Konfigurace asi FW

Návody a problémy s konfigurací.
kenny_com
Příspěvky: 7
Registrován: 3 months ago

Konfigurace asi FW

Příspěvekod kenny_com » 3 months ago

Zdravim vsechny,

uz par dni jsem projizdel forum a zkousel ruzne pokusy avsak bez uspechu.
U dedy v hospode mu spravoval internet nejakej typek ze vsi, ale bohuzel se odstehoval a deda ted pozadal me. Ze pry se venuji pocitacum tak tohle musim umet taky. Par Mikrotiku jsem konfiguroval, ale asi jsem nikdy nepotreboval resit veci tohodle typu.
Popisu situaci: jako router je RB951 pak je tam switch UBNT, AP UBNT a kamery Hikvision.
Na RB bezi 2x DHCP. Jedno pro VLAN, ktera obsluhuje WiFi pro zakazniky a jedno pro 3x PC kde bezi pokladni system. WiFi klienti dostavaji rozsah 192.168.20.1-254, pocitace dostavaji rozsah 192.168.10.1-254 a kamery maji staticke adesy v rozsahu 192.168.50.10-20.

Moc konfigurace v routeru neni. Vicemene je tam jenom to co jsem popsal.
Konfigurace mikrotiku je pro me relativne novinka. Zkousel jsem si cist na rootu nejake clanky a toku paketu atd, ale nejsem z toho moc moudry :(

Dokaze mi prosim nekdo aspon malilinko pomoci ? Nevim zdali myslenku nejak uplne neupravit od zacatku, nebo jen dodelat nejaka pravidla, ktera udelaji to ze to bude takto fungovat i na dale, ale z WiFi nebudou videt kamery ani pokladni pocitace, a z pokladnich pocitaci bude pristup pouze ke kameram a nikoli do site WiFi...

Dekuji pekne.
0 x

pavel1tu
Příspěvky: 27
Registrován: 5 months ago

Příspěvekod pavel1tu » 3 months ago

Nechapu, pokud to je nakonfigurované, je potřeba něco měnit ?
0 x
Vím co je proud a napětí. Tudíž tuším co je "1" a co "0".
Přečetl jsem si co je TCP/IP na wiki.
Tak berte mé příspěvky podle toho :-)

kenny_com
Příspěvky: 7
Registrován: 3 months ago

Příspěvekod kenny_com » 3 months ago

Ted to funguje tak ze sice vsechno pouziva svuj rozsah, ale vysledek by mel bejt takovy ze, na kamery by melo byt videt pouze z pokladniho systemu, a uzivatele kteri jsou pripojeni na WiFi nameji videt ani do kamer ani na pokladni system. Asi jsem to spatne popsal omlouvam se.
0 x

Robotvor
Příspěvky: 743
Registrován: 8 years ago
antispam: Ano

Příspěvekod Robotvor » 3 months ago

Píšeš, že je tam pro klienty VLAN a na něm zvlášť DHCP tím pádem by to nasebe vidět nemělo už ted.
0 x

kenny_com
Příspěvky: 7
Registrován: 3 months ago

Příspěvekod kenny_com » 3 months ago

A to je prave ten hacek, vidi :D a je videt i do kamer ....
0 x

whatever
Příspěvky: 60
Registrován: 6 years ago

Příspěvekod whatever » 3 months ago

Tak tak, pokud zakaznik na WiFi dostane 192.168.20.x a IP kamera ma 192.168.50.x tak ji nemuze videt a i IP adresa 192.168.50.x bude nedostupna viz treba ping :)
0 x

kenny_com
Příspěvky: 7
Registrován: 3 months ago

Příspěvekod kenny_com » 3 months ago

Taky jsem si to myslel, ale bohuzel tomu tak neni.

Bohuzel ted nemam pristup do toho RB u dedy, ted mam po ruce RB750 zkusim si to na ni nastavit podle toho jak si pamatuji jak je to u dedy a jeste jednou si to otestuji....
0 x

Jeri
Příspěvky: 3
Registrován: 3 months ago

Příspěvekod Jeri » 3 months ago

Rozsahy na sebe, samozřejmě, uvidí, protože brány visí na tom samém zařízení a to je tak má ve své routovací tabulce.

Firewall není nic strašidelného. V tomto případě, pokud jsi ve winboxu:

ip > firewall > záložka filter rules > přidat
General:
chain - forward
src address - 192.168.20.0/24
dst address - 192.168.50.0/24

Action:
drop

=> cokoliv co půjde z rozsahu 192.168.20.0/24 na rozsah 192.168.50.0/24 se prostě zahodí. Stejným způsobem vytvořit druhé pravidlo pro limit na rozsah 192.168.10.0/24 a je hotovo.
Když si budeš chtít vyhrát, tak ve firewall > adress list se dá založit vícero adres / rozsahů pod jeden název a při vytváření pravidel se v záložce advanced dá tento název vybrat a tím všechno založit pod jedno pravidlo.
0 x

Noxus28
Příspěvky: 307
Registrován: 6 years ago

Příspěvekod Noxus28 » 3 months ago

alebo vytvoriť len jedno pravidlo a to aby wifi klienti mohli len na internet a nikam inam :)

ip > firewall > filter rules > +
chain - forward:
src address - 192.168.20.0/24
out interface - ! "interface kde máš strčený prívod do internetu"
action:
drop
0 x
MTCNA, MTCRE, MTCTCE a furt toho viem málo 🤓

kenny_com
Příspěvky: 7
Registrován: 3 months ago

Příspěvekod kenny_com » 3 months ago

Cupr, to je presne co jsem potreboval....

Oba oba dva zpusoby jsem si vyzkousel na na testovaci RB750 to funguje.
Jeste mam dotaz, nemam moznost si to ted vyzkouset, ale at uz pouziju jeden nebo druhy zpusob, zabranim tim ikdyz se nekdo pripoji na WiFi a zpusti tam trebas nejak utilitu od Hikvision na vyhledavani jejich kamer(ted presne nevim jak se ten nastroj jmenuje) tak by ty kamery nemel pres to vubec najit ? Protoze vim, ze kdyz jsem prelezal fora, tak se tam nekde psalo, ze ten vyhledavaci protokol funguje trosku jinak....

Pak jeste jeden dotaz, ten zpusob s tim dropni vsechno co nejde na wan port mi zabrani i komunikaci mezi klienty ve stejnem rozsahu ?
0 x

Noxus28
Příspěvky: 307
Registrován: 6 years ago

Příspěvekod Noxus28 » 3 months ago

Nie, drop zahodí všetko co by smerovalo na iní interface ako internet. Local veci ktoré ani neprídu na vstup toho mikrotiku ale vyriešia sa už na AP to nerieši. To by si musel nastaviť na AP (ak má takú možnosť).


Utilitu od hikvision bohužiaľ nepoznám. Ak používa ip broadcast tak nič neuvidí.
0 x
MTCNA, MTCRE, MTCTCE a furt toho viem málo 🤓

Jeri
Příspěvky: 3
Registrován: 3 months ago

Příspěvekod Jeri » 3 months ago

Co psal Noxus, je čistší řešení.

Ohledně čmuchání, psal jsi, že máš oddělené VLAN pro klienty a pro kamery + pokladnu. V tu chvíli nemusíš nic řešit, protože jsou oddělené po L2 právě VLANou a po L3 jsme to zakázali firewallem.
Kdyby to nebylo na oddělených VLANách, tak mikrotik má na bezdrátech v záložce wireless možnost "default forward", což zapříčiní, že jednotliví klienti na AP se mezi sebou nevidí. Jestli něco takového má i UBNT, to netuším. Na switchi se musí hledat funkce port isolation.
0 x

kenny_com
Příspěvky: 7
Registrován: 3 months ago

Příspěvekod kenny_com » 1 month ago

Čau lidi,

tak se sem vracím se záhadou.

Když jsem si na svém "testovacim" routeru vytvoril pravidlo pro oddeleni rozsahu s chainem forward, tak to fungovalo. Ted jsem to same zkusil uz na svem routeru, kde problem resim a pravidla vubec nic nedeleji. Az kdyz zmenim chain na input tak se navzajem nepingnu.

Nějaká rada prosím ?
0 x

patrik_
Příspěvky: 250
Registrován: 7 years ago
Bydliště: erotikon7, lunární modul
Kontaktovat uživatele:

Příspěvekod patrik_ » 1 month ago

koukni se jestli na tom svém máš zapnutý connection tracking: ip->firewall->connection->tracking
by mělo být enable.
0 x
Nejsem úplný idiot. Některé moje kousky dodnes hledají...

kenny_com
Příspěvky: 7
Registrován: 3 months ago

Příspěvekod kenny_com » 1 month ago

Měl jsem přepnuto na auto, což podle webu znamená vypnuto. Zapnul jsem to a stejně ikdyž pravidla dam chain forward, tak pravidla nefunguji. Fungují pouze když je chain input :(

EDIT: Pardon omlouvám se, už jsme přišel na to kde je problém. Ja si totiž pingal adresu z rozsahu, kterou má přiřazenou rozhraní na mikrotiku. Což s chainem forward na mikrotika dojde, ale už to nepustí dal ....když pingám už zařízení v tom rozsahu kam chci blokovat tak už to funguje jak ma...
0 x


Zpět na „Konfigurace“

Kdo je online

Uživatelé prohlížející si toto fórum: Žádní registrovaní uživatelé a 12 hostů