Помогите, пожалуйста, понять, как закрыть дыру. (Надеюсь, что это не фича...)
На кинетике настроен "Protected" интерфейс для IOT.
NAT выключен, nat loopback выключен, создано статическое правило:
ip static IOT ISP
Так же существует правило, которое разрешает NAT пакетов из подсети за VPN туннелем
ip static 192.168.255.0 255.255.255.0 ISP
Проблема в том, что на любые пакеты из IOT (или другой Protected или Private сети), отвечает сам кинетик, независимо от настроек фаервола (я не смог заблокировать подключения, при том, что стоит deny IP any to {RFC_1918, 127/8} на интерфейсе IOT. На WAN IP не могу такое правило создать, т.к. он динамический. Соответственно, если я, напимер, подключаюсь к любому IP из подсети из static правила (даже несуществующему), на порт какого-нибудь приложения, которое есть на кинетике (например SSH или HTTP), то отвечает кинетик:
(это отвечает веб-морда кинетика при запросе к любому IP из "static" сети, например..)
Цитата из мануала:
protected интерфейсы не имеют доступа к устройству и другим private/protected подсетям, но они имеют доступ к public
интерфейсам и интернету. Устройство обеспечивает защищенным сегментам только доступ к службам DHCP и DNS.
Это явно не работает..
Похоже, что nat loopback включен по-умолчанию для всех удаленных static подсетей и я не нашел способа его выключить.
You can post now and register later.
If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.
Question
M V
Помогите, пожалуйста, понять, как закрыть дыру. (Надеюсь, что это не фича...)
На кинетике настроен "Protected" интерфейс для IOT.
NAT выключен, nat loopback выключен, создано статическое правило:
ip static IOT ISPТак же существует правило, которое разрешает NAT пакетов из подсети за VPN туннелем
ip static 192.168.255.0 255.255.255.0 ISPПроблема в том, что на любые пакеты из IOT (или другой Protected или Private сети), отвечает сам кинетик, независимо от настроек фаервола (я не смог заблокировать подключения, при том, что стоит deny IP any to {RFC_1918, 127/8} на интерфейсе IOT. На WAN IP не могу такое правило создать, т.к. он динамический. Соответственно, если я, напимер, подключаюсь к любому IP из подсети из static правила (даже несуществующему), на порт какого-нибудь приложения, которое есть на кинетике (например SSH или HTTP), то отвечает кинетик:
(это отвечает веб-морда кинетика при запросе к любому IP из "static" сети, например..)
Цитата из мануала:
protected интерфейсы не имеют доступа к устройству и другим private/protected подсетям, но они имеют доступ к public интерфейсам и интернету. Устройство обеспечивает защищенным сегментам только доступ к службам DHCP и DNS.Это явно не работает..
Похоже, что nat loopback включен по-умолчанию для всех удаленных static подсетей и я не нашел способа его выключить.
Edited by M V0 answers to this question
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.