Situatie
În trecut, opțiunea de redirecționare a porturilor pe un gateway UniFi era ușor de găsit. Însă, începând cu versiunea Network 9.3, aceasta a fost mutată în Policy Engine, care nu este tocmai cea mai intuitivă secțiune a setărilor de rețea.
Înainte de a începe
Există 2 aspecte pe care trebuie să le verificați înainte de a crea regula de redirecționare. Dacă unul dintre ele nu este corect, redirecționarea portului nu va funcționa, indiferent de modul în care o configurați.
Verificați adresa IP publică
Redirecționarea porturilor funcționează numai dacă gateway-ul UniFi are o adresă IPv4 publică pe interfața WAN. Dacă furnizorul dvs. de servicii de internet (ISP) utilizează CGNAT (Carrier‑Grade NAT) sau dacă există un alt router în fața gateway-ului, traficul nu ajunge niciodată la UniFi.
Verificarea durează doar câteva secunde:
- Deschideți aplicația UniFi Network
- Pe tabloul de bord veți vedea adresa IPv4 WAN
- De pe un dispozitiv din rețeaua dvs., deschideți ifconfig.me
Dacă ambele adrese coincid, înseamnă că aveți o adresă IP publică și puteți trece direct la secțiunea următoare. Dacă nu coincid, comparați adresa IP WAN cu intervalele de mai jos:
Intervalul de adrese IP WAN Ce înseamnă:
100.64.0.0/10 Furnizorul tău de servicii de internet utilizează CGNAT
10.0.0.0/8 Gateway-ul dvs. se află în spatele unui alt router (NAT dublu)
172.16.0.0/12 Gateway-ul dvs. se află în spatele unui alt router (NAT dublu)
192.168.0.0/16 Gateway-ul dvs. se află în spatele unui alt router (NAT dublu)
În cazul CGNAT, adresa IP publică este partajată cu alți clienți ai furnizorului tău de servicii de internet (ISP). Redirecționarea porturilor nu poate rezolva această problemă. Singura soluție reală este să soliciți furnizorului tău de servicii de internet o adresă IP publică. Unii furnizori oferă acest serviciu gratuit, alții percep o taxă mică.
În cazul dublei NAT, routerul ISP continuă să se ocupe de rutare. Cea mai bună soluție este să setați routerul ISP în modul bridge, astfel încât gateway-ul UniFi să primească adresa IP publică direct. Dacă routerul ISP nu acceptă modul bridge, va trebui să redirecționați portul de pe routerul ISP către adresa IP WAN a gateway-ului UniFi sau să configurați opțiunea DMZ a routerului ISP să indice către gateway-ul UniFi.
De asemenea, rețineți că majoritatea conexiunilor de acasă nu au o adresă IP publică statică. Aceasta se poate schimba după o repornire a modemului sau o reînnoire a alocării. O opțiune mai bună este atunci să utilizați un nume de domeniu în loc de adresa IP și să configurați mai întâi DNS dinamic în UniFi.
Solutie
Atribuiți dispozitivului o adresă IP fixă
Portul este redirecționat către o adresă IP internă a dispozitivului dvs. Problema este că, dacă serverul dvs primește o nouă adresă IP de la DHCP, regula nu mai indică nimic sau, mai rău, indică un alt dispozitiv.
În prezent, în UniFi puteți selecta doar dispozitive cu adresă IP statică, așa că pașii de mai jos sunt obligatorii:
- Deschideți „Dispozitive client” și selectați dispozitivul
- Accesați „Settings” și deschideți secțiunea „IP Settings”
- Activați opțiunea „Fixed IP Address” și introduceți adresa IP
Unde se găsește redirecționarea porturilor în UniFi
Dacă folosiți UniFi de ceva vreme, știți că setările au tendința să-și schimbe locația. Redirecționarea porturilor este un bun exemplu. Aceasta și-a schimbat locația în aproape fiecare versiune majoră a aplicației Network:
Versiune model Locatia
6.x and older (classic UI) Settings > Routing & Firewall > Port Forwarding
7.x and 8.x Settings > Firewall & Security > Port Forwarding
9.3 Settings > Policy Table > Create New Policy > Port Forwarding
9.4 Settings > Policy Engine > Port Forwarding
10.x Settings > Policy Table > Create New Policy
Cum se configurează redirecționarea porturilor în UniFi
În acest exemplu, vom face ca un server Plex să fie accesibil de pe internet. Serverul Plex ascultă pe portul 32400, dar vom folosi portul 444 pe partea WAN.
- Deschideți aplicația UniFi Network și accesați Settings
- Accesați Policy Table(din secțiunea Policy Engine)
- Dați clic pe Create new policy
- Selectați Port forwarding
- Dați regulii un nume descriptiv, de exemplu Plex
În continuare, configurați următoarele câmpuri:
| Câmp | Ce face | Exemplu Plex |
|---|---|---|
| Interfață WAN | Conexiunea WAN pe care regula o ascultă. De obicei WAN1, WAN2 sau Toate WAN-urile | WAN1 |
| Adresă IP WAN | IP-ul public pe care intră traficul. Lăsați-l pe valoarea implicită, cu excepția cazului în care aveți mai multe adrese IP publice | Implicit |
| Port WAN | Portul deschis pe partea de internet | 444 |
| Actualizează portul de forwardare | Copiază portul WAN în câmpul Forward Port, astfel încât ambele porturi să fie identice | |
| De la (From) | Cine are voie să se conecteze. Orice, sau o adresă IP specifică | Orice |
| Adresă IP de forwardare | Adresa IP internă a dispozitivului. Folosiți Select Device pentru a alege dispozitivul din lista de clienți, iar IP-ul se completează automat | 172.16.1.x |
| Port de forwardare | Portul pe care serviciul de pe dispozitiv ascultă efectiv | 32400 |
| Protocol | TCP, UDP sau Ambele | TCP |
| Syslog | Înregistrează traficul care lovește regula pe serverul syslog sau SIEM | Opțional |
Dați clic pe „Save” pentru a crea regula.
Portul WAN vs. portul de redirecționare
Boții scanează constant internetul în căutarea porturilor implicite, cum ar fi 3389 pentru RDP sau 32400 pentru Plex. Așadar, utilizarea unui port diferit pe partea WAN nu va face serviciul tău mai sigur, dar va reduce considerabil „zgomotul” din jurnalele tale.
Astfel, în acest exemplu, traficul intră pe portul 444 și este redirecționat către portul 32400 de pe serverul Plex. Ambele câmpuri pentru porturi acceptă și intervale și liste, de exemplu 1-10,11,12. Această funcționalitate este utilă pentru serverele de jocuri sau pentru serviciile VoIP, care au adesea nevoie de un interval întreg de porturi.
Nota bene:
Un port WAN poate fi redirecționat către un singur dispozitiv. Așadar, dacă portul 444 este deja redirecționat către serverul tău Plex, nu îl poți redirecționa și către un alt dispozitiv. Poți însă să redirecționezi mai multe porturi WAN către același port intern.
Restricționați câmpurile „Sursă” și „Protocol”
Două câmpuri pe care majoritatea le ignoră sunt „From” și „Protocol”, dar ambele sunt, de fapt, destul de importante din punct de vedere al securității. Dacă aveți nevoie de acces doar din birou, de exemplu, setați câmpul „From” la „Limited” și introduceți adresa IP publică a rețelei biroului dvs. Toți ceilalți utilizatori vor fi respinși înainte chiar de a ajunge la serviciul dvs.
Același lucru este valabil și pentru protocol. Selectați opțiunea „Both” doar dacă serviciul are nevoie efectiv de TCP și UDP. Plex, în acest exemplu, are nevoie doar de TCP.
Regula de firewall este creată automat
Cu ajutorul firewall-ului bazat pe zone(zone-based firewall), UniFi creează automat regula de firewall pentru tine. Nu este necesar să adaugi tu însuți o regulă de permisiune și, cu siguranță, nu ar trebui să adaugi o a doua.
Vei găsi regula în secțiunea Extern -> Internal din matricea de zone(sau în zona în care se află dispozitivul tău). Aceasta poartă numele redirecționării tale de port, în acest caz „Allow Port Forward Plex:”.Regula este blocată, așa că nu o poți edita. Dacă vrei să modifici ceva, schimbi regula de redirecționare a portului, iar UniFi actualizează automat regula de firewall pentru tine.
Acesta este și motivul pentru care câmpurile „From” și „Protocol” sunt importante. Întotdeauna trebuie să limitezi expunerea rețelei tale cât mai mult posibil.
Testați redirecționarea porturilor
Testați întotdeauna redirecționarea porturilor din afara rețelei dvs. Cea mai simplă metodă este folosirea telefonului. Dezactivați Wi-Fi-ul, astfel încât să utilizați rețeaua 4G sau 5G, și deschideți, de exemplu, http://<adresa-IP-publică>:444.
Puteți folosi, de asemenea, un instrument online de verificare a porturilor sau puteți verifica traficul în UniFi, în secțiunea Insights > Flows. Dacă vedeți acolo încercările de conectare, înseamnă că traficul ajunge cel puțin la gateway-ul dvs.
Redirecționarea porturilor nu funcționează?
Dacă redirecționarea porturilor nu funcționează din exterior, parcurgeți lista de mai jos. Aceasta este ordonată în funcție de probabilitatea pe care o consider cea mai mare, așa că începeți de sus.
- Nu aveți o adresă IP publică
Aceasta este, de departe, cea mai frecventă cauză. Verificați adresa IP WAN așa cum este explicat în sectioned „Before you begin”. Dacă gateway-ul dvs. are o adresă într-unul dintre intervalele CGNAT sau private, nimic altceva din această listă nu mai contează.
- Testați din interiorul rețelei dvs.
Opriți Wi-Fi-ul de pe telefon și testați din nou. Firewall-ul de pe dispozitiv blochează portul
Redirecționarea portului și regula de firewall UniFi pot fi perfecte, iar conexiunea totuși eșuează deoarece dispozitivul însuși o respinge. Verificați Windows Defender Firewall pe Windows sau ufw sau iptables pe Linux. Firewall-urile gazdei permit adesea doar conexiuni din subrețeaua locală.
- Serviciul nu ascultă
Asigurați-vă că serviciul rulează efectiv și ascultă pe portul către care redirecționați. De pe un alt computer din rețeaua dvs., puteți testa acest lucru cu PowerShell:
Test-NetConnection -ComputerName 172.16.1.x -Port 32400
Dacă funcția TcpTestSucceeded returnează valoarea False, problema se află la nivelul dispozitivului, nu la nivelul UniFi. Pe Linux, poți verifica ce porturi sunt deschise folosind comanda ss -tlnp.
Ar trebui să folosiți redirecționarea porturilor?
Pentru aplicații precum Plex, un server de jocuri sau un proxy invers pe portul 443, redirecționarea porturilor este o alegere rezonabilă. Însă fiecare port pe care îl deschideți este expus întregului internet. Deschideți secțiunea „Insights > Flows” la câteva ore după crearea unei redirecționări de port și veți vedea cât de repede o detectează scanerele.
Așadar, iată câteva reguli pe care le-aș respecta:
- Folosiți o rețea VPN pentru accesul propriu.
- Dacă sunteți singurul care trebuie să acceseze un serviciu, folosiți WireGuard sau Teleport, ambele integrate în gateway-ul UniFi. Nu sunt necesare porturi deschise pentru serviciul în sine.
- Nu expuneți niciodată interfețele de administrare.
- RDP, SMB, pagina de administrare a NAS-ului sau chiar consola UniFi nu ar trebui să fie niciodată accesibile printr-o redirecționare de port.
- Plasați dispozitivele expuse într-o rețea separată.
- Dacă dispozitivul este compromis, nu doriți ca atacatorul să se afle în aceeași rețea cu laptopurile și NAS-ul dvs. Plasați-l într-un VLAN și o zonă proprii.
- Dezactivați UPnP.
- Acesta permite oricărui dispozitiv din rețeaua dvs. să deschidă porturi fără ca dvs. să știți. Plex va încerca, de asemenea, să îl utilizeze, motiv pentru care am configurat portul manual.
- Restricționați sursa acolo unde este posibil.
- Dacă știți cine se conectează, setați câmpul „From”.
Leave A Comment?