Firewall

[donjohn]

Доброго времени суток!

Только разбираюсь с возможностями роутера Keenetic, ну и в целом с настройками разных правил, поэтому прошу не ругаться, если вопросы повторяются или кажутся глупыми.

Есть nas-сервер, подключенный по проводу к роутеру, остальные клиенты подключены по wi-fi. Хочу реализовать следующую схему:

1. доступ к nas из локальной сети с любого устройства без ограничений (это сейчас так есть);

2. доступ к nas из интернета только по vpn, наружу смотрят только порты, необходимые для l2tp vpn и openvpn;

3. сам nas имеет выход в интернет только до сервера обновлений ОС и приложений (ну и, может еще ряда ресурсов,).

Т.е. хочу ограничить доступ к nas-серверу как в направлении из интернета: подключаюсь к vpn и получаю полный доступ к ресурсам сервера. Так и ограничить в направлении в интернет, чтобы сам nas не инициировал лишний трафик, только для обновлений.

Как все это можно реализовать с помощью межсетевого экрана Keenetic'а?

[keenet07]

36 минут назад, donjohn сказал:

Как все это можно реализовать с помощью межсетевого экрана Keenetic'а?

Можно. По-разному. Нужна конкретика. Вы для начала запустите всю схему с VPN сервером и доступом через него в локалку. А дальше уже сможете предметно спрашивать о правилах фервола.

Внешний IP у вас белый или серый?  

Edited April 2, 2021 by keenet07

[donjohn]

То, что можно, понятно.

Схема с vpn запущена, работает.

Конкретика: доступ из интернет до nas только через vpn (это есть), nas ходит в интернет только за обновлениями на конкретный ресурс производителя.

[vk11]

3 часа назад, donjohn сказал:

2. доступ к nas из интернета только по vpn, наружу смотрят только порты, необходимые для l2tp vpn и openvpn;

3. сам nas имеет выход в интернет только до сервера обновлений ОС и приложений (ну и, может еще ряда ресурсов,).

Т.е. хочу ограничить доступ к nas-серверу как в направлении из интернета: подключаюсь к vpn и получаю полный доступ к ресурсам сервера. Так и ограничить в направлении в интернет, чтобы сам nas не инициировал лишний трафик, только для обновлений.

Как все это можно реализовать с помощью межсетевого экрана Keenetic'а?

2. А оно уже так по умолчанию, пока не подключишься через впн в домашнюю сеть - то и не получишь доступа, в том числе и к насу. Ну, если только специально городушки не городить

3. Смотрите пример номер 4:  Примеры использования правил межсетевого экрана

[donjohn]

vk11, спасибо за ссылку с примером!