Funbox 3.0 -> Zapora sieciowa -> Poziom zabezpieczeń użytkownika -> PYTANIE

[cytad]

Cześć, konfiguruję właśnie zaporę sieciową w Funbox 3.0 i mam pytanie.

Zauważyłem, że poziom zabezpieczeń <<średni>> działa tak, że <<blokuje wszystkie połączenia przychodzące, a połączenia wychodzące są dozwolone, z wyjątkiem usług Netbios>>.

Ja tymczasem chciałbym żeby zapora działała dokładnie jak na poziomie średnim, ale z jedną różnicą: żeby otworzyła jeden port przychodzący.

W tym celu wybrałem poziom zabezpieczeń <<użytkownika>>. Niestety z tego co widzę, to ten poziom domyślnie nie przepuszcza wszystkiego na zewnątrz, tylko blokuje cały ruch, zarówno wyjściowy jak i wejściowy, o ile nie wymieni się konkretnego portu i protokołu. 

Zastanawiam się zatem jak wygląda wpis, który przepuści cały ruch na zewnątrz? Próbowałem wpisać regułę źródło: 192.168.1.0/24 -> cel: 0.0.0.0/0 , ale nie działa. Czy jest jakaś reguła która przepuści cały ruch na zewnątrz Funboxa w poziomie zabezpieczeń <<użytkownika>> ?

[pirenej · Accepted solution]

Port źródłowy oraz docelowe adres maskę i port  pozostaw puste

[cytad]

Dzięki! 👍🏻 Teraz działa. Tylko pojawił się jeden kłopot - na moim laptopie przestało działać wysyłanie pingów (gdziekolwiek dalej poza sieć wewnętrzną). Podejrzewam że to przez to że w regułach można wybrać tylko przepuszczanie protokołów TCP i UDP, natomiast nie ma nic o ICMP. Kiedy zmieniam konfigurację zapory na poziom <<średni>>, pingi zaczynają na moim laptopie działać. Kiedy przełączam znów na poziom <<użytkownika>> przestają działać. Jakiś pomysł jak odblokować ICMP?

[pirenej]

a to już pojawia się rozbieżność. Bo "u mnie działa" 😀

[Samotnick]

@cytad  Dlaczego nie użyłeś przekierowania portów pozostawiając zaporę w spokoju?

[cytad]

@Samotnick Czy możesz napisać nieco jaśniej, bo obawiam się że nie rozumiem.

Z tego co wiem to w IPv4 przekierowanie portów czyli NAT działa niezależnie od zapory. Jeśli chcę otworzyć jeden port w mojej sieci, to muszę zrobić to w pierwszej kolejności w zaporze (po to żeby pakiety w ogóle mogły 'wejść do routera') jak i w NAT (po 'wejściu do routera' konkretny port kierowany jest do konkretnego IP i portu w sieci wewnętrznej).

Czy coś się Twoim zdaniem nie zgadza w moim rozumowaniu?

@pirenej A w takim razie mam pytanie. Ponieważ ja usunąłem wszystkie reguły z poziomu zabezpieczeń zapory <<użytkownik>> zanim przystąpiłem do pracy, to nie mogę teraz sprawdzić czy przypadkiem nie było tam ustawionej reguły ICMP. 

Czy Ty u siebie masz tam jakąś regułkę która puszcza ICMP? 

[cytad]

@pirenej A w takim razie mam pytanie. Ponieważ ja usunąłem wszystkie reguły z poziomu zabezpieczeń zapory <<użytkownik>> zanim przystąpiłem do pracy, to nie mogę teraz sprawdzić czy przypadkiem nie było tam ustawionej reguły ICMP. 

Czy Ty u siebie masz tam jakąś regułkę która puszcza ICMP? 

[Samotnick]

@cytad  Masz rację, że to są rozłączne procesy ale przekierowanie portu automatycznie utworzy potrzebną regułę na FW. Wróć na poziom średni i zrób przekierowanie.

[cytad]

@Samotnick Już wiem skąd u nas te różnice. Ja ze względów bezpieczeństwa nie pozwalam na UPnP, bo nie chcę żeby dowolna aplikacja zmieniała mi reguły zapory. Bez wspomnianego UPnP na poziomie zabezpieczeń zapory <<średnim>> zmiana ustawień NAT nic nie da.

Natomiast u ludzi którzy mają UPnP włączone wystarczy w NAT ustawić port, a reszta konfiguruje się sama i bez wiedzy użytkownika. To moja hipoteza 😁

[Samotnick]

@cytadJa nie piszę o hipotezach tylko o praktyce. Mam wyłączone UPnP, zaporę na "średni", przekierowanie NAT i po prostu działa.

[cytad]

@Samotnick Rzeczywiście, kolejny raz okazuje się żę praktyka jest ważniejsza od teorii. Otóż z niewiadomych powodów zmiana ustawień w NAT zmienia także ustawienia zapory sieciowej. 👀 Zmieniłem poziom zabezpieczeń zapory na <<średni>>, UPnP wyłączone, ustawiłem tylko port w NAT. Jakkolwiek absurdalnie to brzmi - wszystko co chciałem teraz działa poprawnie.

Dzięki za pomoc 🙏🏻