Оглавление

• Введение
• Теоретическая часть
• Открытие порта
• Перенаправление порта
• Перенаправление порта из локальной сети к адресу в интернете или VPN
• Заключение

Введение

Для доступа к устройствам и службам, находящимся в локальной сети за роутером, требуется открыть или перенаправить порт на его межсетевом экране. По умолчанию входящие подключения из сотовой сети (зона wan) блокируются, поэтому ни веб-интерфейс самого роутера, ни контроллер или прибор учёта в локальной сети снаружи недоступны.

В статье рассмотрены три задачи для роутеров TELEOFIS LT40 и LT5x: открытие порта для служб самого роутера, перенаправление внешнего порта на устройство в локальной сети и перенаправление трафика из локальной сети на внешний адрес с помощью iptables. Каждая настройка показана двумя способами — через веб-интерфейс и через консоль роутера.

Теоретическая часть

Межсетевой экран роутера построен на iptables и настраивается через конфигурационный файл /etc/config/firewall. В нём используются два принципиально разных типа правил:

• Правило для трафика (секция config rule) — открытие порта. Разрешает входящие подключения к службе, работающей на самом роутере: веб-интерфейс (порт 80), SSH (порт 22) и другие. Трафик завершается на роутере и дальше не передаётся.
• Перенаправление порта (секция config redirect, механизм DNAT) — проброс порта. Подменяет адрес назначения у входящего пакета и передаёт его устройству в локальной сети. Внешний и внутренний порты могут отличаться.

Отдельный случай — оборудование, у которого задан только локальный IP-адрес и маска подсети, без шлюза и DNS. Такое устройство не «видит» интернет, и его данные не выходят за пределы локальной сети роутера. Здесь применяется пользовательское правило iptables в цепочке PREROUTING таблицы nat: роутер принимает пакеты, отправленные на его собственный локальный адрес, и перенаправляет их на внешний адрес и порт в интернете или VPN.

Открытие порта

На схеме представлен роутер LT50 или LT40 со статическим IP-адресом. Задача: удалённо войти в веб-интерфейс роутера по его статическому IP-адресу. Веб-интерфейс работает на порту 80, поэтому этот порт необходимо открыть в межсетевом экране.

1. Настройка через веб-интерфейс

Перейдите в меню Сеть → Межсетевой экран:

Откройте вкладку Правила для трафика и в разделе добавления нового правила нажмите Добавить:

Задайте параметры правила: имя HTTP, протокол TCP+UDP, зона источника wan, порт назначения 80, действие Принять:

Созданное правило отображается в общем списке правил для трафика:

Нажмите Сохранить и применить — после этого правило вступит в силу:

2. Настройка через консоль

Подключитесь к консоли роутера по SSH и откройте файл /etc/config/firewall в текстовом редакторе nano:

nano /etc/config/firewall

Добавьте в конец файла правило и сохраните изменения:

config rule
    option enabled '1'
    option target 'ACCEPT'
    option src 'wan'
    option proto 'tcp udp'
    option dest_port '80'
    option name 'HTTP'

Перезапустите межсетевой экран:

/etc/init.d/firewall restart

Либо эквивалентной командой:

service firewall restart

Перенаправление порта

Перенаправление используется, чтобы передать запросы с внешнего порта роутера на тот же или другой порт устройства в локальной сети.

На схеме представлен роутер LT50 или LT40 со статическим IP-адресом. К роутеру подключён ПЛК, который работает в режиме сервера и слушает порт 5000. Задача: подключиться с программного обеспечения опроса, запущенного на компьютере, на адрес 172.26.19.13 и порт 5000 и попасть на ПЛК.

1. Настройка через веб-интерфейс

В меню Сеть → Межсетевой экран откройте вкладку Перенаправление портов и нажмите Добавить:

Задайте параметры правила: имя Forward5000, протокол TCP+UDP, внешняя зона wan, внешний порт 5000, внутренняя зона lan, внутренний IP-адрес ПЛК 192.168.88.10, внутренний порт 5000:

Созданное правило отображается в списке перенаправлений:

Нажмите Сохранить и применить:

2. Настройка через консоль

Откройте файл /etc/config/firewall:

nano /etc/config/firewall

Добавьте правило и сохраните файл:

config redirect
    option target 'DNAT'
    option src 'wan'
    option dest 'lan'
    option proto 'tcp udp'
    option src_dport '5000'
    option dest_ip '192.168.88.10'
    option dest_port '5000'
    option name 'Forward5000'

Перезапустите межсетевой экран:

/etc/init.d/firewall restart

Либо эквивалентной командой:

service firewall restart

Перенаправление порта из локальной сети к адресу в интернете или VPN

Встречаются ситуации, когда оборудование имеет только локальный IP-адрес и маску подсети, но не имеет настроек шлюза и DNS. При этом устройству можно задать цель передачи данных — целевой IP-адрес и порт (TCP или UDP).

Проблема в том, что при подключении такого устройства к роутеру сформированные им данные не уходят дальше самого роутера: без шлюза устройство не «видит» сеть Интернет и ограничено рамками локальной сети.

В этом случае применяется пользовательское перенаправление портов с использованием iptables. Перейдите в меню Сеть → Межсетевой экран:

Откройте вкладку Пользовательские правила:

Добавьте правило перенаправления, указав локальный адрес роутера 192.168.88.1, порт 9001 и целевой адрес и порт в интернете или VPN 31.58.45.6:9001:

iptables -t nat -A PREROUTING -d 192.168.88.1 -p TCP --dport 9001 -j DNAT --to-destination 31.58.45.6:9001

Итоговый вид вкладки с добавленным правилом:

Чтобы сохранить изменения нажмите кнопку Перезапустить межсетевой экран.

Заключение

В статье рассмотрены три способа управления входящим и исходящим трафиком на роутерах TELEOFIS LT40 и LT5x. Открытие порта даёт удалённый доступ к службам самого роутера, перенаправление порта — доступ к оборудованию в локальной сети, а пользовательские правила iptables позволяют передавать данные с устройств без настроек шлюза на внешние серверы в интернете или VPN.

Все настройки выполняются как через веб-интерфейс, так и через консоль редактированием файла /etc/config/firewall — второй способ удобен при массовом развёртывании, когда готовая конфигурация переносится на однотипные устройства. После любых изменений межсетевой экран необходимо перезапустить, иначе правила не вступят в силу.

Открывайте только те порты, которые действительно нужны, и по возможности ограничивайте источник подключения доверенными адресами: каждый открытый из сотовой сети порт является потенциальной точкой входа на объект.