Правило брандмауэра — заблокировать UDM Pro от Site-to-Site VPN

Правило брандмауэра — заблокировать UDM Pro от Site-to-Site VPN, wifiman

TZ.HiH

Guest

17.01.2024 12:27:00

Извините, снова вопрос по файрволу. У меня есть две локации (10.10.11.0/24 и 10.10.22.0/24), соединённые через IPSec Site-to-Site VPN. Одна локация (11) полностью доступна с другой (22). Чтобы заблокировать трафик с 22 на 11, у меня есть два правила:

Однако я всё равно могу получить доступ к UDM Pro в подсети 11 с локации 22. Как это заблокировать? Я пробовал блокировать 'LAN local' для подсети 22, но UDM Pro остаётся доступен.

Спасибо за помощь!

lusnick

Guest

17.06.2024 11:04:00

@gcsprojects Действительно, или добавьте цепочки VPN In, VPN Out, VPN Local с разрешением по умолчанию, чтобы сохранить текущее поведение после обновления для тех, кому не нужны какие-либо правила блокировки хостов с / на VPN-интерфейсы.

gcsprojects

Guest

17.06.2024 10:43:00

@UI-Marcus Если это изменение будет сделано, пожалуйста, убедись, что оно задокументировано в примечаниях к выпуску или всплывающем окне в интерфейсе, так как многие пользователи будут в замешательстве, почему теперь для VPN работают другие правила — то, что раньше блокировалось или разрешалось, теперь нет.

lusnick

Guest

17.06.2024 10:21:00

@UI-Marcus, можно ли добавить интерфейсы wgsrv+ и vti+ также в цепочки UBIOS_FORWARD_IN_USER и UBIOS_FORWARD_OUT_USER? Это очень бы пригодилось для правил коммуникации между VPN, да и избежать необходимости использовать цепочки LAN Out для управления трафиком VPN в локальную подсеть (если, конечно, они завершаются на интерфейсе).

UI-Marcus Guest	#5 14.06.2024 15:08:00 LAN Local и WAN Local должны работать, но дайте знать, если что-то не получится.

gcsprojects Guest	#6 14.06.2024 15:03:00 Я как раз думал, что так и будет 🙂 Какая сеть теперь отвечает за VPN-трафик?

UI-Marcus Guest	#7 14.06.2024 15:01:00 Похоже, я тут раньше не отвечал, но с версии 8.1 правила брандмауэра теперь работают и для VPN.

Читают тему (гостей: 1)