Нужна ли дополнительная помощь от @UBNT-jaffe? Мне просто нужен доступ к гостевым сетям, и тогда я буду готов перевести ещё несколько объектов. Это единственное, что мешает мне переключить некоторых клиентов.

@UBNT-jaffe

@UBNT-cmb

Собственно, сейчас корпоративный VLAN работает отлично, как и ожидалось. Я пытаюсь настроить так, чтобы vLAN1 (CNLAN) мог обращаться к гостевому VLAN. Я что-то делаю не так? Пинг не проходит. Например, пытаюсь настроить гостевой VLAN, чтобы разрешить доступ к определённым серверам, таким как DNS-серверы в vLAN1 (CNLAN). Пробовал:  
2002 Allow Guests to Screen Connect Accept All Groups:CNLAN Groups:RemoteServers  
и  
2002 Allow Guests to Screen Connect Accept All Groups:RemoteServers,  
но это не дало никакого результата.

Ещё пытаюсь разрешить гостевому VLAN доступ к некоторым серверам внутри CNLAN (vlan1), но не получаю ответа и не могу к ним подключиться. Есть идеи, где я ошибаюсь?

Гостевой VLAN: 192.168.16.0/20  
vLAN1: 10.0.0.1/21  
DNS-серверы: 10.0.0.2 и 10.0.0.3  
Хочу разрешить только DNS-запросы на порт 53.

Версия контроллера: 5.6.14  
Текущий сайт: 01-CNUSG

@UBNT-jaffe

Спасибо за объяснение. Благодаря твоему решению мне удалось разобраться с этим беспорядком. Соседние VLAN — создал группу и добавил все соседние VLAN. Заблокировал соседей с 192.x.x.x по 192.x.x.x — при этом 192.168.50.x может свободно общаться внутри своей подсети, поскольку это происходит на втором уровне (УРА!). Разрешил Established/related сессии — при блокировке всех VLAN к VLAN1 также блокируется доступ VLAN1 к другим VLAN — это решение позволяет VLAN1 пинговать любые VLAN в сети и обеспечивает одностороннюю связь с другими VLAN. Я также добавил это на стороне гостевой сети. Теперь всё работает гладко и отклики стали быстрее.

Приятно видеть, как усилия нескольких недель начинают приносить плоды. Теперь я официально могу заняться организацией 13 своих объектов с использованием USG и USG Pro, так как теперь мы можем блокировать коммуникацию между VLAN с помощью файрвола. У меня есть ещё 26 объектов, где я не могу установить USG/USG Pro, пока не появится возможность настроить несколько IP для входящего и исходящего трафика.

Думаю, UBNT стоит поработать над улучшением документации или над документацией, созданной сообществом, по файрволу. Это одна из лучших функций USG.

Спасибо за помощь.

Если VLAN210 — это гостьевая сеть, то правила, которые у тебя на LAN_IN, где гостевые VLANы определены как «источник», не сработают (потому что гостевые сети фильтруются на GUEST_IN, а не на LAN_IN). По умолчанию гостевая сеть не может получить доступ к корпоративной LAN, так что правило там вообще не нужно. И наоборот, по умолчанию LAN может обращаться к гостевой сети, так что и на LAN_IN правило не требуется.

Но чтобы обеспечить трафик в одну сторону, гостевая сеть должна разрешить ответы. Всё, что нужно — это правило на GUEST_IN вверху, делаем так:  
Accept  
все протоколы  
States: поставить галочку на establish и related  
оставить поля source/destination пустыми  

Это не даст GUEST_IN блокировать пакеты ответа, которые направляются обратно в vlan 1.

*EDIT* О, похоже, ты решил проблему — странно, что это работает с правилом на LAN_IN, ожидал бы, что оно нужно на GUEST_IN.