Как настроить доступ к сайту через Cisco RV320?

Question

[izotopH]

Доброго времени! Есть WEB-сервер с белым IP, на него пользователи заходят как по внешнему, так и по локальному адресу. Перед ним поставили Cisco RV320, на ней открыт порт 80, при этом сайт из вне более не доступен. Проброс порта 80 с внешнего адреса во внутрь до WEB-сервера прописан. Cisco RV320 настраивается только через WEB-интерфейс. Кто сталкивался с данным маршрутизатором, подскажите как сделать сайт доступным из вне?

Answer 1

[throughtheether]

Кто сталкивался с данным маршрутизатором

Не сталкивался, но пару мыслей выскажу.

сайт из вне более не доступен

Что это значит? Как вы определяете доступность? Когда вы обращаетесь по URL вида http://ipv4address:port, что происходит? Истекает таймаут ("не удалось обнаружить сервер") или вы видите сообщение вроде "сервер сбросил/разорвал соединение"? В первом случае следует проверить настройки "проброса портов", во втором - настройки фаерволла/ACL. Надеюсь, что настройки сервера вы уже проверили.

Comments

[izotopH]

Доступность проверял telnet-ом. Когда обращаюсь по адресу приходит ответ примерно через минуту, что истекло время (если порт закрыть на маршрутизаторе - браузер сразу пишет, что доступ запрещен). Настройки сервера правильные (через него пользователи в инет ходят). Проблема как раз в том что я не могу понять логики интерфейса настройки, знаю как можно все прописать через консоль, а вот в графическом интерфейсе путаюсь, маловато опыта по настройке оборудования Cisco ( маршрутизатор настраивается только через графический интерфейс, ссылка на эмулятор: https://www.cisco.com/assets/sol/sb/RV320_Emulator...

[throughtheether]

Я правильно понимаю, сервер подключен в LAN-интерфейс? Покажите, пожалуйста, вкладки System Summary и Setup - Forwarding

[izotopH]

Всё верно, сервер в LAN1 маршрутизатора. К сожалению не могу выложить актуальную System Summary, маршрутизатор сейчас не подключен, могу условно обозначить: WAN2 (через него необходимо настроить доступ)как: "IP Address eth2",
"Default Gateway eth2",
"DNS eth2"
IPv4/ Subnet Mask: 172.16.1.25/255.255.255.0
Working Mode: Gateway
Security Status:
SPI (Stateful Packet Inspection): Off
DoS (Denial of Service): On
Block WAN Request: Off
Remote Management: On
Access Rule: 3 rules set

Setup-Forwarding:

Port Range Forwarding Table
Service IP Address Status
HTTP[TCP/80~80] 172.16.1.1 Enabled

Port Triggering Table
Application Name Trigger Port Range Incoming Port Range
HTTP 80 to 80 80 to 80

172.16.1.1 - локальный адрес WEB-сервера.

[throughtheether]

Я правильно понял, адрес 172.16.1.25 завешан на LAN-интерфейсе, а не на WAN?
Port triggering, на мой взгляд, здесь излишен, отключите его хотя бы на время траблшутинга.
И покажите пожалуйста access rules (вкладка Firewall).

[izotopH]

Да, 172.16.1.25 внутренний адрес маршрутизатора.

Access rules:
Priority Enable Action Service Source Interface Source
1 yes Allow All Traffic [1] WAN1 Any
2 yes Allow All Traffic [1] LAN Any
3 yes Allow All Traffic [1] WAN2 Any

Destination Time
Any Always
Any Always
Any Always

[throughtheether]

Отключите еще на время тестирования DoS (Denial of Service) (вкладка Firewall - General). Кроме того, насколько я понял, по умолчанию активна DMZ, но из документации я не понял особенностей ее работы. Могу предложить попробовать отключить DMZ для подсети (Setup - Network - Enable DMZ) и включить DMZ для хоста, т.е. вашего сервера (Setup - DMZ host). Если ничего не поможет, то стоит задуматься об обновлении прошивки, продукт, как я понял, довольно сырой. Вот, например, баг с port-forwarding.

[izotopH]

DoS отключил, DMZ для подсети не активна. Прошивка стоит последняя (обновил сразу как приобрели устройство, свежих пока не выходило). Cisco не торопится выпускать свежие прошивки, последняя для этого маршрутизатора от 24.12.13. Завтра можно будет снова устроить профилактические работы - попробую ваши рекомендации.

[throughtheether]

Настройки сервера правильные (через него пользователи в инет ходят)

(через него пользователи в инет ходят)

Вы можете пояснить, что имеется в виду? Это прокси-сервер? Или он занимается маршрутизацией?

[izotopH]

Когда маршрутизатор подключен пользователи через WAN1 и WAN2 могут ходить в инет с любого компьютера в локальной сети. Пока циска занимается маршрутизацией.

[izotopH]

Вероятно нужно прописать маршрут. DMZ не работает подозреваю по той же причине, т.е. если включить DMZ на WAN2, то ничего не происходит - ресурс в локальной сети по прежнему недоступен, не понятно где прописать, что необходимо в DMZ заходить с WAN2 на определенный локальный адрес. Сейчас на WEB-сервер можно зайти как с внешнего адреса так и с локального, как в маршрутизаторе заставить работать DMZ или как осуществить доступ без DMZ. В DMZ (Setup-DMZ host) нельзя указать определенный адрес, пишет что частный IP-адрес не может быть 172.16.1.1, по умолчанию там указана подсеть 172.16.1.0.

[throughtheether]

Прошу прощения за паузу в ответах, был занят.

Когда маршрутизатор подключен пользователи через WAN1 и WAN2 могут ходить в инет с любого компьютера в локальной сети.

Что значит " пользователи через WAN1 и WAN2 могут ходить в инет"? Уточните пожалуйста, что у вас подключено в порт WAN1, а что - в порт WAN2.

Вероятно нужно прописать маршрут.

Я только сейчас обратил внимание, у вас используются три подсети? Я в настройках access rules вижу 172.16.1.0/24,172.16.2.0/24,172.16.3.0/24. Разделение на вланы присутствует?

Сейчас на WEB-сервер можно зайти как с внешнего адреса так и с локального,

Вы, по-моему, этого хотели первоначально, доступа с внешнего адреса? Что еще осталось сделать?

как в маршрутизаторе заставить работать DMZ или как осуществить доступ без DMZ

Я не понял, доступ снаружи на сервер есть или отсутствует? Если доступ есть, зачем вам DMZ?

[izotopH]

Два провайдера, один висит на WAN1 другой на WAN2 на обоих статичные адреса, в циске адреса прописаны, в разделе "Dual WAN", галка на "Load Balance". Из Циски по LAN1 выходит подключение в локальную сеть. Постоянно Циску держать подключенной не могу, потому что доступ к сайту нужен, подключаю примерно на час в день(если у самого время есть), чтобы опробовать варианты настроек. В то время когда Циска подключена, пользователи могут свободно ходить через неё в инет.
По поводу трёх подсетей - используется только 172.16.1.0/24, остальные не планирую использовать, разделения на VLAN-ы нет.
По части доступа на WEB-сервер - без циски доступ есть, как только её подрубаем доступ проподает. Есть два физических сервера смотрящих прямо в инет (на одном из них WEB-сервер), на каждом по провайдеру с внешним ip, в целях безопасности планируется поставить перед ними циску, но т.к. произошел затык с WEB-сервером пока не ставим.

[throughtheether]

Если я вас правильно понял, топология у вас примерно такая (схема BEFORE)


Вообще говоря, настраивать "проброс портов" вкупе с ECMP (equal cost multipath, "балансировка" нагрузки на линки) - дело нетривиальное. В данном случае оно осложняется отсутствием внятной документации (как именно реализована та или иная функциональность) на RV320. Поэтому предлагаю вам сначала проверить доступность сервера с одним аплинком, а именно подключенным в веб-сервер (схема AFTER).

Answer 2

[izotopH]