Нет доступа из вне к веб-серверу, который внутри домашней сети

[kolyuchy]

Здравствуйте,

Есть вебсервер (Ubuntu server 15.10) в локальной сети за роутером (asus rt-n16), на котором настроен apache для домена test.domen.ru (пример).
На роутере настроен проброс портов

На других машинах в локалке в файле hosts я сразу прописал локальный ip сервера. При попытке зайти на сайт - всё ОК.
При попытке доступа из вне - доступа нет.
Пробовал включать/отключать firewall на роутере - результат тот же.

Попробовал включить dmz - всё заработало.

WEB Access fro WAN включен по отличному от 80го порту.

Вывод iptables-save:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

# Generated by iptables-save v1.4.3.2 on Sat Feb 20 12:34:04 2016
*nat
:PREROUTING ACCEPT [179717:22810474]
:POSTROUTING ACCEPT [35614:3775460]
:OUTPUT ACCEPT [5922:1115186]
:UPNP - [0:0]
:VSERVER - [0:0]

-A POSTROUTING -s 192.168.1.0/24 -d 192.168.1.0/24 -o br0 -j MASQUERADE
-A UPNP -p udp -m udp --dport 49176 -j DNAT --to-destination 192.168.1.121:49176
-A UPNP -p udp -m udp --dport 9308 -j DNAT --to-destination 192.168.1.118:9308
-A UPNP -p udp -m udp --dport 5009 -j DNAT --to-destination 192.168.1.118:5009
-A VSERVER -p tcp -m tcp --dport 1488 -j DNAT --to-destination 192.168.1.1:81
-A VSERVER -j UPNP
-A VSERVER -p tcp -m tcp --dport 44500:44510 -j DNAT --to-destination 192.168.1.176:44505
-A VSERVER -p udp -m udp --dport 44500:44510 -j DNAT --to-destination 192.168.1.176:44505
-A VSERVER -p tcp -m tcp --dport 9876 -j DNAT --to-destination 192.168.1.176:9876
-A VSERVER -p udp -m udp --dport 9876 -j DNAT --to-destination 192.168.1.176:9876
-A VSERVER -p tcp -m tcp --dport 1120 -j DNAT --to-destination 192.168.1.176:1120
-A VSERVER -p tcp -m tcp --dport 1119 -j DNAT --to-destination 192.168.1.176:1119
-A VSERVER -p udp -m udp --dport 1119 -j DNAT --to-destination 192.168.1.176:1119
-A VSERVER -p tcp -m tcp --dport 6112:6114 -j DNAT --to-destination 192.168.1.176:6113
-A VSERVER -p udp -m udp --dport 6112:6114 -j DNAT --to-destination 192.168.1.176:6113
-A VSERVER -p tcp -m tcp --dport 44 -j DNAT --to-destination 192.168.1.176:44
-A VSERVER -p tcp -m tcp --dport 22 -j DNAT --to-destination 192.168.1.188:22
-A VSERVER -p udp -m udp --dport 22 -j DNAT --to-destination 192.168.1.188:22
-A VSERVER -p tcp -m tcp --dport 20:21 -j DNAT --to-destination 192.168.1.188
-A VSERVER -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.1.188:8080
-A VSERVER -p tcp -m tcp --dport 79:85 -j DNAT --to-destination 192.168.1.188:80
COMMIT
# Completed on Sat Feb 20 12:34:04 2016
# Generated by iptables-save v1.4.3.2 on Sat Feb 20 12:34:04 2016
*mangle
:PREROUTING ACCEPT [9097875:2968843272]
:INPUT ACCEPT [8697049:2932867987]
:FORWARD ACCEPT [364117:23289031]
:OUTPUT ACCEPT [12698896:15597720574]
:POSTROUTING ACCEPT [13055693:15620550023]
COMMIT
# Completed on Sat Feb 20 12:34:04 2016
# Generated by iptables-save v1.4.3.2 on Sat Feb 20 12:34:04 2016
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [294701:17748389]
:OUTPUT ACCEPT [12698011:15597486209]
:BRUTE - [0:0]
:MACS - [0:0]
:SECURITY - [0:0]
:UPNP - [0:0]
:logaccept - [0:0]
:logdrop - [0:0]
-A INPUT -m conntrack --ctstate INVALID -j logdrop
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -i br0 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -d 224.0.0.0/4 -p igmp -j ACCEPT
-A INPUT -d 224.0.0.0/4 -p udp -m udp ! --dport 1900 -j ACCEPT
-A INPUT -i ppp0 -m conntrack --ctstate NEW -j SECURITY
-A INPUT -i vlan2 -m conntrack --ctstate NEW -j SECURITY
-A INPUT -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -j BRUTE
-A INPUT -p tcp -m tcp --dport 21 --tcp-flags FIN,SYN,RST,ACK SYN -j BRUTE
-A INPUT -d 192.168.1.1/32 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -d 192.168.1.1/32 -p tcp -m tcp --dport 81 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 7776 -j ACCEPT
-A INPUT -j logdrop
-A FORWARD -i br0 -o br0 -j ACCEPT
-A FORWARD -m conntrack --ctstate INVALID -j logdrop
-A FORWARD -d 224.0.0.0/4 -p udp -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD ! -i br0 -o ppp0 -j logdrop
-A FORWARD ! -i br0 -o vlan2 -j logdrop
-A FORWARD ! -i br0 -m conntrack --ctstate NEW -j SECURITY
-A FORWARD -m conntrack --ctstate DNAT -j ACCEPT
-A FORWARD -o br0 -j logdrop
-A BRUTE -m recent --update --seconds 600 --hitcount 3 --name BRUTE --rsource -j logdrop
-A BRUTE -m recent --set --name BRUTE --rsource -j ACCEPT
-A SECURITY -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 1/sec -j RETURN
-A SECURITY -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK RST -m limit --limit 1/sec -j RETURN
-A SECURITY -p udp -m limit --limit 5/sec -j RETURN
-A SECURITY -p icmp -m limit --limit 5/sec -j RETURN
-A SECURITY -j logdrop
-A UPNP -d 192.168.1.121/32 -p udp -m udp --dport 49176 -j ACCEPT
-A UPNP -d 192.168.1.118/32 -p udp -m udp --dport 9308 -j ACCEPT
-A UPNP -d 192.168.1.118/32 -p udp -m udp --dport 5009 -j ACCEPT
-A logaccept -m conntrack --ctstate NEW -j LOG --log-prefix "ACCEPT " --log-tcp-sequence --log-tcp-options --log-ip-options --log-macdecode
-A logaccept -j ACCEPT
-A logdrop -m conntrack --ctstate NEW -j LOG --log-prefix "DROP " --log-tcp-sequence --log-tcp-options --log-ip-options --log-macdecode
-A logdrop -j DROP
COMMIT
# Completed on Sat Feb 20 12:34:04 2016

В чем может быть проблема с пробросом портов?
Заранее спасибо

[AnrDaemon]

WEB access from WAN должен быть отключён на[ХХХХ].
Проблемы пробросов поров на роутере лечат на форуме поддержки производителя вашего роутера.

[kolyuchy]

WEB access from WAN должен быть отключён на[ХХХХ].
Проблемы пробросов поров на роутере лечат на форуме поддержки производителя вашего роутера.

К сожалению, отключение web access from wan не изменило ситуацию.

PS конечно я обратился сначала на форум по роутерам, но там помочь не смогли (

[AnrDaemon]

Не смогли или не захотели?…
Не бывает такого, чтобы проброс портов не работал, а DMZ, ВНЕЗАПНО, работал по тем же портам.

[fisher74]

На других машинах в локалке в файле hosts я сразу прописал локальный ip сервера.

Костыль

Вывод iptables-save:

Простите, это чьи правила? роутера? зачем оно нам? а сервера покажете?

PS конечно я обратился сначала на форум по роутерам, но там помочь не смогли (

Т.е. владельцы таких же девайсов Вам не смогли помочь, а тут Вам сейчас сразу решение дадут.

У сервера выход во внешку через этот роутер есть? ip a ; ip r покажете?

[AnrDaemon]

fisher74,
ты ключевое слово пропустил:

Попробовал включить dmz - всё заработало.