Проблема с перенаправлением портов.

Проблема с перенаправлением портов., UniFi Network

avkpmelo

Guest

02.06.2025 17:24:00

Привет! Я использую UniFi OS 4.2.12 / Network 9.1.120 / Zone Based Firewall.

Я создал 3 правила переадресации портов. 2 работают, а вот третий нет

Без всяких объяснений почему... Insights/Flows помечают фрейм как Accepted, но направляют его на мой шлюз, а не на целевое устройство.

Есть какие-нибудь идеи? У вас такое же поведение?

Спасибо за вашу помощь!

avkpmelo

Guest

19.06.2025 10:11:00

Переадресация порта заработала отлично, но возникла ошибка TLS при взаимодействии. Это взаимодействие не происходило через интерфейс Flows. Пришлось перехватить трафик, чтобы разобраться. Спасибо за ваши ответы.

gregorio Guest	#3 04.06.2025 18:38:00 Поиск неисправностей — сложная задача. А по интернету — тем более. Обфускация (то есть намеренное сокрытие) деталей делает это просто невозможным.

avkpmelo

Guest

04.06.2025 18:32:00

@gregorio Я не понимаю, потому что приватный IP всегда 10.x.x.x. Он всегда один и тот же. Суть в том, чтобы понять, почему для портов 443 и 21401 он перенаправляется на этот известный IP 10.x.x.x, а для портов 6281 и 21481 — на UCG (192.168.1.250).

gregorio Guest	#5 04.06.2025 18:23:00 Твоё необязательное запутывание личных IP-адресов усложняет поиск неисправностей. Пожалуйста, предоставь полные правила в ошибке.

avkpmelo Guest	#6 04.06.2025 17:54:00 Вот скриншот моего провайдера Раньше всё работало идеально с моим Synology роутером, и сейчас тоже отлично работает с этой UCG для портов 443 и 21401... Это странно...

gregorio Guest	#7 03.06.2025 00:10:00 Возможно, тебе нужно добавить правило брандмауэра на WAN LOCAL. Я заметил подобные проблемы, когда пытался сделать это.

kanewolf

Guest

02.06.2025 23:58:00

Если у тебя двойной NAT, то тебе придется настроить переадресацию портов на устройстве провайдера в твой UDM, прежде чем переадресация портов на UDM начнет работать. Только устройство провайдера может фильтровать по конкретному публичному IP-адресу, который ты пытаешься отфильтровать. Твой UDM об этом ничего не знает.

schearer_tech Guest	#9 02.06.2025 23:52:00 Выложи скриншот переадресации портов в роутере твоего провайдера. И они должны быть настроены верно.

avkpmelo Guest	#10 02.06.2025 20:05:00 @FrankNicklin Да, знаю, и лучшая практика — избегать открытых портов. Даже VPN'шных 😉, но это не в этом дело (HTTPS работает).

FrankNicklin

Guest

#11

02.06.2025 19:32:00

Перенаправление портов — это обычно плохая практика и просто раздача ключей для бот-сканов и хакерских атак, особенно на стандартных портах, типа 80 и 443. Гораздо лучше использовать VPN-соединение для доступа к внутренним ресурсам.

avkpmelo

Guest

#12

02.06.2025 19:18:00

@kanewolf: Да, я хочу фильтровать по IP. Даже с Any проблема та же. Да, у меня двойной NAT: Интернет <-> Роутер провайдера <-> UCG <-> Внутренняя служба. 1.250 WAN IP установлен по умолчанию, и я не могу его изменить. Этот IP также установлен для других перенаправленных портов, которые работают. Разумеется, все эти порты также открыты на роутере провайдера. Почему это работает для 2 портов, но не для остальных? 🤔

FrankNicklin Guest	#13 02.06.2025 19:09:00 Твой WAN IP — это приватный адрес 192.168.1.250, переадресация портов работать не будет. У тебя двойной NAT. Нужно будет настроить роутер твоего провайдера тоже.

kanewolf

Guest

#14

02.06.2025 19:04:00

У вас некоторые переадресации заблокированы на конкретный IP-адрес WAN. Это действительно то, что вы хотите? И еще вопрос: у вас есть публичный IP-адрес? Ваш "WAN IP" – это частный IP-адрес. Не могли бы у вас быть проблемы с двойной NAT?

avkpmelo

Guest

#15

02.06.2025 18:51:00

Спасибо за быстрые ответы. 443 и 21401 работают, а 21481 или 6281 не работают (все TCP). Локально работает. Я пытаюсь перенаправить 21481, но также и 6281 для устранения неполадок.

Это автоматически создало правила "Разрешить порт *". Я ограничил местоположение для 443 и 21401, но пока нет для 21481 (6281 только для теста).

Для обоих 6281 или 21481 мы видим, что пункт назначения — 1.250 (Unify Cloud Gateway), а не 10.*, как установлено

В то же время, порт 443 имеет правильный пункт назначения, даже если он заблокирован благодаря политике блокировки по регионам

Возможно, это не причина, но кажется, что если пункт назначения — UCG, это не работает; если пункт назначения — тот, который нужен; оно работает (конечно)...

FrankNicklin Guest	#16 02.06.2025 17:50:00 Покажи скриншот твоих правил. Замаскируй всю конфиденциальную информацию.

schearer_tech Guest	#17 02.06.2025 17:30:00 Какую часть ты пытаешься переслать? Какая служба работает в твоей локальной сети, к которой ты пытаешься предоставить доступ? Можешь ли ты подключиться к этой службе локально, чтобы убедиться, что она работает?

Читают тему (гостей: 1)