Newsgroup: it.comp.reti.ip-admin
Titolo: Aiuto per filtro con Zyxel Router

Vorrei abilitare SOLO la navigazione ad un pc della mia rete(192.168.0.10).
Ho scritto la regola sottostante e l'ho applicata nel menù 3.1 GENERAL
ETHERNET SETUP , nei filtri di INPUT. Ho uno Zyxel 642R. Perchè non
funziona? Cosa sbaglio? Ad esempio Emule continua a funzionare
imperterrito.......
LA REGOLA:
Menu 21.8.1 - TCP/IP Filter Rule
                    Filter #: 8,1
                    Filter Type= TCP/IP Filter Rule
                    Active= Yes
                    IP Protocol= 6     IP Source Route= No
                    Destination: IP Addr= 0.0.0.0
                                 IP Mask= 0.0.0.0
                                 Port #= 80
                                 Port # Comp= Not Equal
                         Source: IP Addr= 192.168.0.10
                                 IP Mask= 255.255.255.255
                                 Port #=
                                 Port # Comp= None
                    TCP Estab= No
                    More= No           Log= None
                    Action Matched= Drop
                    Action Not Matched= Forward
                    Press ENTER to Confirm or ESC to Cancel:
Press Space Bar to Toggle.
DOVE L'HO APPLICATA:
Menu 3.1 - General Ethernet Setup
                    Input Filter Sets:
                      protocol filters= 8
                      device filters=
                    Output Filter Sets:
                      protocol filters=
                      device filters=
Grazie a chi vorrà aiutarmi...

 (192.168.0.10).
In tal caso, oltre al filtro su TCP di permesso per la sola connessione
HTTP (porta 80) dovresti definire nel medesimo set delle regole che
blocchino UDP (tranne le query esterne DNS). Inoltre, qualora volessi
consentire l'accesso anche HTTPS dovresti consentire su TCP anche le
connessioni alla porta remota 443. 
Ti faccio un esempio di come potrebbe essere il tuo set 8 :
==
* cambiando gli Action Match
* consentendo HTTP/HTTPS
* consentendo query esterne DNS su UDP, ma bloccando Netbios 
# A Type                 Filter Rules                              M m n
- - ---- --------------------------------------------------------- - - -
1 Y IP   Pr=6, SA=192.168.0.10, DA=0.0.0.0, DP=80                  N F N
2 Y IP   Pr=6, SA=192.168.0.10, DA=0.0.0.0, DP=443                 N F N
3 Y IP   Pr=17, SA=192.168.0.10, SP!=137, DA=0.0.0.0, DP=53        N F N
4 Y IP   Pr=17, SA=192.168.0.10, DA=0.0.0.0                        N D N
5 Y IP   Pr=6, SA=192.168.0.10, DA=0.0.0.0                         N D F
Una volta salvato il ruleset, riavvii il router per essere certo che
venga applicato.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> * FAQ 1.6 ITGF it.tlc.gestori.fastweb <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * ----------------------------------- <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://plany.fasthosting.it
   <|
|>Togli/Remove .INVALID<|> * SITO: 
http://www.gofastweb.cjb.net
 _<|

Grazie mille Macs sei stato illuminante, ma... sei sicuro che la porta DNS
53 sia UDP e non TCP?
Saluti.
Cekko



In realtà sono tutte e due, ma nel caso generale UDP...
Hola..

53 sia UDP e non TCP?
Il DNS usa TCP *E* UDP.
-- 
ciao, | Does a route flap if nobody is listening to it?
Marco | (Ri)scoprire fidonet: 
http://bbs.bofh.it/

 ma... sei sicuro che la porta DNS 53 sia UDP e non TCP?
Ti ho indicato soltanto UDP per restringere al minimo il set di regole
di permesso = puoi indicare anche una regola di permesso uguale alla 3
anche per TCP DP=53 qualora riscontri dei problemi nelle query DNS. 


Aiutoo ho fatto come dici ma Emule funziona lo stesso!!
Ma va bene mettere il filtro in Input dove l'ho messo io?
Saluti.
Cekko

 Ma va bene mettere il filtro in Input dove l'ho messo io?
Lato Ethernet LAN e' OK -> devi eventualmente aggiungerlo anche nelle
impostazioni Remote Node Filter (menu 11.5), ma questa volta ovviamente
in Output Filter Sets - protocol filters = 8. Dovresti
avere quindi la seguente situazione :
Menu 21.8
# A Type                 Filter Rules                              M m n
- - ---- --------------------------------------------------------- - - -
1 Y IP   Pr=6, SA=192.168.0.10, DA=0.0.0.0, DP=80                  N F N
2 Y IP   Pr=6, SA=192.168.0.10, DA=0.0.0.0, DP=443                 N F N
3 Y IP   Pr=6, SA=192.168.0.10, SP!=137, DA=0.0.0.0, DP=53         N F N
4 Y IP   Pr=17, SA=192.168.0.10, SP!=137, DA=0.0.0.0, DP=53        N F N
5 Y IP   Pr=17, SA=192.168.0.10, DA=0.0.0.0                        N D N
6 Y IP   Pr=6, SA=192.168.0.10, DA=0.0.0.0                         N D F
Menu 3.1 - LAN Port Filter Setup
                   Input Filter Sets:
                      protocol filters= 8
                      device filters=
                    Output Filter Sets:
                      protocol filters=
                      device filters=
Menu 11.5 - Remote Node Filter
                    Input Filter Sets:
                      protocol filters= 12, 11
                        device filters=
                    Output Filter Sets:
                      protocol filters= 8
                        device filters=
                    Call Filter Sets:
                      protocol filters=
                        device filters=
Fatto questo, stacca il pc e riavvia il router -> ricollegando il pc
(che ovviamente deve avere l'IP 192.168.0.10) dovrebbe essere tutto OK.


Illuminante come al solito... provo subito...
Vedi macs il perchè di tutto questo è che mio fratello è collegato dal piano
di sotto con un portatile ad un access point wireless. Io non ho problemi se
lui usa emule ma vorrei mettere questo filtro nelle ore serali in modo che
possa navigare ma non occuparmi tutta la NAT TABLE del mio Zyxel, tanto i
problemi che da Emule con certi router li sappiamo tutti...
Ora mi viene un dubbio... L'access point ha ip 192.168.0.50, non è che il
router vede quello?
Saluti.
Cekko

Macs un'altra cosa.. posso vedere in qualche modo se il filtro filtra... c'è
un log come sui server linux relativo alle eventuali azioni intraprese dai
filtri? Comunque col filtro in Output-WAN pare funzionare, strano però che
non dovesse bastare solo Input LAN....
Saluti.
Cekko

 dovesse bastare solo Input LAN....
Non mi stupisce ;) = i filtri LAN sono adatti per le comunicazioni della
rete locale -> per quelle con la WAN conviene sempre imporre i filtri
anche sul remote node.


Grazie nuovamente.
Per ora ho ripiegato sullo scheduler di Emule.. vediamo come si comporta.
E' vero, sarebbe troppo una scocciatura mettere e togliere il filtro,
soprattutto con la mia testa sai le volte che lo lascierei inserito :)
Salutoni.
Cekko