device filter

[dAbOTZ]

Niente sommo, gia` me la tiro cosi` di mio..

ip policing routing.. non trovo quel menu, che numero ha?

nel remote node setup dovresti avere una voce REM IP Addr dove inserire l'indirizzo

[indre]

ciao..
il numero è il 25.

cmq per la cronaca ieri sera ora 2:05 sono riuscito a capire i filtri...
era una caxxo di impostazione degli zyxel che vogliono che se metti un host da bloccare vogliono la ip mask a 255.255.255.255

io invece ho provato sia come subnet mask normale 255.255.255.0 sia con "subnet" di ACL 0.0.0.0

adesso sono felice..

pero non riesco a capire ancora bene il menu 11 Remote node setup (piu che altro l'utilita) e il 25..

un altra cosa:
io per bloccare il ping fra le varie subnet (vedi sopra)
ho dovuto mettere il filtro sulla lan in output!!

se lo metto in input non mi va..

ma allora in input quando mai lo dovrò usare...??

ciao e grazie..

[dAbOTZ]

Originariamente inviato da indre
ciao..
il numero è il 25.

Ah, ok.. dev'essere caratteristico degli adsl, ora ne ho sottomano solo di isdn e non ce l'ho.. non ti so rispondere.

cmq per la cronaca ieri sera ora 2:05 sono riuscito a capire i filtri...
era una caxxo di impostazione degli zyxel che vogliono che se metti un host da bloccare vogliono la ip mask a 255.255.255.255

io invece ho provato sia come subnet mask normale 255.255.255.0 sia con "subnet" di ACL 0.0.0.0

adesso sono felice..

Urgh. Mia dimenticanza.

pero non riesco a capire ancora bene il menu 11 Remote node setup (piu che altro l'utilita) e il 25..

Per il 25.. come sopra. Per l'11, onestamente non ricordo le differenze fra gli isdn e l'adsl, quello che probabilmente e` in comune e` la sezione session options dove imposti i filter set per la wan.

un altra cosa:
io per bloccare il ping fra le varie subnet (vedi sopra)
ho dovuto mettere il filtro sulla lan in output!!

se lo metto in input non mi va..

ma allora in input quando mai lo dovrò usare...??

ciao e grazie..

Strano.. tieni comunque presente che se lo metti in input lo devi usare sull'altra lan che hai definito con l'alias

Mi dici il modello preciso del router cosi` mi procuro il manuale?

[indre]

zyxel 650R-31

ciao e grazie

[dAbOTZ]

Ordunque.. 'sto ip policy routing altro non e` che un sistema di routing statico. In pratica ti permette di instradare un pacchetto su gateway diversi a seconda dell'indirizzo sorgente e/o destinatario, e della porta sorgente e/o destinataria. Puo` essere utile quando magari hai due linee e vuoi usare quella piu` lenta per l'accesso al web e quella piu` veloce per il p2p, oppure sempre nel caso delle due linee per far uscire alcune macchine su quella piu` veloce e altre su quella piu` lenta, oppure ancora su linea singola per dirigere tutte le richieste http di un certo host verso una data macchina.

[indre]

ciao..

uno mi dice "voglio consentire di andare in internet solo a tre pc" su 10..

io ho creato il filtro consentendo all'ip specifico di andare sulla porta 80..
poi ne faccio un altro cambiando indirizzo..e lo applico all'interfaccia..

ora io l'ho aplicato alla WAN in uscita ..
ma non va..
riusciavano ad andare in internet tutti i pc..

come faccio..
ti posto le mie regole..

WAN in uscita vuol dire: dal router verso la porta WAN
WAN in entrate vuol dire: da WAN verso router

LAN in input: ?? da una subnet verso un altra??
LAN output= ??

queste due non le capisco..

cmq per la cronca..

se riesci a darmi quqlche info..

per la cronaca: non ha nessun senso fare questa cosa!
se l'utente riesce a cambiare i'ip il gioco è finito (e gli utenti devono avere permessi di admin)
potrei bloccare il mac..
stasera ci guardo..

questo è il mio filtro:

Menu 21.6.1 - TCP/IP Filter Rule
Filter #: 6,1
Filter Type= TCP/IP Filter Rule
Active= Yes
IP Protocol= 6 IP Source Route= No
Destination: IP Addr= 0.0.0.0
IP Mask= 0.0.0.0
Port #= 80
Port # Comp= Equal
Source: IP Addr= 192.168.1.31
IP Mask= 255.255.255.255
Port #=
Port # Comp= None
TCP Estab= No
More= No Log= None
Action Matched= Forward
Action Not Matched= Check Next Rule


e la finestra appare
1 Y IP Pr=6, SA=192.168.1.31, DA=0.0.0.0, DP=80 N F N
2 Y IP Pr=6, SA=192.168.1.21, DA=0.0.0.0, DP=80 N F N
3 Y IP Pr=6, SA=192.168.1.33, DA=0.0.0.0, DP=80 N F N

ho messo a tutti.
Action Matched= Forward
Action Not Matched= Check Next Rule

confido in te..
ciao

[dAbOTZ]

Originariamente inviato da indre
ciao..

uno mi dice "voglio consentire di andare in internet solo a tre pc" su 10..

io ho creato il filtro consentendo all'ip specifico di andare sulla porta 80..
poi ne faccio un altro cambiando indirizzo..e lo applico all'interfaccia..

ora io l'ho aplicato alla WAN in uscita ..
ma non va..
riusciavano ad andare in internet tutti i pc..

Il fatto che tu abbia detto a quei tre pc di uscire su internet non implica che gli altri non lo possano fare.. a meno che tu non lo specifichi espressamente

come faccio..
ti posto le mie regole..

WAN in uscita vuol dire: dal router verso la porta WAN
WAN in entrate vuol dire: da WAN verso router

LAN in input: ?? da una subnet verso un altra??
LAN output= ??

queste due non le capisco..

Non precisamente.

LAN input: tutto quello che entra nell'interfaccia lan del router e avente come sorgente la rete lan (ovvero tutti gli altri pc in lan), indipendentemente dal fatto che il pacchetto originale provenga effettivamente dalla lan o da una subnet di essa.

Lan output: tutto quello che esce dall'interfaccia lan del router e avente come sorgente il router stesso, indipendentemente dal fatto che il pacchetto originale provenga effettivamente dall'esterno (wan) o dall'interno (rete lan).

cmq per la cronca..

se riesci a darmi quqlche info..

per la cronaca: non ha nessun senso fare questa cosa!
se l'utente riesce a cambiare i'ip il gioco è finito (e gli utenti devono avere permessi di admin)
potrei bloccare il mac..
stasera ci guardo..

Forse il device filter puo` essere d'aiuto.. ci daro` un'occhiata

questo è il mio filtro:

Menu 21.6.1 - TCP/IP Filter Rule
Filter #: 6,1
Filter Type= TCP/IP Filter Rule
Active= Yes
IP Protocol= 6 IP Source Route= No
Destination: IP Addr= 0.0.0.0
IP Mask= 0.0.0.0
Port #= 80
Port # Comp= Equal
Source: IP Addr= 192.168.1.31
IP Mask= 255.255.255.255
Port #=
Port # Comp= None
TCP Estab= No
More= No Log= None
Action Matched= Forward
Action Not Matched= Check Next Rule


e la finestra appare
1 Y IP Pr=6, SA=192.168.1.31, DA=0.0.0.0, DP=80 N F N
2 Y IP Pr=6, SA=192.168.1.21, DA=0.0.0.0, DP=80 N F N
3 Y IP Pr=6, SA=192.168.1.33, DA=0.0.0.0, DP=80 N F N

ho messo a tutti.
Action Matched= Forward
Action Not Matched= Check Next Rule

confido in te..
ciao

Come detto piu` su.. in questo caso hai solo detto a quelle tre postazioni che possono accedere al web.. ma non hai inibito le altre. All'atto pratico non hai cambiato niente perche` di default al web accedono tutti.. quell'action not matched non va letto come se non e` quest'indirizzo non farlo accedere alla 80 ma se e` quest'indirizzo fallo pure andare sulla 80, e nulla piu`.. mica per questo le altre non ci possono andare.

Il trucco sta nell'inibire le altre postazioni (metto un indirizzo a caso, il 40):

Menu 21.6.1 - TCP/IP Filter Rule
Filter #: 6,1
Filter Type= TCP/IP Filter Rule
Active= Yes
IP Protocol= 6 IP Source Route= No
Destination: IP Addr= 0.0.0.0
IP Mask= 0.0.0.0
Port #= 80
Port # Comp= Equal
Source: IP Addr= 192.168.1.40
IP Mask= 255.255.255.255
Port #=
Port # Comp= None
TCP Estab= No
More= No Log= None
Action Matched= Drop
Action Not Matched= Forward

[indre]

ciao..
ok.. però nel tuo caso se ho 500 macchine come faccio?
devo mettere 500 filtri ?(che non li tiene neanche morto!!)

non so se funziona come le ACL e posso mettere i range di ip..

io credevo che se metto questi filtri la regola è:
arriva una richiesta sulla porta 80 da 192.168.1.31?
si ->allora lasciala passare se no guarda la regola successiva...

se arrvia una richiesta sulla porta 80 da una macchina che non fa parte di quelle specificate nei filtri droppa..

il router guarda le mie tre regole in fila..una dopo l'altra..

ma scusa se io metto Action not matched (all'ultima regola) drop (oppure check netx rules) non dovrebbe eliminare il pacchetto ?


adesso ci riporovo...
devo venirne a capo prima o poi..
ciao e grazie

[dAbOTZ]

Originariamente inviato da indre
ciao..
ok.. però nel tuo caso se ho 500 macchine come faccio?
devo mettere 500 filtri ?(che non li tiene neanche morto!!)

non so se funziona come le ACL e posso mettere i range di ip..

io credevo che se metto questi filtri la regola è:
arriva una richiesta sulla porta 80 da 192.168.1.31?
si ->allora lasciala passare se no guarda la regola successiva...

se arrvia una richiesta sulla porta 80 da una macchina che non fa parte di quelle specificate nei filtri droppa..

il router guarda le mie tre regole in fila..una dopo l'altra..

ma scusa se io metto Action not matched (all'ultima regola) drop (oppure check netx rules) non dovrebbe eliminare il pacchetto ?


adesso ci riporovo...
devo venirne a capo prima o poi..
ciao e grazie

Cosi` e` come dovrebbe funzionare sulla carta.. ma non funziona. Tieni poi presente che gli zyxel hanno un noto, grosso problema. Hai presente quando inserisci piu` filter set separati da virgole nei menu 3 e 11? Bene, non funziona. O, meglio, ne funziona sempre e soltanto uno. A meno che non sia stato corretto nelle ultime release dello zyxos.. io ci sono impazzito per settimane, per poi scoprire dopo varie ricerche in rete che e` un difetto di tutti gli zyxel, che la stessa casa e` stata tempestata di richieste di chiarimento da parte di innumerevoli utenti senza ricevere risposta.. tra i quali c'e` anche il sottoscritto. Viva cisco..

[dAbOTZ]

Ah, fra le altre cose.. sui 202H il dhcp non funziona.. perlomeno su quelli che ho incontrato finora.. mah.