Управление графическим интерфейсом через WAN-интерфейс (не через общедоступный интернет)?

Управление графическим интерфейсом через WAN-интерфейс (не через общедоступный интернет)?, UniFi Network

planedrop

Guest

13.04.2025 22:43:00

Сейчас использую UDMP в лабораторной среде, поэтому его WAN-сторона находится на внутренней подсети за другим файрволом. Надеюсь получить доступ к веб-GUI по IP (вместо unifi.ui.com) с WAN-стороны (которая, опять же, находится в другой внутренней подсети). Создал правило, разрешающее всё с External на Gateway, которое уже также имеет правило для разрешения обратного трафика, но соединение закрывается сразу же — SYN-пакеты отправляются немедленно, так что не работает. (Ещё пробовал разрешить всё с External на External, но, насколько я понимаю, External на Gateway должно быть верным решением). Есть ли что-то "зашито" в Unifi, чтобы предотвратить это (что, наверное, и к лучшему), или я просто туплю и что-то упускаю?

planedrop Guest	#2 14.04.2025 17:11:00 Обновляю информацию: я идиот. Много чего тестировал с этим файерволом, и настроил перекрывающийся сабнет, так что не мог к нему маршрутизировать, ха-ха, это была полностью моя ошибка!

planedrop

Guest

14.04.2025 16:43:00

Да, это работало по старым правилам, но не получается заставить это работать с зонами. Я пробовал "разрешить всем внешним" - "внешний", "внешний" - "внутренний" и "внешний" - "шлюз", но безрезультатно. Внешняя сеть находится в внешней зоне (это нельзя изменить), так что IP-адрес WAN должен быть в этой зоне. Но я ещё немного поэкспериментирую, я уже много чего проверил, так что возможно, есть перекрытие подсетей, вызывающее проблемы с маршрутизацией, и я этого не замечаю, обязательно проверю, как только появится возможность.

gcsprojects

Guest

14.04.2025 07:41:00

Не уверен, как это теперь работает после добавления ZBF. Но раньше нужно было создать локальное правило WAN (Интернет), которое разрешало Порт 443 в качестве назначения, а источник — любой порт и любой IP (или ограничить конкретными IP-адресами).

planedrop

Guest

14.04.2025 05:27:00

Похоже, просто интересно, это реально жёстко закодированное правило или я что-то упускаю. А так, я использую WAN-сторону, потому что всё ставлю за UDMP, удобнее, когда интернет доступ через WAN-сторону на внутренней подсети, просто с отключённым NAT.

dlow Guest	#6 14.04.2025 05:23:00 Наверное, это неплохой запас прочности. Почему бы тебе не подключить LAN-порт к своей внутренней подсети? Используй межсетевой маршрутизатор между LAN, а не LAN-WAN маршрутизацию.

Читают тему (гостей: 1)