LINUX.ORG.RU
Форум — Admin  

Прошу помощь в правильной настройке правил firewall'a в openwrt

 , ,


0

1

Всем доброго времени суток!

Имеется роутер Tp-link 1043, прошил его openwrt, настроил на нем samba и vsftpd, в локальной сети все работает хорошо (будто бы), а вот сделать вход из интернет не смог...

Добавил правила в файл /etc/config/firewall для порта 80, порта 22 и порта 9091 - вход из инетрнет по ним работает, а вот правила, созданные для фтп (порты 20 и 21) никак не получается задействовать.

Вот пример моего конфига:

config rule
	option name 'vsftp-ftp-accept'
	option src 'wan'
	option target 'ACCEPT'
	option proto 'tcp'
	option dest_port '21'

config redirect
	option _name 'vsftp-ftp-redirect'
	option src 'wan'
	option dest_ip '192.168.1.1'
	option dest_port '20'
	option proto 'tcp'
	option src_dport '2020'
	option target 'DNAT'
	option dest 'lan'

config rule
	option _name 'vsftp-passive-accept'
	option target 'ACCEPT'
	option dest_ip '192.168.1.1'
	option proto 'tcp'
	option src '*'
	option dest_port '30000-50000'

config redirect
	option _name 'vsftp-passive-redirect'
	option src 'wan'
	option dest_ip '192.168.1.1'
	option proto 'tcp'
	option src_dport '30000:50000'
	option target 'DNAT'
	option dest 'lan'

config rule
	option src 'lan'
	option proto 'udp'
	option dest_port '137-138'
	option target 'ACCEPT'

config rule
	option src 'lan'
	option proto 'tcp'
	option dest_port '139'
	option target 'ACCEPT'

config rule
	option src 'lan'
	option proto 'tcp'
	option dest_port '445'
	option target 'ACCEPT'

config rule
	option src 'wan'
	option target 'ACCEPT'
	option proto 'tcp'
	option dest_port '22'

config rule
	option src 'wan'
	option target 'ACCEPT'
	option proto 'tcp'
	option dest_port '80'

config rule
	option src 'wan'
	option target 'ACCEPT'
	option proto 'tcp'
	option dest_port '9091'

config defaults
	option syn_flood '1'
	option input 'ACCEPT'
	option output 'ACCEPT'
	option forward 'REJECT'

config zone
	option name 'lan'
	list network 'lan'
	option input 'ACCEPT'
	option output 'ACCEPT'
	option forward 'ACCEPT'

config zone
	option name 'wan'
	list network 'wan'
	list network 'wan6'
	option input 'REJECT'
	option output 'ACCEPT'
	option forward 'REJECT'
	option masq '1'
	option mtu_fix '1'

config forwarding
	option src 'lan'
	option dest 'wan'

config rule
	option name 'Allow-DHCP-Renew'
	option src 'wan'
	option proto 'udp'
	option dest_port '68'
	option target 'ACCEPT'
	option family 'ipv4'

config rule
	option name 'Allow-Ping'
	option src 'wan'
	option proto 'icmp'
	option icmp_type 'echo-request'
	option family 'ipv4'
	option target 'ACCEPT'

config rule
	option name 'Allow-IGMP'
	option src 'wan'
	option proto 'igmp'
	option family 'ipv4'
	option target 'ACCEPT'

config rule
	option name 'Allow-DHCPv6'
	option src 'wan'
	option proto 'udp'
	option src_ip 'fe80::/10'
	option src_port '547'
	option dest_ip 'fe80::/10'
	option dest_port '546'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-MLD'
	option src 'wan'
	option proto 'icmp'
	option src_ip 'fe80::/10'
	list icmp_type '130/0'
	list icmp_type '131/0'
	list icmp_type '132/0'
	list icmp_type '143/0'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-ICMPv6-Input'
	option src 'wan'
	option proto 'icmp'
	list icmp_type 'echo-request'
	list icmp_type 'echo-reply'
	list icmp_type 'destination-unreachable'
	list icmp_type 'packet-too-big'
	list icmp_type 'time-exceeded'
	list icmp_type 'bad-header'
	list icmp_type 'unknown-header-type'
	list icmp_type 'router-solicitation'
	list icmp_type 'neighbour-solicitation'
	list icmp_type 'router-advertisement'
	list icmp_type 'neighbour-advertisement'
	option limit '1000/sec'
	option family 'ipv6'
	option target 'ACCEPT'

config rule
	option name 'Allow-ICMPv6-Forward'
	option src 'wan'
	option dest '*'
	option proto 'icmp'
	list icmp_type 'echo-request'
	list icmp_type 'echo-reply'
	list icmp_type 'destination-unreachable'
	list icmp_type 'packet-too-big'
	list icmp_type 'time-exceeded'
	list icmp_type 'bad-header'
	list icmp_type 'unknown-header-type'
	option limit '1000/sec'
	option family 'ipv6'
	option target 'ACCEPT'

config include
	option path '/etc/firewall.user'

config rule
	option src 'wan'
	option dest 'lan'
	option proto 'esp'
	option target 'ACCEPT'

config rule
	option src 'wan'
	option dest 'lan'
	option dest_port '500'
	option proto 'udp'
	option target 'ACCEPT'

config rule
	option target 'ACCEPT'
	option dest_port '21'
	option name 'Allow FTP'
	option src '*'
	option dest '*'
	option proto 'tcp

Прошу указать на мои ошибки!

Заранее благодарен!

Вот пример для FTP 

config rule
        option enabled '1'
        option target 'ACCEPT'
        option src 'wan'
        option proto 'tcp udp'
        option dest_port '21'
        option name 'FTP'

NoobeR ★★★★
()
Последнее исправление: NoobeR (всего исправлений: 1)
Ответ на: комментарий от NoobeR

свои все мучения подтер... Добавил Ваше правило, - результат тот же, негативный... Что еще можно посмотреть?

st-small
() автор топика
Ответ на: комментарий от NoobeR

Рестарт, конечно, выполняется!

Проверить с интернета как?

Может провайдер закрывать какие-то порты просто так? Ведь вот 9091 порт и 22 порт нормально туды-сюды работают... А правила такие же...

st-small
() автор топика
Ответ на: комментарий от NoobeR

Порт 21 закрыт...

Sftp? Не знаю, читал openwrt wiki, там предложение vsftpd и proftpd, последнего в репозитория не было, вот и начал этот настраивать...

st-small
() автор топика
Ответ на: комментарий от NoobeR

Конечно, в локалке все работает для root и одного пользователя!

Порт закрыт, по-прежнему, sftp настроил, но ситуация такая же...

st-small
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin