Помогите настроить Firewall

[yanson]

Аппаратная версия устройства: TL-ER6120 v1.0
Версия прошивки: 1.0.6 Build 20131129 Rel.49461
Ваша страна: Россия
Название провайдера: Ростелеком (Онлайм)
Тип подключения: Dynamic IP
Скорость по тарифу: 50/25 Мбит/с
Добрый день.

Помогите, пожалуйста, настроить firewall на TL-ER6120.

Описание сети:
LAN: 192.168.1.0/24
DMZ: 192.168.2.0/24
в DMZ есть сервер Ubuntu с Apache2 192.168.2.200
Настроен Virtual Server, отражающий 80 порт сервера 192.168.2.200 на 80 порт WAN интерфейса.
Это все работает.

Описание задачи:
Открыть доступ к серверу по HTTP из Интернет только с определенных адресов, с остальных адресов - закрыть.
Создал правила в Firewall - Access Control - Access Rules:

Source: {Real IP address in Internet}/32
Destination: ANY
Policy: Allow
Service: HTTP
Interface: WAN
Effective Time: Always

Source: ANY
Destination: ANY
Policy: Block
Service: All Services
Interface: WAN
Effective Time: Always

Это не работает!
1) блокируется весь траффик из Интернета (включая явно разрешенный адрес),
2) траффик из LAN в сеть DMZ почему-то очень сильно тормозит
3) доступа из LAN в Интернет нет.

Попытка добавить правило:
Source: ANY
Destination: ANY
Policy: Allow
Service: All Services
Interface: LAN
Effective Time: Always
ни к чему не привела.

Те же ошибки.

При удалении блокирующего правила все начинает работать.

Я ранее конфигурировал DMZ и Firewall на устройствах разных вендоров, но с TPLink не работал. Возможно, есть какие-то нюансы.

Прошу помочь решить проблему.

[Rolis]

В этих железяках динамическая фильтрация вообще работает или нет? В смысле, когда "обратные" или "пассивные" пакеты внутри построенного соединения проходят автоматически?

Да, работает внутри сокета установленного соединения.

[yanson]

Что мне сделать, чтобы это заработало? Переключиться в режим Public?

[yanson]

см. личку

[Rolis]

Что мне сделать, чтобы это заработало? Переключиться в режим Public?

Нет, этот режим можно использовать только, если провайдер выделил вам подсеть, часть которой вы хотите отдать под публичный DMZ. А вот "серые" подсети провайдеры не любят маршрутизировать для конечных пользователей.

[Rolis]

После проверки на своем девайсе удалось подтвердить некорректную работу базовой функции DMZ.

[yanson]

Спасибо, Александр.
Совместно с коллегой мы пришли к выводу, что на этой железке функция DMZ работает некорректно.

1) При отстутствии каких-либо правил файрвола есть доступ из DMZ в LAN. Режим DMZ = Private. То есть не работает базовая функция DMZ.
2) При создании двух правил, первое из которых явно разрешает любой доступ из LAN в DMZ, а второе запрещает любой доступ из DMZ в LAN, пропадает доступ из LAN в DMZ, то есть динамическая фильтрация (или пропускание "обратных" или "пассивных" пакетов) не работает.

Сотрудники техподдержки, прошу прокомментировать.

Надеюсь, этого достаточно, чтобы железяку приняли обратно или хотя бы прокомментировали, что они собираются с этим всем делать.

[Rolis]

Ответ техподдержки:

Общались с разработчиками.

Согласно руководству пользователя (стр. 31-32). В режиме Private доступ есть как из LAN в DMZ, так и из DMZ в LAN. Запрет доступа из DMZ в LAN присутствует только в режиме Public.

Разработчики ответили, что логика работы DMZ именно такова и даже с помощью правил никак невозможно в режиме Private запретить доступ из DMZ в LAN.

[alexandr]

Здравствуйте.

Общались с разработчиками.
Согласно руководству пользователя(стр. 31-32). В режиме Private доступ есть как из LAN в DMZ, так и из DMZ в LAN. Запрет доступа из DMZ в LAN присутствует только в режиме Public.
Разработчики ответили, что логика работы DMZ именно такова и даже с помощью правил никак невозможно в режиме Private запретить доступ из DMZ в LAN.

То есть это логика работы роутера, но не ошибка.

[Rolis]

Да, теперь логика работы роутера понятна. До этого я рассматривал классическую схему работу базовой функции DMZ, где так не должно работать.

[yanson]

Ок, я понял.
На 1-й вопрос ответ принят. К сожалению, мне нельзя использовать режим Public, т.к. у меня только один реальный IP-адрес.

Прошу ответить на второй вопрос:
"При создании двух правил, первое из которых явно разрешает любой доступ из LAN в DMZ, а второе запрещает любой доступ из DMZ в LAN, пропадает доступ из LAN в DMZ, то есть динамическая фильтрация (или пропускание "обратных" или "пассивных" пакетов) не работает."