Я тут чуть ли не об стену бьюсь. Коротко о настройках: у меня есть /29, маршрутизируемый к моему UDMP. Основной GW IP будет использоваться для маскировки некоторых случайных хостов, которым иногда нужен доступ в интернет. Я настроил 2 IP из публичного /29, чтобы они перенаправляли трафик на серверы внутри сети. Настраиваю правила DNAT/SNAT без указания портов, просто говоря: "Эй, UDMP, этот внутренний IP должен быть привязан к этому внешнему IP."

Дальше настраиваю правила брандмауэра, которые позволяют проходить только определенные сервисы из интернета на внутренний IP (например, 80, 443, порты почты).

Что происходит на самом деле: правила DNAT пробивают дыры прямо через брандмауэр и позволяют ВСЕМУ трафику из интернета к этим внутренним хостам, ЕСЛИ, я не делаю 1:1 DNAT правило на основе портов. То есть, вместо одного правила, которое говорит, что эти два IP привязаны вместе, мне теперь приходится использовать пять правил (по одному на порт), и мне даже не нужно правило брандмауэра, чтобы разрешить прохождение этих портов. По сути, правило брандмауэра сейчас не нужно.

Оказывается, UDMP обрабатывает правила в неправильном порядке. Сначала должны быть правила брандмауэра, ПОТОМ таблица маршрутизации NAT. Но сейчас NAT имеет приоритет, и "запретить всё" правило внизу никогда не срабатывает.

Какие мысли? Это баг или "фишка"?