Настройка dmz в роутере huawei

DMZ stands for «demilitarized zone», it is also known as the «isolated zone». Its purpose is to allow external network users to access the internal network server when a firewall has been setup. When DMZ host is enabled, you can access the computer set as the DMZ host directly from the Internet. You can build web servers, FTP servers and forum servers on the DMZ computer which can be accessed through router’s IP address. This ensures the security of other computers in your home while providing services to the Internet.

Follow these configuration steps:

Connect your computer to the router’s Wi-Fi (or connect the computer to the router’s LAN port using an Ethernet cable). Enter the default IP address in your browser address bar and log in to the web-based management page(check the nameplate at the bottom of the router for the default IP address)

For routers that feature self-adaptive ports, you do not need to distinguish between WAN and LAN ports.
Go to More Functions > Security Settings > DMZ Host. In DMZ Host, select the device you want to set as the DMZ host, and toggle on DMZ Host. Click Save.

Источник

Всем привет! Сегодня мы поговорим про DMZ: что это в роутере, для чего функция нужна и как её настроить на разных маршрутизаторах. Чтобы не грузить вас тяжелыми понятиями, я лучше расскажу на примере – так будет проще понять. Представим себе, что у вас дома есть камера видеонаблюдения, которая подключена к сети маршрутизатора. Аналогично к ней же подключены все компьютеры, ноутбуки и другие сетевые устройства из дома.

Теперь представим, что вы хотите уехать в отпуск и при этом из интернета иметь доступ к камере, чтобы следить за тем, что происходит у вас в квартире или доме. Конечно, для этого нужно пробрасывать порт в настройках маршрутизатор, и чаще всего используется 80 или 8080 порты. Но что если данные порты уже используются в сети?

В таком случае можно попробовать поиграть с настройками Firewall, но можно сделать куда проще и настроить DMZ в роутере. Тогда в DMZ-host добавляется IP адрес камеры, и она становится доступной из интернета. При этом остальная локальная сеть все также остается закрытой, а вот все устройства добавленные в DMZ как раз остаются общедоступными.

Я думаю, теперь куда понятнее, что такое DMZ хост в роутере. DMZ или DeMilitarized Zone – это выделенный участок локальной сети, к которой открыт доступ для внешнего доступа. Не нужно путать данный сегмент с гостевой сетью, так как при данной функции идет доступ как из интернета, так и из локальной среды. Также для данной сети сразу открываются все возможные порты, поэтому все такие устройства должны сами отвечать за безопасность. Как вариант нужно хотя бы установить логин и пароль для камеры.

Далее я расскажу про настройку демилитаризованной зоны в домашних роутерах. Если у вас будут какие-то вопросы, то пишите в комментариях.

Содержание

Настройка
TP-Link
D-Link
Zyxel Keenetic
ASUS
Netis
Tenda
LinkSys
Задать вопрос автору статьи

Настройка

Прежде чем приступить к настройке DMZ скажу несколько моментов. В домашних маршрутизаторах нет полноценной возможности создать демилитаризованную зону, так как данные аппараты для этого не предназначены. Да – данная настройка есть, но она позволяет делать полностью открытыми порты только для одного сегмента сети. Но чаще всего этого становится достаточно. Например, если вам нужно иметь доступ к нескольким камерам, то лучше подключить их к видеорегистратору, на который вы и будете делать доступ.

Все настройки делаются в Web-интерфейсе, куда можно попасть, введя IP или DNS адрес интернет-центра в адресную строку любого браузера. Чаще всего используются адреса: 192.168.1.1 или 192.168.0.1. Также этот адрес можно посмотреть на этикетке под корпусом самого аппарата.

Если у вас возникнут трудности со входом – смотрите эту инструкцию.

ВНИМАНИЕ! Также для доступа извне вам нужно чтобы у вас был «белый» IP адрес. Если вы не знаете, что это, то советую почитать эту статью.

TP-Link

Старая прошивка

Функция находится в разделе «Переадресация».

Новая прошивка

«Дополнительные настройки» – «NAT переадресация» – находим функцию, включаем, вводим IP адрес устройства и сохраняем параметры.

D-Link

Темная прошивка

Внизу выбираем «Расширенные настройки» и находим нашу функцию в разделе «Межсетевого экрана».

Светлая прошивка

Сервис находим в разделе «Межсетевой экран».

Включаем функцию и вводим адрес устройства. Вы кстати можете выбрать адрес из списка, уже подключенных. В конце нажмите «Применить». В некоторых моделях вы можете увидеть функцию «NAT Loopback» – эту функция, которая позволяет проверять пакеты, уходящие из локальной сети во внешнюю (интернет) с помощью межсетевого экрана. Если у вас слабый аппарат, то включать её не стоит, так как она сильно нагружает процессор роутера.

Zyxel Keenetic

Новая прошивка

Прежде чем добавить подключенное устройство, вам нужно его зарегистрировать. Зайдите в раздел «Список устройств», там вы увидите два списка: «Незарегистрированные» и «Зарегистрированные» устройства. Для регистрации устройства нажмите по нужному аппарату.

Введите имя и нажмите на кнопку регистрации.

После этого данное устройство появится в списке «Зарегистрированных» – найдите его там и опять зайдите в настройки. Вам нужно установить галочку «Постоянный IP-адрес».

Заходим в «Переадресацию» и создаем правило:

Ставим галочку «Включить правило».
Описание – для удобства назовите «DMZ».
Вход – здесь нужно указать то подключение, через которое у вас идет интернет.
Выход – здесь указываем имя устройства, которое вы и добавляете в ДМЗ.
Протокол – устанавливаем параметр «TCP/UDP (все порты и ICMP)».
Расписание работы – тут можно установить режим работы, но чаще всего сервер «Работает постоянно».

Старая прошивка

В разделе «Домашняя сеть» (имеет значок двух мониторов) переходим во вкладку «Устройства» и выбираем из списка тот аппарат, который у нас будет DMZ-хостом. Если устройство не подключено, вы можете его добавить – правда при этом вам нужно точно знать его MAC-адрес.

Вводим описание и обязательно ставим галочку «Постоянный IP-адрес». Также в строке «Доступ в Интернет» должно стоять значение «Разрешен». Нажимаем «Зарегистрировать».

Теперь переходим в раздел «Безопасность» и на вкладке «Трансляция сетевых адресов (NAT)» нажимаем по кнопке «Добавить правило».

Теперь нужно ввести следующие данные:

Описание – назовите как «DMZ» чтобы не перепутать, но название на самом деле может быть любым.
Интерфейс – здесь нужно выбрать именно то подключение, через которое у вас идет интернет. Эти данные можно посмотреть в разделе «Интернет».
Протокол – здесь ставим только одно значение: TCP/UDP (все порты и ICMP).
Перенаправить на адрес – тут выбираем наш сервер.

Нажимаем по кнопке «Сохранить».

ASUS

Находим слева раздел «Интернет», далее переходим в соответствующую вкладку. Включаем функцию и вводим адрес хоста. В конце не забудьте нажать «Применить».

Netis

Нужная нам функция находится в разделе «Переадресация», далее включаем хост, вводим IP и «Сохраняемся».

Tenda

V1-3

Заходим в «Расширенные настройки» и находим конфигурация хоста.

Переводим бегунок во включенное состояние и вводим последнюю цифру локальной машины, для которой все порты будут открыты.

Находим вкладку «Advanced».

Пролистываем до раздела «ДМЗ-хост» включаем (Enabled) и вводим адрес.

LinkSys

Конфигуратор по открытию всех портов находится в разделе «Application & Gaming». Включаем функцию (Enabled). Здесь настройки немного отличаются от других аппаратов. В строке «Source IP Address» можно установить диапазон внешних адресов, которые будут иметь доступ к выделенному устройству в сети. Чаще всего указывается параметр «Any IP Address» (Все IP адреса).

Для конфигурации в строке «Destination» указываем IP или MAC-адрес устройства. Вы также можете посмотреть все подключенные аппараты, нажав на кнопку «DHCP Client Table». После настройки нажмите на «Save Settings».

Источник

My previous post about my Huawei B593 4G-router has become quite popular, so I thought to tell more about my setup.

What I’d really need is a network bridge, so that my Linux-box would be the one getting a dynamically changing public IP via DHCP. Understandably it simply cannot be done with a mobile router. In UMTS-network, the mobile terminal will negotiate a data connection and get the IP-address associated with the connection. There literally is no chance for my router to do that via B593. Using an USB-based mobile terminal such a feat could be achieved, for example my Huawei E160 gets an IP-address directly to the Linux. No 4G LTE, though. So, I’ll be sticking with my B593 for a while. See an example of a transfer speed measurement @ Ookla Speedtest.net. Not, bad huh?

I also did investigate if the box would be based on Linux. Huawei has some GPL-components in the firmware, but they don’t release BusyBox nor Dropbear source. It is possible, that they are using something of their own make or simply don’t have a prompt or are not using Linux at all. The reason I’d like to see them is that both BusyBox and Dropbear SSHd are very typically used in Linux-based hardware.

Doing a port-scan from LAN-side to B593 reveals, that it has something there:

Not shown: 995 closed ports
PORT    STATE    SERVICE
22/tcp filtered ssh
23/tcp filtered telnet
80/tcp open     http
443/tcp open     https
631/tcp filtered ipp
MAC Address: F8:3D:FF:F8:3D:FF (Huawei Technologies Co.)

… but since all the nice stuff (SSH and telnet) are filtered, I don’t know if there are actually any services listening to those ports.

To repeat: to my understanding, a bridging firmware cannot be done. However, something very similar can be achieved, it has a DMZ-setting. See:

It says «You can configure a computer as the DMZ host that is exposed to the
Internet so that unlimited services and exchanges are provided between
the host and Internet, for example, online games and meetings.» in the page. That is pretty much same as bridge.

I had to test if it really would work. I took a hping-utility for crafting raw IP-packets and ran:

hping -c 1 -n <-da-IP-address-here> -e «AAAA» -0 —ipproto 41

That sent a single (-c 1) raw IP-packet (-0) and stamped the outgoing packet a IPv6-encapsulation protocol (—ipproto 41). If the Huawei would have a simple UDP & TDP forwarding, such a packet would never pass trough.

On my Linux it said:

16:15:50.115851 IP sending.host.com > receiving.host.net: [|ip6]
16:15:50.115920 IP receiving.host.net > sending.host.com: ICMP host receiving.host.net unreachable — admin prohibited, length 32

Goddamn! It works! :-) The packet properly passes trough.

My conclusion is that the DMZ-function is actually usable. Apparently there is no need for SSH-prompt -based configuration tweaking. It would always be nice, though. All Linux-nerds like me simply love to go to the prompt and type cat /proc/version and cat /proc/cpuinfo and boast about their hacking abilities to anybody who cares (not) to listen. :-)

Источник

Проброс одного порта TCP или диапазона.

Открываем админку модема: http://192.168.100.1

Логин root пароль admin если никто не поменял конечно.

Далее идём Forward Rules/Port Mapping Configuration:

Нажимаем кнопочку Add для добавления диапазона портов.

Указываем сам диапазон портов. Для Web сервера например:

P.S. Если протокол не очень надёжен (RDP), лучше менять внешний порт (External port namber) на нестандартный больший 10 000.

Проброс всех портов (крайний случай). Добавление серевера в DMZ.

Иногда проброс портов не работает, хотя всё вроди правильно. Тогда остаётся лишь добавить ваш сервер в DMZ, что не очень безопасно. Возможно он имеет уязвимые сервисы и протоколы (RDP например), которые сразу же рекомендуется отключить или зафаерволить на строне сервера.

Forward Rules/DMZ Configuration

Ставим галочку Enable DMZ и пишем IP вашего сервера:

Проброс порта выполнен.

Поделитесь статьёй:

Источник

Нажмите Применить, чтобы настройки вступили в силу.

Конфигурация виртуального сервера
Mobile Broadband поддерживает виртуальный сервер, чтобы внешний пользователь мог использовать услуги предоставляемые в локальной сети (LAN) с помощью протоколов HTTP, FTP и других протоколов.

Конфигурация виртуального сервера

Mobile Broadband поддерживает виртуальный сервер, чтобы внешний пользователь мог использовать услуги предоставляемые в локальной сети (LAN) с помощью протоколов HTTP, FTP и других протоколов.

Процедуры

Выберите Настройки >Безопасность>Виртуальный сервер .
Нажмите Добавить и задайте параметры.
Нажмите OK для сохранения настроек.

ПРИМЕЧАНИЕ:

Изменить: для изменения пункта.
Удалить: для удаления пункта.

Нажмите Применить, чтобы настройки вступили в силу.

Конфигурация FTP сервера

Чтобы разрешить клиенту с IP-адресом 192.168.8.101 предоставлять услуги FTP и возможность подключиться к нему внешним пользователям, сделайте следующее:

Сконфигурируйте виртуальный сервер.

Имя	Порт WAN	IP-адрес LAN	Порт LAN	Протокол	Статус
My FTP server	21	192.168.8.101	21	TCP	Вкл.

Выберите Настройки >Система>Информация об устройстве , посмотрите глобальный IP-адресHuawei B315s-22. Например, 10.2.1.123.
В браузере внешнего пользователя, введите адрес FTP сервера (ftp://10.2.1.123) и подключитесь к FTP услугам, предоставляемым клиентом с IP-адресом 192.168.8.101.

ПРИМЕЧАНИЕ:

По умолчанию, порт для услуг FTP — 21. Если этот порт изменен (например, на 8021), то внешний пользователь должен ввести ftp://10.2.1.123:8021 для подключения к FTP серверу.

Конфигурирование специальных приложений
Mobile Broadband поддерживает функцию для использования специальных приложений для конфигурирования передачи динамического порта. Определенные приложения в локальной сети должны использовать специальные порты брандмауэра для подключения к удаленным приложениям. Для настройки соединения TCP/UDP между приложением локальной сети и удаленным приложением, брандмауэр использует функцию передачи динамического порта для открытия требуемого порта.

Конфигурирование специальных приложений

Mobile Broadband поддерживает функцию для использования специальных приложений для конфигурирования передачи динамического порта. Определенные приложения в локальной сети должны использовать специальные порты брандмауэра для подключения к удаленным приложениям. Для настройки соединения TCP/UDP между приложением локальной сети и удаленным приложением, брандмауэр использует функцию передачи динамического порта для открытия требуемого порта.

Процедуры

Выберите Настройки>Безопасность>Специальные приложения.
Нажмите Добавить и задайте параметры.
Нажмите OK для сохранения настроек.

ПРИМЕЧАНИЕ:

Изменить: для изменения пункта.
Удалить: для удаления пункта.

Нажмите Применить, чтобы настройки вступили в силу.

Пример конфигурирования специального приложения

Клиент LAN использует TCP для подключения к игровому серверу MSN через порт 47624. Когда игра началась, игровой сервер использует TCP и порт 2400 для установки соединения с клиентом пытающимся подключиться к серверу. В этом случае вы должны сконфигурировать передачу динамического порта, поскольку игра конфликтует со следующими правилами брандмауэра:

Брандмауэр блокирует вход внешних данных.
Игровой сервер может послать запрос на соединение к внешнему IP-адресуHuawei B315s-22, но не может послать запрос клиенту LAN, который пытается подключиться к игровому серверу, поскольку IP-адрес клиента закрыт для внешних устройств.

Для решения проблемы надо определить набор правил для передачи. Когда клиент в LAN посылает данные на TCP порт 47624, правила разрешают ввод данных с TCP порта 2400. После чего данные от игрового сервера могут приниматься и передаваться клиенту LAN, посылающего данные на TCP порт 47624.

Имя	Статус	Триггерный порт	Триггерный протокол	Открытый протокол
MSN Gaming Zone	Вкл.	47624	TCP	TCP

ПРИМЕЧАНИЕ:

Более подробно о Триггерный порт , Открытый порт , Триггерный протокол и Открытый протокол , узнайте у сервис-провайдера.

Настройка DMZ
Если внешний пользователь не может подключиться к определенным сетевым услугам локальной сети (LAN), используйте функцию DMZMobile Broadband, для настройки клиента, предоставляющего требуемые услуги как DMZ хост; внешний пользователь сможет нормально получать услуги. DMZ это сокращенно демилитаризованная зона в сети.

Настройка DMZ

Если внешний пользователь не может подключиться к определенным сетевым услугам локальной сети (LAN), используйте функцию DMZHuawei B315s-22, для настройки клиента, предоставляющего требуемые услуги как DMZ хост; внешний пользователь сможет нормально получать услуги. DMZ это сокращенно демилитаризованная зона в сети.

Предварительное условие

DMZ пользователь не защищен брандмауэром и легко уязвим. Кроме того снижается безопасность других пользователей LAN.

Процедуры

Выберите Настройки>Безопасность>Настройки DMZ.
Выберите:
- Включить: для включения функции DMZ.
- Выключить: для отключения функции DMZ.
В IP-адрес DMZ, введите IP-адрес клиента, устанавливаемого как DMZ хост.

ПРИМЕЧАНИЕ:

За один раз можно установить один DMZ хост.

Нажмите Применить.

Настройка SIP ALG
Протокол инициирования сессий (SIP) это протокол управления уровня приложений. Применяется для инициации, изменения и завершения сессий. Шлюз уровня приложений (ALG) это специальное приложение SIP и используется для проверки статуса пакетов данных. Для реализации приложения SIP, активируйте SIP ALG.

Настройка SIP ALG

Протокол инициирования сессий (SIP) это протокол управления уровня приложений. Применяется для инициации, изменения и завершения сессий. Шлюз уровня приложений (ALG) это специальное приложение SIP и используется для проверки статуса пакетов данных. Для реализации приложения SIP, активируйте SIP ALG.

Процедуры

Выберите Настройки>Безопасность>Настройки SIP ALG.
Выберите Включить SIP ALG для активации SIP ALG.
В SIP-порт, введите номер порта SIP, взятого у сервис-провайдера..
Нажмите Применить.

Настройка UPnP
Универсальный режим Plug & Play (UPnP) реализует интеллектуальное соединение между двумя устройствами UPnP. Устройство UPnP может получить IP-адрес автоматически и динамически подключиться к Интернет.

Настройка UPnP

Универсальный режим Plug & Play (UPnP) реализует интеллектуальное соединение между двумя устройствами UPnP. Устройство UPnP может получить IP-адрес автоматически и динамически подключиться к Интернет.

Процедуры

Выберите Настройки >Безопасность>Настройки UPnP .
Выберите:
- Включить: для активации UPnP.
- Выключить: для отключения UPnP.
Нажмите Применить.

Конфигурирование функций NAT
Преобразование сетевых адресов — это механизм, позволяющий преобразовывать IP-адреса источника и пункта назначения при передаче IP-пакетов через маршрутизатор или брандмауэр. Суть данного механизма заключается в замене внутренних (частных) IP-адресов внешними (публичными) IP-адресами, что позволяет экономить ресурсы IP-адресов.Huawei B315s-22 поддерживает конусный NAT с ограничением числом портов и симметричный NAT. При необходимости Вы можете изменить настройки NAT.

Конфигурирование функций NAT

Преобразование сетевых адресов — это механизм, позволяющий преобразовывать IP-адреса источника и пункта назначения при передаче IP-пакетов через маршрутизатор или брандмауэр. Суть данного механизма заключается в замене внутренних (частных) IP-адресов внешними (публичными) IP-адресами, что позволяет экономить ресурсы IP-адресов.Huawei B315s-22 поддерживает конусный NAT с ограничением числом портов и симметричный NAT. При необходимости Вы можете изменить настройки NAT.

Процедуры

Выберите Настройки>Безопасность>Настройки NAT.
Выберите одну из следующих опций:
- Конический: включение конусного NAT с ограниченным числом портов. Данный тип NAT обеспечивает низкий уровень безопасности, но он более совместим с приложениями (включая приложения на игровые приставки).
- Симметричный: включение симметричного NAT. Данный тип NAT обеспечивает более высокий уровень безопасности, поэтому, как правило, используется шлюзами.
Нажмите Применить.

Фильтрация веб-сайтов
УстройствоHuawei B315s-22 позволяет выполнять фильтрацию веб-сайтов.

Фильтрация веб-сайтов

УстройствоHuawei B315s-22 позволяет выполнять фильтрацию веб-сайтов.

Процедуры

Выберите Настройки>Безопасность>Фильтр доменных имен.
Нажмите Добавить.
В поле Доменное имя введите адрес веб-сайта, подлежащего фильтрации.
В выпадающем списке Статус выберите Вкл..
Нажмите OK.
Нажмите Применить.

Настройка DDNS
Технология DDNS применяется для назначения постоянного доменного имени устройству с динамическим IP-адресом. После настройки DDNS устройствоHuawei B315s-22 отправляет динамический IP-адрес ПК на динамический DNS-сервер. Тогда DDNS привязывает обновленный IP-адрес к указанной сети, и интернет-пользователи могут использовать этот сетевой адрес для доступа к предоставляемым Вами ресурсам.

Настройка DDNS

Технология DDNS применяется для назначения постоянного доменного имени устройству с динамическим IP-адресом. После настройки DDNS устройствоHuawei B315s-22 отправляет динамический IP-адрес ПК на динамический DNS-сервер. Тогда DDNS привязывает обновленный IP-адрес к указанной сети, и интернет-пользователи могут использовать этот сетевой адрес для доступа к предоставляемым Вами ресурсам.

Процедуры

1 | 2 | 3 | 4 | 5 | 6 | 7 |

Источник