Имеется антена Yota, со встроенным свистком Mikrotik, свисток, в том числе, работает как роутер.
Не получается пробросить порты для доступа снаружи к DS.
Перечитал кучу инструкций в сети, но ничего не получается.
Пробовал через "Панель управления-Внешний доступ-конфигурация маршрутизатора", но система с Mikrotik незнакома.
Кто может рассказать по шагам как пробросить порты?
Имеется антена Yota, со встроенным свистком Mikrotik, свисток, в том числе, работает как роутер.Не получается пробросить порты для доступа снаружи к DS.
Перечитал кучу инструкций в сети, но ничего не получается.
Пробовал через "Панель управления-Внешний доступ-конфигурация маршрутизатора", но система с Mikrotik незнакома.
Кто может рассказать по шагам как пробросить порты?
Как у Вас определяется модем Yota?
В общем случает так:
IP -> Firewall->NAT и нажимайте плюсик, для добавления нового правила:
Пример для доступа к службе Cloud Station из интернета на NAS Synology в локальной сети, для самого простого случая нужно всего две вкладки:
Вкладка General
http://i9.pixs.ru/storage/0/6/9/01PNG_7038279_15341069.png
Вкладка Action
http://i9.pixs.ru/storage/1/0/3/02PNG_6859015_15341103.png
И для доступа к службе Cloud Station из локальной сети микротика на NAS Synology в локальной сети, но по обращению с глобального адреса:
(Тоесть, если на вашем мобильнике, например, настроена Cloud Station, а в качестве сервера указан адрес вида mydomen.ru или внешний статический IP, то без следующего правила из локальной сети до Synology вы не достучитесь, а достучитесь только из интернета)
Правила:
Вкладка General
http://i9.pixs.ru/storage/1/8/3/03PNG_1914071_15341183.png
Вкладка Action
http://i9.pixs.ru/storage/2/0/1/04PNG_2089621_15341201.png
Правда это для случая, когда статик IP. Как на ёпте я не знаю. Но во всяком случае, вроде как у всех микротиков есть Cloud адрес вида серийный_номер_sn.mynetname.net, это нечто вроде квик коннекта у синолоджи.
И профильный форум в помощь: http://mikrotik.ru/forum/viewforum.php?f=1...e854d7c88778716
Как у Вас определяется модем Yota?
В этом и проблема, антена шла в сборе, я понимаю так: в ней смонтирован роутер MikroTik RB750UP и в USB воткнут свисток Yota.
В настройках Mikrotik стоит как "Brige" с IP 192.168.xx.1, а кто тогда назначает IP для других устройств?
У меня нет выделенного IP, но через DDNS все должно работать.
У Вас на первой картинке указан внешний IP который на WAN. Где это глянуть?
У меня в меню IP->Adress есть вкладка Adress list:
там описано два интерфейса:
1. Adress: 10.166.xxx.yyy
Network: 10.112.rrr.ttt
Interface: ppp-out1
2. Adress: 192.168.qq.1/24
Network: 192.168.qq.0
Interface: ether2-master-local
А внешний адрес (динамический) 109.188.ccc.vvv
С какого адреса переправлять пакеты на NAS?
И почему Вы используете порт 6690? у DS по умолчанию 5000 или 5001.
В этом и проблема, антена шла в сборе, я понимаю так: в ней смонтирован роутер MikroTik RB750UP и в USB воткнут свисток Yota.В настройках Mikrotik стоит как "Brige" с IP 192.168.xx.1, а кто тогда назначает IP для других устройств?
У меня нет выделенного IP, но через DDNS все должно работать.
У Вас на первой картинке указан внешний IP который на WAN. Где это глянуть?
У меня в меню IP->Adress есть вкладка Adress list:
там описано два интерфейса:
1. Adress: 10.166.xxx.yyy
Network: 10.112.rrr.ttt
Interface: ppp-out1
2. Adress: 192.168.qq.1/24
Network: 192.168.qq.0
Interface: ether2-master-local
А внешний адрес (динамический) 109.188.ccc.vvv
С какого адреса переправлять пакеты на NAS?
И почему Вы используете порт 6690? у DS по умолчанию 5000 или 5001.
У меня был свисток Йоты, там получается двойной NAT, DDNS не работает.
У меня был свисток Йоты, там получается двойной NAT, DDNS не работает.
А почему тогда через Quickconnect соединяется?
А почему тогда через Quickconnect соединяется?
У Quickconnect какой то свой алгоритм, насколько я понимаю типа Backdoor, он делает туннель с самого НАС на свой сервер.
И почему Вы используете порт 6690? у DS по умолчанию 5000 или 5001.
Потому что:
Пример для доступа к службе Cloud Station ...
Cloud Station работает на порту 6690.
У йоты, если вы не купили статик IP, клиенты сидят за NAT. Это значит, что с помощью DDNS вы не пролезете из вне. QuickConnekt в DSM работает иначе, с NAS поднимается исходящий канал до облаков Synology, что-то типа VPN, а когда вы коннектитесь по зарегистрированному в QuickConnekt имени, облако перенаправляет Вас по созданному тунелю в Ваш NAS.
Раз уж у Вас есть в той же сети Synology, то можете и ходить на него QuickConnekt'ом, а потом и в локалку свою лезть на любое устройство.
доброго времени суток.
Подскажите как у вас проброшен за микротиком FTP порты?
Не получается не как. Скрины прикрепил.
ПС: прикрепить сложно....
Форумчане, нужен хелп. Точнее есть несколько вопросов.
Есть-ли возможность в список совместимых роутеров добавить mikrotik 2011UiAS чтоб настроить просто EZ-internet, включил на нем UPnP, в интерфейсе указал тот на котором synology висит, не помогло, все равно не видит, в списке устройств таких зверьков вообще нет. видимо в этом и соль.
Выше пишите ручками порты форвардить, можно накидать правил но встает вопрос какие порты используют приложения синолоджи, и их же много.
Тоесть вопрос сводится к тому что настраевает такое EZ-internet, один раз что все потом работает без рукоблудства на роутере.
т.к. я уже после настройки EZ-интернетом (до этого стоял ZYxel kinetik) ставил пакеты на синолоджи с внешним доступом и конектился с внешки без доп вмешательств.
Форумчане, нужен хелп. Точнее есть несколько вопросов.Есть-ли возможность в список совместимых роутеров добавить mikrotik 2011UiAS чтоб настроить просто EZ-internet, включил на нем UPnP, в интерфейсе указал тот на котором synology висит, не помогло, все равно не видит, в списке устройств таких зверьков вообще нет. видимо в этом и соль.
Выше пишите ручками порты форвардить, можно накидать правил но встает вопрос какие порты используют приложения синолоджи, и их же много.
Тоесть вопрос сводится к тому что настраевает такое EZ-internet, один раз что все потом работает без рукоблудства на роутере.
т.к. я уже после настройки EZ-интернетом (до этого стоял ZYxel kinetik) ставил пакеты на синолоджи с внешним доступом и конектился с внешки без доп вмешательств.
По портам сино тут:
https://www.synology.com/ru-ru/knowledgebase/faq/299
А вам все порты нужно задействовать ? 
Если вы сменили Зухель на микротик то без доп вмешательств не выйдет.
Всем поклонникам EZ-Internet стоит прочитать страшилку про "Китайского Сино-Будду", и да простит меня автор афоризма 
:
Cлужба UPnP занята. Повторите попытку позже., Зависла конфигурация маршрутизатора
вопрос раз
https://www.synology.com/ru-ru/knowledgebase/faq/299
вот это все ручками перебивать, утра..... , устать можно ...
http://www.synology.forum/index.php?showtopic=7079
ознакомился, да согласен что ручками корректней.
Но этот мастер же сделан думаю как набор скриптов под каждый маршрутизатор, если вывалил бы кто исходник так его проще под конкретный маршрутизатор подправить и в консоль вбить.
неее я не то чтоб подискутировать, просто хочется не париться когда какой нить сурвиланце не цепляется из вне а ты потом ломаешь голову и вспоминаешь что ах нужно же новое форвард правило.
как-то же этот зверь автоматом коннектится и я понимаю в дальнейшем тоже правит на роутере настройки если сине потребовался новый порт в связи с новым приложением ?!
поясните я не специалист. Или проще микротик этот поменять на циску или зухел, но мне нужна железяка с сфп портом чтоб оптику запихать без медиа -конвертора провайдера.
вы-ж тут гуру железяк этих. а у мне вон написанно новичек, я и ту и ту 2 дня назад в розетку воткнул.
вопрос разhttps://www.synology.com/ru-ru/knowledgebase/faq/299
вот это все ручками перебивать, утра..... , устать можно ...
Я уже раз спрашивал...
Да накуя вам все порты то пробрасывать ? 
Я уже раз спрашивал...Да накуя вам все порты то пробрасывать ?
ну я же говорю это двойная задача.
под каждый пакет на сине прдется отдельно разбираться, а потом еще второе правило как выше чтоб во внутрянке доступ был.
криво же.
ну я же говорю это двойная задача.под каждый пакет на сине прдется отдельно разбираться, а потом еще второе правило как выше чтоб во внутрянке доступ был.
криво же.
Ну что Вам ещё сказать. Ну нету микротика в списке, нету, и что-то мне подсказывает и не будет, ибо есть микротик и всё остальное
PS Ну а базы роутеров лежат в /etc/portforward/routerdb включая DD-Wrt и Tomato
ладно пойду в ветку http://www.synology.forum/index.php?sho...752&hl=plex
plex-а.
трэш номер два чувствую IPKG не ставится в упор соответственно MC тоже.
при чем понять не могу понять мож у меня железяка не очень подходит или bootstrap не тот качаю.
короче трэш 2.0
ладно пойду в ветку http://www.synology.forum/index.php?sho...752&hl=plexplex-а.
трэш номер два чувствую IPKG не ставится в упор соответственно MC тоже.
при чем понять не могу понять мож у меня железяка не очень подходит или bootstrap не тот качаю.
короче трэш 2.0
Sidor правильно выше написал, зачем пробрасывать все порты, у вас что все службы открыты ? сделайте вы forward внутри сети для всех пользователей, а если вам из интернета нужно стучаться то, в принципе для интернета хватит и админки, ну и если вы хотите фтп поставить, а вот если вам нужно больше служб, то просто составьте список в Firewall напишите правило для всех этих портов через запятую как Сироко выше в скрине показал, ну а в нате придется каждый порт пробрасывать.
P.S.
Могу вам смело сказать у меня проброс на 2 порта только, админка и transmission, ах да еще PhotoStation
Ну что Вам ещё сказать. Ну нету микротика в списке, нету, и что-то мне подсказывает и не будет, ибо есть микротик и всё остальное
Вы видимо свято верите в то, что есть сертифицированные биты, а есть несертифицированные и они по разному распространяются в каналах передачи
Нужно категорически запретить продажу устройств при отсутствии элементарных навыков. 
Для чего покупать микротик если руками не можешь пробросить порты.
Вы видимо свято верите в то, что есть сертифицированные биты, а есть несертифицированные и они по разному распространяются в каналах передачи
То, во что я свято верю, разложится в три слагаемых:
Первое вполне недвусмысленно сформулировал alexejnic - "Нужно категорически запретить продажу устройств микротиков при отсутствии элементарных навыков. Для чего покупать микротик если руками не можешь пробросить порты."
Второе - MicroTik не появится в этом списке, да хотя бы потому, что там не появится Cisco (LynkSyS - не в счёт).
Третье - Полагаю, что Синолоджи знает и про первое и про второе и это их совсем не парит.
PS Ну а на писульку про "сертифицированные биты" даже отвечать не хочется.
Нужно категорически запретить продажу устройств при отсутствии элементарных навыков.Для чего покупать микротик если руками не можешь пробросить порты.
И экзамен обязательно при продаже...
То, во что я свято верю, разложится в три слагаемых:
Первое вполне недвусмысленно сформулировал alexejnic - "Нужно категорически запретить продажу
устройствмикротиков при отсутствии элементарных навыков.
Второе - MicroTik не появится в этом списке, да хотя бы потому, что там не появится Cisco (LynkSyS - не в счёт).
Третье - Полагаю, что Синолоджи знает и про первое и про второе и это их совсем не парит.
PS Ну а на писульку про "сертифицированные биты" даже отвечать не хочется.
рынок уже давно ориентирован на "домохозяек" и с этим ничего не поделаешь
благодаря интернету, люди думают, что они много знают, а реальная ситуация м-м-м... несколько хуже. к тому же из-за "специалистов", у которых "хоть как-то заработало", значит они теперь крутые сетевики, специалисты по системам хранения, продвинутые линуксоиды и т.д. появляется колосальный объем материала, который, по большей части, стоило бы отнести к тому как делать не нужно
те кто покупает microtik и, тем более, cisco, как правило делают это осознанно и знают как с этими устройствами обращаться. им эти автоматические настройки без надобности.
к тому же одно дело какой-нибудь zyxel, где один список правил, пихай туда инструкции и не ошибешься, а другое дело маршрутизатор на ios. куда там вставлять правило ? в какой-нибудь стандартный access-list ? а с каким номером ? а если там целый шлейф access-list extended ? да еще и route mapов понаделано. оно в лучшем случае просто не сработает, а в худшем сломает то, что работало.
в крупных конторах обычно все же не идиоты работают, они и клиентов слушают, и вокруг смотрят. ну а тем, которые не слушают и не смотрят, им обычно резко плохеет, как вон с HTC происходит. как только они решили, что такие стали все звездные и лучше клиентов знают, что им (клиентам) нужно, так от них даже самые упертые фанаты побежали.
те кто покупает microtik и, тем более, cisco, как правило делают это осознанно и знают как с этими устройствами обращаться. им эти автоматические настройки без надобности.
Да, всё верно, однако поимели исключение и сестема вошла в ступор. И рады бы помочь, но как? 
к тому же одно дело какой-нибудь zyxel, где один список правил, пихай туда инструкции и не ошибешься, а другое дело маршрутизатор на ios. куда там вставлять правило ? в какой-нибудь стандартный access-list ? а с каким номером ? а если там целый шлейф access-list extended ? да еще и route mapов понаделано. оно в лучшем случае просто не сработает, а в худшем сломает то, что работало.
Как и у Cisco ios, у микротика своя MikroTik RouterOS, однако в отличие от Cisco её можно также поставить на комп ну хотя бы для изучения, ибо ядро - Линуксовое -> What is RouterOS...
в крупных конторах обычно все же не идиоты работают
Cisco - да, это преимущественно корпоративный сектор, а вот MikroTik из-за своей ценовой политики вполне себе завоевал популярность и в домашнем сегменте правда с одним, но немаловажным НО - это не мыльница для домохозяек а-ля "подключил и забыл" или а-ля "проезэтинтернетил"
НО - это не мыльница для домохозяек а-ля "подключил и забыл" или а-ля "проезэтинтернетил"
Я бы поспорил, ибо я именно так и сделал, грамотно настроил все параметры пару скриптов в шедуллере прописал и все, единственное, что приходится заходить и смотреть нет ли DDos'a или Сканера портов, ну и собсна раз в месяц автоматом выполняется скрипт посылающий бэкап конфика на почту!
Для меня это и важно и была первая и основная причина, стабильность, вторая гибкость настроек, третья качество. До этого куча "хлама" была. Но тут слово хлам не в плохом смысле, чисто из-за скудности возможностей, познакомился с микротик, очень понравилось, теперь только с ним!
Я бы поспорил, ибо я именно так и сделал, грамотно настроил все параметры
Так о чём спор то? "Подключил и забыл" и "грамотно настроил все параметры" - это из разных опер
Так о чём спор то? "Подключил и забыл" и "грамотно настроил все параметры" - это из разных опер
Значит я не правильно понял вашу фразу, в плане для домохозяек настроил и забыл!
:lol: а что можно подключить и забыть, не настроив ????
"Подключил и забыл" и "грамотно настроил все параметры" - это из разных опер
это еще с чего ?
грамотная настройка совершенно не предполагает необходимости постоянного контроля и подкручивания, а именно подключил, настроил и забыл.
вот: C6500_CO_0_1 uptime is 1 year, 34 weeks, 4 days, 5 hours, 57 minutes я правда там уже года 2 ничего не менял кроме vlan'ов на портах
это еще с чего ?грамотная настройка совершенно не предполагает необходимости постоянного контроля и подкручивания, а именно подключил, настроил и забыл.
вот: C6500_CO_0_1 uptime is 1 year, 34 weeks, 4 days, 5 hours, 57 minutes
У меня схожая ситуация! )))) Только у меня свет рубанули разок, и аптайм упал, а до этого около полу года был счетчик
Значит я не правильно понял вашу фразу, в плане для домохозяек настроил и забыл!
Вы ловко "выели" сердцевину из фразы "мыльница для домохозяек а-ля "подключил и забыл" или а-ля "проезэтинтернетил"
Вот в этом вся наша сущность - только русские так любят поизголяться. И только русские в разговоре могут и даже любят "гнездовые темы", когда начиная одним, заканчивают совершенно противоположным и "рубка" уже идёт совсем про другое и то, с чего начали уже совсем и не важно
PS Самое смешное, что все друг друга понимают, разделяют одно и то же мнение насчёт микротика или циски - но вот хлебом не корми - дай поспорить
Вы ловко "выели" сердцевину из фразы "мыльница для домохозяек а-ля "подключил и забыл" или а-ля "проезэтинтернетил"
Вот в этом вся наша сущность - только русские так любят поизголяться. И только русские в разговоре могут и даже любят "гнездовые темы", когда начиная одним, заканчивают совершенно противоположным и "рубка" уже идёт совсем про другое и то, с чего начали уже совсем и не важно
PS Самое смешное, что все друг друга понимают, разделяют одно и то же мнение насчёт микротика или циски - но вот хлебом не корми - дай поспорить
"В споре рождается правда" В. М. Достоевский, по сути я не спорил я разделяю такую же точку зрения. Просто Сиськи для крупных корпораций и для домашнего пользователя хорошие варианты будут дороги, но это вы и написали, я лишь хотел уточнить, что как раз микротик эта именна та вещь которую разок настроил и забыл! ) просто вы немного не правильно написали "НО - это не мыльница для домохозяек а-ля "подключил и забыл" ", согласен не мыльница, но если настроил то забыл ! 
^_^ ^_^
Просто Сиськи для крупных корпораций и для домашнего пользователя хорошие варианты будут дороги
Вот поэтому циску для дома сразу отбрасываем (хотя есть и такие, но им по работе надо ) - и в итоге и остаётся "микротик и всё остальное" (polanat ®)
Ну а пример, что Вы просили - да хотя бы фотоаппарат-мыльница для домохозяек (даже есть специальный режим - красное сердечко ) - зарядил батарею и забыл
PS Самое смешное, что все друг друга понимают, разделяют одно и то же мнение насчёт микротика или циски - но вот хлебом не корми - дай поспорить
ну не молчать же на форуме
иначе будет как в том анекдоте про анекдоты:
- анекдот 45;
- ха-ха-ха!
- анекдот 91;
- бумц по морде
- за что ?
- чтобы пошлости при женщинах не рассказывал.
Все просто делается.
На микротике идем во вкладки IP-UPnp делаем enable.
После чего на синолоджи настраиваем маршрутизатор. Все работает.
Синолоджи сам все пробрасывает.
P.S. Зачем покупать микротик, если не знаешь что такое src-nat, и чем от отличается от dst-nat, и какой из адресов в IP пакете подменяется микротиком при прохождении nat? Купите красивый asus или zyxel или d-link. Ну, или, учитесь наконец....
...И для доступа к службе Cloud Station из локальной сети микротика на NAS Synology в локальной сети, но по обращению с глобального адреса:
(Тоесть, если на вашем мобильнике, например, настроена Cloud Station, а в качестве сервера указан адрес вида mydomen.ru или внешний статический IP, то без следующего правила из локальной сети до Synology вы не достучитесь, а достучитесь только из интернета)
Правила:
Вкладка General
http://i9.pixs.ru/storage/1/8/3/03PNG_1914071_15341183.png
Вкладка Action
http://i9.pixs.ru/storage/2/0/1/04PNG_2089621_15341201.png
Правда это для случая, когда статик IP...
Приветствую!!!
У меня как раз именно такая проблема, а картинок для Ваших инструкций уже нет.. Пожалуйста, не могли бы Вы их загрузить снова?
(Статик IP, необходимо "научить" mikrotik hEX (RB750Gr3) направлять обращение к Synology из локальной сети в локальную сеть через глобальный адрес)
Спасибо!
Все просто делается.На микротике идем во вкладки IP-UPnp делаем enable.
Я тоже в своем MikroTik тоже вручную писал проброс портов.
А когда запустил в Сино приложение EZ-Internet, то оно само все сделало согласно тому, какие службы и пакеты у Вас установлены.
Тогда я свое "творчество" удалил за ненадобностью.
А когда запустил в Сино приложение EZ-Internet, то оно само все сделало согласно тому, какие службы и пакеты у Вас установлены.
Сино определил микрот? У меня не определил, и в ручном выборе данного производителя нет моделей.
А не надо ничего делать с определением. Не трогайте этот пункт. И в ручную не выбирайте! Игнорируйте.
А остальное все делайте, как надо!
И главное, что бы в Сино параметр MTU в свойствах LAN соответствовал параметру MTU Вашего роутера, а он - параметру MTU Вашего провайдера Интернета.
Вот только тогда и происходят чудеса!
Ну что Вам ещё сказать. Ну нету микротика в списке, нету, и что-то мне подсказывает и не будет, ибо есть микротик и всё остальное
Вообще, для справки - UPNP работает одинаково и на тех роутерах что есть в списке, и на тех - что в списке нет. (если он роутером поддерживается, конечно)
И главное, что бы в Сино параметр MTU в свойствах LAN соответствовал параметру MTU Вашего роутера, а он - параметру MTU Вашего провайдера Интернета.
Ы? ....
Т.е. МТУ 9000 внутри сети, и МТУ 1500 в сеть провайдера - по вашему, неработоспособная конфигурация? О_о
Я тоже в своем MikroTik тоже вручную писал проброс портов.
И это правильно.
Потому как я категорически не понимаю - нафига делать нат с порта например 5000 на порт 5000. (именно меняется порт, когда его можно не менять, лишнее действие)
И экзамен обязательно при продаже...
Зачем такие сложности? Достаточно предъявить MTCNA
из локальной сети в локальную сеть через глобальный адрес
Тынц .... мой мозг сломался.... еще раз, как?
Вообще, для справки - UPNP работает одинаково и на тех роутерах что есть в списке, и на тех - что в списке нет. (если он роутером поддерживается, конечно)
Вы явно не в теме - речь идёт о сино-функции (EZ-Internet)
Вы явно не в теме - речь идёт о сино-функции (EZ-Internet)
И?
Только что специально прогнал с микротом и включенным UPnP - всё прекрасно прошло, порты пробросились. О чем собственно и говорил - есть UPnP - пофиг какой там роутер.
И я вам даже больше скажу, проброс портов из раздела "внешний доступ" - "конфигурация маршрутизатора" на микроте тоже прекрасно работает.
О чем собственно и говорил - есть UPnP - пофиг какой там роутер.
1. Поддержка UPnP роутером вовсе не означает 100%-ю сино-совместимость в контексте мастера настроек EZ-Internet,
2. Synology гарантирует работу мастера настроек EZ-Internet для роутеров из сино-списка поддерживаемых маршрутизаторов,
3. Бренд MikroTik в этот список НЕ входит,
4. Synology явно упоминает, что "Для других маршрутизаторов может потребоваться выполнить переадресацию портов вручную.",
5. Отсутствие роутера в списке вовсе не означает, что мастер настроек EZ-Internet конкретно с ним не заработает, но вот утверждать безапелляционно, что поддержка UPnP у роутера автоматически гарантирует 100%-ю сино-совместимость c мастером настроек EZ-Internet НЕКОРРЕКТНО!
6. Когда-то самолично проверял работу EZ-Internet с некоторыми моделями TP-Link c поддержкой UPnP - НЕ РАБОТАЛО!
7. На месте владельца микрота лично мне было бы стыдно прибегать к EZ-Internet для проброса портов и не только ...
Поддержка UPnP роутером вовсе не означает 100%-ю сино-совместимость в контексте мастера настроек EZ-Internet,
При условии соблюдения RFC - означает.
Если не заработал - нельзя сказать что этот роутер поддерживает UPnP (читать - UPnP реализован согласно RFC).
Спорить дальше не буду, есть желание спорить - спорте с этим утверждением с ТП синяков.
7. На месте владельца микрота лично мне было бы стыдно прибегать к EZ-Internet для проброса портов и не только ...
Это сугубо ваше мнение, с коим каждый в праве как согласиться, так и не согласиться
При условии соблюдения RFC
У синологов есть так называемый сино-совместимый список. Так вот любое обращение в ТП Синолоджи будет отфутболено, если внешнее у-во в сино-списке отсутствует. И здесь можно материться, взывать к RFC, википедии и прочим первоисточникам, включая стандарты - результат будет нулевой ...
Здравствуйте. Можно я с вопросом вклинюсь? У меня на DSM ведут нестандартные порты, ну например 10080 и 10443. На микротике белый адрес, к нему подвязано доменное имя, пока всё гладко, работает. Стоит проброс портов 80 » 10080 и 443 » 10443 соответственно.
Стучусь на доменное имя (на айпи напрямик тоже пробовал, те же лыжи). По логике я должен сразу попасть на https и влететь в Synology. Но не тут-то было! По факту, при вводе адреса меня сначала направляет на https://myadress.site:10433 и естественно отдаёт ошибку 404, потому что такого порта нет, есть проброс с 443. Приходится каждый раз по нескольку раз вручную удалять порт из адреса и перезаходить, чтобы он раздуплился.
Настроено с обоих сторон, казалось бы, верно, но... Что я делаю не так?
По логике я должен сразу попасть на https и влететь в Synology.но... Что я делаю не так?
Чтобы "влететь" в синоложи ( если я правильно понял в web морду сино ) то надо пробрасывать 5000 и 5001 порты.
а 80 и 443 это порты web сервера настроенного в синоложи.
Здравствуйте. Можно я с вопросом вклинюсь? У меня на DSM ведут нестандартные порты, ну например 10080 и 10443. На микротике белый адрес, к нему подвязано доменное имя, пока всё гладко, работает. Стоит проброс портов 80 » 10080 и 443 » 10443 соответственно.
Стучусь на доменное имя (на айпи напрямик тоже пробовал, те же лыжи). По логике я должен сразу попасть на https и влететь в Synology. Но не тут-то было! По факту, при вводе адреса меня сначала направляет на https://myadress.site:10433 и естественно отдаёт ошибку 404, потому что такого порта нет, есть проброс с 443. Приходится каждый раз по нескольку раз вручную удалять порт из адреса и перезаходить, чтобы он раздуплился.
Настроено с обоих сторон, казалось бы, верно, но... Что я делаю не так?
Стандартные порты для работы с DSM - 5000 и 5001. Лично я на своём Сино тоже поменял стандартные порты на подобные 10080 и 10443, хотя он стоит за Микротиком. Микротик принимает на эти же 10080 и 10443, не меняя их на выходе и обратно, просто передаёт на те же порты то что принял. Сделал так, потому что лень было рисовать лишние правила на каждый "другой" порт внутри локалки, при коннекте к Сино через внешний IP, находясь в локалке (это надо для удобства коннекта с ноутов и смартов, которые ходят туда-сюда).
Но я пошёл ещё дальше и запретил заходить на Сино из вне. Только для локального IP. И подключаюсь к нему исключительно из локалки. Или OVPN из вне на ПК в локалке, а потом уже с него - на Сино.
Стоит проброс портов 80 » 10080 и 443 » 10443 соответственно.
То есть снаружи 80-й имеет номер 10080, а 443 - снаружи 10443? На Сино -80 и 443?
Настроено с обоих сторон, казалось бы, верно, но... Что я делаю не так?
Тут бы на "config.rsc" взглянуть бы... Ну только ту часть, "/ip firewall nat"
что там набросано...
И вопрос еще. а какой у Вас файрвол? Нормально открытого или нормально закрытого типа.
"/ip firewall filter" - что там?
1. Поддержка UPnP роутером вовсе не означает 100%-ю сино-совместимость в контексте мастера настроек EZ-Internet,2. Synology гарантирует работу мастера настроек EZ-Internet для роутеров из сино-списка поддерживаемых маршрутизаторов,
3. Бренд MikroTik в этот список НЕ входит,
4. Synology явно упоминает, что "Для других маршрутизаторов может потребоваться выполнить переадресацию портов вручную.",
5. Отсутствие роутера в списке вовсе не означает, что мастер настроек EZ-Internet конкретно с ним не заработает, но вот утверждать безапелляционно, что поддержка UPnP у роутера автоматически гарантирует 100%-ю сино-совместимость c мастером настроек EZ-Internet НЕКОРРЕКТНО!
6. Когда-то самолично проверял работу EZ-Internet с некоторыми моделями TP-Link c поддержкой UPnP - НЕ РАБОТАЛО!
7. На месте владельца микрота лично мне было бы стыдно прибегать к EZ-Internet для проброса портов и не только ...
1.2.3.4. Прошейте новую версию RoutrOS и тогда все четыре пункта становятся неактуальными. MikroTik идет впереди Сино по технологиям маршрутизации.
5.6. - мы ведем речь о MikroTik, а не о TP-Link. Да и D-Link тоже не лучшие роутеры.
7. единственное, что EZ-Internet делает лишним, так это в поле "To Ports" вкладки "Action" дублирует номер порта. Если порт при пробросе не меняется, то это поле нужно удалять (на это тратится машинный цикл программы ROS). Зато в поле "Dst. Address" вкладки "General" вставляет адрес, выданный провайдером.
Еще раз хочу сказать, что я сначала пробросил все порты вручную, а потом понял, что накидал лишнего. EZ-Internet делает это не хуже. Не стоит этого стыдиться!
Помимо ната, нужно еще разрешить форвард пакетов с признаком - дстнат
Хотя - на первое время можно вообще выключить файрвол.
У меня работает так:
/ip firewall nat add action=jump chain=dstnat dst-address=xx.xx.xx.xx in-interface=ether8 jump-target=dstnat-to-nas /ip firewall nat add action=dst-nat chain=dstnat-to-nas comment="HTTP to NAS" dst-port=80 protocol=tcp to-addresses=10.254.0.10 /ip firewall nat add action=dst-nat chain=dstnat-to-nas comment="HTTPS to NAS" dst-port=443 protocol=tcp to-addresses=10.254.0.10 /ip firewall nat add action=dst-nat chain=dstnat-to-nas comment="HTTP DSM" dst-port=5000 protocol=tcp to-addresses=10.254.0.10 /ip firewall nat add action=dst-nat chain=dstnat-to-nas comment="HTTPS DSM" dst-port=5001 protocol=tcp to-addresses=10.254.0.10 /ip firewall nat add action=dst-nat chain=dstnat-to-nas comment="DownloadStation on NAS" dst-port=65533 protocol=tcp to-addresses=10.254.0.10 /ip firewall nat add action=dst-nat chain=dstnat-to-nas comment="DownloadStation on NAS" dst-port=65533 protocol=udp to-addresses=10.254.0.10 /ip firewall nat add action=dst-nat chain=dstnat-to-nas comment="DownloadStation on NAS (DHT)" dst-port=6881 protocol=udp to-addresses=10.254.0.10
Еще раз хочу сказать, что я сначала пробросил все порты вручную, а потом понял, что накидал лишнего. EZ-Internet делает это не хуже. Не стоит этого стыдиться!
Если прокидывается порт в порт, он зачем то в дстнат помимо адреса меняет еще и порт, оно не совсем корректно как по мне
оно не совсем корректно как по мне
Меня это тоже поначалу коробило. Ничего, не так уж процессор в Микроте загружен, что бы 5 машинных циклов потратить на замену того же порта на тот же.
Помимо ната, нужно еще разрешить форвард пакетов с признаком - дстнат
Ну это зависит от типа конфига Микротика, в зависимости от структуры Вашей сети, конфигурации системы и типа подключения Вашего провайдера.
Здравствуйте, форумчане!
На форуме Пользователей МикроТик люди активизировались по поводу брутфорса NAS.
Решил проверить защищенность своего аппарата. Взял свой сотовый и попытался 7 раз войти в приложение DS File с заведомо неправильным паролем.
К моему удивлению, мой IP-шник в бан не попал, и попытка войти с правильным паролем на 8-й раз увенчалась успехом.
Часть фаервола для защиты портов NAS выглядит так:
/ip firewall filter # Посылаю в цепь проверки только те запросы, которые идут из внешнего мира – WAN add action=jump chain=forward comment="10.1 - NAS ports request check jump for TCP" connection-state=new dst-port=5000,5001,6690,80,443,5005,5006 jump-target=check-bruteforce in-interface-list=WAN protocol=tcp add action=jump chain=forward comment="10.2 - NAS ports request check jump for UDP" connection-state=new dst-port=5000,5001 jump-target=check-bruteforce in-interface-list=WAN protocol=udp # Дропаю, все, что попало в список "bruteforcer" add action=drop chain=forward comment="10.3 – Drop the bruteforcer" connection-state=new log=yes log-prefix="--DROP NAS_PORTs brute forcer--" src-address-list= bruteforcer # Тут идут ступени для аутентификации add action=add-src-to-address-list comment="10.4 – Lock the bruteforcer" address-list=bruteforcer address-list-timeout=10m chain=check-bruteforce src-address-list=bruteforce-stage-5 add action=add-src-to-address-list comment="10.5 – bruteforcer check – Stage 4" address-list=bruteforce-stage-5 address-list-timeout=1m chain=check-bruteforce src-address-list=bruteforce-stage-4 add action=add-src-to-address-list comment="10.6 – bruteforcer check – Stage 3" address-list=bruteforce-stage-4 address-list-timeout=1m chain=check-bruteforce src-address-list=bruteforce-stage-3 add action=add-src-to-address-list comment="10.7 – bruteforcer check – Stage 2" address-list=bruteforce-stage-3 address-list-timeout=1m chain=check-bruteforce src-address-list=bruteforce-stage-2 add action=add-src-to-address-list comment="10.8 – bruteforcer check – Stage 1" address-list=bruteforce-stage-2 address-list-timeout=1m chain=check-bruteforce src-address-list=bruteforce-stage-1 # Принимаю все, что прошло проверку add action=accept chain=forward comment="10.9 – NAS ports request accept for TCP " connection-state=new dst-port=5000,5001,6690,80,443,5005,5006 protocol=tcp add action=accept chain=forward comment="10.10 – NAS ports request accept for UDP " connection-state=new dst-port=5000,5001 protocol=udp
in-interface-list=WAN - интерфейс Интернета.
Решил просмотреть, какие же порты надо пробрасывать. Зашел в "Панель управления" - "Внешний доступ" - "Конфигурация Маршрутизатора" и нашел там соответствие портов, которые проброшены в /IP - Firewall - NAT. Как вижу, стндартный порт 80 подменяется в интернете на 62430, а 5000 - на 62429. Все приложения на мобильниках работают.
Запустил мастер настройки EZ-Internet. Он предлагает проброс портов один-в один:
В общем, совсем я запутался. Помогите разобраться:
1. какие порты используют все мобильные приложения типа DS File, DS Photo, DS Video, DS Get снаружи роутера?
2. какие порты прокидываются?
Тогда будет понятно, по каким портам защиту ставить.
Здравствуйте, форумчане!На форуме Пользователей МикроТик люди активизировались по поводу брутфорса NAS.
1. Проверте и настройте правильно защиту на микротике, лучше по wiki микротика.
2. Не надо ни чего настраивать на синоложи.
Все эти инструкции для сино нужны только в одном случае, если он голой жо...й смотрит в интернет.
3. Замените штатные порты 5000,5001,6690,5005,5006.... на свои
И ни какого брутфорса не будет
p.s.
Лучше читать форум на ixbt.
Про это я знаю.
Мне интересно, какие порты Сино заменяет снаружи роутера. Он же не в чистом виде порты 21 и 80 прокидывает?
1. Проверте и настройте правильно защиту на микротике, лучше по wiki микротика.2. Не надо ни чего настраивать на синоложи.
Все эти инструкции для сино нужны только в одном случае, если он голой жо...й смотрит в интернет.
3. Замените штатные порты 5000,5001,6690,5005,5006.... на свои
И ни какого брутфорса не будет
p.s.
Лучше читать форум на ixbt.
1. по этому поводу я и решил уточнить, по каким портам через интернет стучатся мобильные приложения типа DS File и остальные,
2. в сино я ничего не настраиваю,
3. Заменить порты в Сино? А как тогда приложения типа DS File достучатся к себе домой?
Про это я знаю.Мне интересно, какие порты Сино заменяет снаружи роутера. Он же не в чистом виде порты 21 и 80 прокидывает?
1. по этому поводу я и решил уточнить, по каким портам через интернет стучатся мобильные приложения типа DS File и остальные,
2. в сино я ничего не настраиваю,
3. Заменить порты в Сино? А как тогда приложения типа DS File достучатся к себе домой?
1. какой порт укажете, по тому и стучаться будут.
2. в сообщении №59 разве не ваш скрин настроек ?
3. см пункт 1.
p.s.
можете в микротике не открывать порты 5000,5001,6690,5005,5006 и т.д.
а сделать проброс например с 45000 на 5000 и так по всем портам какие надо.
ну или в настройках сино поменять штатные порты, например 5000 на 5005 и в микротике делать проброс 5005 на 5005
p.s.s
и не трогайте вообще пункт меню в сино " Внешний доступ"
и не трогайте вообще пункт меню в сино " Внешний доступ"
Там я ничего не меняю.
А самое главное - я нашел причину неработоспособности защиты. Упустил правило на переход в список первого уровня:
add action=add-src-to-address-list comment="10.9 – bruteforcer check – Stage 0" address-list=bruteforce-stage-1 address-list-timeout=1m chain=check-bruteforce
Поэтому и не работало.
Всем доброго времени. Помогите кому не трудно настроить 218J подключенный к микротику RB2011UAS-2HnD Проблема в том что не могу заходить в DS File с устройств не находящихся в локальной сети NASa Хотел устранить эту проблему встроенной программой Мастер EZ- Internet конфликт в проверке сетевой среды и пишет маршрутизатор UPnP не найден, при настройке вручную нет данного микротика в списке. Могу ошибаться но думаю данная проблема из- за не заданных пробросов портов. В локальной сети проблем нет. Буду благодарен с пошаговым разъяснением как добиться получить доступ к DS через интернет. DS Finder и DSM mobile через мобильный работает без проблем. IP не белый в NASe отключил автоматическую конфигурацию сети. Может конечно не из за проброса портов,а что то не настроил в самой программе DSM. Спасибо.
Если нет белого ип то или квикконнект онли. А ему проброс портов не нужен
Проблема в том что не могу заходить в DS File с устройств не находящихся в локальной сети NASa Хотел устранить эту проблему встроенной программой Мастер EZ- Internet конфликт в проверке сетевой среды и пишет маршрутизатор UPnP не найден,
UPnP (Universal Plug and Play) — универсальная автоматическая настройка сетевых устройств, автоматически открывает порты для p2p приложений, игр и т.д.
В Winbox настройки можно найти открыв «IP» — «UPnP«.
Для включения поставим галочку напротив Enabled.
После этого нужно указать интерфейсы, нажмем «Interfaces» и «Add New».
1. Внешний (external) WAN интерфейс (именно логический интерфейс или интерфейс-лист, откуда идет интернет).
2. Внутренний (internal) порт или бридж, например bridge1.
И да будет Вам счастье! Вот только теперь можно запускать утилиту EZ-Internet.
P.S. Забыл добавить, что при работе мастера EZ-Internet не следует искать Микротик в списке совместимых. Просто нажимаем"Далее"
