Перейти к содержанию
Как правильно добавить self-test и прочую отладку в тему
Где взять тестовые сборки
Официальное хранилище ПО в виде файлов
  • 0

Связь между сегментами

vvzvlad

Ответ от vvzvlad,

 Поделиться

Вопрос

vvzvlad Новичок

vvzvlad

Опубликовано
Опубликовано

Вот у меня есть два сегмента: Admin c 10.31.50.0/24 и IoT c 10.31.52.0/24. Во втором всякие устройства, в первом мой ноут, с которого я хочу получать доступ к устройствам в IoT. Сегменты разделены по умолчанию, поэтому я иду в фаервол, захожу во вкладку Admin network, и делаю правило "Permit, source any, destination 10.31.52.0/24, protocol IP, enable true". Ииии... ничего. Пинги не проходят, интерфейс не открывается. Точнее, в какой-то момент сработало, но потом перестало.

Все устройства по Wifi подключаются. Я что-то делаю не так? 

15 ответов на этот вопрос

Рекомендуемые сообщения

  • 0
vvzvlad Новичок

vvzvlad

Опубликовано
  • Автор
Опубликовано
On 10/27/2025 at 5:27 PM, mrGhotius said:

А теперь тоже самое в сторону 10.31.50.0/24

Сделал такое же правило на вкладке IoT Network, permit, source any, destination 10.31.50.0/24, protocol IP. И ничего. 

  • 0
mrGhotius Старожил

mrGhotius

Опубликовано
Опубликовано (изменено)
1 час назад, vvzvlad сказал:

Сделал такое же правило на вкладке IoT Network, permit, source any, destination 10.31.50.0/24, protocol IP. И ничего. 

Раздел Диагностика/Захват сетевых пакетов(устанавливаемый компонент) в помощь.

Изменено пользователем mrGhotius
  • 0
vvzvlad Новичок

vvzvlad

Опубликовано
  • Автор
Опубликовано
1 minute ago, mrGhotius said:

Раздел Диагностика/Захват сетевых пакетов(устанавливаемый компонент) в помощь.

Да я делал. Пинги в сегменте admin идут, а в iot не появляются. Соотвественно, ответ не приходит. 

  • 0
mrGhotius Старожил

mrGhotius

Опубликовано
Опубликовано
4 минуты назад, vvzvlad сказал:

Да я делал. Пинги в сегменте admin идут, а в iot не появляются. Соотвественно, ответ не приходит. 

Других правил для сегмента нет? Важен порядок запрещающих и разрешающих правил.

  • 0
vvzvlad Новичок

vvzvlad

Опубликовано
  • Автор
Опубликовано
Just now, mrGhotius said:

Других правил для сегмента нет? Важен порядок запрещающих и разрешающих правил.

неа, два правила вот во всей системе

  • 0
mrGhotius Старожил

mrGhotius

Опубликовано
Опубликовано (изменено)
1 минуту назад, vvzvlad сказал:

неа, два правила вот во всей системе

Тогда обратитесь в ТП с предоставлением self-test'а

Изменено пользователем mrGhotius
  • 0
r13 Старожил

r13

Опубликовано
Опубликовано
В 27.10.2025 в 09:24, vvzvlad сказал:

Вот у меня есть два сегмента: Admin c 10.31.50.0/24 и IoT c 10.31.52.0/24. Во втором всякие устройства, в первом мой ноут, с которого я хочу получать доступ к устройствам в IoT. Сегменты разделены по умолчанию, поэтому я иду в фаервол, захожу во вкладку Admin network, и делаю правило "Permit, source any, destination 10.31.52.0/24, protocol IP, enable true". Ииии... ничего. Пинги не проходят, интерфейс не открывается. Точнее, в какой-то момент сработало, но потом перестало.

Все устройства по Wifi подключаются. Я что-то делаю не так? 

Это в нотации кинетика "out" правило, оно в ui не настраивается, через cli

https://help.keenetic.com/hc/ru/articles/360001429839-Как-реализован-межсетевой-экран

  • Спасибо 1
  • 0
vvzvlad Новичок

vvzvlad

Опубликовано
  • Автор
Опубликовано
6 hours ago, r13 said:

Это в нотации кинетика "out" правило, оно в ui не настраивается, через cli

https://help.keenetic.com/hc/ru/articles/360001429839-Как-реализован-межсетевой-экран

Сделал вот так, но все не работает. 

interface Bridge0
    rename Home
    description "Admin network"
    security-level private
    ip address 10.31.50.1 255.255.255.0
    ip access-group _WEBADMIN_Bridge0 in
    ip access-group _WEBADMIN_Bridge0 out
!
interface Bridge2
    description "Avada IoT"
    security-level protected
    ip address 10.31.52.1 255.255.255.0
    ip access-group _WEBADMIN_Bridge2 in
    ip access-group _WEBADMIN_Bridge2 out
!

access-list _WEBADMIN_Bridge0
    permit ip 0.0.0.0 0.0.0.0 10.31.52.0 255.255.255.0
    permit description admin->iot
    auto-delete
! 
access-list _WEBADMIN_Bridge2
    permit ip 0.0.0.0 0.0.0.0 10.31.50.0 255.255.255.0
    permit description iot->admin
    auto-delete
! 

  • 0
r13 Старожил

r13

Опубликовано
Опубликовано

Наоборот должно быть, out правила разрешают доступ в сегмент

Соответсвенно out правило для Bridge2 должно содержать permit ip 10.31.50.0 255.255.255.0 10.31.52.0 255.255.255.0

Плюс так секюрнее, только для адресов из Bridge0

Зы для Bridge0 правило не нужно

  • 0
vvzvlad Новичок

vvzvlad

Опубликовано
  • Автор
Опубликовано
8 hours ago, r13 said:

Наоборот должно быть, out правила разрешают доступ в сегмент

Соответсвенно out правило для Bridge2 должно содержать permit ip 10.31.50.0 255.255.255.0 10.31.52.0 255.255.255.0

И все еще не работает( 


access-list _WEBADMIN_Bridge0
    permit ip 0.0.0.0 0.0.0.0 10.31.52.0 255.255.255.0
    permit description admin->iot
    auto-delete
! 
access-list _WEBADMIN_Bridge2
    permit ip 0.0.0.0 0.0.0.0 10.31.50.0 255.255.255.0
    permit description iot->admin
    auto-delete
! 
access-list Bridge2_out
    permit ip 10.31.50.0 255.255.255.0 10.31.52.0 255.255.255.0
! 
interface Bridge0
    description "Admin network"
    ip address 10.31.50.1 255.255.255.0
    ip access-group _WEBADMIN_Bridge0 in
!

interface Bridge2
    description "Avada IoT"
    ip address 10.31.52.1 255.255.255.0
    ip access-group _WEBADMIN_Bridge2 in
    ip access-group Bridge2_out out
!

 

  • 0
Fullkrum Новичок

Fullkrum

Опубликовано
Опубликовано (изменено)

Всех приветствую, такая же ситуация. Подскажите есть еще идеи?

Я решил свой вопрос, спасибо!
1. Перевел Bridge2 в private

2. В маршрутизации убрал установленную мною статическую настройку с доступом к подсети.

3. Оставил только правило в межсетевом экране доступ от Bridge1 в Bridge2 по ip

Изменено пользователем Fullkrum
  • 0
vvzvlad Новичок

vvzvlad

Опубликовано
  • Автор
Опубликовано
3 hours ago, Fullkrum said:

Всех приветствую, такая же ситуация. Подскажите есть еще идеи?

Я решил свой вопрос, спасибо!
1. Перевел Bridge2 в private

2. В маршрутизации убрал установленную мною статическую настройку с доступом к подсети.

3. Оставил только правило в межсетевом экране доступ от Bridge1 в Bridge2 по ip

А покажите конфиг, пожалуйста?

  • 0
Fullkrum Новичок

Fullkrum

Опубликовано
Опубликовано
8 часов назад, vvzvlad сказал:

А покажите конфиг, пожалуйста?

 $$$ Model: Keenetic Giga",
        "! $$$ Version: 2.06.1",

 

        "access-list _WEBADMIN_Bridge0",
        "    permit ip 10.10.10.0 255.255.255.0 10.10.11.95 255.255.255.255",
        "    auto-delete",
        "! ",
        "access-list _WEBADMIN_Bridge2",
        "    auto-delete",
        "! ",
        "isolate-private",

 

        "interface Bridge0",
        "    rename Home",
        "    description Main",
        "    dyndns nobind",
        "    include GigabitEthernet0/Vlan1",
        "    include WifiMaster0/AccessPoint0",
        "    include WifiMaster1/AccessPoint0",
        "    mac access-list type none",
        "    security-level private",
        "    ip address 10.10.10.10 255.255.255.0",
        "    ip dhcp client dns-routes",
        "    ip mtu 1500",
        "    ip access-group _WEBADMIN_Bridge0 in",
        "    ip name-servers",
        "    band-steering",
        "    up",
        "!",
        "interface Bridge2",
        "    description IoT",
        "    include GigabitEthernet0/Vlan2",
        "    include WifiMaster0/AccessPoint2",
        "    include WifiMaster1/AccessPoint1",
        "    mac access-list type none",
        "    security-level private",
        "    ip address 10.10.11.11 255.255.255.0",
        "    ip dhcp client dns-routes",
        "    ip access-group _WEBADMIN_Bridge2 in",
        "    no band-steering",
        "    up",
 

Мне нужен был запрос к принтеру, чтобы все кто в сети Main могли отправить печать и получить скан с него. Я открыл прямо к 1 IP-адресу. 

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.
Примечание: Ваш пост будет проверен модератором, прежде чем станет видимым.

Гость
Ответить на вопрос...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Поделиться
Перейти к списку вопросов

  • Последние посетители   0 пользователей онлайн

    • Ни одного зарегистрированного пользователя не просматривает данную страницу
×
×
  • Создать...

Важная информация

На этом сайте используются файлы cookie. Нажимая "Я принимаю" или продолжая просмотр сайта, вы разрешаете их использование: Политика конфиденциальности.

  Я принимаю