Разрешения межсетевого экрана для OpenVPN клиент

[keysansa]

Проверил еще раз у себя - Modbus TCP по OpenVPN работает из коробки, без необходимости каких-то манипуляций в настройках межсетевого экрана.

2022-03-25_9-18-52.png 2022-03-25_9-15-39.png 2022-03-25_9-18-21.png

Евгений, я так понимаю, в новых версиях панелей встроена LUCI. Покажите пожалуйста страницы:
* Network-Firewall-General (У вас это Сеть-Межсетевой-Основные, как я понимаю)
* Network-Firewall-TraficRules

[Евгений Кислов]

Евгений, я так понимаю, в новых версиях панелей встроена LUCI. Покажите пожалуйста страницы:
* Network-Firewall-General (У вас это Сеть-Межсетевой-Основные, как я понимаю)
* Network-Firewall-TraficRules

Настройки по умолчанию:

2022-03-28_12-35-46.png 2022-03-28_12-36-04.png 2022-03-28_12-36-16.png 2022-03-28_12-36-25.png

[keysansa]

Настройки по умолчанию:

Спасибо большое, но интерфейса vpn100 у вас нет в скриншотах файервола.

ЗЫ. В сообщении до моей просьбы - у вас 3 интерфейса (lan, usb0 и open_vpn).
В вашем ответе на мою просьбу - вижу 2 зоны firewall (lan и wan). Допустим, USB0 - это wan, через 4G. Но для OpenVPN - нет зоны и правил.
Хотелось бы увидеть данные страницы при работающем VPN.

[Евгений Кислов]

Спасибо большое, но интерфейса vpn100 у вас нет в скриншотах файервола.

Более того - на скриншотах вообще нет интерфейсов.
Потому что на уровне межсетевого экрана настраиваются зоны, а уже в настройках интерфейсов для каждого интерфейса можно выбрать нужную ему зону.

[keysansa]

Более того - на скриншотах вообще нет интерфейсов.
Потому что на уровне межсетевого экрана настраиваются зоны, а уже в настройках интерфейсов для каждого интерфейса можно выбрать нужную ему зону.

2022-03-25_9-18-52.png

Тут у вас 3 интерфейса.

Зоны firewall настраиваются для зон, соответственно. Чаще всего - по интерфейсам, так как они определяют "физические зоны". Если интерфейс не определен в зоне firewall, весь обмен по данному устройству должен быть отвергнут.

[Евгений Кислов]

2022-03-25_9-18-52.png

Тут у вас 3 интерфейса.

Зоны firewall настраиваются для зон, соответственно. Чаще всего - по интерфейсам, так как они определяют "физические зоны". Если интерфейс не определен в зоне firewall, весь обмен по данному устройству должен быть отвергнут.

Вы ошибаетесь.
https://openwrt.org/docs/guide-user/..._configuration

The defaults section declares global firewall settings which do not belong to specific zones:

config defaults
	option	input                   'ACCEPT'
	option	output			'ACCEPT'
	option	forward			'REJECT'
	option	custom_chains		'1'
	option	drop_invalid		'1'
	option	synflood_protect	'1'
	option	synflood_rate		'25/s'
	option	synflood_burst		'50'
	option	tcp_ecn			'1'
	option	tcp_syncookies		'1'
	option	tcp_window_scaling	'1'

[keysansa]

Вы ошибаетесь.
https://openwrt.org/docs/guide-user/..._configuration

Я думаю, вы ошибаетесь.
Правила Default действуют на зоны по умолчанию. Если интерфейс не включен в зону, для него вообще правила не действуют, и он не участвует в обмене. Иначе, любой хакер может создать интерфейс, которому плевать на правила firewall