Как правильно настроить фильтрацию по портам и ip локальной и глобальной сети в роутере?

Question

[R O]

1) какие нужно указывать ip адреса назначения из интернета ? Безопасно ли оставлять пустую строчку,чтобы с локальной сетью связывались любые ip глобальной сети?
2) какие порты локальной сети нужно указывать для связывания с глобальной сетью?



(p.s. это Фильтрация. Я не порты пытаюсь открыть наружу. А настроить фильтрацию (обмен пакетов через плавильные порты,протоколы, ip'ы. Правильная фильтрация = безопасная. В настройках у меня указан белый список (то,что нужно разрешить). Также мне не нужно ,чтобы абсолютно все порты локальной сети связывались с глобальной сетью. А какие должны быть указаны?)

Comments

[Akina]

А зачем вообще позволять кому-то из Инета лезть в свою сеть? Что у тебя там такого, что ты хочешь подарить миру?

[R O]

Akina, это Фильтрация. А не открытие портов. Я не порты хочу открыть. А правильно настроить передачу пакетов между глобальной и локальной сетью.

[Akina]

R O, кроме тебя никто не решит, что тебе нужно и что не нужно.

Поставь локальный файрвол, включи лог соединений, и проделай всё, что тебе может понадобиться. Получи и отправь почту, слазь на ФТП, загрузи файл на гуглодиск...

Получишь обширный список того, что было использовано. Обработай его, удали лишнее, оставь только реально нужное. И это программируй на разрешение. А всё остальное - нафиг.

[R O]

Akina, здорово. А попроще?

Answer 1

[res2001]

Для работы веба в большинстве случаев достаточно:
1. DNS: UDP, dst=any:53
2. HTTP/HTTPS: TCP, dst=any:443/80

DNS нужен, чтоб преобразовывать имена доменов в IP адреса.

Адреса источника - вся локальная сеть, порты источника - любые. Локальные порты обычно динамические, там большая группа портов, конкретный диапазон динамических портов может зависеть от клиентской ОС, так что тут нет смысла как-то ограничивать.

По портам назначения могут быть дополнительные нюансы, в зависимости от сайтов. Это надо дополнительно анализировать для каждого конкретного сайта, если там что-то не будет работать.

Если у вас используются еще какие-то службы в интернете, то соответственно их нужно открывать отдельно.

Любые IP адреса не будут лезть в локальную сеть, только те куда ваши локальные устройства сначала отправят запрос (будет приходить ответ). Точнее они будут пытаться лезть, но дальше роутера не уйдут - там же у вас еще, видимо, NAT работает, вот он их и будет останавливать.