ER7206 + OC300 Omada - Как создать правило для блокировки всего входящего трафика с определенных ip

[VamaX]

Модель: ER7206 (TL-ER7206)
Аппаратная версия: V1
Версия прошивки: 1.2.0

Добрый!
Есть: 12+ ВПН шлюзов ER7206 (крайняя прошивка) в разных местах, все связано через IPSec VPN в связке с ап контроллером OC300 Omada и 2мя дублирующими OC200 (крайняя прошивка) - все настроено через морду Omada и управляется OC300.

Но начали перебирать пароли на сервер VPN PPTP. Напрягают постоянные красные оповещения, за ночь больше 300+ попыток.

В логах отображает ip с которых постоянно брутфорсят (10 айпишников в разных странах) - хочу заблокировать весь трафик с них. На прошлом железе в ER6120 просто настроил правило на deny в секции Firewall и добавил туда нужные группы IP. И отрезал известные атаки. На микротике тоже с этим нет проблем.

В админке Omada вроде тоже есть Network Security и gateway ACL - но там написано: Rules of Gateway ACL take effect only on the traffic which is sourced from LAN ports and forwarded to the WAN ports. (тоесть правила применяются к исходящему трафику с LAN to WAN, а не входящему с WAN to LAN).

Я пробовал создавть блокирующие правила - но они не работают на входящий трафик и атаки продолжаются.

Отсюда вопрос: Где или как создать правило для - блокировки всего входящего трафика с определенного ip или группы ip??

Пример правила из ER6120:

1 BLOCK BLОCK_IP Me Block ALL WAN1 Any - (блокировать весь трафик группы BLОCK_IP в направлении WAN1)

Как еще одна задача - нужно заблокировать все соединиения на порт RDP кроме разрешенных IP. На 6120 решал так:

1 RDP_IN RDP_Clients RDP_Server Allow RDP WAN1 Any
2 RDP_Block IPGROUP_ANY RDP_Server Block RDP WAN1 Any
3 BLOCK BLICK_IP Me Block ALL WAN1 Any



Еще хотелось бы узнать в железяке за такую цену нет: Nat Table и нормального фаервола с правилами????
СПС...

[reaper]

обсуждение в community