OGMIOS: nekdo kdo by vedel?

zdar potrebuju poradit jak udelat pravidla na mikrotiku pro NAT. mam nasledujici:
sit 192.168.10.0/24 kde je router 192.168.10.249 (DHCP, gateway1) potom mam jeste gateway2 (ip:192.168.10.1). mam komp na vnitrni siti se statickou IP: 192.168.10.78(dale jen SIPK) kterej pouzivate gateway2 pro pripojeni k internetu. na vnitrni siti vidim v klidu z jinejch kompu co pouzivaj gateway1 na ten SIPK a muzu se pripojit. SIPK taky v poradku muze pristupovat na internet neb na gateway2 mam NAT pravidlo:
1)action=masquerade,chain=srcnat,src.addr=..10.78,OutInt.=wifi

Ted jsem si forwardnul port 3389(remote desktop) z wan na gateway1 na SIPK. Kdyz se ale snazim pripojit z internetu na SIPK pres tu gateway1, tak se nepripojim. Rozjel jsem wireshark na SIPK a ten mi ukazal ze mi prijde packet z internetu a komp odpovi ale k cilovymu kompu se ten paket nikdy nedostane. predpokladam ze se mi tedy pakety ztracej asi nekde na gateway2.
jak tam tedy nastavit ty pravidla pro NAT aby to fungovalo? prosim doslova a uplne :D

ja uz to vzdal, je to hrozny bastl. sice mi vicemene funguje, ale je to hrozne osekane a zabugovane.

tak mam vic a vic pocit ze openvpn na mikrotiku s overovanim certifikatem proste nemuze fungovat.... :-(
stravil sem na tom 3 dny a ani po debate s clovekem co tyhle veci umi a dela to nemuzu rozchodit...

NETWORK: a samozrejme vykon na karte na 1dBi ;)

ATAN: jakoukoliv plnou parabolu s limcem a bud zarizeni stahnout kvalitnim sirkokym koaxem pod strechu do plechoveho casu a nebo nejlepe kovovy case rovnou za parabolu...
idealne asi toto: http://www.wifi-obchod.cz/index.php?page=shop.product_details&flypage=shop.flypage&product_id=180&category_id=4&manufacturer_id=0&option=com_virtuemart&Itemid=70

kabel: http://www.wifiprofi.cz/28-kabely-nm-nm-bwl400cupet/

Popr. pokud to chces nizkonakladove sel bych do: http://cz.jirous.com/anteny-5ghz/jrc-24-extrem

ty jirouse sou i dualni a da se pripojit origo box na zada te paraboly... Kdyby jeste existoval prowax, doporucil bych Ti ji, ale uz se nevyrabi, bohuzel....

co napriklad? aby to bylo odolne ruseni z okoli a nebylo moc pro 300 metru?

nemate zkusenosti se stinenim zarizeni? chci si doma poskladat tenhle kryt pro sxt, tak by me zajimalo jestli to musi byt hlinik a nebo staci zelezo, a take jeslti muze byt mrizkou. aby to plnilo ucel stineni od okolniho ruseni. jinak nemci za to chteji 90 ecek plus doprava. se asi posrali. kus 0,8mm hliniku, ktery staci pro dva, stoji 700kc.

HARVIE: ja mam vsechno stejne. dve SXT s ROS 5.11 uplne cista LOS, proste dve strechy mezi panelaky, asi 300-400 metru od sebe. AP je na stozaru ISP, kde jsou dalsi ptp 5ghz spoje, ale s vetsima antenami, na jinych frekvencich. na me strane je SXT na vylozniku pripojenem ke spolecne antene. Driv jsem mel dve NS5 proti sobe na stejnem miste a jelo to krasnych 25-30Mbps v Acku. Zarizeni jsem pro sichr na obou stranach vymenil, kdyby nachodou nejake bylo vadne.

Jinak jsem zjistil jednu zajimavou skutecnost, cim vetsi ping tim nizssi rychlost, a to o dost. zkousel jsem speedtest.net na server v americe, ping bylo neco pres 100ms a rychlost spadla na 0,5Mbps. Zkousel jsem to na vice ruznych mistech ve svete.

ATAN: neco podobnyho se mi taky podarilo, proste pulka spoje mela dobrej signal a druha ne. na kazdy strane jinej HW a jina antena. proste to bylo silne asymetricky, ale kdyz se dal antenu na lepsi misto, kde je temer prima viditelnost a skoro plnej signal, tak se to vyrovnalo...

PACHOLEQ: jo o tech agentech vim, je to naprosta kkotina....

NETWORK: hmm fakt super, pry to resi rozhazeni agentu po siti a monitorovani skrze ne. zas reseni ve stylu vem vrtacku a vyvrtej do sxt diru..
skoda ze cacti nema privetivejsi mapu.

PACHOLEQ: bohuzel to vypada ze to neni chyba ale vlastnost.... mam stejny problem a to stejne pozoruji i dalsi uzivatele...

neresili jste nekdo naprosto sileny a nepresny pingy v dudovi ? i po ethernetu to hazi 100ms lagy .. zkousel jsem dude3.6/4 linux,ros,widle; vsechno stejny..

AHARAZ: bohuzel nesedim a nemam pristup z venku momentalne. zkusim pozdejs.

OGMIOS: A zkousel jsi to co jsem psal [ AHARAZ @ Mikrotik, Alix a jina mala reseni... ] z konzole? Nebo u toho ted nesedis?

AHARAZ: me to vzdycky zcervena kdyz tam dam jmeno

OGMIOS: I ping ve Winboxu preklada pokud je vse vporadku.

AHARAZ: aha, ja vzdycky zkousel ping pres winbox a tam to funguje jen na IP adresy.

OGMIOS: staci z ping z winboxu, nebo z konzole na tom Mikrotiku na jmeno napr.:
[adn@Mk] > /ping nyx.cz
62.24.64.42 64 byte ping: ttl=56 time=9 ms
...

Co dostanes z /ip dns print?

[adn@Mk] > /ip dns print
servers: 192.168.1.1 - je tu spravna adresa DNS serveru? Muze se tam omylem dostat i nejaky z DHCP klienta, ktery tam nema co delat, treba z jineho rozhrani s dhcp klientem...
allow-remote-requests: yes - musi byt yes, pokud neni Mikrotik nepreklada adresy pro stanice
max-udp-packet-size: 512
cache-size: 2048KiB
cache-max-ttl: 1w
cache-used: 211KiB

List DNSek z DHCP klientu je pripadne v detailu:
[adn@Mk] > /ip dhcp-client print detail
Flags: X - disabled, I - invalid
0 ;;; default configuration
interface=1-gateway add-default-route=yes default-route-distance=1
use-peer-dns=yes use-peer-ntp=yes status=bound address=192.168.1.11/24
gateway=192.168.1.1 dhcp-server=192.168.1.1 primary-dns=192.168.1.1
primary-ntp=192.168.1.1 expires-after=50m42s

Pokud mas DNSko nastavene rucne, nevim zda ti ho DHCP klient neprepise tim co dostane pripadne, to muzes zakazat:
[adn@Mk] > /ip dhcp-client set use-peer-dns=no numbers=0 - jen si zkontroluj cislo