[Busla]

UncleD, по уму, провайдер должен был выдать подсеть, тогда бы вы полноценно маршрутизировали трафик
чтобы firewall'ом рулить трафик по двум ip они должны быть прописаны на интерфейсе, вот только это не работает для ip из одной сети

Создано вот такое правило NAT: Код: /ip firewall nat add action=netmap chain=dstnat comment="Mapping 200.1.1.5 >> 192.168.2.167 disabled=yes dst-port=5846 in-interface=ether1-wan protocol=tcp \ to-addresses=192.168.2.167 to-ports=5846 »

наглядный пример, как не надо писать комментарии ;-)

Тогда отключаю правило: Код: /ip firewall filter add action=drop chain=forward comment="Disable WAN>LAN" in-interface=ether1-wan \ out-interface=bridge1 »

а не надо было ломать дэфолтные правила и писать эту отсебятину

вы хотите его перекинуть за NAT? Или же вы хотите выделить его в DMZ? »

одно другое не исключает

[UncleD]

а не надо было ломать дэфолтные правила и писать эту отсебятину »

Спасибо, дали мотивацию к некоторому гуглению, хоть и в другую сторону.
На данный момент реализация следующая:
Правила NAT:

Код:

/ip firewall nat
add action=dst-nat chain=dstnat dst-address=200.1.1.5 dst-port=5846 protocol=\
    tcp to-addresses=192.168.2.167
add action=src-nat chain=srcnat dst-address=192.168.2.167 dst-port=5846 protocol=\
    tcp src-address=192.168.2.0/24 to-addresses=192.168.2.1

Правило firewall, стоящее выше запрещающего WAN в LAN

Код:

/ip firewall filter
add action=accept chain=forward comment="Accept tcp 5846 WAN to LAN" dst-port=5846 \
    in-interface=ether1-wan protocol=tcp

Как пропишем у поставщика услуг новый IP сервера и погоняем пару дней, так проставлю решено, если не выявится ни каких проблем.

[Anton04]

UncleD,

Рекомендация. Используйте "Interface list" в правилах фильтрации и фаервола. Будет намного легче.

[Busla]

UncleD, по дэфолту Mikrotik разрешает в фильтре прописанные в nat правила:

Код:

chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=ether1-wan