Como permitir que IPs públicos específicos acessem um servidor interno nos gateways Omada
06-19-2026
536
Configuração para o Modo Autônomo
Configuração para o Modo Controlador
Introdução
Ao hospedar um servidor interno por trás de um Omada Gateway, como um servidor web, expô-lo à Internet pode representar riscos de segurança. Este guia demonstra como permitir que apenas endereços IP públicos específicos acessem um servidor interno, bloqueando todo o restante do tráfego público.
Requisitos
- Gateway Omada
Topologia de Rede
Nota: Para este guia, foram utilizados um controlador de hardware ER605, um controlador de hardware OC200 e um servidor web interno baseado em Linux rodando na porta 8080. Siga os mesmos passos para um controlador de software e de nuvem.
Configuração
Configuração para o Modo Autônomo
Passo 1. Acesse Transmissão > NAT > Servidores Virtuais para mapear a porta do servidor interno para a interface WAN. Neste exemplo, há um servidor web interno em 192.168.0.102:8080.
Passo 2.Acesse Preferências > Tipo de Serviço e crie um tipo de serviço personalizado definindo o protocolo e a porta específicos usados pelo servidor interno. Selecione Intervalo de Portas de Origem como 0-65535 e defina o Intervalo de Portas de Destino para a porta usada pelo servidor interno, que neste exemplo é 8080.
Passo 3.Acesse Preferências > Grupo de IP > Endereço IP para definir os endereços IP de destino. Crie dois endereços IP: um para o IP externo do cliente permitido (Allowed_Client) e outro para o IP local do servidor interno (Internal_Server).
Observação: Certifique-se de que o endereço IP do cliente externo e do servidor interno esteja configurado estaticamente ou tenha uma reserva DHCP para que o endereço IP não mude.
Passo 4.Acesse Preferências > Grupo de IP Grupo de IP para criar dois grupos de IP, um para cada endereço IP criado.
Passo 5.Acesse Firewall >Controle de Acesso para criar duas políticas de firewall. Primeiro, crie uma regra de permissão mapeando o grupo de IPs de origem "Allowed_Client" para o grupo de IPs de destino "Internal_Server" usando o Tipo de Serviço criado na respectiva interface "WAN IN" com um ID de 1.
Em seguida, crie uma regra de bloqueio mapeando o grupo de IP de origem "IPGROUP_ANY" para o grupo de IP de destino "Internal_Server" usando o Tipo de Serviço criado na respectiva interface "WAN IN" com um ID de 2.
Observação: No Modo Controlador, o "Tipo de Serviço" foi substituído por "Protocolos".
Observação: as regras da ACL são processadas sequencialmente, do número de ID mais baixo para o número de ID mais alto. É por isso que a regra Permitir precisa vir antes da regra Bloquear.
Etapa 6.Verifique se somente o cliente externo (66.249.64.2) pode acessar o servidor interno (192.168.0.102:8080) acessando o endereço IP da porta WAN com a porta correta do servidor interno (66.249.64.3:8080)
Quando um cliente externo é alterado para um endereço IP diferente (66.249.64.4), ele não consegue mais acessar o servidor interno devido à regra ACL permitir apenas o endereço 66.249.64.2:
Configuração para o Modo Controlador
Passo 1. Acesse Configuração de Rede > Transmissão > NAT > Encaminhamento de Portas para mapear a porta do servidor interno para a interface WAN. Neste exemplo, há um servidor web interno em 192.168.0.102:8080.
Passo 2.Acesse Configuração de Rede > Grupos para criar um Grupo de IP para o cliente externo (66.249.64.2) e um Grupo de IP-Porta para o servidor web interno (192.168.0.102:8080).
Observação: Certifique-se de que o endereço IP do cliente externo e do servidor interno esteja configurado estaticamente ou tenha uma reserva DHCP para que o endereço IP não mude.
Passo 3. Vá para Configuração de Rede > ACL > ACL de Gateway para criar duas políticas de firewall.
Primeiro, crie uma regra de permissão mapeando o grupo de IPs de origem "Allowed_Client" para o grupo de IPs e portas de destino "Internal_Server" na respectiva interface "WAN IN" para todos os protocolos.
Em seguida, crie uma regra de negação mapeando a origem "IPGROUP_ANY" Grupo de IPs para o destino "Internal_Server" Grupo de IPs e portas na respectiva interface "WAN IN". Selecione "Todos os protocolos" para isolamento completo.
Etapa 4.Verifique se somente o cliente externo (66.249.64.2) pode acessar o servidor interno (192.168.0.102:8080) acessando o endereço IP da porta WAN com a porta correta do servidor interno (66.249.64.3:8080)
Quando um cliente externo é alterado para um endereço IP diferente (66.249.64.4), ele não consegue mais acessar o servidor interno devido à regra ACL que permite apenas clientes externos com endereço IP 66.249.64.2:
Conclusão
Conseguimos permitir que um endereço IP público específico acesse um servidor interno.
QA
P1: O que acontece se eu usar um Grupo de IP em vez de um Grupo de Portas IP no Modo Controlador?
A1: Se um grupo de IP padrão for usado, a regra da ACL terá como alvo todas as portas desse host, em vez de isolar a porta usada pelo servidor interno.
P2: E se o cliente externo perder repentinamente o acesso ao servidor interno?
A2: Verifique se o endereço IP público do cliente externo foi alterado ou se está configurado dinamicamente. O endereço IP precisa ser o mesmo que foi definido como perfil de IP.
Para obter mais detalhes sobre cada função e configuração, acesse Página Inicial de Suporte para baixar o manual do seu produto.
