Keenetic Giga - административный web интерфейс доступен из интернета, хотя не должен!!! [Ложная тревога]

[Alex013]

Всем привет, пребываю в легком шоке.

Заранее оговорюсь – я предполагаю, что это ошибка, а не утверждаю.

Имеем Keenetik Giga (KN-1010) EAEU
Прошивка 5.2 Beta 2
Статический белый ip

И у него по факту открыты извне порты 80 и 443, хотя как мне кажется - не должны.
При обращении извне на 80й - получаем 302 редирект на 443
При обращении извне на 443й - открывается админка прямо из инета!!!

При этом настройки такие:

- В разделе "Domain name" Настроен KeenDNS в режиме Direct access (для доступа по VPN)
Но галочка "Allow access from the internet" ВЫКЛЮЧЕНА

- В разделе "Users and Access" 
Inbound Management Access = "No access"
Allow access from the internet (Telnet/SSH) обе ВЫКЛЮЧЕНЫ

Я полагал, что при таком конфиге админка наружу торчать не должна.
А должны только явно опубликованные сервисы (VPN или Applications)

Такое ощущение что галочка "Allow access from the internet" не работает.
Что скажете, баг не баг? Или я не понимаю как это должно работать?

По идее, при ее выключении 80й дожен быть закрыт
А 443й должен быть открыт только для тех приложений, которые им пользуются, например SSTP сервер.
 

Изменено 5 ноября пользователем Alex013
Проблема не актуальна, чтобы не вводить в заблуждение коллег

[Alex013]

Видимо я немного поспешил с выводами. 

Если снаружи по честному ломиться, то на 80м и 443м ответ 401. Т.е. порты открыты, но доступа нет.
А вот если изнутри сети идти по внешнему адресу, то доступ есть. 

Хотя все равно, как по мне, 80й должен вообще быть закрыт в принципе.
А на 443й неважно откуда идет запрос, если он идет на внешний адрес - то отлуп.
 

[Rhon]

проверьте настройки Firewall, а то окажется что там сами все и разрешили..

[Denis P]

5 часов назад, Alex013 сказал:

Всем привет, пребываю в легком шоке.

Заранее оговорюсь – я предполагаю, что это ошибка, а не утверждаю.

Имеем Keenetik Giga (KN-1010) EAEU
Прошивка 5.2 Beta 2
Статический белый ip

И у него по факту открыты извне порты 80 и 443, хотя как мне кажется - не должны.
При обращении извне на 80й - получаем 302 редирект на 443
При обращении извне на 443й - открывается админка прямо из инета!!!

При этом настройки такие:

- В разделе "Domain name" Настроен KeenDNS в режиме Direct access (для доступа по VPN)
Но галочка "Allow access from the internet" ВЫКЛЮЧЕНА

- В разделе "Users and Access" 
Inbound Management Access = "No access"
Allow access from the internet (Telnet/SSH) обе ВЫКЛЮЧЕНЫ

Я полагал, что при таком конфиге админка наружу торчать не должна.
А должны только явно опубликованные сервисы (VPN или Applications)

Такое ощущение что галочка "Allow access from the internet" не работает.
Что скажете, баг не баг? Или я не понимаю как это должно работать?

По идее, при ее выключении 80й дожен быть закрыт
А 443й должен быть открыт только для тех приложений, которые им пользуются, например SSTP сервер.
 

Вы не из локалки случайно это проверяете?

[Alex013]

44 минуты назад, Denis P сказал:

Вы не из локалки случайно это проверяете?

Да да, я уж выше написал. Тут довольно сложная сетка с несколькими роутерами и 3мя провайдерами и я упустил, что выход наружу смаршрутизировался именно через этот же Кинетик и тот же Ip, что я и тестировал снаружи на открытые порты.
Т.е. снаружи 401 и на 80 и на 443.

Все равно конечно открывать 80 наружу даже с заглушкой не особо.
Но это я закрыл правилом в firewall. Теперь по нему вообще не стукнуться извне.

А 443 нужен, тк на нем SSTP.
В общем паника отменяется, прощу прощения.
 

[dmitry.a]

RMM не настроен? Ему нужен доступ. В итоге порты светятся.