Здравствуйте.
Я уже как-то обращался по такому вопросу как мониторить сервер находящийся за другим сервером и не имеющим доступ к общей сети.
Оба сервера под виндой, потому мне предложили три варианта:
1. Поднять zabbix proxy в подсистеме Linux на промежуточном сервере.
2. Поднять отдельный линуксовый сервер для прокси и подключить его во внутреннюю сеть.
3. Использовать Userparameters в агенте на сервере который доступен из общей сети.

Первый вариант отпадает - отдел разработки не разрешает ставить что-то левое.
Второй - примерно тоже самое, там между серверами частная сеть из двух хостов - ничего не воткнуть
Третий - хз как его нормально реализовать.

И вот задумался над вариантом проброса портов.

https://internet-lab.ru/port-forwarding

Как это правильно сделать?
К примеру сервер Zabbix на 10.12.32.250/24, сервер приложений который доступен по сети - 10.12.32.252/24, сервер БД который подключён ТОЛЬКО к серверу приложений - 192.168.1.2/30

на самом деле это самый простой вариант

Проброс портов?

что является шлюзом в эту сеть?

да

проброс точно никому не помешает и не поломает секурность сети)

В частную?
Там получается виртуальный свитч Hyper-v с частной сетью 192.168.1.0/30
Сервер приложений имеет два интерфейса:
1. Который смотрит в общую сеть - 10.12.32.252/24, шлюз 10.12.32.254/24
2. Который подключён к частной сети и имеет адрес 192.168.1.1/30. Шлюз не указан.

Сервер БД имеет только один интерфейс, который подключён к частной сети и имеет адрес 192.168.1.2/30, шлюз указан 192.168.1.1

Вот и вопрос - как правильно прописать правило и какой адрес указать в конфиге агента

тебе надо делать НАТ на сервере приложений, тогда пох на шлюз.

роутером сети является сервер приложений. Т.е. крутить фаервол вам надо на сервере приложений. Вы точно уверены, что это самый простой вариант?

я предлагал userparameter. Сделайте скрипт, который принимает команды для проверки, выполняет их на удаленном сервере и повесьте на сервере приложений в заббикс агенте

кстати, это тоже простой вариант, с точки зрения логики работы, но он сложнее для обработки результатов

на "отдел разработки запрещает" я бы засомневался в адекватности либо правильности архитектуры

Думаю проще проброс

а какая ОСь на этом сервере?

отдел разработки должен быть заинтересован в мониторинге. Иначе это все фикция. Следующим шагом они объявят результаты мониторинга недостоверными:? )

На обоих серверах Win2016 Кстати, а как быть с тем что на сервере приложений тоже нужен агент? С подбросом получается нужно будет менять порт?

ну порт вы предположим можете указать в параметрах хоста на заббиксе

Сомнения насчёт их адекватности есть давно.
Им мониторинг не нужен, по сути он нужен только мне

Так как правильно составить правило проброса порта?

ой. как так не нужен? самое первое, что надо делать)