|
Router RV042 Cisco i access rules
|
| marcin_kor |
Dodano 28-08-2012 07:34
|
User
Posty: 4
Dołączył: 27/08/2012 22:11
|
Witam, próbuję ograniczyć dostęp niektórym komputerom w naszej wewnętrznej sieci do sieci zewnętrznej (znaczy się internetu), ale muszę jednocześnie zapewnić dostęp do poczty wszystkim. Ustawiłem reguły dopuszczenia ruchu dla wszystkich interfejsów i wszystkich użytkowników dla porów 110,25,995 i 587 (takich, które wykorzystują nasze programy pocztowe). Dla wszystkich założona jest blokada na wszystkie porty i jest na ostatniej pozycji (ma najniższy priorytet), a zaraz za udostępnionymi wcześniej portami dodałem reguły dostępu dla ip, które mają mieć także internet. Problem w tym, że na nietórych komputerach działa ograniczenie dostępu do netu i poczta chodzi poprawnie, a na niektórych po mimo, że porty z outloocka są odblokowane, nie można odebrać poczty. Na stacjach jest Win XP i Win 7. Czy mógłbym prosić o pomoc? Router na oryginalnym oprogramowaniu w wersji v4.0.4.02-tm. W załączeniu zrzut z ekranu, zakładki access rules z tego routera. Z góry dziękuję za wszelkie odpowiedzi.
marcin_kor załączono następujące plik:
Nie masz uprawnień, by zobaczyć załączniki w tym wątku.
|
| |
|
|
| mosao |
Dodano 28-08-2012 20:14
|
Power User
Posty: 260
Dołączył: 15/03/2009 00:19
|
Cytat Router na oryginalnym oprogramowaniu w wersji v4.0.4.02-tm.
Zacznij od zmiany na firmware 4.2.1.02 |
| |
|
|
| marcin_kor |
Dodano 28-08-2012 21:10
|
User
Posty: 4
Dołączył: 27/08/2012 22:11
|
Zaktualizowałem kilka minut po napisaniu posta, ale zaczęło chodzić tylko dla kilku komputerów, raczej jakiś przypadek. Nie wiem, czy dobrze myślę, ale ustawiłem reguły tak, że o najniższym priorytecie mam blokadę wszystkich portów, dla wszystkich ip, następnie dodawałem reguły dopuszczeń konkretnych ip do wszystkiego, lub konfigurowałem dla wszystkich ip dopuszczenia dla portów z outloocka, oczywiście z priorytetem wyższym niż deny access dla wszystkich. |
| |
|
|
| mosao |
Dodano 28-08-2012 22:13
|
Power User
Posty: 260
Dołączył: 15/03/2009 00:19
|
Nie widać na screenie wszystkiego, ale czy masz jakieś reguły deny?
Ma jakieś znaczenie czy to xp czy 7?
Edit:
Z manuala:
The router has the following default rules:
R6; All traffic from the LAN to the WAN is allowed.
więc wiele z twoich wpisów jest zbędnych
Czyli jedyne co musisz zrobić to zablokować lan->wan dla odpowiednich hostów
i dodać allow lan->wan dla portów pocztowych
Możesz sobie te hosty zgrupować przez statyczne adresy i dodać je zakresem.
Edytowany przez mosao dnia 28-08-2012 22:36
|
| |
|
|
| marcin_kor |
Dodano 28-08-2012 23:03
|
User
Posty: 4
Dołączył: 27/08/2012 22:11
|
Jest jedna deny all - takie miałem założenie, żeby najpierw reguła blokowała wszystkich, a potem ustanowić dopuszczenia dla konkretnych ip i usług (tylko nie wiem, czy dobrze myślę, bo mam więcej ip do zablokowania, niż dopuszczenia). W załączeniu dolna część access rules - teraz deny wyłączone, bo blokowało maile. O grupowaniu wiem - tak przydzieliłem zakres dla dhcp
marcin_kor załączono następujące plik:
Nie masz uprawnień, by zobaczyć załączniki w tym wątku.
|
| |
|
|
| mosao |
Dodano 29-08-2012 00:04
|
Power User
Posty: 260
Dołączył: 15/03/2009 00:19
|
A może tak..
Allow
All Service
Source Interface: LAN
Source IP:Range 192.168.2.1 - 192.168.2.255
Destination IP: Range 192.168.2.1 - 192.168.2.255
Allow
pop3 ( powtarzamy dla wszystkich portów pocztowych)
Source Interface: LAN
Source IP:Range 192.168.2.1 - 192.168.2.255
Destination IP: any
Allow
All service
Source Interface: LAN
Source IP:Range 192.168.2.20 - 192.168.2.50 -< stałe ip z pełnym dostępem
Destination IP: any
Deny
All Service
Source Interface: LAN
Source IP: Range 192.168.2.1 - 192.168.2.255
Destination IP: Any |
| |
|
|
| marcin_kor |
Dodano 29-08-2012 00:14
|
User
Posty: 4
Dołączył: 27/08/2012 22:11
|
Jutro z rana spróbuję. Dziękuję
Połączony z 25 wrzesień 2012 09:46:56:
Trochę to trwało, ale sposób kolegi mosao działa w 100%.
Teraz kolejny etap, to udostępnienie osobom, które nie posiadają dostępu do netu, a mogą jedynie otwierać np stronę zusu. Czy wystarczy wpisać na sztywno adres ip strony z którą się mają łączyć? Pozdrawiam i jeszcze raz wielkie dzięki.
Edytowany przez marcin_kor dnia 25-09-2012 09:46
|
| |
|
|
| mosao |
Dodano 25-09-2012 10:57
|
Power User
Posty: 260
Dołączył: 15/03/2009 00:19
|
z początku dodaj
Allow
zus
Source Interface: LAN
Source IP: address 192.168.2.20
Destination IP: adress ip zusu
albo range jak w poprzednim przykładzie
kombinuj ;-) nie mam jak sprawdzić, ale zasada ta sama co poprzednio |
| |
|
' target='_blank'>Link
