Keenetic Omni II: Ограничение проброса портов по ip-адресу источника.

маршрутизатор

роутер

Самый простой и действенный способ защитить проброшенные порты -- это ограничение по ip-адресу источника. Допустим, у нас есть главный офис с адресом 1.1.1.1 и удаленный филиал с адресом 2.2.2.2. Оба адреса -- статические. В офисе есть ресурсы, доступ к которым позарез нужен пользователям филиала. Правильным подходом, конечно, будет настройка VPN-туннеля между маршрутизаторами, но если нет такой возможности, вариантом не сильно правильным но рабочим будет проброс нужных портов только для адреса 2.2.2.2. На железках Mikrotik или Fortinet такое ограничение реализовано дополнительным полем "Src. Address" в правиле перенаправления портов... а вот на SOHO девайсах типа Keenetic Omni II такого поля нет. Но настроить ограничение по IP-адресу на такого рода девайсах таки возможно, просто нужно создать три правила вместо одного.

Далее приведу пример настройки машрутизатора Keenetic

Допустим, что у нас есть Keenetic со статическим адресом 1.1.1.1 на интерфейсе ISP. В локальной сети есть rdp-сервер c ip-адресом 192.168.1.150, использующий для подключений стандартный порт 3389. Также есть удаленный клиент, который должен подключаться ТОЛЬКО с ip-адреса 2.2.2.2 на 1.1.1.1:12345 и попадать на наш сервер.

1. Делаем правило, запрещающее трафик для всех IP-адресов на локальный порт и локальный адрес.

Кнопка безопасность -> Вкладка "Межсетевой экран" -> Кнопка "Добавить правило"

Действие: Отбрасывать.

IP-адрес источника: Любой

IP-адрес назначения: 192.168.1.150 (Локальный IP)

Поместить в: конец (правила применяются сверху вниз и разрешающие должный быть выше запрещающих)

2. Делаем правило разрешающее трафик для нужного IP-адреса источника на локальный порт и локальный адрес.

Кнопка безопасность -> Вкладка "Межсетевой экран" -> Кнопка "Добавить правило"

Действие: Пропускать

Поместить в: Начало (правила применяются сверху вниз и разрешающие должный быть выше запрещающих)

3. Делаем проброс порта из внешней сети в локалку.

Кнопка безопасность -> Вкладка "Трансляция сетевых адресов (NAT)" -> Кнопка "Добавить правило"

Интерфейс: ISP (интерфейс взят в качестве примера, может отличаться)

Протокол: TCP

Открыть: один порт: 12345 (порт для внешнего подключения)

Перенаправить на адрес: 192.168.1.150 (локальный ip)

Новый номер порта назначения: 3389 (локальный порт)

Поместить в: Начало