Теория Для защиты будет использоваться динамический адресный список. При сканировании портов, источник будет добавляться в список блокируемых автоматически. Например, некий адрес 8.8.8.8 начинает сканировать ваш внешний IP, сканирует SSH TCP порт 22 - IP 8...

Проброс порта делается исключительно через dstnat, и никак иначе, никаких netmap — он нужен совершенно для других задач. Экспорт: /ip firewall nat add action=dst-nat chain=dstnat comment="DstNat to 80" dst-port=81 \ in-interface=GE1-WAN1 protocol=tcp \ to-addresses=172...