divitПроброс порта (dst-nat) нужен, когда к устройству в офисе должны подключаться из интернета: веб-сервер, система видеонаблюдения, сервер телефонии. Но каждый проброшенный порт — это открытая дверь, поэтому сначала решите, нужен ли он вообще.
Что нельзя пробрасывать
Удалённый рабочий стол (3389), общие папки (445), базы данных, сервер 1С, панели управления Proxmox и роутеров. Для доступа к ним используйте VPN — у нас есть инструкция по настройке WireGuard на MikroTik.
Правило проброса
Пример: снаружи на порт 8443 — на веб-сервер 192.168.88.10, порт 443.
/ip firewall nat add chain=dstnat in-interface-list=WAN protocol=tcp dst-port=8443 \
action=dst-nat to-addresses=192.168.88.10 to-ports=443 comment="Веб-сервер"В стандартной конфигурации MikroTik трафик, прошедший dst-nat, уже разрешён в цепочке forward правилом «drop all from WAN not DSTNATed». Если у вас свои правила — разрешите его явно.
Ограничьте, кто может подключаться
Если доступ нужен только с определённых адресов (офис партнёра, дом директора), создайте список и укажите его в правиле:
/ip firewall address-list add list=allowed-ext address=203.0.113.25 comment="Офис партнёра"
/ip firewall nat set [find comment="Веб-сервер"] src-address-list=allowed-extТак для всех остальных порт будет закрыт.
Если внутри сети адрес не открывается
Изнутри офиса по внешнему адресу проброс по умолчанию не работает — нужен так называемый hairpin NAT. Проще всего обращаться к серверу изнутри по внутреннему адресу или настроить локальную DNS-запись.
Безопаснее проброса: что выбрать вместо него
- VPN. Сотрудники подключаются к офису через защищённый туннель, наружу не открыто ничего, кроме самого VPN.
- Нестандартный внешний порт. Он не защищает от целенаправленной атаки, но убирает массовые автоматические попытки подбора на стандартные порты.
- Ограничение по адресам. Если круг подключающихся известен, оставьте доступ только им — как в примере выше.
Типичные ошибки
- Правило создано, но стоит ниже запрещающего в цепочке forward — порт остаётся закрытым.
- Проброс сделан «временно» и забыт на годы. Добавляйте комментарий с датой и ответственным.
- У внутреннего устройства стоит простой пароль или не обновлена прошивка — открытый порт делает его мишенью.
- Провайдер выдаёт «серый» адрес, и проброс не работает вовсе: нужен «белый» IP-адрес.
Проверьте результат
После настройки запустите нашу проверку портов: в списке открытых должны быть только те порты, которые вы открыли сознательно.
Частые вопросы
Как удалить проброс порта на MikroTik? Найдите правило в IP → Firewall → NAT и удалите его или отключите, а затем проверьте порт онлайн.
Почему проброс не работает снаружи? Чаще всего причины две: у провайдера «серый» адрес либо правило разрешения в цепочке forward стоит ниже запрещающего.
Можно ли пробросить удалённый рабочий стол? Не рекомендуется: порт 3389 постоянно сканируют. Используйте VPN.