PDA

Bekijk de volledige versie : Проблема с настройками Firewall


baklajan
16-11-2008, 19:43
Итак, у меня сабжевый роутер с последней прошивкой от великого и могучего. Все бы хорошо, да вот появилась необходимость полностью запретить всем машинам из внутреннего LAN'a играть с внешним миром (WAN'ом) в ДоТу.

Известно, что ДоТа использует исключительно порты 6112:6120, стало быть нужно все пакеты по ним фильтровать.

Вот скриншоты созданных мною правил:

http://pic.ipicture.ru/uploads/081116/thumbs/DU5Zi4rMqY.jpg (http://ipicture.ru/Gallery/Viewfull/9200393.html)
http://pic.ipicture.ru/uploads/081116/thumbs/OMw69uRz7d.jpg (http://ipicture.ru/Gallery/Viewfull/9200423.html)

Разве из обозначенного не следует, что любое сообщение между машинами из LAN и WAN по портам 6112:6120 должно быть заблокировано? Ведь способ действия фильтра задан: принимать все, кроме занесенного в таблицу, т.е. таблица в этом режиме фактически действует как банлист.

Однако ДоТа прекрасно работает с машин из ЛАНа, общаясь (как показала слежка) по портам 6112, 6113, 6114.

Что я делаю неправильно?
Power
16-11-2008, 20:34
Что я делаю неправильно?
Если вкратце: всё.

Насколько я понимаю, указанные порты (6112:6120) открыты на сервере и клиенты к ним присоединяются.
Если так, то нужно:
1) в таблице LAN to WAN Filter Table первый столбец Port Range (по смыслу это Source Port Range) оставить пустым (объединение идёт с союзом И, а не ИЛИ), остальные столбцы оставить как есть
2) в секции WAN to LAN Filter настройку Packets(WAN to LAN) not specified will be изменить на DROP
3) таблицу WAN to LAN Filter Table очистить.
baklajan
16-11-2008, 22:51
Машина может произвольно быть хоть клиентом, хоть сервером. Поэтому нужно полное перекрытие любой коммуникации по этим портам...

И можно ли поподробнее, где у меня в рассуждениях ошибка? Зачем оставлять Source Port Range пустым?
Morze
17-11-2008, 04:19
Вопервых, достаточно прописать только в таблице Lan to WAN
Вовторых, действие над пакетом должно быть DROP
Ну и в заключении, как уже сказали, прописывать надо только dst порты, иначе правила тупо небудут срабатывать. Да и чтоб неплодить сущностей в протоколах достаточно указать ALL.