Mikrotik 750GL usando com outros propósitos ROUTER + Agregação de link

Olá amigos, sou de são paulo, não trabalho como provedor de internet e minha utilidade para ele é de "apenas" roteador...

trata-se de um RB750GL com versão de firmware 2.36 e usando o winbox 5.16

Qual minha necessidade e já estou usando?

Utilizo um speedy 8mb simples já está roteado, com masquerade na NAT os ips internos funcionam perfeitamente e o UPnP também...

Utilizo um NAS servidor de arquivos e serviços QNAP TS-469 Pro que tem as funções de auto configuração de roteadores UPnP e utiliza um linux.
TODAS as outras máquinas na rede são macs e ou iphone ipad, smart tv etc, não há windows na rede.

Config da rede:

Modem ADSL em bridge >>> mikrotik (discador PPPoE e router) - AP - toda a rede
porém em duas portas do mikrotik eu tenho 2 cabos ligados ao QNAP (agregação de link)






PROBLEMA e minha necessidade

1- Por algum motivo obscuro ao meu conhecimento, não consigo abrir portas nele na NAT, mesmo com o UPnP que está com as regras abrindo automaticamente pelo QNAP oas portas não podem ser abertas como a porta 80 ou 8080.

O mais curioso é que a porta 1723 de VPN funciona e foi aberta pelo UPnP e roteia corretamente ao servidor QNAP...

Preciso apenas abrir a porta 8080 fazer passar diretamente ao servidor interno com ip fixo, porem... mesmo com a regra criada pelo UPnP (o mesmo que criou a regra da VPN porta 1723) a porta 8080 e a 80 ficam travados e nãor espondem (já desativei o service do mikrotik de porta 80 para a página de config).


2- Preciso fazer a porta 4 e 5 uma agregação de link 802.32ad para o servidor de arquivos QNAP... a configuração nos ervidor tudo ok de ser feita porém o mikrotik não faz essa agregação entrar na rede como 1 macadress virtual distribuido e acesso normal


Ok vc me perguntará pra que essa agregação, e é porque preciso de distribuição de tráfego interno na rede desses 2 gigabits de transferência...

PORQUE o mikrotik? Foi o melhor custo benefício que faz a agregação e pode tomar conta da rede por completo com discador PPPoE + agregação de link e talvez, possível balance futuro caso precise!



Obrigado a quem leu até aqui caso tenha entendido e puder ajudar agradeço

resumo de duvidas (objetivo)

1- NAT liberar portas 80 e 8080 para acesso externo
2- Agregar link do servidor NAS de arquivos fazendo 2gb de transferência através de 802.32ad e que esse "agregado" encontre um ip do meu sistema roteado com acesso a internet e tudo ok

abraços!

Vamos tentar por partes:

1. Já verificou se as portas estão abertas na saída do modem (podem estar bloqueadas pelo ISP)?
1. Já fez o redirecionamento manualmente?

Obs: Se possível, atualize a firmware e o ROS da RB.

Oi ZBTECK, obrigado pela resposta..

Sim verifiquei, as portas direto pelo modem estão todas "escancaradas" eu diria... rs
ou seja nada de bloquei do ISP (ainda bem a vivo ex-telefonica seria bem dessas mas não foi o caso).

Redirecionamento manual não vai... vou postar aqui minha config em alguns minutos, é que tenho de usar uma emulação de windows o wine pra funcionar o winbox, bem chata!

(sobre a atualização, confesso que estou meio "no medo" de isso travar tudo e ter de reconfigurar do zero... porém...)


a parte mais esquisita... FUNCIONA a droga da VPN e fica aberto (regra aberta por UPnP) mas as que fiz manuais e as outras UPnP nada!

colando meu código de nat o que está fixo:

Código:

/ip firewall nat
add action=masquerade chain=srcnat disabled=no out-interface=Speedy
add action=dst-nat chain=dstnat comment=Vuze disabled=no dst-port=\
    17253 protocol=tcp to-addresses=10.0.0.9 to-ports=17253

ou seja essa é a única regra que está na "unha" o resto ele não traz no terminal que está no UPnP e essa que está tb aparece como porta fechada...

rubensx escreveu:...(sobre a atualização, confesso que estou meio "no medo" de isso travar tudo e ter de reconfigurar do zero... porém...)...

Faça um backup antes. Apesar de não constar nada no changelog das versões posteriores do ROS relacionado ao UPnP, já vi casos de melhorias em funcões que não constava no mesmo. Também há casos de problemas em funções que os desenvolvedores juram não terem alterado!

O firmware seria o mais importante a ser atualizado.

Folgo em saber que finalmente a vivo abriu a porta 80 (depois vou checar aqui).

Já tentou fazer um traceroute de fora da sua rede digitando seu IP publico para ver onde está parando (após fazer o redirecionamento)?

Quanto ao redirecionamento citado, faça alteração no mesmo, deixe igual ao abaixo e faça o teste:

Código:

/ip firewall nat
add action=dst-nat chain=dstnat comment="Vuze" disabled=no \
    dst-port=17253 in-interface=Speedy protocol=tcp to-addresses=\
    10.0.0.9

rubensx escreveu:... vou postar aqui minha config em alguns minutos, é que tenho de usar uma emulação de windows o wine pra funcionar o winbox, bem chata!..

Mude a porta www do mikrotik (para 8181 por ex) para acessar pelo navegador independente do sistema.

boa farei isso, será que o mikrotik está bloqueando por ser uma porta "dele" ?

aliás pouco provável, pois não há nenhum serviço na porta 8080 e ele continua bloqueando memso com o UPnP ativado na regra do nat....

pior é a agregaçãod e link, acho que não funciona messssssmmmmmooooo!

ah sim então, fiz a alteração agora para speedy e nada... importante eu te dizer que "Speedy" é o discador PPPoE e ainda existem as eth1-eth2-eth3-eth4-eth5.


Exemplo é que na eth1 onde o link do modem adsl está ligado não aparece trafégo e nem ip nada, só na interface "virtual" chama da "Speedy" (no caso um PPPoE Client)

eix o código e ainda porta fechada!

Código:

add action=masquerade chain=srcnat disabled=no out-interface=Speedy
add action=dst-nat chain=dstnat comment=Vuze disabled=no \
    dst-port=17253 in-interface=Speedy protocol=tcp to-addresses=\
    10.0.0.9 to-ports=17253

rubensx escreveu:boa farei isso, será que o mikrotik está bloqueando por ser uma porta "dele" ?...

Não. As portas usadas são aquelas conhecidas para acesso e mesmo assim, podem ser alteradas.

rubensx escreveu:...pior é a agregaçãod e link, acho que não funciona messssssmmmmmooooo!

Como está configurada sua agregação?

rubensx escreveu:... importante eu te dizer que "Speedy" é o discador PPPoE e ainda existem as eth1-eth2-eth3-eth4-eth5.

Ok. Já tinha percebido pelo sua regra de mascaramento para navegação.

rubensx escreveu:Exemplo é que na eth1 onde o link do modem adsl está ligado não aparece trafégo e nem ip nada, só na interface "virtual" chama da "Speedy" (no caso um PPPoE Client)

Tudo normal aqui. A interface onde o modem é conectada apenas recebe IP e tem trafego contabilizado quando usa modem roteado/roteador/ip fixo ou atribui um ip a ela para acesso ao modem em bridge.

rubensx escreveu:... código e ainda porta fechada!

Código:

add action=masquerade chain=srcnat disabled=no out-interface=Speedy
add action=dst-nat chain=dstnat comment=Vuze disabled=no \
    dst-port=17253 in-interface=Speedy protocol=tcp to-addresses=\
    10.0.0.9 to-ports=17253

Estranho!

Pois é.. .estou quase re-fazendo do zero a config...

a agregação de link, eu estou tentando somar a porta eth4 e th5 porém, quando faço isso a agregação não pode ser slave da minha eth2 "MASTER" que faz o dhcp e tudo mais... ainda não entendi o porque... será que terei de fazer outro roteamento pra lá?

Por favor, teste as regras de redirecionamento abaixo e veja se as portas abrem:

Código:

/ip firewall nat
add action=dst-nat chain=dstnat comment="" disabled=yes dst-port=\
    !8291 in-interface=Speedy protocol=tcp to-addresses=\
    10.0.0.9
add action=dst-nat chain=dstnat comment="" disabled=yes dst-port=\
    !8291 in-interface=Speedy protocol=udp to-addresses=\
    10.0.0.9

Obs: A porta 80 está filtrada para mim (pacotes nem chegam a minha rb). Depois vemos a agregação.

Veja se a 8080 também está, por favor?

a sua regra não consigo aplicar responde:

"Couldn't add New NAT Rule - srcnat chain can not contain redirect/dnat actions (6)"

opa... perai erro meu... (aplica sim) já retorno

é... não rola:

Código:

/ip firewall nat
add action=masquerade chain=srcnat disabled=no out-interface=Speedy
add action=dst-nat chain=dstnat comment=Vuze_Frankbook disabled=no dst-port=17253 \
    in-interface=Speedy protocol=tcp to-addresses=10.0.0.9 to-ports=17253
add action=dst-nat chain=dstnat disabled=no dst-port=1723 protocol=tcp \
    to-addresses=10.0.0.9 to-ports=1723
add action=dst-nat chain=dstnat disabled=no dst-port=18291 in-interface=Speedy \
    protocol=tcp to-addresses=10.0.0.9 to-ports=18291
add action=dst-nat chain=dstnat disabled=no dst-port=18291 in-interface=Speedy \
    protocol=udp to-addresses=10.0.0.9 to-ports=18291

ainda bloqueado

Ok... fiz outro teste...

apaguei as regras, fui no QNAP coloquei como a porta de administração a 18291 e e liguei o UPnP

a conclusão que chego é que o provedor Vivo Speedy BLOQUEIA todas as portas comuns... só pode ser isso... só funciona a VPN e agora essa porta que vc me passou!!! BIZARRO!

rubensx escreveu:Veja se a 8080 também está, por favor?

Host is up (0.25s latency).

PORT STATE SERVICE

8080/tcp filtered http-proxy

Nem conta pacotes na rb (requisição é barrada antes)

-----------------------------------------------------------

Host is up (0.26s latency).

PORT STATE SERVICE

1688/tcp closed nsjtp-data

Conta pacotes na rb

Tem algo errado na sua rb/configuração, nenhum nat funciona!

então as portas 8080 pelo jeito são bloqueadas no speedy tb, já a porta que vc passou liberou pelo UPnP !!

deixa tentar a 1688!

confirmado as portas que vc me passou abrem no UPnP naturalmente:
18291
1688

isso quer dizer que a telefônica/vivo bloqueia as portas comuns, menos VPN e outras...

rubensx escreveu:confirmado as portas que vc me passou abrem no UPnP naturalmente:
18291
1688

isso quer dizer que a telefônica/vivo bloqueia as portas comuns, menos VPN e outras...

O UPnP vai abrir qualquer porta necessária. O problema é se elas não chegarem a rb. Tem que ver se as que esta testando, contam pacotes na rb?

A regra que passei anteriormente, enviaria todas as portas de entrada, exceto a do winbox, para o IP indicado e nem assim abriu.

pois é, agora consigo acessar e está roteando corretamente com as portas "alternativas" que vc passou, consigo acessar de fora (pelo cel via 3G por exemplo) corretamente, problema resolvido, conta pacotes sim dessas portas diferentes, as portas 80, 8080, 443, 21, 8081 entre outras parecem ser bloqueadas pelo speedy!

que zica!

bom... problema resolvido da nat, não é a RB, é a telecômica que sacanaeia mesmo...

a agregaçãod e link no modo que pretendia faz-se necessário um switch pelo jeito (pensei que a RB poderia atuar como switch com o LACP no caso) pelo jeito errei feio...

Pois é, sempre tentei fazer um servidor FTP sem ter que alterar porta e sempre estava fechada. Quando vc disse que a 80 estava aberta, até me animei...

A agregação não seria como a do link abaixo:

[Tens de ter uma conta e sessão iniciada para poderes visualizar este link]

pois eh... sempre com LP corporativa não sabia que era fechado o home...


sim o tutotrial procede, o agreggate certo pra o que quero (somar links gigabit) tem de ser o 802.3ad mas ele precisa do protocolo LACP que seria adminsitrado pelo switch... assim tanto o router como o servidor em 802.3ad conseguiriam entender as portas e transferir a agregação...

no caso quando se trata de servidores de arquivos pesados, como edição de vídeo, vc utiliza 2 placas de rede de 6 portas e consegue por exemplo em roteadores/switchers CISCO agregar as 12 portas somando 12gigabit de transferência...

possibilitando por exemplo a edição de videos full HD direto do hd do servidor pela rede...


o objetivo aqui era quase esse mas sim a transferencia de videos fullhd simultâneos até 6 conexões por exemplo (sem edição apenas stream)

pensei que o mikrotik faria o 802.3ad como um switch... pode ser que ele faça, mas realmente nÀo encontrei como criar esse LACP e tudo mais... li e reli mas ainda boiando...