia me explicar melhor como funciona esse domínio? Como assim você tem acesso com o NO-IP dentro e fora da rede?

[rodrigoadachi]

www.dominio.com.br redirecionandi para dominio.noip.com e o miktotuk redireciona a porta 80 para o ip 192.168.0.10 (servidor web)

Quero acessar o serviço pelo endereço www.dominio.com.br tanto de dentro da rede quanto de fora.

Expliquei de forma ilustrativa só pra tentar te esclarecer

[Vidau]

Ok, isso eu entendi, é que você disse que

tenho um dominio onde redireciono para o noip onde dentro e fora da rede acesso pelo domínio.

com isso, pensei que tinha algum outro acesso interno funcionando dessa forma. Mas não creio que seja possível fazer o acesso interno utilizando o domínio. Pois uma vez que você o digita, ele busca seu IP da internet, e essa requisição é tratada pelo mikrotik. Como você está em sua rede interna, não é possível "sair" e buscar esse IP. Com isso, seu acesso só é feito através do IP Local.

****
Achei essa postagem aqui no fórum mesmo, neste tópico:

https://under-linux.org/showthread.php?t=173881&page=3

É possível fazer sim galera, não tem essa que não dá!

Duas formas: via DNS, adicionando uma entrada estática que resolve o DDNS para o Ip interno, mas tem que usar o DNS do Mikrotik / Linux / Windows / etc como DNS local. Esse é a forma mais correta e profissional (menos gambiarra).

A outra é via dst-nat, exemplo (IP / firewall / nat):

Para acessar de fora - dentro vc faz um dst-nat, protocolo TCP, porta 8080, In interface "sua interface da Internet", action dst-nat para o IP interno, porta interna
Isso quer dizer: tudo que vier da interface internet, destino porta 8080, troque o destino para Ip interno, porta 8080. Correto?

Dessa forma, para acessar de dentro - dentro vc faz um dst-nat, src-address 192.168.0.0/24 protocolo TCP, porta 8080, action dst-nat para o IP interno, porta interna.
Isso quer dizer: tudo que vier do range local, porta 8080 troque o destino para o Ip interno, porta 8080.

O único senão é que tudo que for acessado nesse porta será redirecionado para seu DVR, mesmo sendo para outro destino na mesmo porta.

Não passo as regras mastigadas para que quem use passe a tentar entender o que está fazendo, sem essa de copiar e colar.
É importante estudar o fluxo do iptables, que é o fw do RouterOS: http://wiki.mikrotik.com/wiki/Manual:Packet_Flow

Dá pra fazer até chover com o fw do Routeros!

Abraços.

Pode ser que te ajude ai!!

[csjuniormga]

estranho, a tua regra não define a interface então deveria funcionar.
mas a melhor opção neste caso e levando em consideração que a porta interna (80) é igual a externa, vc poderia simplesmente adcionar uma entrada no dns da MK (supondo que seja ela que resolve os nomes internamentes) conforme abaixo:

/ip dns static add address=192.168.0.10 name=www.dominio.com.br

[FMVC10]

Procure sobre hairpin nat, tem na wiki do mikrotik

[rodrigoadachi]

Obrigado a todos,

Eu já utilizo com o DNS, mas vejo como uma gambiarra kkk

Por isso tento ver se resolvo pelo firewall, já funcionou esta regra, a questão do script seria justamente para que a regra servisse vindo de fora, de requisições vindas do ip externo. Mas não funcionou.

Vou pesquisar sobre hairpin

[dsalvanhini]

eu tenho o mesmo problema, a forma que esta o haipin nat na wiki não funciona nas versoes atuais da rb.

e como dns tenho varios problemas com ftp passivo.

alguem ja conseguir fazer funcionar via hairpin nat?