Роутер d link настройка межсетевого экрана

Вопрос: Что такое межсетевой экран — файрвол (Firewall) и как его настраивать у Интернет-маршрутизаторов серии DI-XXX?

Ответ:

Файрвол — или, по-другому «фильтр пакетов» — это дополнительная возможность интернет- маршрутизаторов серии DI-XXX , предназначенная для ограничения прохождения пакетов IP-протокола через интернет- маршрутизатор. Похожие функции реализуются на закладке «Filter» , но только для ограничения исходящего трафика. Чаще всего дополнительно настраивать файрвол нет необходимости, так как имеющиеся в его настройках правила «по умолчанию» обеспечивают нужные функции защиты. Также имеющийся у интернет- маршрутизаторов данной серии сервис NAT обеспечивает хороший уровень защищенности.

Но иногда требуется более гибкое конфигурирование ограничений. Как пример, рассмотрим настройку правил файрвола для разрешения доступа к внутреннему web-серверу (предоставляемому через функцию «Virtual Server») только компьютерам из определенной подсети (например, подсеть филиала).

Для настройки правил файрвола сперва нужно настроить подключение к интернет-маршрутизатору по локальной сети, подключиться web-браузером по IP-адресу интернет-маршрутизатора, ввести имя и пароль для входа на страницу настроек (согласно прилагаемой к нему документации).

После этого перейти на закладку Advanced -> Firewall .

(далее шаги настройки и снимки экрана приводятся на примере DI-604HV F/W V3.06 , для других устройств все настраивается аналогичным образом).

Увидим следующую страничку (рис.1)

I) В списке видим правило, созданное автоматически в момент конфигурирования виртуального сервера. Три других правила, расположенных ниже, — правила «по умолчанию» и удаляться или редактироваться не могут. Для решения нашей задачи (ограничение списка компьютеров, имеющих доступ к web-серверу) нужно нажать значок редактирования, расположенный справа в соответствующей правилу строке. Картинка измениться на следующую (рис.2):

После нажатия кнопки редактирования все параметры выбранного правила отобразились в полях вверху страницы. При этом все они серого цвета и недоступны для редактирования. Это говорит о том, что редактировать эти параметры нужно на вкладке «Virtual Server» , где создавался web-сервер и в результате чего автоматически сгенерировалось данное правило для разрешения доступа к нему. Единственные поля, доступные для редактирования — выделенные красным прямоугольником, причем в поле «IP Start» первоначально стоял символ » * «, а поле «IP End» было пустым. Это означало, что ограничений по IP-адресу источника нет. Для введения ограничения согласно нашей задачи отредактируем эти поля, указав в них диапазон адресов компьютеров, которым разрешено иметь доступ к web-серверу. В качестве примера разрешено иметь доступ только 6 компьютерам с адресами 10.20.30.40-45. Всем остальным в доступе будет отказано.
Нажимаем кнопку «Apply» — после этого появляется сообщение о перезагрузке, после чего через некоторое время снова появляется эта страничка. После этого необходимо перезагрузить устройство по питанию.

Поздравляем, настройка завершена.

Проверить правильность настроек можно, обратившись из Интернет по адресу http://10.10.10.10, где 10.10.10.10 — заменить на внешний адрес вашего маршрутизатора (адрес WAN-порта). При обращении с разрешенных адресов будет видна начальная страничка web-сервера, при обращении с других адресов доступа к web-серверу не будет.

Источник

Пример настройки межсетевого экрана D-Link DFL-860E

В данном документе описаны основные шаги и принципы, которые нужно учитывать при работе с межсетевым экраном D-Link DFL-860E. Роутер является достаточно продвинутым для использования в сложных конфигурациях и обладает широкими возможностями. На данном примере хорошо видно как эти возможности можно использовать при одновременном подключении двух провайдеров, один из которых – Beeline (бывшая Корбина), отличающийся нетривиальностью подключения

Надеюсь что прошивку Вы обновили на заводскую! Иначе дальше можете не читать.

Последовательность действий:

Создание адресной книги
Конфигурирование интерфейсов
Настройка маршрутизации
Настройка правил безопасности
Конфигурирование VPN сервера
Настройка маршрутизации VPN
Настройка правил безопасности
Устройство сети

Сеть состоит из внутренней сети LAN, Сети DMZ

Снаружи подключено два провайдера. Один провайдер – Corbina (Корбина) или Beeline (Билайн) подключен к интернет через соединение l2tp с получением динамического IP адреса. Второй провайдер ПТН, подключен через ADSL модем с прямым статическим IP адресом.

Необходимо обеспечить выход офисной сети в интернет через канал Корбины, и обеспечить работу внутренних сервисов через второго провайдера ПТН.

Вся сложность в том, что интернет-соединение от Корбины имеет динамические параметры.

Последовательность шагов настройки роутера D-Link DFL-860E

2 Создание адресной книги D-Link DFL-860E

В таблицу адресов вносятся адреса объектов которые взаимодействуют с роутером

3 Конфигурирование интерфейсов D-Link DFL-860E

Настройка соединения с интернет-провайдерами. В DNS ничего не меняем. Все адреса будут присвоены провайдером автоматически. Или если во внутренней сети уже существует DNS сервер

Настраиваем интерфейсы. Заходим во вкладку Interfaces–Ethernet

Wan1 подключен к Корбине. Адрес получает автоматически.

Вкладка Hardware по умолчанию

Во вкладке Advanced проверяем назначение метрики, и автоматическое добавление маршрутов

WAN2 подключен к ПТН, через ADSL модем, который работает в режиме моста. Адреса на этот интерфейс задаются в адресной книге

Если этот интерфейс у нас является вспомогательным, те весь трафик по умолчанию идет через Корбину, то на него необходимо прописать метрику больше чем для интерфейса Wan1. Надо отметить, что в сложном маршрутизаторе маршрут по умолчанию всегда должен быть один. У основного маршрута всегда метрика должна быть меньше чем у других. Одинаковые метрики для маршрута по умолчанию ведут к раздвоению пакетов и неработоспособности многих сервисов.

Корбина известна своим геморройным подключением через сервис L2TP и PPTP. Для этого идем в PPTP/L2TP Clients и настраиваем соединение. Для того что бы интерфейс получил правильные адреса и таблицу маршрутизации необходимо правильно прописать удаленный хост. Дело в том, что у Корбины адрес хоста определяется автоматически. Прописываем туда следующую запись: DNS:internet.beeline.ru. Достоинство данного роутера в том, что он может разрешать адрес удаленного хоста. К сожалению, не все роутеры, даже продвинутые имеют такую настройку.

Во вкладке Security почти ничего не меняем, а во вкладку Advanced прописываем метрику и MTU

С метрикой надо поподробнее:

Из текущих настроек наименьшую метрику имеет интерфейс WAN1 значение – 100. А L2tp- client имеет значение 120. Т.е весь трафик по прежнему будет идти во внутреннюю сеть Корбины. А нам нужно, чтобы весть трафик из внутренней сети шел уже через новое L2TP-соединение Установить метрику L2TP-Клиента меньше чем на WAN1 мы не можем, потому, что тогда интерфейс от Корбины не получит настройки и таблицу маршрутизации и L2TP-соединение не установится. Поэтому метрика изначально ставится больше. Когда интерфейс L2TP получит все адреса и туннель будет установлен, тогда таблицу маршрутизации можно будет менять динамически. Для этого и будут использоваться динамические правила маршрутизации.

Обратим внимание, на метрику на интерфейсе L2tp -110, которая больше метрики на wan1 -100

Весь трафик идет через wan1, во внутреннюю сеть Корбины. Следующий пункт делает возможным направление интернет трафика из внутренней сети в установившееся l2tp соединение

4 Настройка таблиц динамической маршрутизации для правильного направления трафика D-Link DFL-860E

Смотрим основную таблицу:

Как видим есть 3 маршрута с разными метриками. Основной маршрут с метрикой 100

Маршрут в интернет соединение Корбины L2TP с метрикой 110

Запасной маршрут в ПТН с метрикой 120

Задача трафик из внутренней сети Lan пустить через l2tp канал Корбины

Создаем для этого еще одну таблицу маршрутизации forward_routing

В этой таблице запись 1 – маршрут всего трафика через интерфейс L2TP с метрикой 80. Включаем мониторинг маршрута. Когда этот маршрут становится не доступен, то начинает работать запись 2, которая пускает весь трафик в интерфейс wan2 через запасной канал ПТН

А теперь самое интересное

Идем в раздел Routing Rules и создаем правила для таблиц маршрутизации

Правило 1- short_lan_to_corbina дает возможность динамического применения таблицы маршрутизации

В случае если источник находится в сети Lan и, направляется согласно метрике в основной таблице в Wan1, к нему применятся таблица маршрутизации forward_routing, которая направляет его в интерфейс L2TP. Для приходящих обратно пакетов работает таблица main

Для того чтобы наружу могли работать внутренние сервисы, необходимо создать еще одно правило: short_corbina_back, согласно которому, входящие пакеты приходящие на интерфейс L2tp_corb должны направляться согласно основной таблице main, а возвращаться согласно той же таблицы forward_routing

Для того что бы через интерфейс wan2 можно было раздавать сервисы из внутренней сети в интернет необходимо создать динамическое правило для входящих пакетов. Сначала создается дополнительная таблица маршрутизации forward_routing2

В ней создается маршрут по умолчанию с метрикой 80 для интерфейса wan2

Для того чтобы входящие пакеты с интерфейса wan2 могли попасть во внутренню сеть и выйти обратно через тот же интерфейс wan2 необходимо создать еще одно правило: short_wan2_back

Согласно этому правилу, входящий пакет с интерфейса wan2 разгуливается согласно основной таблицы маршрутизации main, а обратный пакет направляется согласно таблицы forward_routing2. Таким образом можно заставить правильно работать, например, web-сайт, который находится во внутренней сети через запасной канал wan2. Пакеты будут правильно приходить и уходить через один и тот же интерфейс.

5 Настройка правил безопасности D-Link DFL-860E

Правило 2 разрешает пинг маршрутизатора из локальной сети

Правило 3 в данной папке включает NAT от интерфейса L2TP Корбины во внутреннюю сеть

Правило 2 в данной папке включает NAT через интерфейс второго провайдера во внутреннюю сеть

Правило 1 в данной папке позволяет пинговать внешний IP адрес L2TP интерфейса

Правило 2-5 проброс сервиса ftp из внутренней сети через интерфейс L2TP Корбины в интернет

Правило 6 включает преобразование адресов NAT на интерфейсе L2TP Корбины

Правило 1-13 проброс внутренних сервисов через интерфес WAN2 второго провайдера в интернет

Правило 14 включает преобразование адресов NAT на интерфейсе WAN2 второго провайдера

6 Конфигурирование VPN сервера D-Link DFL-860E

Данный маршрутизатор можно использовать как L2TP –Сервер для подключения удаленных пользователей через защищенное соединение по протоколу IPSEC.

Заходим в Authentication Objects

Создаем новый Preshared key

Заходим в interfaces/IPSec и создаем новый интерфейс

Вкладка General:

Вкладка Authentication. Выбираем Preshared key который мы создали ранее

Во вкладке Routing отмечаем автоматическое добавление маршрута

Заходим в меню PPTP/L2TP Servers и добавляем новый сервер:

Заходим в User Authentication/ Local User Databases и создаем базу для удаленных пользователей:

После чего создам самих удаленных пользователей

Идем в User Authentication /User Authentication Rules и создаем правило аутентификации. Привязываемся там ко всем объектам, которые мы создали ранее

Во вкладке Authentication Options выбираем базу данных для удаленных пользователей.

7 Настройка маршрутизации для VPN . D-Link DFL-860E

При установке канала в основную таблицу маршрутизации автоматически добавляются интерфейсы VPN подесети. Основная задача – это разрешить трафик туда, куда нужно

8 Настройка правил безопасности D-Link DFL-860E

Разрешаем хождение трафика во внутреннюю сеть и в сеть DMZ

При желании можно правила ужесточить и назначить только специфические сервисы

Все пожелания по данному документу прошу направлять Егорову Ярославу – инженеру Компании «Глобал-Админ»

Контакты на сайте www.globaladmin.ru

Любое использование материалов данной статьи разрешаются с указанием автора и ссылкой на источник www.globaladmin.ru

Версия PDF: Настройка DFL D-Link c двумя провайдерами

Источник

Аппаратная ревизия: A1
Версия прошивки: 1.05

Правила брандмауэра можно использовать для разрешения или запрещения трафика, проходящего через маршрутизатор. Вы можете указать один порт, используя верхнее поле ввода или диапазон портов, используя оба поля ввода.
DMZ означает «демилитаризованная зона». DMZ позволяет компьютеру за брандмауэром маршрутизатора, быть доступным для Интернет-трафика. Обычно DMZ используется для доступа из Интернет к веб-серверу или FTP серверу, находящиеся в локальной сети маршрутизатора.

Пункт «Enable SPI» разрешает динамическую фильтрацию пакетов.
SPI помогает предотвратить кибератаки путем отслеживания состояния более чем за одну сессию.
Если у вас есть компьютер, который не может работать должным образом с интернет-приложениями из-за DIR-300, то вы можете позволить компьютеру имеют неограниченный доступ в Интернет. Введите IP-адрес этого компьютера как DMZ (демилитаризованная зона) хост с неограниченным доступом в Интернет. Добавление клиента в DMZ может подвергнуть компьютер различным угрозам безопасности, используйте эту опцию в качестве последнего средства.
Пункт «Enable DMZ Host» активирует функцию DMZ и позволяет ввести IP-адрес компьютера (поле «DMZ IP Address»), находящегося в локальной сети, который будет виден из Интернет, при обращении к вашему внешнему статическому IP-адресу (предоставляется провайдером Интернет).
«Name» — имя правила брандмауэра.
«Action» — выбор запрета или разрешения трафика.
«Interface Source» — выбор начальной точки трафика, который должен быть разрешен или запрещен от интерфейса локальной (LAN) или глобальной сети (WAN). Значения: [LAN], [WAN].
«Interface Dest» — выбор конечной точки трафика, который должен быть разрешен или запрещен, по прибытию на интерфейс локальной (LAN) или глобальной сети (WAN). Значения: [LAN], [WAN].
«IP Address» — указывается один IP-адрес источник или получателя, путем ввода IP в верхнем поле или ввести диапазон IP-адресов, введя первые IP диапазона в верхнем поле и последний IP диапазона в нижнем.
«Protocol» — тип трафика. Значения: [UDP], [TCP], [Both] – использование [UDP] и [TCP].
«Port Range» — введите номер порта в обоих полях, чтобы указать один порт или введите первые порт диапазона в верхнем поле и последний порт диапазона в нижний, чтобы указать диапазон портов.
«Schedule» — можно выбрать/создать расписание.
Максимальное количество правил – 50.

Большое количество правил брандмауэра уменьшает производительность маршрутизатора.

Источник

Просматривал на сайте раздел с инструкциями для маршрутизаторов D-link, и понял, что нет руководства по блокировке доступа к сайтам на роутерах D-Link. Решил это исправить и подготовить инструкцию, в которой покажу, как можно быстро внести адрес любого сайта в список заблокированных, и закрыть к нему доступ через роутер.

Эта информация подойдет практически для любого роутер D-Link. DIR 300, DIR 615, DIR 620, 320 и т. д. У меня сейчас есть D-Link DIR 300 и DIR 615, так что проверять буду на них. Честно признаюсь, я не очень люблю писать статьи по маршрутизаторам этого производителя. Все потому, что у них очень много вариантов панели управления, которые очень сильно отличаются внешним видом. И из-за этого очень сложно создать одну, универсальную инструкцию.

Что касается именно блокировки сайтов через роутер D-Link, то там этот URL-фильтр сделан очень просто и понятно. Достаточно всего лишь включить функцию и указать адреса сайтов, которые нужно заблокировать, или не нужно блокировать. Затем сохраняем настройки, перезагружаем роутер и все работает. Доступа к заблокированным сайтам нет. Но у такого способа блокировки есть два больших минуса Сразу о них говорю, чтобы потом не было вопросов.

Невозможно заблокировать сайты, которые работают по https протоколу. А на сегодняшний день, это большое количество сайтов. Особенно популярных. Для блокировки сайтов, которые работают по https советуют использовать «Межсетевой экран/IP-фильтр». Но как работает эта функция, я не разбирался.
Так же такую блокировку очень просто обойти, если включить например «Турбо» режим в браузере, использовать VPN, или браузер TOR.

А еще, данный способ не позволяет блокировать работу приложений социальных сетей на мобильных устройствах.

Настройка URL-фильтра на D-Link. Блокируем доступ к сайтам

В любом случае, нам сначала нужно зайти в панель управления маршрутизатора. Для этого нужно перейти по адресу 192.168.0.1 и указать данные для входа. Заводские: admin и admin. Если вы их меняли, значит указываете свои. Вот подробная инструкция: как зайти в настройки роутера D-Link.

Сначала я покажу как все это делается в самой новой (на момент написания статьи) панели управления. Обновил свой DIR 615 перед тем, как писать инструкцию.

В настройках нужно открыть раздел «Межсетевой экран» – «IP-фильтр».
Включить функцию «URL-фильтр».
Выбрать режим блокировки. Блокировать только сайты из списка, или блокировать все сайты, кроме тех, которые в списке.
Добавить в список адреса сайтов, которые необходимо заблокировать.

Вот так:

Сохраняем настройки нажав на кнопку «Применить», и сайты будут заблокированы. Если не сработает – перезагрузите роутер.

Давайте рассмотрим еще другие версии прошивок. С другими панелями управления.

Если у вас другая панель управления D-Link

В версии прошивки 2.5 сама страница с настройками у меня была другой. Нужно открыть раздел «Контроль» – «URL-фильтр». Включаем функцию и выбираем режим блокировки.

Дальше переходим в раздел «URL-адреса» и добавляем в список адреса необходимых сайтов. Должно получится примерно вот так:

Добавляем все необходимые сайты.

Блокировка сайтов в темной панели управления D-Link

Все примерно так же. В настройках, на вкладке «Контроль» выберите «URL-фильтр». Дальше нужно на вкладке «Конфигурация» включить эту функцию. Затем переходим на вкладку «URL-адреса» и добавляем необходимые адреса в список.

Не забудьте сохранить настройки.

Пишите комментарии, задавайте вопросы. Всего хорошего!

Источник

Вопрос: Как подключиться к Интернет, используя Wan 1?

Ответ:

Примечание: Этот FAQ актуален для прошивок версии 2.05 и выше.

Примечание:Вам необходимо перед началом работы выключить функции блокировки popup-окон на Вашем компьютере.

Подключение с помощью протокола DHCP

Шаг 1: Включите Ваш компьютер в один из LAN-портов DFL.

Шаг 2: Назначьте статический IP-адрес следующим образом:

IP Address: 192.168.1.2
Subnet Mask: 255.255.255.0
Default Gateway: 192.168.1.1

Кликните по OK.

Шаг 3: Откройте Web-браузер и введите IP-адрес DFL в адресную строку (по умолчанию, 192.168.1.1) и нажмите на Enter.

Шаг 4: Введите имя пользователя (usernamе) и пароль. По умолчанию, установлено имя пользователя и пароль — admin.

Шаг 5: Web-интерфейс управления GUI запустит D-Link setup wizard. Кликните по Next.

Шаг 6: Здесь Вы можете установить новый пароль, введя новый пароль и его подтверждение, затем кликните по Next.

Шаг 7: Выберите соответствующий часовой пояс, затем кликните по Next.

Шаг 8: Выберите WAN1 в выпадающем меню, затем кликните по Next.

Шаг 9: Выберите DHCP-automatic configuration, затем кликните по Next.

Шаг 10: Выберите Enable DHCP Servers (по желанию) и выполните следующие настройки:

IP range: Выберите нужный диапазон IP-адресов для DHCP-клиентов
Subnet Mask: введите соответствующую маску подсети
Default Gateway: введите IP-адрес LAN межсетевого экрана
DNS Server: введите нужный IP-адрес DNS

Кликните по Next.

Шаг 11: Настройте NTP Server соответствующим образом (по желанию), затем кликните по Next.

Шаг 12: Для сохранения конфигурации кликните по Activate.

Подключение с помощью PPPoE

Шаг 1: Подключите Ваш компьютер к одному из LAN-портов межсетевого экрана DFL.
(По умолчанию, DFL-800 не принимает соединения с других интерфейсов, кроме LAN-интерфейса.)

Шаг 2: Назначьте статический IP-адрес следующим образом:

IP Address: 192.168.1.2
Subnet Mask: 255.255.255.0
Default Gateway: 192.168.1.1

Кликните по OK.

Шаг 3: Откройте Web-браузер и введите IP-адрес DFL в адресную строку (по умолчанию, 192.168.1.1) и нажмите на Enter.

Шаг 4: Введите имя пользователя (username) и пароль. По умолчанию, задано имя пользователя и пароль — admin.

Шаг 5: Web-интерфейс управления запустит D-Link setup wizard. Кликните по Next.

Шаг 6: Вы можете установить здесь новый пароль, введя пароль и его подтверждения, затем кликните по Next.

Шаг 7: Выберите нужный часовой пояс, затем кликните по Next.

Шаг 8: Выберите WAN1 в выпадающем меню, затем кликните по Next.

Шаг 9: Отметьте опцию PPPoE — account details needed, затем кликните по Next.

Шаг 10: Введите предоставленную Вашим провайдером информацию по Вашей учетной записи DSL, затем кликните по Next.

Шаг 11: Выберите опцию Enable DHCP Servers (по желанию).

IP range: введите нужный диапазон IP-адресов для DHCP-клиентов
Subnet Mask: введите соответствующую маску подсети
Default Gateway: введите IP-адрес LAN межсетевого экрана
DNS Server: введите нужный IP-адрес DNS

Кликните по Next.

Шаг 12: Настройте NTP Server (по желанию), затем кликните по Next.

Шаг 13: Кликните по activate, чтобы сохранить конфигурацию.

Шаг 14: Кликните по Close после завершения сохранения конфигурации межсетевого экрана.

Подключение с помощью статического IP-адреса

Шаг 2: Назначьте статический IP-адрес следующим образом:

IP Address: 192.168.1.2
Subnet Mask: 255.255.255.0
Default Gateway: 192.168.1.1

Кликните по OK.

Шаг 3: Откройте Web-браузер и введите IP-адрес межсетевого экрана DFL в адресной строке (по умолчанию, 192.168.1.1) и нажмите на Enter.

Шаг 4: Введите имя пользователя (username) и пароль. По умолчанию, заданы имя пользователя и пароль — admin.

Шаг 5: Web-интерфейс управления GUI запустит D-Link setup wizard. Кликните по Next.

Шаг 6: Здесь Вы можете установить новый пароль, введя новый пароль дважды (в полях Password и Confirm password), затем кликните по Next.

Шаг 7: Установите соответствующий часовой пояс, затем кликните по Next.

Шаг 8: Выберите WAN1 в выпадающем меню, затем кликните по Next.

Шаг 9: Выберите опцию Static-manual configuration, затем кликните по Next.

Шаг 10: Настройте WAN 1 для статического публичного IP-адреса следующим образом:

IP address: введите публичный IP-адрес, выданный Вашим провайдером
NetMask: введите соответствующую маску подсети, выданную Вашим провайдером
Gateway: введите IP-адрес шлюза, выданный Вашим провайдером
Primary DNS: введите IP-адрес DNS, выданный Вашим провайдером
Secondary DNS: введите IP-адрес DNS, выданный Вашим провайдером

Кликните по Next.

Шаг 11: Отметьте опцию enable DHCP Servers (по желанию).

IP range: введите нужный диапазон IP-адресов для DHCP-клиентов
Subnet Mask: введите соответствующую маску подсети
Default gateway: введите IP-адрес LAN межсетевого экрана
DNS Server: введите нужный IP-адрес DNS

Кликните по Next.

Шаг 12: Настройте NTP-сервер (по желанию), затем кликните по Next.

Шаг 13: Кликните по Activate для сохранения конфигурации.

Шаг 14: Кликните по Close после завершения процесса сохранения конфигурации межсетевого экрана.

Источник