Разные пользователи VPN — в разные VLAN?

Разные пользователи VPN — в разные VLAN?, UniFi Network

showstopper Guest	#1 04.11.2022 08:11:00 Я видел этот вопрос много раз в постах, которым уже несколько лет, но чёткого ответа так и нет. Кто-нибудь знает, возможно ли это, или это всё ещё ограничение Ubiquiti?

showstopper

Guest

07.12.2022 14:48:00

@mikesg — Окей, у меня было много дел, так что извиняюсь за задержку. Я попробовал это, но мой пользователь VPN видит всё. Мои правила брандмауэра:

Похоже, что источник и назначение перепутаны местами — однако это не работает ни в ту, ни в другую сторону. Пользователь VPN может пропинговать каждый VLAN.

showstopper Guest	#3 30.11.2022 12:56:00 Извини за задержку, мой комп сломался, и я его чинил! Попробую протестировать это снова на следующей неделе. Спасибо за помощь.

mikesg Guest	#4 27.11.2022 13:24:00 Я проверял это, прежде чем написать тебе. Скриншоти правила, если не сработает. Легаси-интерфейс, имхо, лучше показывает сводку.

showstopper

Guest

27.11.2022 10:13:00

Не нужно извиняться, у всех своя жизнь!! Я вряд ли смогу проверить это до вечера. Но уверен, что я уже пробовал то, что ты предложил, и это просто не работает. Я даже специально пробовал использовать IP-адреса, но блокировка не срабатывает. У меня были странные проблемы с гостевой сетью — девайсы теряли DNS, чего никогда не случалось в корпоративной сети.

mikesg

Guest

27.11.2022 01:28:00

Извини за задержку с ответами. Праздничные выходные и всё такое. Если у тебя несколько сетей и пользователей, наверное, проще будет создать группы, чтобы не плодить кучу правил. Для примера: пусть будут user1, user2, user3, у каждого своя сеть. Можешь создать правило в LAN IN для user1, назвать его «Блокировать VPN user1 от сетей user2 и user3»: Drop all. Source Type: Port/IP group — выбери группу с сетями user2 и user3, которые нужно заблокировать от user1. Dest. Type: Port/IP group — выбери созданный тобой Remote VPN User. Добавь отдельные правила для каждого пользователя, блокируя те сети, к которым у них не должно быть доступа. Если этого недостаточно, нужно больше данных. Лично я использую гостевой профиль для своих сетей, а потом создаю правила разрешения. Но каждому своё. Твой подход удобнее для логирования, если для тебя логи важны.

showstopper Guest	#7 25.11.2022 16:29:00 У меня есть несколько правил, чтобы разрешить доступ к принтеру и дать VLAN по умолчанию доступ к другим VLAN.

mikesg Guest	#8 25.11.2022 15:54:00 Твой единственный файрвол-правила сейчас — это только для блокировки меж-VLAN общения?

showstopper Guest	#9 25.11.2022 08:56:00 Стандарт. Стоит добавить, что мои VLAN и правила брандмауэра работают как ожидалось — за исключением пользователя/пользователей VPN.

mikesg Guest	#10 25.11.2022 08:28:00 Are your VLAN networks Standard or Guest?

showstopper

Guest

#11

24.11.2022 22:06:00

Привет @mikesg — спасибо за ответ. Да, это был тот пост (понимаю, что он уже старый)! У меня USG-3P и несколько вланов. По сути, я хочу создать VPN-пользователя с доступом к одному влану, а другого пользователя — к другому влану. Я настроил config.json, назначив пользователям IP-адреса, но ни одно из правил файрвола, похоже, не блокирует трафик. Мои VPN-пользователи всё ещё видят все сети вланов. Все мои вланы настроены как corporate, и межвлановое блокирование работает.

mikesg

Guest

#12

24.11.2022 16:12:00

Привет, @showstopper. Назначенные через RADIUS VLAN, к сожалению, не применяются к пользователям VPN. Можешь показать ссылку на ответ, который ты прочитал? И ещё, если можно, опиши сценарий использования и текущую настройку? Правила файрвола могут различаться в зависимости от того, как настроены твои сети. Ред.: Это был тот пост?

showstopper

Guest

#13

24.11.2022 08:38:00

@mikesg — извини, что тегаю тебя здесь, но, кажется, не могу написать в личку. Я прочитал твой ответ (ещё с прошлых лет!), и похоже, он делает именно то, что мне нужно. JSON-файл я создал, и мой VPN-пользователь получает IP-адрес, который я указал. Но заблокировать трафик у меня никак не получается. Подскажи, правила остались теми же? В посте кажется, что источник и назначение перепутаны местами, но я перепробовал несколько вариантов — ничего не блокируется. Надеюсь, ты сможешь помочь!

showstopper Guest	#14 21.11.2022 15:00:00 Что у тебя выставлено в 'Tunnel Type' и 'Tunnel Medium Type'?

Читают тему (гостей: 1)