Jump to content
Как правильно добавить self-test и прочую отладку в тему
Где взять тестовые сборки
  • 0

Получить доступ к устройству гостевой сети из обычной

Satori

Asked by Satori,

 Share

Question

Satori Newbie

Satori

Posted
Posted

Подскажите по такой задаче.
Есть Keenetic KN-1010, настроена "обычная" wi-fi сеть 192.168.0.0. Создал гостевую на 10.1.30.0. Далее хочу с устройства первой сети получить доступ ко подключенному к гостевой. Естественно, просто так "чужая" сеть даже не пингуется. Настройка "Изоляция клиентов" отключена.
Возможно ли это и как настроить? Ранее всё необходимое удавалось настроить по хелпам Кинетика, но именно этот нюанс нигде не описан.

Link to comment
Share on other sites

12 answers to this question

Recommended Posts

  • 0
r13 Honored Flooder

r13

Posted
Posted
21 минуту назад, Satori сказал:

Подскажите по такой задаче.
Есть Keenetic KN-1010, настроена "обычная" wi-fi сеть 192.168.0.0. Создал гостевую на 10.1.30.0. Далее хочу с устройства первой сети получить доступ ко подключенному к гостевой. Естественно, просто так "чужая" сеть даже не пингуется. Настройка "Изоляция клиентов" отключена.
Возможно ли это и как настроить? Ранее всё необходимое удавалось настроить по хелпам Кинетика, но именно этот нюанс нигде не описан.

Так как это в терминах кинетика настройка out правил, то настройка через cli

https://help.keenetic.com/hc/ru/articles/360001434079

Нужно создать acl с разрешающим правилом для ip из домашней сети к ip устройства в гостевой. Далее привязать этот acl к интерфейсу гостевой указав направление out

Link to comment
Share on other sites
  • 0
Satori Newbie

Satori

Posted
  • Author
Posted
On 11/7/2019 at 9:06 PM, r13 said:

Так как это в терминах кинетика настройка out правил, то настройка через cli

https://help.keenetic.com/hc/ru/articles/360001434079

Нужно создать acl с разрешающим правилом для ip из домашней сети к ip устройства в гостевой. Далее привязать этот acl к интерфейсу гостевой указав направление out

Не сработало. Сделал так: 

access-list MyList1
permit icmp 192.168.0.143/32 10.1.30.39/32
permit icmp 10.1.30.39/32 192.168.0.143/32
exit
interface GuestWiFi
ip access-group MyList1 out
exit

Предварительно в настройках гостевой сети отключил галочку изоляции.
192.168.0.143 это ПК основной сети, 10.1.30.39 устройство гостевой. Пинги с админки из раздела диагностики Кинетика идут, с ПК нет.

Вообще командная строка для меня крайне неудобный инструмент. Вот создал список MyList1, в админке нигде ничего не появилось, удалить теперь не могу, в указанной статье про удаление именно списка не указано. Веб-интерфейс был бы на порядок удобнее.

Link to comment
Share on other sites
  • 0
r13 Honored Flooder

r13

Posted
Posted (edited)
25 минут назад, Satori сказал:

Не сработало. Сделал так: 


access-list MyList1
permit icmp 192.168.0.143/32 10.1.30.39/32
permit icmp 10.1.30.39/32 192.168.0.143/32
exit
interface GuestWiFi
ip access-group MyList1 out
exit

Предварительно в настройках гостевой сети отключил галочку изоляции.
192.168.0.143 это ПК основной сети, 10.1.30.39 устройство гостевой. Пинги с админки из раздела диагностики Кинетика идут, с ПК нет.

Вообще командная строка для меня крайне неудобный инструмент. Вот создал список MyList1, в админке нигде ничего не появилось, удалить теперь не могу, в указанной статье про удаление именно списка не указано. Веб-интерфейс был бы на порядок удобнее.

по удалению:  подавляющее большинство команд дополняется префиксом "no"

По задаче: интерфейс GuestWiFi инкапсулирован в интерфейсе Guest(Bridge1)  так что надо ввести 

interface Guest
ip access-group MyList1 out
exit
system configuration save

По поводу настройки через web, голосовалка тут:

 

Edited by r13
Link to comment
Share on other sites
  • 0
Satori Newbie

Satori

Posted
  • Author
Posted
22 minutes ago, r13 said:

по удалению:  подавляющее большинство команд дополняется префиксом "no"

Получилось, спасибо. Создавал для теста такое же задания с "in", удалил лишнее.

23 minutes ago, r13 said:

По задаче: интерфейс GuestWiFi инкапсулирован в интерфейсе Guest(Bridge1)  так что надо ввести

Всё взаимодействие с командной строкой выглядит так, верно? 

(config)> access-list MyList1
Network::Acl: "MyList1" access list created.
(config-acl)> permit icmp 192.168.0.143/32 10.1.30.39/32
Network::Acl: Rule accepted.
(config-acl)> permit icmp 10.1.30.39/32 192.168.0.143/32
Network::Acl: Rule accepted.
(config-acl)> exit
Core::Configurator: Done.
(config)> interface Guest
Core::Configurator: Done.
(config-if)> ip access-group MyList1 out
Network::Acl: Output "MyList1" access list added to "Guest".
(config-if)> exit
Core::Configurator: Done.
(config)> system configuration save
Core::ConfigurationSaver: Saving configuration...
(config)>

Но по-прежнему пинг не проходит :(

Link to comment
Share on other sites
  • 0
r13 Honored Flooder

r13

Posted
Posted
5 минут назад, Satori сказал:

Получилось, спасибо. Создавал для теста такое же задания с "in", удалил лишнее.

Всё взаимодействие с командной строкой выглядит так, верно? 


(config)> access-list MyList1
Network::Acl: "MyList1" access list created.
(config-acl)> permit icmp 192.168.0.143/32 10.1.30.39/32
Network::Acl: Rule accepted.
(config-acl)> permit icmp 10.1.30.39/32 192.168.0.143/32
Network::Acl: Rule accepted.
(config-acl)> exit
Core::Configurator: Done.
(config)> interface Guest
Core::Configurator: Done.
(config-if)> ip access-group MyList1 out
Network::Acl: Output "MyList1" access list added to "Guest".
(config-if)> exit
Core::Configurator: Done.
(config)> system configuration save
Core::ConfigurationSaver: Saving configuration...
(config)>

Но по-прежнему пинг не проходит :(

Сча гляну, есть еще мысля про нат...

Link to comment
Share on other sites
  • 0
r13 Honored Flooder

r13

Posted
Posted

Да, нат кинетика благополучно отрабатывает, и ваши пинги прилетают с source ip 10.1.30.1 со всеми вытекающими

Можно посмотреть в сторону выборочного нат`а

Поищу тему подходящую.

  • Upvote 1
Link to comment
Share on other sites
  • 0
r13 Honored Flooder

r13

Posted
Posted (edited)

Вот Оно

Нужно выключить тотальный нат для Home интерфейса, и настроить нат для соединений из Home в интерфейс(ы) с вашим(и) Интернетом

Сейчас это и в вебе настраивается:

Отключение на вкладке Домашняя сеть

Скрытый текст

image.png.84de1780a2b6f16e9acba73b50729e8d.png

Включение выборочного в переадресации

Скрытый текст

image.png.aa61d770f603a758601491fb8e60314f.png

Ну а принцип работы в указанной теме раскрыт

 

Edited by r13
  • Thanks 1
Link to comment
Share on other sites
  • 0
cool Advanced Member

cool

Posted
Posted (edited)

Satori, у меня настроен фаерволл в веб-интерфейсе так:

домашний сегмент:
Firewall.jpg.732ad43db9ecc9c7df8042f832fa9f04.jpg

гостевой сегмент:
1112457477_Firewall.jpg.213a3af3b476e7f697fcc4f92e7ce238.jpg

Все устройства видят друг друга и пингуются. NAT для Home интерфейса не отключал.

Edited by cool
Link to comment
Share on other sites
  • 0
Sergey Zozulya Honored Flooder

Sergey Zozulya

Posted
Posted

Есть еще такая тема:

но никто не ответил.

Поддержка пояснила, что некоторые устройства используют для обнаружения мультикаст, который через NAT между сегментами не проходит.

Link to comment
Share on other sites
  • 0
Satori Newbie

Satori

Posted
  • Author
Posted
13 hours ago, cool said:

Satori, у меня настроен фаерволл в веб-интерфейсе так:

Настроил так же, с тем отличием что у меня вторая сеть это дефолтная "Гостевая", вручную новую не создавал. Всё равно не работает.
Отключать NAT пожалуй не рискну, слишком неочевидно. Потом отвалится неизвестно что неизвестно когда и даже не пойму причину. У меня 2 проводных интернета и 1 USB модем, для разных устройств задан разный приоритет использования основного/резервного, есть ещё один подключенный Keenetic в режиме точки доступа для расширения покрытия. Достаточно мест где что-то может пойти не так. Видимо единственный вариант отказаться от использования отдельных сегментов. Хотя очень не хотелось пускать в основную сеть "ненадежные" устройства.

Link to comment
Share on other sites
  • 0
Satori Newbie

Satori

Posted
  • Author
Posted
2 hours ago, Satori said:

Видимо единственный вариант отказаться от использования отдельных сегментов. Хотя очень не хотелось пускать в основную сеть "ненадежные" устройства.

Была идея использовать межсетевой экран для ограничения доступа между локальными устройствами. Но нет, та же проблема, они работают после NAT (о чем пишется в хелпе). В итоге все локальные устройства имеют доступ друг к другу и самая тонкая настройка которая есть - полностью запретить доступ определенному локальному ip по выбранному протоколу.

Link to comment
Share on other sites
  • 0
Satori Newbie

Satori

Posted
  • Author
Posted

UPD: удалось получить доступ с устройства wi-fi основной сети в гостевую, настройки как на скрине у cool.
Не работают только подключенные кабелем. Неудобно, но хотя бы так.

Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Guest
Answer this question...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

×
 Share
Go to question listing

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...