Как настроить проброс USB-ключа СЛК через роутер MikroTik?

При работе с облачными базами 1С часто возникает задача предоставления доступа к аппаратному USB-ключу СЛК, физически подключенному к локальному компьютеру в офисе. После замены сетевого оборудования на роутеры MikroTik многие администраторы сталкиваются с тем, что стандартные правила проброса портов перестают работать. Давайте разберем, как правильно настроить доступ к ключу СЛК.

Подготовка системы к настройке

Прежде чем приступать к настройке сетевого оборудования, убедитесь в соблюдении следующих условий:

1. Компьютер, к которому подключен USB-ключ, должен иметь статический IP-адрес в локальной сети. Это необходимо, чтобы правила трансляции портов (NAT) всегда указывали на нужную машину.
2. Серверная часть СЛК должна быть корректно установлена и запущена на компьютере с ключом. Стандартный порт для работы системы СЛК — 9099.
3. Убедитесь, что программный брандмауэр на компьютере с ключом разрешает входящие соединения по порту 9099.

Настройка проброса портов (Destination NAT)

Основная задача — перенаправить входящий трафик из интернета на ваш локальный компьютер. Рассмотрим, как это сделать на MikroTik через интерфейс WinBox или командную строку.

Перейдем в раздел IP -> Firewall -> NAT и добавим новое правило с такими параметрами:

• Chain: dstnat
• Dst. Address: внешний статический IP-адрес вашего роутера (или интерфейс, смотрящий в интернет).
• Protocol: tcp
• Dst. Port: 9099 (или тот порт, который вы выбрали для доступа к ключу).
• In. Interface: интерфейс, подключенный к провайдеру (например, ether1-wan).

Далее переходим на вкладку Action:

• Action: dst-nat
• To Addresses: локальный IP-адрес компьютера с ключом.
• To Ports: 9099.

Решение проблем с доступностью через Hairpin NAT

Если после настройки правила dst-nat доступ к ключу работает извне, но возникают сложности при обращении к внешнему IP-адресу изнутри локальной сети (например, если вы тестируете соединение с того же компьютера или соседнего устройства), необходимо настроить так называемый Hairpin NAT. Суть его заключается в том, чтобы роутер «понимал», что пакеты, направленные на его внешний адрес из локальной сети, должны быть перенаправлены обратно внутрь, на конкретный локальный узел.

Для реализации этого метода добавьте правило в IP -> Firewall -> NAT:

• Chain: srcnat
• Src. Address: ваша локальная подсеть (например, 192.168.88.0/24).
• Dst. Address: IP-адрес компьютера с ключом.
• Protocol: tcp
• Dst. Port: 9099
• Action: masquerade

Почему важно проверить фильтры безопасности?

Даже если NAT настроен верно, трафик может блокироваться в разделе IP -> Firewall -> Filter Rules. По умолчанию цепочка forward может ограничивать доступ к портам. Убедитесь, что у вас есть разрешающее правило для трафика, который проходит через NAT:

/ip firewall filter
add chain=forward action=accept connection-nat-state=dstnat comment="Разрешить доступ к ключу СЛК"

Рекомендации по безопасности и альтернативы

Публикация порта 9099 в глобальную сеть несет риски безопасности. Чтобы обезопасить работу системы лицензирования, рассмотрите следующие варианты:

1. VPN-туннели: Использование WireGuard или L2TP/IPsec позволяет объединить облачный сервер и локальную сеть в единый защищенный сегмент. В этом случае ключ будет доступен по локальному IP-адресу без открытия портов во внешнюю сеть.
2. USB-over-IP: Использование специализированного ПО для передачи USB-устройств по сети позволяет избежать проблем с сетевыми таймаутами 1С, так как операционная система воспринимает ключ как локально подключенное устройство.

Регулярно проверяйте журнал событий роутера, чтобы убедиться, что на порт 9099 нет атак типа перебора соединений. Если настройка через MikroTik вызывает сложности, всегда в первую очередь проверяйте корректность dst-nat и наличие разрешающих правил в filter rules.