Настройка под управлением контроллера
Введение
При размещении внутреннего сервера за шлюзом Omada, например веб-сервера, его открытие в Интернет может создать угрозы безопасности. В этом руководстве показано, как разрешить доступ к внутреннему серверу только с определённых публичных IP-адресов, блокируя весь остальной публичный трафик.
Требования
- Шлюз Omada
Топология сети
Примечание: В данном руководстве использовались ER605, аппаратный контроллер OC200 и внутренний веб-сервер на Linux, работающий на порту 8080. Для программного и облачного контроллера следуйте тем же шагам.
Настройка
Настройка в автономном режиме
Шаг 1. Перейдите в раздел Трансляция > NAT > Виртуальные серверы, чтобы сопоставить порт внутреннего сервера с WAN-интерфейсом. В этом примере внутренний веб-сервер находится на 192.168.0.102:8080.
Шаг 2. Перейдите в раздел Настройки > Тип службы и создайте пользовательский тип службы, определив конкретный протокол и порт, используемые внутренним сервером. Выберите Диапазон портов источника 0-65535 и установите Диапазон портов назначения на порт, используемый внутренним сервером, в данном примере это 8080.
Шаг 3. Перейдите в раздел Настройки > IP-группа > IP-адрес, чтобы определить целевые IP-адреса. Создайте два IP-адреса: один для внешнего IP-адреса разрешённого клиента (Allowed_Client) и один для локального IP-адреса внутреннего сервера (Internal_Server).
Примечание: Убедитесь, что IP-адрес внешнего клиента и внутреннего сервера либо статический, либо зарезервирован по DHCP, чтобы IP-адрес не менялся.
Шаг 4. Перейдите в раздел Настройки > IP-группа > IP-группа, чтобы создать две IP-группы для каждого соответствующего IP-адреса.
Шаг 5. Перейдите в раздел Брандмауэр > Управление доступом, чтобы создать две политики брандмауэра. Сначала создайте разрешающее правило, сопоставляющее IP-группу источника «Allowed_Client» с IP-группой назначения «Internal_Server», используя Тип службы, созданный на соответствующем интерфейсе «WAN IN», с ID равным 1.
Затем создайте блокирующее правило, сопоставляющее IP-группу источника «IPGROUP_ANY» с IP-группой назначения «Internal_Server», используя Тип службы, созданный на соответствующем интерфейсе «WAN IN», с ID равным 2.
Примечание: В режиме контроллера «Тип службы» заменён на «Протоколы».
Примечание: Правила ACL обрабатываются последовательно, от наименьшего номера ID к наибольшему. Именно поэтому разрешающее правило должно находиться перед блокирующим.
Шаг 6. Убедитесь, что только внешний клиент (66.249.64.2) может получить доступ к внутреннему серверу (192.168.0.102:8080), обратившись к IP-адресу WAN-порта с правильным портом внутреннего сервера (66.249.64.3:8080).
Когда внешний клиент изменён на другой IP-адрес (66.249.64.4), он больше не может получить доступ к внутреннему серверу из-за правила ACL, разрешающего только 66.249.64.2:
Настройка под управлением контроллера
Шаг 1. Перейдите в раздел Настройка сети > Трансляция > NAT > Проброс портов, чтобы сопоставить порт внутреннего сервера с WAN-интерфейсом. В этом примере внутренний веб-сервер находится на 192.168.0.102:8080.
Шаг 2. Перейдите в раздел Настройка сети > Группы, чтобы создать IP-группу для внешнего клиента (66.249.64.2) и IP-порт группу для внутреннего веб-сервера (192.168.0.102:8080).
Примечание: Убедитесь, что IP-адрес внешнего клиента и внутреннего сервера либо статический, либо зарезервирован по DHCP, чтобы IP-адрес не менялся.
Шаг 3. Перейдите в раздел Настройка сети > ACL > Gateway ACL, чтобы создать две политики брандмауэра.
Сначала создайте разрешающее правило, сопоставляющее IP-группу источника «Allowed_Client» с IP-порт группой назначения «Internal_Server» на соответствующем интерфейсе «WAN IN» для всех протоколов.
Затем создайте запрещающее правило, сопоставляющее IP-группу источника «IPGROUP_ANY» с IP-порт группой назначения «Internal_Server» на соответствующем интерфейсе «WAN IN». Для полной изоляции выбран вариант «Все протоколы».
Шаг 4. Убедитесь, что только внешний клиент (66.249.64.2) может получить доступ к внутреннему серверу (192.168.0.102:8080), обратившись к IP-адресу WAN-порта с правильным портом внутреннего сервера (66.249.64.3:8080).
Когда внешний клиент изменён на другой IP-адрес (66.249.64.4), он больше не может получить доступ к внутреннему серверу из-за правила ACL, разрешающего только внешнего клиента 66.249.64.2:
Заключение
Мы успешно разрешили доступ к внутреннему серверу с определённого публичного IP-адреса.
Вопросы и ответы
В1: Что если использовать IP-группу вместо IP-порт группы в режиме контроллера?
О1: Если используется стандартная IP-группа, правило ACL будет применяться ко всем портам этого хоста, а не изолировать порт, используемый для внутреннего сервера.
В2: Что делать, если внешний клиент внезапно теряет доступ к внутреннему серверу?
О2: Проверьте, не изменился ли публичный IP-адрес внешнего клиента или не является ли он динамическим. IP-адрес должен совпадать с тем, который был указан в профиле IP.
Чтобы узнать больше о каждой функции и настройке, перейдите в Центр поддержки, чтобы скачать руководство для вашего продукта.
