dimon27254

Указываете только выходные порты в PORTS_FORWARDED. В PORTS входные указывать нет необходимости. Если входные и выходные совпадают, то указывать нужно все равно только в PORTS_FORWARDED.

В этом случае в PORTS_FORWARDED ничего указывать не нужно, так как "прямого" перенаправления портов здесь нет - веб-сервер роутера одним портом (443) "смотрит" в интернет, а далее самостоятельно направляет запросы куда нужно. Поэтому достаточно порта 443 в PORTS.

В PORTS_FORWARDED указываются порты из поля "направлять на порт" в правилах переадресации. То есть, порты самих хостов. Разделение было сделано для гибкой настройки защиты. До 1.7, если вам нужно защитить, например, порт 80 у хоста в локальной сети, который "смотрит" в интернет, то было необходимо его указывать в PORTS, и защита включалась также для порта 80 самого роутера. Это может быть не всегда нужно. Также благодаря разделению теперь можно указать в сумме до 30 портов - 15 для служб роутера, и 15 переадресованных.

Вышла новая версия 1.7. Новое: 1) Раздельная настройка защиты открытых и переадресованных портов. Теперь в параметре PORTS указываются только порты служб, работающих на самом устройстве. Настройка переадресованных портов перенесена в новый параметр PORTS_FORWARDED. Обратите внимание: при обновлении на 1.7 ваш список портов из PORTS будет скопирован в PORTS_FORWARDED для совместимости. Отредактируйте новый параметр при необходимости, исключив ненужные порты. 2) Проверка корректности параметров, указанных в ascn.conf (сообщил @dom). 3) Вывод версии установленного Antiscan по команде antiscan version. Исправления: 1) При READ_NDM_LOCKOUT_IPSETS=0 и вызове antiscan save или antiscan list ndm_lockout в консоли появлялось сообщение "ipset v7.21: The set with the given name does not exist".

@eralde @Anna_ В 5.0 Alpha 7 увидел подпись, показывающую процесс сканирования. Так стало понятнее. Спасибо!

@eralde @Anna_ На последних 5.0 не воспроизводится. Спасибо за исправление

@eralde @Anna_ @Test Pilot Если открыть страницу настройки любого из сегментов, то в консоли DevTools появляется ошибка: На функциональность, кажется, никак не влияет. Проверял на KN-3210 с 5.0 Alpha 6.

В 5.0 Alpha 6 аналогичное поведение.

@eralde @Anna_ Подтверждаю исправление в 5.0 Alpha 6. Спасибо! В мобильной версии тултип решили убрать, аналогично карточке "Wi-Fi-система"?

Значение переменной PORTS напрямую передается в правила iptables. Можете попробовать указать там диапазон в виде "1000:2000", но я такое не тестировал за отсутствием необходимости. В выводе iptables-save вижу, что правила с диапазонами применяются без ошибок.

На таком количестве портов я работу не проверял 😅 Однако, действительно, максимально можно указать 15 портов.

@Le ecureuil в 5.0 Alpha 6 данные сообщения также появляются.

@Le ecureuil Имеется заранее подготовленный архив со средой Entware, который бы хотелось устанавливать на Кинетики с собственного веб-сервера, "прикрытого" basic-аутентификацией. Попробовал в URL, передаваемом в команду opkg disk, указать логин и пароль, однако из-за них система не смогла отрезолвить домен и скачивание завершилось ошибкой: Было бы неплохо увидеть поддержку basic-аутентификации при скачивании архивов.

@eralde @Anna_ В 5.0 Alpha 6 были обновлены подписи кнопок загрузки и выгрузки файлов с маршрутами - туда добавилась информация о расширении bat: Однако, веб-интерфейс продолжает без каких-либо ограничений принимать для импорта и файлы с другим расширением. Например, txt: Это ожидаемое поведение?

@Anna_, добрый день! Планируется ли исправление данной ошибки в ближайших версиях? Лично я все также продолжаю с ней сталкиваться, не очень комфортно ждать по 20-30 секунд, а то и более, пока все "заведется". В Telegram-группе Keenetic сегодня попалось сообщение на эту тему: https://t.me/Keenetic_ru/990160

Я тоже считаю, что 2 вариант лучше.

@Le ecureuil @slomblobov В 5.0 Alpha 5 все еще актуально.

@Le ecureuil В 5.0 Alpha 5 увидел на двух Кинетиках немного иные сообщения: Netfilter::Lockout::Manager: "Http": system failed [0xcffd03ad], [ND] invalid address '127.0.0.1'.

@eralde @Anna_ В 5.0 Alpha 5 исправлено. Спасибо!

@eralde @Anna_ В 5.0 Alpha 5 записи снова отображаются. Спасибо!

@eralde @Anna_ Подтверждаю исправление в 5.0 Alpha 5. Спасибо!

@eralde @Anna_ @Test Pilot Если открыть данную страницу при отсутствующем на Кинетике компоненте "Протокол IPv6", то в логе появляются ошибки: Core::Configurator: not found: "show/sc/ipv6/route" [http/rci]. Проверял на KN-1012 с 5.0 Alpha 5.

Важное замечание по использованию Antiscan При включенной геоблокировке (особенно в режиме белого списка) и защите порта 80 возможны неполадки с получением/продлением SSL-сертификатов Let's Encrypt для ваших собственных доменов (не принадлежащих Keen/CrazeDNS). Это связано с тем, что в режиме геоблокировки Antiscan может закрыть доступ к порту 80, если он был указан в конфиге, с серверов Let's Encrypt, IP которых принадлежат "запрещенным" странам. В результате не пройдет HTTP проверка, и получение сертификата завершится неудачно. Вы можете перейти для собственных доменов на DNS проверку (именно такой способ проверки используется Keen/CrazeDNS), или вручную отключать Antiscan, когда необходимо продлить/получить сертификаты. Еще, как вариант, попробовать изменить список стран для геоблокировки так, чтобы Let's Encrypt мог попытаться получить доступ к порту 80. Однако, Let's Encrypt не публикует список подсетей, с которых возможны обращения, и соответственно, добавить в исключения Antiscan тогда становится нечего. С получением/продлением SSL-сертификатов для Keen/CrazeDNS проблем никаких нет - там используется DNS проверка, не требующая открытых портов.

На актуальных 4.3 и 5.0 лишний пробел отсутствует. Спасибо!

@eralde @Anna_ В 5.0 Alpha 4 уже вижу улучшения в данном направлении. Спасибо! Для полной красоты еще не помешало бы избавиться от мерцания для элемента "анализатор трафика приложений", который переносится на вторую строку