Проброс портов на роутере Mikrotik требуется в тех случаях, когда необходимо настроить прямой доступ к компьютеру или устройству, находящемуся в его локальной сети. Яркий пример — игровой сервер или видеорегистратор системы видеонаблюдения. Несмотря на то, что интерфейс настройки у операционной системы Routerboard, которая используется на Микротике, немного сложноват для новичков — если под рукой хорошая инструкция, то всё делается за несколько минут. Чтобы пробросить порт на Mikrotik для видеорегистратора, RDP, VPN или иного сервиса, нужно в меню веб-интерфейса или через WinBox открыть раздел IP->Firewall:

Дальше откройте вкладку NAT и нажмите на кнопку «+».

Появится окно создания нового правила НАТ:

В списке Chain надо выбрать правило dsnat, которое отвечает за входящий трафик. В списке Protocol выбираем протокол, который нам нужен — как правило это TCP или UDP. в поле Dst.Port надо ввести номер открываемого порта.

Далее, чтобы проброс порта на Микротике работал, надо открыть вкладку Action.

В списке Action выбираем значение dst-nat или netmap, что по сути почти одно и то же. Остаётся только прописать IP компьютера или видеорегистратора, для которого хотим пробросить порт, в поле «To Address», ну и сам номер порта в поле «To Ports». Если нужно пробросить несколько портов, то указывать надо сразу диапазоном. Нажимаем кнопку «ОК».

Теперь можно проверять доступность порта из Интернета. Только не забудьте, что этот порт должен быть активен в момент проверки. То есть если Вы делали проброс портов на Микротике для видеонаблюдения, то видеорегистратор должен быть включен и подключен к роутеру.

Как открыть порт на Микротике через консоль

Для фанатов работы с маршрутизатором через консоль я расскажу как настроить проброс порта на Mikrotik через его командную консоль. Для этого достаточно создать всего два правила.
Первое правило:

/ip firewall nat add chain=dstnat dst-address-type=local protocol=tcp dst-port=443 action=dst-nat to-address=192.168.1.10 to-port=443

Этой командой мы создаём правило на входящие соединение через TCP-порт 443 на IP-адрес 192.168.1.10.
Второе правило:

/ip firewall nat add chain=srcnat src-address=192.168.1.0/24 dst-address=192.168.1.10 protocol=tcp dst-port=443 out-interface=Eth5-LAN-Master action=masquerade

Здесь мы указываем что этот трафик всё будет проходить через Мастер-порт, которым является Eth5.
Вот и всё — можно проверять доступность открытого порта из внешней сети.

Механизм Traffic Flow в роутерах Mikrotik представляет собой систему, предоставляющую статистическую информацию о пакетах, проходящих через маршрутизатор. С его помощью системные администраторы, помимо мониторинга и учета сети, могут искать различные проблемы, которые возникают в сети. Функционал Traffic Flow позволяет анализировать и оптимизировать общую производительность сети. Чтобы включить Traffic Flow на роутере Mikrotik, надо ввести следующую команду:

ip traffic-flow set enabled=yes cache-entries=4k set active-flow-timeout=30m inactive-flow-timeout=15s interfaces=all

Чтобы посмотреть текущие параметры, введите команду:

ip traffic-flow print

Прописываем IP и порт сервера, который будет принимать пакеты Traffic Flow. 

ip traffic-flow target add address=192.168.10.254:1234 disabled=no version=9 v9-template-refresh=20 v9-template-timeout=30m

Второй вариант:

ip traffic-flow target add address=192.168.10.254:1234 disabled=no version=5

Смотрим результат настройки таргетинга:

ip traffic-flow target print

Настроить работу функционала можно и через графический интерфейс. Для этого надо будет зайти в раздел меню  IP -> Traffic Flow:

Теперь о том, как принимать пакеты, то есть о серверной стороне мониторинга. Проштудировав ряд форумов по Микротикам, я для себя по Windows нашёл только одно удобное решение — это программа ManageEngine NetFlow Analyzer. Она слушает указанный порт и принимает приходящие на него данные, формирует статистику и рисует графики, которые можно посмотреть через встроенный web-сервер.
Если Вы будете организовывать мониторинг на компьютере под управлением Linux — обратите внимание на пакет flow-tools.