Witam,
na routerze er706w skonfigurowałem dwie sieci vlan o id 1 oraz 2. Do vlan1 podłączone są komputery, vlan2 to WiFi. Dodałem regułę blokującą komunikację pomiędzy sieciami VLAN i urządzenia Wifi nie widzą urządzeń z sieci przewodowej i odwrotnie - taki był cel. Problem polega na tym, że teraz urządzenia Wifi i urządzenia przewodowe podając adres swojej bramy (odpowiednio 10.0.10.1 oraz 10.0.20.1) w przeglądarce wyświetla się im panel konfiguracji. Chciałbym zablokować możliwość wejścia do konfiguracji dla urządzeń w vlan2, pytanie jak to zrobić?
To czego szukasz nazywa się firewall.
Firewall > Access Control > Access Control - według instrukcji.
Tworzysz regułę - dla wszystkich IP z danej podsieci zablokuj dostęp do portu 80 (i ew. 443) routera. I już.
Niestety wg mojej wiedzy (lub jej braku) nie ma możliwości na tym routerze blokowania poprzez Access Control ruchu po HTTP/HTTPS w kierunku LAN -> LAN, tylko dla określonych adresów IP (grup adresów). Możliwe jest blokowanie sieci LAN -> LAN (VLAN) co jak pisałem udało się skonfigurować, bo urządzenia się nie widzą, mogą natomiast pingować bramę swoją oraz drugiej sieci (!!!). Co gorsza panel konfiguracyjny dostępny jest teraz nie tylko pod adresem 10.0.1.1, ale również 10.0.2.1 - jak dla mnie zupełnie nielogiczne działanie i zdecydowanie niebezpieczne.
Ponawiam pytanie lub proszę o dokładną instrukcję jak to wykonać, bo przykłady z manuala dotyczą chyba innej wersji oprogramowania, ja obecnie pracuje na wersji 1.0.2 Build 20231020 Rel.57490(4555).
Podpowiem, że nie mam tego urządzenia, tylko opieram się na informacji z instrukcji oraz (czasem) symulatorze.
Teoretycznie nie widzę żadnego problemu, żeby:
Zdefiniować IP Address w Preferences->IP Group (dla VLAN, o ile już nie ma)
Utworzyć dla tego IP Address ew. IP Group - zapewne osobno dla każdej podsieci, której dostęp chcemy ograniczyć i wszystkich adresów, do których dostęp chcemy ograniczyć.
Użyć tych adresów/grup w konfiguracji Access Control i w razie czego poeksperymentować z ustawieniami opcji kierunku ruchu (LAN-LAN itd.), który załapie ruch do routera. Nie widzę gotowca dla tego routera w sieci, ale nie wygląda to na zbyt złożone.
Jeżeli to nie działa, to ja bym zgłosił się z raportem problemu do TPLink, że mają poważną dziurę w implementacji UI firewalla w tym urządzeniu - ale wątpię, żeby to nie działało.
Dokładnie, poeksperymentowałem na spokojnie... i udało się. Na liście source/destination w konfiguracji reguły znalazłem coś co się nazywa 'Me' i jak się okazało odnosi się to do ip routera (w zasadzie do wszystkich jego adresów, tj. 10.0.1.1 oraz 10.0.2.1).
Pozostało tylko wskazanie zakresów IP (z grup, które jak opisywałeś wcześniej utworzyłem) do zablokowania, wybór kierunku (wybrałem ALL - wycina wszystko co urządzenia próbują wysłać do routera co nie idzie do neta:D - ) i to tyle - działa jak trzeba - dostęp do konfiguracji tylko z jednej sieci.
