Зачем нужен Gateway Zone в ZBF?

Зачем нужен Gateway Zone в ZBF?, UniFi Network

NpRampage

Guest

15.01.2025 15:11:00

У меня есть UDM-Pro и UDM-SE, обе обновлены до Network 9.0.108. Я перевел обе на правила межсетевого экрана на основе зон. Все сетевые устройства — UniFi. Что должно отображаться в зоне шлюза в разделе Настройки/Безопасность? В обеих моих конфигурациях эта зона пустая. Описание при наведении: "Используйте эту зону для управления трафиком управления к шлюзу". Должно ли здесь что-то отображаться? Возможность редактирования этой зоны заблокирована, как и в зонах External и VPN.

travis.vitek

Guest

17.01.2025 14:49:00

Старая рекомендация заключалась в двух правилах: блокировать трафик LAN LOCAL с IoT на шлюз на других VLAN, блокировать трафик LAN LOCAL с IoT на шлюз на VLAN IoT для портов управления шлюза. Я никогда не понимал, зачем нужно два правила, ведь можно было просто заблокировать весь трафик LAN LOCAL с IoT на порты управления шлюза и получить по сути тот же результат. Да, это позволило бы не-управленческому трафику с IoT на любом интерфейсе шлюза, но это не должно иметь значения, раз целью было заблокировать доступ к управлению шлюзом.

Предполагая, что вы оставляете IoT в зоне Internal, вы можете создать политику, блокирующую трафик из сети IoT в зоне Internal в зону Gateway на портах управления шлюза. Это было бы точно так же, как моя альтернативная рекомендация выше.

Если вы настаиваете на блокировке всего доступа к шлюзу с IoT на другие адреса шлюза, вы можете создать вторую политику для этого, но это кажется излишним.

Как намекнуто в предупреждении, здесь нужно быть осторожным. Если ваша сеть управления (где находятся ваши коммутаторы/точки доступа/...) находится в зоне Internal и вы блокируете трафик из зоны Internal в зону Gateway на портах управления шлюза (вы опускаете критерий источника — сеть IoT), то вы заблокируете устройства UniFi от доступа к шлюзу. Если вы получаете доступ к UniFi Network из сети в зоне Internal, вы заблокируете прямой доступ из вашего браузера.

Впрочем, если вы собираетесь использовать VLAN IoT, она, вероятно, должна использовать другую зону, чем зона, где находится VLAN управления или VLAN, где находятся ваши доверенные клиентские устройства.

sgc Guest	#3 16.03.2025 18:05:00 То есть, требуется ли доступ к Gateway для, скажем, Unifi VPN-сервера для DHCP и DNS, или можно изменить источник VPN, чтобы заблокировать доступ к Gateway в рамках новой маршрутизации на основе зон?

NpRampage

Guest

17.01.2025 15:00:00

Спасибо, @travis.vitek. Это не только отвечает на мой основной вопрос, но и подняло момент, о котором я не подумал: непреднамеренная блокировка доступа к шлюзу, когда IOT и Management находятся в одной Zone. Хорошо, что я не стал действовать, пока не получил второе мнение.

NpRampage

Guest

17.01.2025 13:21:00

@travis.vitek, спасибо тебе за ответ, без сомнения! Ты доходчиво объяснил, почему зона Gateway не редактируется; я просто хотел убедиться, что то, что она пустая — это нормально. По-моему, Unifi могла бы быть более чёткой в своих инструкциях. Было бы просто указать в их руководстве по ZBF, что эта зона не должна содержать записей. Мой недостаток опыта в сетевых технологиях, за исключением того, что я успел понять в небольших конфигурациях, привел к этому вопросу.

В общем-то, вопрос возник, когда я пытался понять, как мой «старый» сетап на Unifi должен отобразиться в ZBF. Согласно видео от Crosstalk Solutions на YouTube, я настроил блокировку конкретных VLAN от других VLAN и групп портов шлюза. Эти правила были перенесены, но я не был уверен, что преобразование по-прежнему выполняет свою работу, или это лучший способ достижения цели.

@khtadmin, кажется, упоминал в другом посте, что нужно создать правило ZBF с определённой зоной в качестве источника и шлюзом в качестве назначения, и установить его на блокировку. Это казалось более эффективным способом достижения той же цели, что и описано выше. Но когда я попытался создать такое правило, я получил предостерегающее предупреждение:

Поэтому я хотел немного отступить и лучше понять, что происходит.

travis.vitek

Guest

17.01.2025 07:52:00

Мне кажется, я уже объяснил, почему это ожидаемое поведение. Единственное "что" в зоне Gateway — это сам шлюз. Так задумано. Это позволяет единообразно определять правила для трафика к или от шлюза, как это можно сделать для любого из ваших сетей. Это не так уж и отличается от локальных наборов правил, которые использовались для управления трафиком к/от шлюза в старом файрволе.

NpRampage Guest	#7 16.01.2025 13:15:00 Похоже, вот где я запутался. На ни одной из моих систем UDM-xx ничего не отображается в разделе "Шлюз" в интерфейсе. Поэтому я пытаюсь понять, является ли это ожидаемым поведением.

travis.vitek Guest	#8 16.01.2025 07:47:00 Сама шлюзовая точка находится только в зоне шлюза. Ее нельзя редактировать, потому что правила применяются только к шлюзу, а не к чему-либо еще.

Читают тему (гостей: 1)