Mikrotik.moscow [тема: uPnP и файрвол... что с этим делать?]

uPnP и файрвол... что с этим делать?

Sat, 02 Feb 2013 17:09:00 -0500

uPnP и файрвол... что с этим делать? RouterOS в форуме RouterOS.
Хмм, ты прав! Спасибо за совет.
02.02.2013 17:09:00, bahbka.

uPnP и файрвол... что с этим делать?

Sat, 02 Feb 2013 15:52:00 -0500

uPnP и файрвол... что с этим делать? RouterOS в форуме RouterOS.
Разве блокировка исходной маршрутизации не приведёт к тому же результату?
02.02.2013 15:52:00, nsayer.

uPnP и файрвол... что с этим делать?

Sat, 02 Feb 2013 13:42:00 -0500

uPnP и файрвол... что с этим делать? RouterOS в форуме RouterOS.
Устройства в одной и той же broadcast-домене на WAN-интерфейсе могут получить доступ к вашей приватной LAN, добавив маршрут типа через , пока вы не запретите такой форвардинг. Это серьёзная проблема безопасности. Рекомендую добавить правило drop/reject для форварда. Конечно, нужны некоторые правила «принять», по крайней мере для установленных соединений. Не знаю, как заставить работать UPnP-форвардинг в этой ситуации без добавления правил accept для конкретных портов.
02.02.2013 13:42:00, bahbka.

uPnP и файрвол... что с этим делать?

Thu, 08 Mar 2012 17:14:00 -0500

uPnP и файрвол... что с этим делать? RouterOS в форуме RouterOS.
Можно ли сказать (или подтвердить у Mikrotik), что правило upnp nat не требует наличия правила фильтрации в фаерволе, которое его пропускает? Например, если у вас есть правило в фильтре фаервола, отбивающее все пакеты из цепочки forward с интернет-интерфейса, то правило upnp nat всё равно их примет?
08.03.2012 17:14:00, SeaburyNorton.

uPnP и файрвол... что с этим делать?

Tue, 03 Jan 2012 00:29:00 -0500

uPnP и файрвол... что с этим делать? RouterOS в форуме RouterOS.
Итак, у вас есть правило null forward, которое пропускает весь трафик. Попробуйте добавить правило в цепочку forward, которое будет сбрасывать весь трафик, и посмотрите, что произойдет.
03.01.2012 00:29:00, nsayer.

uPnP и файрвол... что с этим делать?

Tue, 03 Jan 2012 00:22:00 -0500

uPnP и файрвол... что с этим делать? RouterOS в форуме RouterOS.
У меня нет правил переадресации, и UPnP отлично работает только с автоматически добавленными правилами dst-nat.
03.01.2012 00:22:00, Djelibeybi.

uPnP и файрвол... что с этим делать?

Mon, 02 Jan 2012 00:08:00 -0500

uPnP и файрвол... что с этим делать? RouterOS в форуме RouterOS.
В этом случае это явно используется, о чём говорит тот факт, что мне пришлось добавить правило, позволяющее пропускать весь входящий трафик в мою локальную сеть.
02.01.2012 00:08:00, nsayer.

uPnP и файрвол... что с этим делать?

Sun, 01 Jan 2012 21:03:00 -0500

uPnP и файрвол... что с этим делать? RouterOS в форуме RouterOS.
Ну, цепочка Forward предназначена для маршрутизируемых пакетов. Ты используешь NAT для устройств UPnP, так что они обрабатываются в цепочке NAT. Честно говоря, не уверен, что цепочка Forward вообще что-то делает в этой ситуации.
01.01.2012 21:03:00, Djelibeybi.

uPnP и файрвол... что с этим делать?

Sat, 31 Dec 2011 23:57:00 -0500

uPnP и файрвол... что с этим делать? RouterOS в форуме RouterOS.
bump Кто из других гуру согласен или не согласен с этим методом (выше)?
31.12.2011 23:57:00, SeaburyNorton.

uPnP и файрвол... что с этим делать?

Thu, 08 Dec 2011 20:04:00 -0500

uPnP и файрвол... что с этим делать? RouterOS в форуме RouterOS.
У меня включён uPnP, чтобы внутренние хосты могли запрашивать входящие соединения. Также у меня есть такие правила:

0 X chain=forward action=accept protocol=icmp
1 X chain=forward action=accept connection-state=established in-interface=ether1-gateway
2 X chain=forward action=accept connection-state=related in-interface=ether1-gateway
3 X chain=forward action=reject reject-with=icmp-network-unreachable in-interface=ether1-gateway

Обратите внимание, что они отключены. Если их включить, входящие соединения перестают работать. В принципе, меня это не сильно удивляет.

Что я на самом деле хочу узнать — это лучшие практики для такого случая. Мне говорили, что неразумно полностью полагаться на NAT, чтобы защищать внутренние хосты. Но в то же время, если внутренние хосты через uPnP запрашивают перенос портов для входящих соединений, то фаервол должен это пропустить.

Но разве это не то же самое, что просто использовать NAT в роли фаервола? Если бы существовало некое волшебное правило типа «chain=forward action=accept allowed-by=uPnP», которое вставлять между правилами 2 и 3, то что тогда этот фаервол по сути делал бы?
08.12.2011 20:04:00, nsayer.