MikroTik НИИКН (192.168.1.1)

SSH: AI / OL260380eg
RouterOS 7.20.6, модель hAP ac³
WAN IP: 85.235.181.190

NAT (проброс портов)

Порты	Назначение
25,465,587,993,995,4190	Mailcow (192.168.1.128)
8448,3478	Matrix (192.168.1.133)
7881/tcp, 50100-50200/udp	LiveKit (192.168.1.133)
3479,20000-20100,49152-49252	Nextcloud Talk (192.168.1.200)
21114-21119/tcp + 21116/udp	RustDesk (192.168.1.112)

Hairpin NAT: NPM(80,443), TURN(3478→133), Talk TURN(3479→200), RustDesk(21114-21119→112)

Маршруты для обхода блокировок (podkop)

/ip route add dst-address=198.18.0.0/15 gateway=192.168.1.50 comment=podkop-fakeip

Трафик на FakeIP-диапазон направляется на OpenWrt (192.168.1.50) с podkop.

WG-туннель к LionART (для НСПД)

Подсеть НСПД (2.63.246.0/24) маршрутизируется через MikroTik LionART (195.26.30.163), потому что публичный IP НИИКН (85.235.181.190, MTS Customers_P2P_B16) внесён в blacklist WAF НСПД. Подробности и ключи — decisions/2026-04-20-niikn-nspd-bypass-via-lionart.md.

/interface/wireguard add name=wg-lionart listen-port=51821 mtu=1420
/ip address add address=10.99.99.2/30 interface=wg-lionart
/ip route add dst-address=2.63.246.0/24 gateway=10.99.99.1 comment="NSPD via LionART"
/ip firewall nat add chain=srcnat action=masquerade out-interface=wg-lionart \
    comment="masq NSPD via LionART WG"

Peer endpoint: 195.26.30.163:51820. Masquerade на wg-lionart обязателен — без него обратные пакеты не проходят conntrack на LionART.

DHCP

/ip dhcp-server network set 0 dns-server=192.168.1.50

Клиенты получают DNS 192.168.1.50 (OpenWrt/sing-box FakeIP).

Подробнее об обходе блокировок: openwrt-bypass.md