Различия

Показаны различия между двумя версиями страницы.

--- vyos:firewall [2025/03/13 18:51] – [Общие сведения о FW] admin
+++ vyos:firewall [2025/03/15 21:46] (текущий) – admin
@@ Строка 2: / Строка 2: @@
 **Для нормального функционирования системы, необходимо правило *1000*, иначе не работают внутренние скрипты**
+Общий план прохождения пакетов:
+{{ :vyos:firewall-gral-packet-flow.webp |}}
 ===== Пример настройки FW =====
 <code>
+#### Input ####
 #Задаём группы адресов
 set firewall group address-group localnet address '172.16.15.1-172.16.15.14'
@@ Строка 14: / Строка 17: @@
 set firewall ipv4 input filter default-action 'drop'
-#Разрешаём всё что уже установило коннекты
+#Разрешаём established,related
 set firewall ipv4 input filter rule 1 action 'accept'
 set firewall ipv4 input filter rule 1 state 'established'
@@ Строка 23: / Строка 26: @@
 set firewall ipv4 input filter rule 2 source group address-group 'trust'
-#Разрешаем порты 9990-9999 (для впн в моём случае)
+#Разрешаем порты 9990-9999 (для WG в моём случае)
 set firewall ipv4 input filter rule 3 action 'accept'
 set firewall ipv4 input filter rule 3 destination port '9990-9999'
@@ Строка 32: / Строка 35: @@
 set firewall ipv4 input filter rule 4 destination port '1701'
 set firewall ipv4 input filter rule 4 protocol 'udp'
-#Разрешаем 80 и 443 порт для доверенных списков
-set firewall ipv4 input filter rule 5 action 'accept'
-set firewall ipv4 input filter rule 5 destination port '80,443'
-set firewall ipv4 input filter rule 5 protocol 'tcp_udp'
-set firewall ipv4 input filter rule 5 source group address-group 'trust'
 #Разрешаем общение localhost, для нормальной работы контейнеров, и скриптов python самой системы.
@@ Строка 44: / Строка 41: @@
 set firewall ipv4 input filter rule 1000 protocol 'all'
 set firewall ipv4 input filter rule 1000 source address '127.0.0.1'
+#### Forward ####
+#Дефолтное правило - блокировать всё
+set firewall ipv4 forward filter default-action 'drop'
+#Разрешаём established,related
+set firewall ipv4 forward filter rule 1 action 'accept'
+set firewall ipv4 forward filter rule 1 state 'established'
+set firewall ipv4 forward filter rule 1 state 'related'
+#Разрешаём прохождение трафика с доверенных адресов
+set firewall ipv4 forward filter rule 10 action 'accept'
+set firewall ipv4 forward filter rule 10 source group address-group 'trust'
 </code>