Unifi Express 7: блокировка межсетевых экранов (Inter Vlan Blocking)

Unifi Express 7: блокировка межсетевых экранов (Inter Vlan Blocking), UniFi Network

UKWirelessGuy

Guest

30.05.2025 13:28:00

Привет, я пытаюсь заблокировать весь трафик в моей IoT-сети 192.168.1.2/24, чтобы он не получал доступ к адресам шлюза из моих других локальных сетей 192.168.1.1/24 и 192.168.3.1/24. Включая адрес шлюза IoT-сети. Я не хочу разрешать http, https, ssh или imcp из IoT-сети. Не могу разобраться, как заблокировать и применить это правило.

planedrop Guest	#2 01.06.2025 16:58:00 Согласен, звучит как баг, и довольно серьезный. Когда правила брандмауэра не работают так, как отображается, это один из худших багов, какие только бывают на брандмауэре, если честно, лол.

UKWirelessGuy Guest	#3 01.06.2025 15:32:00 @travis.vitek Я решил проблему, переместив сеть IoT в недоверенную зону, и создал следующее: Правило блокировки сети Gateways для недоверенной сети

travis.vitek

Guest

01.06.2025 15:15:00

У меня сомнения. Это правило заблокирует весь трафик на 4 IP-адреса шлюза. Если это IP-адреса шлюзов для других сетей, то блокировка всего трафика на них — нормально. Но ты ничего не блокируешь для сети IoT. Если шлюз IoT есть в этом списке из 4 IP, то будет заблокирован, как минимум, необходимый трафик (DHCP и DNS).

gregorio Guest	#5 31.05.2025 16:04:00 Похоже, это ошибка. Шлюз должен быть предварительно определен в системе. По крайней мере, именно так я понимаю. Надеюсь, @UI-Team сможет внести ясность в этот вопрос.

UKWirelessGuy Guest	#6 31.05.2025 15:57:00 Теперь я не знаю, это я исправил проблему, или она сама решилась? Я добавил адреса шлюза вместо ANY, как показано на скриншоте в моей другой публикации.

gregorio

Guest

31.05.2025 14:45:00

Вероятно, очередной сбой ZBF. Если это правило работает так, как заявлено, то он заблокирует весь трафик к шлюзу. Вы говорите, что простое изменение Reject на Block сделало так, что ничего не работает? @UI-Team захотят посмотреть на файл поддержки, чтобы понять, почему.

UKWirelessGuy Guest	#8 31.05.2025 07:44:00 У меня настроено вот такое правило.

planedrop Guest	#9 30.05.2025 21:50:00 Да, это хорошее замечание, если бы мы могли увидеть правило, это бы очень помогло.

gregorio

Guest

#10

30.05.2025 21:49:00

В чём, собственно, правило? Блокировка/закрытие конкретных портов 22, 80, 443, 8080 на шлюз – стандартная процедура. Делать это с ICMP на шлюз не всегда хорошая идея. Некоторые устройства могут вести себя непредсказуемо. Возможно, это и стало причиной, почему Reject сработал, а Drop – нет.

planedrop

Guest

#11

30.05.2025 20:52:00

Тебе вообще не стоило использовать "отклонять". "Отклонять" и "блокировать" делают одно и то же, "отклонять" просто уведомляет устройство с ответом вместо того, чтобы просто отбрасывать пакеты. Я думаю, какое-то другое правило перекрывает это, или твои правила ещё не обработались/не применились/не обновились на уровне файрвола.

UKWirelessGuy Guest	#12 30.05.2025 14:21:00 Получилось заработать для всех, кто заинтересован. Я изменил правило файрвола с "блокировать" на "отклонять", и правило заработало.

Читают тему (гостей: 1)