Nastavení firewallu pro veřejné IP

Milí majitelé routerů Turris,

toto fórum bylo 9. 12. 2016 zmrazeno a nahrazeno naším novým Turris fórem. Ještě chvíli bude dostupné k prohlížení, ale již zde není možné přispívat. Více informací naleznete v oznámení o uzavření fóra.

Dear Turris routers users,

this forum has been frozen on Dec 9th, 2016 and replaced by our new Turris forum. It will be read-only accessible for some time after. For more information, read the announcement about closing the forum.

Téma Majitelé routerů / Technická podpora / Nastavení firewallu pro veřejné IP

Od lukasberan

Dne 2014-05-18 08:00 Upraveno 2014-05-18 09:09

Zdravím,

mám udělaný NAT 1:1 na svoje veřejné IP, viz https://www.turris.cz/forum/topic_show.pl?tid=21, ale potřebuji teď ještě nastavit firewall tak, aby mi z internetu pouštěl na jedno zařízení s veřejnou IP 3 TCP porty (60000/TCP, 61000/TCP a 62000/TCP). Ale nedaří se mi, i když jsem v luci upravil konfiguraci firewallu, viz přiložený konfigurák. Na zařízení se stejně z internetu nedostanu. Co dělám blbě?

EDIT:
Problém je určitě v konfiguraci firewallu na routeru, protože když ho vypnu (/etc/init.d/firewall stop), tak se na server dostanu. Jak ho ale zapnu, tak už se tam zase nedostanu.

config rule
  option target 'ACCEPT'
  option src 'wan'
  option dest 'lan'
  option name 'server60'
  option family 'ipv4'
  option dest_ip '123.123.123.246'
  option dest_port '60000'
  option proto 'all'

config rule
  option target 'ACCEPT'
  option src 'wan'
  option dest 'lan'
  option name 'server61'
  option dest_ip '123.123.123.246'
  option dest_port '61000'

config rule
  option target 'ACCEPT'
  option src 'wan'
  option dest 'lan'
  option name 'server62'
  option dest_ip '123.123.123.246'
  option dest_port '62000'

Od lukasberan

Dne 2014-05-18 10:22

Tak jsem zjistil, že stačí v zónách povolit přesměrování (viz poslední řádek přiloženého configu) a pak to funguje i bez jakýchkoliv dodatečných pravidel ve firewallu. Je povolení přesměrování u WAN bezpečné? A je to vlastně vhodné řešit tímto způsobem nebo je lepší vytvořit pro rozhraní s veřejnými IP novou zónu na firewallu?

config zone
  option name 'wan'
  option input 'REJECT'
  option output 'ACCEPT'
  option masq '1'
  option mtu_fix '1'
  option log 'true'
  option log_prefix 'turris-000000: '
  option log_limit '60/minute'
  option log_level 'debug'
  option masq_src '192.168.88.0/24'
  option network 'wan wan6'
  option forward 'ACCEPT'