Configurar ip fixo (acesso externo) - Mikrotik

[Felipe85]

Ola pessoal.

Sou novato na área de redes, principalmente com o Mikrotik, portanto me desculpem se eu falar alguma besteira ou até mesmo abrir o tópico no lugar errado. Mas vamos ao que interessa....
Minha rede
- Tenho um roteador wireless Mikrotik 6.12 conectado em um modem ADSL Oi (backup) e um Powerbox da GVT com IP Fixo (linha principal).
- Servidor (computador com Windows Server 2008 R2) que possui um sistema web e servidor de arquivos.

Problema
- Gostaria de ter acesso externo no meu servidor pelo IP Fixo da GVT e configurar o meu sistema web (que está instalado e configurado no servidor (Apache e MySQL)), para que eu acesse como um site qualquer (http://teste.site.com.br), sendo que eu já tenho um domínio (site da empresa) e gostaria de criar um subdomínio para acesso (igual ao exemplo acima).

Alguém poderia me ajudar com este quebra cabeças?

[droptux]

Bom dia Felipe85

Tentarei ti dar o caminhos das pedras, vamos lá:

- Acesso ao seu sistema Web externamente: Você tem que configurar em seu Mikrotik uma regra de nat onde a regra irá tratar as solicitações que cheguem na porta que está rodando o seu sistema web(que normalmente é a porta 80, não é que tenha que ser) e sejam redirecionadas para o seu servidor. Segue um exemplo:

/ip firewall nat
add action=netmap chain=dstnat dst-address=SEU.IP.FIXO.GVT dst-port=80 in-interface=ether4 protocol=tcp to-addresses=SEU.IP.LOCAL.SERVIDOR

- Acesso ao sistema pelo nome: Você tem que configurar em seu servidor Dns(Sua zona DNS) uma entrada A onde você irá colocar o nome que você quer acessar(http://teste.site.com.br) para o seu ip fixo da Gvt. Que quando chegar eu seu ip fixo da Gvt que na verdade o Mikrotik que vai receber a solicitação ele, o Mikrotik, irá redirecionar para o seu servidor local.


O detalhe é que você tem que redirecionar todo o tráfego do sue modem PowerBox para o seu Mikrotik, normalmente habilitando a DMZ do modem.

[Felipe85]

droptux,

Vamos lá.....
- Todo o meu trafego está configurado para o Microtik.
- Tentei fazer as configurações que você informou, apesar de eu não usar linha de comando, mas não deu certo. Na rede internet consigo acessar pelo IP fixo, o servidor, mas na rede externa não. Já tentei na porta 80, 8080 e 3389.
- Tentei também pela action:dst-nat. Mas não deu certo.
Alguma outra sugestão?

[droptux]

Coloca aqui a saída da sua configuração. Era pra dar certo.

[Felipe85]

Como faço isso?

[droptux]

Abra o terminal do seu Mikrotik Routerboard(Menu principal lado esquerdo vá até 'Terminal') na linha de comando, digite o comando abaixo:

/ip firewall nat export

Dependendo de sua tabela nat a saída desse comando irá ter várias linhas, se quiser coloque somente a linha referente a regra que você fez e não funcionou.

[Felipe85]

# jan/02/1970 01:22:29 by RouterOS 6.12
# software id = BIPT-1QLK
#
/ip firewall nat
add action=netmap chain=dstnat dst-address=177.159.113.175 dst-port=80 \
protocol=tcp to-addresses=192.168.1.252

ou este

add action=netmap chain=dstnat dst-address=177.159.113.175 dst-port=80 in-interface=ether6-master-local \
protocol=tcp to-addresses=192.168.1.252 to-ports=80

os dois não dão liga.

[droptux]

@Felipe85

Achamos o problema !
É o seguinte eu passei pra você que colocasse o ip fixo seu da GVT, mas na verdade você tem é um modem. Com isso não é preciso colocar o ip no 'dst-address'. Faça assim e vamos ver o que vai dar:

/ip firewall nat
add action=netmap chain=dstnat dst-port=80 protocol=tcp in-interface=INTERFACE-QUE-O-MODEM-ESTÁ-LIGADO to-addresses=192.168.1.252

Creio que agora sim, vamos ter um resultado positivo.

[ffernandes]

eu aconselho vc coloca seu acesso remoto em outra porta.

[Felipe85]

Sinto informar-lhes mas não deu certo.
Vamos fazer o seguinte..... vamos tentar colocar o servidor para acesso remoto, através do IP Fixo gerado pela GVT. Acho que assim vai ser mais fácil de fazermos o restante.

[droptux]

Felipe85, indiferente de qual serviço é teria que funcionar dessa maneira. Algumas considerações:

• A dmz em seu modem está configurada para mandar o tráfego para o seu Mikrotik Routerboard ?
• Existem configurações de redirecionamento de porta em seu modem ?
• O seu modem está configurado como ? Roteado ou bridge ?

Teremos que verificar essa questões mais básicas mesmo, começaremos por isso ai, vamos tentando afunilar as coisas até chegar no problema real.

[Felipe85]

@droptux

Não sei muito bem as coisas.... mas vamos lá.

- A DMZ do modem está com o IP do Microtik e está configurada para mandar todo o tráfego pra lá.
- Não existe redirecionamento de portas no meu modem.
- Não sei dizer ao certo como ele está configurado. O que sei é que ele está configurado para apenas autenticar a ADSL e mandar tudo para o Microtik, até porque faço controle de banda entre as operadoras.

[droptux]

Posta ai as configurações de controle de banda que tu comentou, esse controle é feito no Mikrotik Routerboard ?
E posta também a saída de firewall, a tabela nat, filter e mangle, se tu quiser trocar os ips para não expor seu ambiente.

Os gateway desse servidor que tu quer acessar externamente é o Mikrotik Routerboard ?

[Felipe85]

@droptux.... deixa eu te explicar como está minha rede. Tenho um modem OI e outro GVT, os dois estão jogando todo o tráfego para o Microtik. Tudo é feito no Microtik e o controle de banda que falei é que caso uma internet caia a outra assume.
Antes de eu ter o IP fixo funcionava certinho, tanto o acesso ao servidor, como as câmeras. O acesso era realizado pelo DDNS (no-ip). Mas agora com o IP fixo, complicou um pouco ao invés de ajudar.
Quanto as configurações.... não sei se seria interessante postar tudo.
Configurações de nat eu já te passei e firewall tenho apenas uma regra para bloquear o facebook.

[droptux]

Entendo @Felipe85, a configuração de ips dos modens foi alterada ?
Você está tratando as conexões de entrada no Mikrotik, na tabela mangle ?
Temos que ter mais informações.

[Felipe85]

droptux,
O modem Oi está no IP 10.1.1.1, o modem GVT 192.168.25.1 e o Microtik no 192.168.1.1. Não tem nada na tabela mangle.

[Felipe85]

@droptux.... depois de praticamente revirar tudo, descobri que por algum motivo, o Microtik não está liberando as portas como deveria. As configurações que você me passou para o NAT estão corretas, só não está liberando as portas.
Alguma idéia?

[droptux]

Pois é mistério em:
Verifique o posicionamento da regra de redirecionamento de porta do servidor(Dst Nat), ela tem que ficar antes da regra de Nat Geral(Src Nat).

Estranho tu ter dois links no Mikrotik Routerboard e não ter regras marcando as conexões de entrada, para que elas entrem por um link e saiam por esse mesmo link que entrou.

[Felipe85]

@droptux

Vou colocar aqui todas as regras NAT pra você dar uma olhada.

# jan/02/1970 14:41:31 by RouterOS 6.12
# software id = BIPT-1QLK
#
/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" \
to-addresses=0.0.0.0
add action=dst-nat chain=dstnat comment="Acesso Externo C\E2meras" \
dst-port=8080 protocol=tcp to-addresses=IP LOCAL CAM to-ports=8080
add action=dst-nat chain=dstnat dst-port=37777 protocol=tcp to-addresses=\
IP LOCAL CAM to-ports=37777
add action=netmap chain=dstnat comment="Acesso Servidor Externo" disabled=yes \
dst-address=IP FIXO dst-port=80 in-interface=ether6-master-local \
protocol=tcp to-addresses=IP LOCAL SERVIDOR to-ports=80
add action=dst-nat chain=dstnat disabled=yes dst-address=IP FIXO \
dst-port=3389 protocol=tcp to-addresses=IP LOCAL SERVIDOR to-ports=3389
add action=netmap chain=dstnat disabled=yes dst-port=80 protocol=tcp \
to-addresses=IP LOCAL SERVIDOR to-ports=80
add action=netmap chain=dstnat disabled=yes dst-port=80 in-interface=\
ether2-link-GVT protocol=tcp to-addresses=IP LOCAL SERVIDOR

Em IP -> Firewall -> Filter Rules -Tenho apenas regra para bloqueio do facebook e celulares.

Em IP -> Firewall -> Mangle - Não tem nada.

Abaixo segue os dados de Interface:

# jan/02/1970 14:49:03 by RouterOS 6.12
# software id = BIPT-1QLK
#
/interface bridge
add admin-mac=MAC MICROTIK auto-mac=no l2mtu=1598 name=bridge-local
/interface ethernet
set [ find default-name=ether1 ] name=ether1-link-Oi
set [ find default-name=ether2 ] name=ether2-link-GVT
set [ find default-name=ether6 ] name=ether6-master-local
set [ find default-name=ether7 ] master-port=ether6-master-local name=\
ether7-slave-local
set [ find default-name=ether8 ] master-port=ether6-master-local name=\
ether8-slave-local
set [ find default-name=ether9 ] master-port=ether6-master-local name=\
ether9-slave-local
set [ find default-name=ether10 ] master-port=ether6-master-local name=\
ether10-slave-local
set [ find default-name=sfp1 ] disabled=yes name=sfp1-gateway
/interface pppoe-client
add ac-name="" add-default-route=no allow=pap,chap,mschap1,mschap2 \
dial-on-demand=no disabled=no interface=ether2-link-GVT \
keepalive-timeout=60 max-mru=1480 max-mtu=1480 mrru=disabled name=\
pppoe-out-link-GVT password=**** profile=default service-name="" \
use-peer-dns=no user=*****
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa-psk,wpa2-psk eap-methods="" \
group-ciphers=tkip,aes-ccm mode=dynamic-keys supplicant-identity=MikroTik \
unicast-ciphers=tkip,aes-ccm wpa-pre-shared-key=***** \
wpa2-pre-shared-key=******
add authentication-types=wpa-psk,wpa2-psk eap-methods="" group-ciphers=\
tkip,aes-ccm mode=dynamic-keys name=profile2 supplicant-identity=MikroTik \
unicast-ciphers=tkip,aes-ccm wpa-pre-shared-key=******* \
wpa2-pre-shared-key=*******
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=\
20/40mhz-ht-above country=brazil disabled=no distance=indoors frequency=\
2427 l2mtu=2290 mode=ap-bridge name=Wifi security-profile=\
profile2 ssid=******* wireless-protocol=802.11
/interface bridge port
add bridge=bridge-local interface=ether3
add bridge=bridge-local interface=ether4
add bridge=bridge-local interface=ether5
add bridge=bridge-local interface=ether6-master-local
add bridge=bridge-local interface=Wifi

[droptux]

Faz assim ó, pra testes:

- Coloque a regra de acesso ao servidor antes da regra de NAT Geral a com o comentário "default configuration" que você tem:

/ip firewall nat
add action=netmap chain=dstnat disabled=yes dst-port=80 in-interface=\
ether2-link-GVT protocol=tcp to-addresses=IP LOCAL SERVIDOR

E tenta acessar.

Outra coisa, de onde parte os testes que está fazendo ?
De um modem 3G ?
Digo, não é ai dessa rede que você está né ? Pois não vai dar certo do jeito que está.