MikroTik Hairpin NAT (NAT loopback) – настройка стъпка по стъпка

⚠ Ръководството е за системни администратори и напреднали потребители на MikroTik. Показваме кога е нужен Hairpin NAT и как да го настроите правилно, за да отваряте локален съρвър през публичния IP.

Hairpin NAT позволява на клиенти от LAN да достъпват вътрешен сървър чрез неговия публичен IP адрес. Без него заявката остава в рутера и се проваля. Hairpin пренаписва трафика така, че да изглежда като „външен“ и връзката да мине успешно.

1) Какво е Hairpin NAT

При опит за достъп до вътрешен сървър през публичния IP на същия рутер, пакетите не напускат устройството и отговорът не достига клиента. Hairpin NAT пренасочва и пренаписва връзката, така че тя да „завие обратно“ към сървъра с коректни адреси.

2) Кога е необходим

• Вътрешен сървър 192.168.88.10, публикуван като 203.0.113.10:8080, трябва да е достъпен по същия адрес и от LAN.
• Имате вътрешен DNS, който сочи към публичния IP на услуга.
• Искате еднакви URL/поведение отвън и отвътре (QA, staging, демонстрации).

3) Предпоставки

• RouterOS v7 или v6, включен connection tracking (по подразбиране е enabled).
• Коректни interface lists – LAN и WAN.
• Работещо dst-nat правило за външния достъп до сървъра.

4) Настройка (RouterOS v7 & v6)

4.1 RouterOS v7 – TCP 8080 пример

/ip firewall nat add chain=dstnat in-interface-list=WAN dst-address=203.0.113.10 protocol=tcp dst-port=8080 action=dst-nat to-addresses=192.168.88.10 to-ports=8080 comment="External access" /ip firewall nat add chain=srcnat src-address=192.168.88.0/24 dst-address=192.168.88.10 action=masquerade comment="Hairpin NAT"

Уверете се, че WAN интерфейсите са членове на in-interface-list=WAN.

4.2 RouterOS v6 – еквивалент

/ip firewall nat add chain=dstnat in-interface=<WAN-IFACE> dst-address=203.0.113.10 protocol=tcp dst-port=8080 action=dst-nat to-addresses=192.168.88.10 to-ports=8080 comment="External access" /ip firewall nat add chain=srcnat src-address=192.168.88.0/24 dst-address=192.168.88.10 action=masquerade comment="Hairpin NAT"

/ip firewall nat add chain=dstnat in-interface-list=WAN dst-address=203.0.113.10 protocol=udp dst-port=1194 action=dst-nat to-addresses=192.168.88.10 to-ports=1194 /ip firewall nat add chain=dstnat in-interface-list=WAN dst-address=203.0.113.10 protocol=tcp dst-port=8000-8100 action=dst-nat to-addresses=192.168.88.10

5) Примерна схема

 [ Клиент 192.168.88.99 ] │ │ (LAN) ▼ ┌──────────────┐ │ MikroTik │───► Интернет (203.0.113.10) └──────────────┘ │ │ (LAN) ▼ [ Сървър 192.168.88.10:8080 ] 

Без Hairpin NAT http://203.0.113.10:8080 няма да се отвори от LAN, въпреки че сайтът е достъпен отвън. След Hairpin – работи нормално.

6) Диагностика

• Ред на правилата: Hairpin srcnat и конкретният dstnat да са над общите правила.
• Forward firewall: имате ли accept за connection-state=established,related?
• FastTrack: временно го изключете за тест – може да прескочи обработката.
• Проверка: вижте NAT/connection таблиците и трафика с torch.

/ip firewall nat print detail /ip firewall connection print where dst-address~"192.168.88.10" /tool torch interface=<LAN-IFACE> src-address=192.168.88.0/24 dst-address=192.168.88.10

/ip firewall filter add chain=forward connection-state=established,related action=accept comment="Allow established,related"

/ip firewall filter print where action=fasttrack-connection /ip firewall filter disable X /ip firewall filter enable X

• PBR/VRF: при policy routing/VRF уверете се, че обратният трафик достига клиента.
• DNS: split-horizon DNS може да „скрие“ проблема – тествайте директно през публичния IP/порт.

7) Hairpin NAT vs локален DNS (Split-horizon)

8) FAQ

• Работи ли с UDP? Да — направете аналогично dst-nat с protocol=udp.
• Нужно ли е за всеки порт? При много портове използвайте диапазон (напр. 8000–8100).
• Има ли влияние върху производителността? В обичайни случаи – минимално; следете NAT/conntrack при много връзки.
• По-добър ли е локален DNS? За по-големи среди – да. За малки/средни – Hairpin е по-бърз и прост.
• FastTrack? Изключете за тест или извадете конкретния трафик от fasttrack.

Съвет: поддържайте коментари и подредба в NAT правилата – по-лесна диагностика при конфликти.