Заблокировать все порты и разрешить только выбранные.

Заблокировать все порты и разрешить только выбранные., UniFi Network

YaneonY

Guest

26.02.2019 09:22:00

Здравствуйте, на нашем старом Watchguard мы блокировали все исходящие интернет-порты и разрешали только несколько нужных (также LAN -> WAN, порты вроде 443, 80, 21, 25... остальные должны быть заблокированы для исходящего трафика). Но LAN -> LAN должен быть разрешен для всех портов, так как у нас есть принтер и другое оборудование, и я не хочу проверять, какие порты они используют. Также есть несколько ПК, которым разрешено использовать все порты к WAN. Какая была бы правильная настройка в Unifi Controller? Мы используем USG PRO. Спасибо!

AF360

Guest

11.04.2019 11:30:00

Спасибо за скриншоты, уже заметил проблему: сервисы, которые вы хотите разрешить, — это целевые сервисы, поэтому перенесите HTTPs, DNS и прочее из Source Port-Group в Destination Port-Group (а на место Source Port-Group поставьте Any). Легко запомнить: вы хотите подключиться к определённому сервису (порту) на удалённом сервере (назначении), как, например, к порту 80 или 443 для http/https на стороне назначения...

AF360 Guest	#3 11.04.2019 11:51:00 Рад слышать, что теперь всё работает!

dhahnbgrdc Guest	#4 11.04.2019 11:39:00 Ого, какая же тупая ошибка Спасибо за помощь — теперь всё работает. dph

dhahnbgrdc

Guest

11.04.2019 11:22:00

Доброе утро, AF360, спасибо за помощь. Думаю, я выложил всё, что вы просили, и с радостью предоставлю больше, если понадобится. Похоже, дело в чём-то простом, но я так долго в это вглядываюсь, что уже не могу разглядеть проблему. Спасибо, dph.

AF360 Guest	#6 11.04.2019 10:16:00 Не мог бы ты, пожалуйста, выложить скриншот с деталями первых двух правил, а также скриншот твоих настроенных сетей и VLAN? Похоже, есть ошибка при создании правил.

dhahnbgrdc Guest	#7 10.04.2019 20:17:00 Всем привет! У меня такая же проблема с настройкой правил фаервола, и, к сожалению, более двух часов общения со службой поддержки с Randall V. не помогли. Как и многие, я предпочитаю жестко контролировать сеть и открывать только то, что действительно нужно, а не оставлять все ворота распахнутыми. Хочу разрешить веб, DNS, немного SMTP и прочее (см. картинку), эти правила все стоят выше моего общего правила запрета, однако как только я включаю правило «deny» с отклонением, весь трафик блокируется. Я не могу переместить это правило ниже или изменить правила 6001 и 6002, так что, похоже, в этом и проблема, но трудно поверить, что это невозможно, учитывая, что заявлено — «подход IN, OUT, LOCAL даёт больше точности». Буду рад любым советам и идеям, потому что застрял на этом уже пару дней. Спасибо, dph.

Читают тему (гостей: 1)