[DrayOS5] Filtrowanie ruchu LAN-LAN

Routery DrayTek z systemem DrayOS5 to m.in. Vigor C410ax, Vigor C510ax, seria Vigor 2136.

Główne założenia przykładu:
– urządzenia z podsieci LAN2 192.168.2.x mają dostęp tylko do 192.168.1.10 w podsieci LAN1 192.168.1.x.

W przypadku komunikacji w obrębie tej samej podsieci pakiety są przesyłane bezpośrednio pomiędzy urządzeniami z pominięciem bramy(routera) – filtrowanie jest możliwe za pomocą ACL w switchu zarządzalnym.

LAN

Zapoznaj się z przykładami
[DrayOS5] Kilka podsieci LAN w oparciu o VLANy nietagowane
[DrayOS5] Kilka podsieci LAN w oparciu o VLANy tagowane

Przejdź do zakładki Configuration / LAN / LANs.
Skonfiguruj podsieci LAN.

Przejdź do zakładki Configuration / LAN / Inter-LAN Routing.
Włącz routing pomiędzy podsieciami LAN.

Przejdź do zakładki Configuration / LAN / VLAN List.
Skonfiguruj VLANy powiązane z podsieciami LAN.

Przejdź do zakładki Configuration / LAN / Interface VLAN.
Skonfiguruj relacje pomiędzy przewodowymi interfejsami a VLANami, które są powiązane z podsieciami LAN.

Obiekty

Przejdź do zakładki Configuration / Objects / IP Object.
Kliknij Add, aby dodać nowy profil.

Reguły Firewall

Przejdź do zakładki Security / Firewall Filters / IP Filters.
Kliknij Add, aby dodać nowy profil.
Reguła przepuszczająca
– Wpisz nazwę reguły.
– Zaznacz Enabled.
– Jako kierunek wybierz LAN/VPN to LAN/VPN, aby reguła dotyczyła ruchu z LAN do LAN.
– W polu Source wybierz IP Object, następnie kliknij Add, aby jako źródło wskazać stworzony wcześniej obiekt IP zawierający adres IP podsieci 192.168.2.0/24.
– W polu Destination wybierz IP Object, następnie kliknij Add, aby jako przeznaczenie wskazać stworzony wcześniej obiekt IP zawierający adres IP urządzenia 192.168.1.10.
– W polu Protocol pozostaw Any, aby reguła dotyczyła dowolnej usługi.
– Wybierz akcję Pass, aby Vigor przepuszczał ruch z 192.168.2.0/24 do 192.168.1.10.

Reguła blokująca
– Wpisz nazwę reguły.
– Zaznacz Enabled.
– Jako kierunek wybierz LAN/VPN to LAN/VPN, aby reguła dotyczyła ruchu z LAN do LAN.
– W polu Source wybierz IP Object, następnie kliknij Add, aby jako źródło wskazać stworzony wcześniej obiekt IP zawierający adres IP podsieci 192.168.2.0/24.
– W polu Destination wybierz IP Object, następnie kliknij Add, aby jako przeznaczenie wskazać stworzony wcześniej obiekt IP zawierający adres IP podsieci 192.168.1.0/24.
– W polu Protocol pozostaw Any, aby reguła dotyczyła dowolnej usługi.
– Wybierz akcję Block, aby Vigor blokował pozostały ruch z podsieci 192.168.2.0/24 do podsieci 192.168.1.0/24.