Рейтинг:1

OPNsense NAT/Переадресация портов: переадресация нескольких протоколов и портов

флаг vc

Я хочу перенаправить ICMP и определенные порты TCP и UDP в OPNsense, но не могу найти краткое решение. В частности, я хочу перенаправить ICMP, http, https и UDP 32768-65535.

Я добавляю новую переадресацию портов в разделе переадресации портов ("Брандмауэр > NAT > Переадресация портов"). Вот если я выберу "любой" протокол, то не смогу указать порты TCP/UDP. Если я выберу TCP/UDP в протоколе, указанные порты будут открыты как для TCP, так и для UDP, и я не могу указать ICMP с этим. Я могу создавать отдельные правила для отдельных протоколов, но это кажется неинтуитивным.

Буду рад предоставить любые дополнительные разъяснения, если это необходимо.

Заранее спасибо.

Обновлять: Я понимаю, что только TCP/UDP имеет концепцию портов. Я хочу перенаправить порт ICMP для тестирования/проверки доступности, и я перенаправляю IP-адрес из своей сети BGP, а не тот, который назначен какому-либо интерфейсу, такому как WAN. UDP 32768-65535 для приложения для видеоконференций (BigBlueButton). Порты UDP в моем случае не требуются, так как мой экземпляр bigbluebutton и coturn находятся внутри брандмауэра.

Я думаю, было бы более интуитивно понятно, если бы я мог перечислить все порты/форварды для сопоставления NAT в одном месте. Я чувствовал, что может быть какой-то способ ввести список, подобный следующему, в NAT. TCP/80, TCP/443, TCP/22, UDP/100:200, ICMP

Из текущего ответа я думаю, что это недоступно. Я отправлю запрос функции.

vidarlo avatar
флаг ar
Запрос функции, скорее всего, будет проигнорирован или на него будет дан отрицательный ответ. То, о чем вы спрашиваете, принципиально не имеет смысла; базовый PF должен будет обрабатывать это как несколько правил. PFSense (и OPNSense) пытается установить точное соответствие между базовыми правилами и тем, что вы видите (и настраиваете) в веб-интерфейсе.
Saumya Kanta Swain avatar
флаг vc
Ой! Спасибо за разъяснения. Мы планируем перейти с Sophos UTM, и я нашел эту концепцию Sophos немного более организованной. Тогда придется жить с новым интерфейсом.
Saumya Kanta Swain avatar
флаг vc
@vidarlo Я не знаю точного внутреннего устройства, но мы уже можем указать псевдоним. В этом случае смысл PF должен заключаться в переборе портов в псевдониме и создании отдельных правил. Поэтому, если псевдонимы могут дополнительно хранить протоколы вместе с портом, это может быть хорошо.
vidarlo avatar
флаг ar
PF также может делать диапазоны портов :)
Saumya Kanta Swain avatar
флаг vc
@vidarlo Да, я знаю о диапазоне портов. Я могу установить диапазон портов или даже диапазон псевдонимов. Но моя проблема заключается в объединении нескольких протоколов, таких как порт «x» в TCP, но «y» в UDP.Существует вариант протокола TCP/UDP, но он открывает одни и те же порты как для TCP, так и для UDP. На данный момент созданы отдельные форварды для TCP и UDP. Посмотрим, что можно сделать лучше.
Рейтинг:1
флаг ar

Только TCP и UDP имеют концепцию портов. Если вы укажете любой в качестве протокола, вы не сможете указать порты, так как это не относится к большинству протоколов.

Вам нужно будет создать несколько правил переадресации:

  • ICMP
  • HTTP и HTTPS (80, 443)
  • UDP-порты

Это не проблема; у вас может быть столько правил переадресации, сколько вы хотите, и все они перенаправляются в один и тот же пункт назначения.

Saumya Kanta Swain avatar
флаг vc
Спасибо! Я добавил обновление к своему ответу для некоторых разъяснений.
vidarlo avatar
флаг ar
Я удалил часть о проблеме XY, поскольку она явно не актуальна :) Если ответ отвечает на ваш вопрос, вам следует подумать о том, чтобы принять его и / или проголосовать за него.

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.