Отображение входящих IP-адресов

[SvZol]

Приветствую!
Есть RB750GL, настроен как L2TP DualAccess (локалка провайдера + инет через VPN), все работает хорошо, но есть один нюанс:
для домашней сети IP-роутера 192.168.1.1
дома есть NAS, он получает IP от DHCP роутера 192.168.1.100
для наса проброшен 21 порт для FTP

2 ;;; FTP_NAS_internet
chain=dstnat action=dst-nat to-addresses=192.168.1.100 to-
ports=21
protocol=tcp in-interface=l2tp-out1 dst-port=21

из интернета на фтп удается заходить и делать там, все что нужно без проблем, но вот в логах фтп-сервера я иногда смотрю с какого IP были подключения, и вот всегда IP 192.168.1.1 , а когда стоял роутера д-линк или зуксель, я мог видеть IP подключавшихся к фтп реальные.
Что, где поправить можно?

[Dragon_Knight]

У Вас случаем маскарадинг на локальный интерфейс не включен?

[SvZol]

маскарадинг есть

0 chain=srcnat action=masquerade

[Dragon_Knight]

Внимательно читаем мой пост: "маскарадинг на локальный интерфейс".

Хотя стоп... У Вас не указан какой интерфейс маскарадить...
Нужно так: "/ip firewall nat add action=masquerade chain=srcnat disabled=no out-interface=ИМЯ_WAN_ИНТЕРФЕЙСА"

[SvZol]

Тут получается такая вещь:
на ether1 висит DHCP-клиент и получает IP от провайдера для его локалки.
на l2tp-out1 висит VPN, через него инет, собственно.
Одновременно надо и в инет ходить и в локалке провайдера ковыряться, вот если в правиле маскарадинга out-interface=ether1 , то на компах инета нет, есть только локалка, если out-interface=l2tp-out1, то наоборот- инет есть, локалки нет.

Однако, если out-interface=l2tp-out1 , то в логах NAS'a светятся реальные IP заходивших на него.

[Dragon_Knight]

эм...
А вы не бойтесь два правила написать.

"/ip firewall nat add action=masquerade chain=srcnat disabled=no out-interface=ИМЯ_WAN_ИНТЕРФЕЙСА"
"/ip firewall nat add action=masquerade chain=srcnat disabled=no out-interface=ИМЯ_WAN_L2TP__ИНТЕРФЕЙСА"

[SvZol]

Да посоветовал один человек написать вот так:

0 chain=srcnat action=masquerade out-interface=!ether2

Заработало, IP вижу всех реальные, инет работает, локалка тоже. По сути то же, что и вы предлагаете, только одной командой. (ether2 -это у меня LAN)
Пробовал еще вот так:

0 chain=srcnat action=masquerade src-address=192.168.1.0/24

Тоже работает, но не уверен, что это есть правильно.

[Dragon_Knight]

Ну мне лично удобнее когда 2 конкретных правила.

[SvZol]

Спасибо!