Modalità DMZ e accesso da esterno

[gcapoccia]

Buongiorno a tutti, sono da poco iscritto al forum. Premetto che non sono un mostro nel campo delle reti LAN ma cercherò di essere il più chiaro possibile:

Ho un router MikroTik hAP (con RouterOS 6.40.1) collegato via ponte radio ad un ISP con ip pubblico dinamico, l'antenna è collegata fisicamente alla porta 1 del MikroTik e lì va lasciata (testuali parole dell'installatore). Il MikroTik ha il DHCP abilitato sul range 192.168.0.1/24. Alla porta 2 del MikroTik ho collegato l'ingresso WAN di un router TP-Link con IP statico WAN 192.168.0.250, il TP link a sua volta ha il DHCP abilitato sul range 192.168.1.1/24, quindi ho una WAN su 192.168.0.250 e un range di IP 192.168.1.1/24. Tutta la rete praticamente viene gestita dal router TP-Link (IP statici, Wifi, ecc.) e funziona tutto correttamente, l'unico problema è che non riesco ad accedere dall'esterno ai vari dispositivi tramite VNC, webserver, ecc. Sul router TP-Link tutto il port-fowarding è corretto. Nella vecchia configurazione utilizzavo un modem 4G Huawei 5332 con SIM Wind collegato alla porta USB del TP-Link e nelle opzioni di configurazione del Huawei avevo abilitato il DMZ sull'indirizzo IP WAN del router TP-Link che era esattamente lo stesso di adesso (192.168.0.250). Ho provato diverse configurazioni su IP/Firewall/NAT del MikroTik ma senza nessun risultato. C'è un modo per abilitare il DMZ o creare una regola che praticamente faccia la stessa cosa senza dover cambiare completamente la configurazione della rete?

Grazie a tutti.

[radiation]

Dovresti creare una regola di NAT nella sezione firewall senza specificare nessuna porta.
Una roba del genere:

/ip firewall nat
add action=dst-nat chain=dstnat comment=DMZ in-interface=ether1 \
to-addresses=192.168.0.250

[gcapoccia]

Dovresti creare una regola di NAT nella sezione firewall senza specificare nessuna porta.
Una roba del genere:

/ip firewall nat
add action=dst-nat chain=dstnat comment=DMZ in-interface=ether1 \
to-addresses=192.168.0.250

Niente da fare, non funziona. Ho provato di tutto, penso...
Grazie lo stesso

[radiation]

Mi pare strano..... Sicuro di avere IP pubblico?
Andando per gradi, riesci ad accedere all'interfaccia di amministrazione del router TP-Link da internet?

Tra l'altro tra un hAP lite, che per quanto sia l'entry level di Mikrotik e un TP-Link io non ci penserei due volte e mi tirerei fuori dai piedi il doppio NAT facendo fare tutto a lui

[gcapoccia]

Mi pare strano..... Sicuro di avere IP pubblico?
Andando per gradi, riesci ad accedere all'interfaccia di amministrazione del router TP-Link da internet?

Tra l'altro tra un hAP lite, che per quanto sia l'entry level di Mikrotik e un TP-Link io non ci penserei due volte e mi tirerei fuori dai piedi il doppio NAT facendo fare tutto a lui

1. L'indirizzo IP, secondo l'ISP è pubblico (185.30.44.XX)
2. No, non riesco a collegarmi via internet al TP-Link (porta 443).

Ci stavo pensando pure io a buttare il TP-link in cantina e utilizzare il Mikrotik, il problema è che non ho accesso da "admin" su quest'ultimo. Ho provato più volte a chiedere l'accesso come admin ma non c'è stato niente da fare. Comunque stasera provo ad collegare una raspberry con webserver, vnc e ftp server direttamente sul mikrotik e vedo quello che succede.

Grazie.

[ppraz]

Scusate se mi intrometto.
L'IP pubblico a quale interfaccia viene assegnato?
Se al Mikrotik hai accesso (anche non admin, ma read-only) vedi in IP -> Address che indirizzi hai e su che interfacce.
Poi ne parliamo :-)

[radiation]

Oltre al giusto consiglio di Ppraz sei sicuro di avere almeno i privilegi di scrittura?

[gcapoccia]

Scusate se mi intrometto.
L'IP pubblico a quale interfaccia viene assegnato?
Se al Mikrotik hai accesso (anche non admin, ma read-only) vedi in IP -> Address che indirizzi hai e su che interfacce.
Poi ne parliamo :-)

Ciao, non c'è assolutamente problema se ti "intrometti" anzi...
Nel menu IP non sono riuscito a trovare la voce "address" quindi non sò cosa risponderti. Questi sotto sono alcuni screenshot di quello che riesco a vedere sull'interfaccia del router.

IP>Firewall>NAT
https://drive.google.com/file/d/1Jg_owr ... sp=sharing

Interfaces
https://drive.google.com/file/d/1NWk0PO ... sp=sharing

IP>Routes
https://drive.google.com/file/d/13HULNm ... sp=sharing

[gcapoccia]

Oltre al giusto consiglio di Ppraz sei sicuro di avere almeno i privilegi di scrittura?

Le impostazioni che riesco a vedere posso cambiarle, quindi ritengo di si.

[ppraz]

Ok,
dall'immagine "routes" si capisce, per estrapolazione, che non hai l'IP pubblico direttamente configurato sul tuo apparato RB941.
Purtroppo a questo punto ti devono fare a monte una NAT su cui tu non puoi intervenire.
Ti devono nattare tutto il traffico inbound verso il MT RB941, a quel punto la NAT che hai fatto tu funzionerà dall'esterno.

Un'ultima prova, nella regola di NAT che hai fatto, come in-interface non mettere ether1, ma pppoe-out1