- Ба сиёсати радкунии пешфарз афзалият диҳед ва рӯйхати сафедҳоро барои SSH истифода баред.
- NAT + ACL -ро муттаҳид мекунад: портро мекушояд ва аз рӯи IP манбаъ маҳдуд мекунад.
- Бо nmap/ping тасдиқ кунед ва афзалияти қоидаҳоро (ID) эҳтиром кунед.
- Бо навсозиҳо, калидҳои SSH ва хидматҳои ҳадди аққал мустаҳкам кунед.
¿Чӣ тавр дастрасии SSH-ро ба роутери TP-Link ба IP-ҳои боэътимод маҳдуд кардан мумкин аст? Назорати кӣ метавонад ба шабакаи шумо тавассути SSH дастрасӣ пайдо кунад, ин як ҳавас нест, он як қабати муҳими амният аст. Ба дастрасӣ танҳо аз суроғаҳои IP боэътимод иҷозат диҳед Он сатҳи ҳамларо коҳиш медиҳад, сканҳои автоматиро суст мекунад ва кӯшишҳои пайваста аз Интернет пешгирӣ мекунад.
Дар ин дастури амалӣ ва ҳамаҷониба шумо хоҳед дид, ки чӣ гуна онро дар сенарияҳои гуногун бо таҷҳизоти TP-Link (SMB ва Omada) иҷро кардан лозим аст, бо қоидаҳо ва рӯйхати сафедҳои ACL чиро бояд баррасӣ кард ва чӣ гуна тафтиш кардан мумкин аст, ки ҳама чиз дуруст баста шудааст. Мо усулҳои иловагиро ба монанди Wrappers TCP, iptables ва таҷрибаҳои беҳтарин муттаҳид мекунем то шумо метавонед муҳити худро бидуни тарк кардани ақсои фуҷур муҳофизат кунед.
Чаро дастрасии SSH-ро дар роутерҳои TP-Link маҳдуд кунед
Фош кардани SSH ба интернет дарро ба кофтуковҳои азими ботҳои аллакай кунҷкобу бо нияти бад мекушояд. Муайян кардани порти 22, ки пас аз скан дар WAN дастрас аст, чуноне ки дар [намунаҳои SSH] мушоҳида шудааст, ғайриоддӣ нест. нокомиҳои ҷиддӣ дар роутерҳои TP-Link. Фармони оддии nmap метавонад истифода шавад, ки оё суроғаи IP-и ҷамъиятии шумо бандари 22 кушода бошад.: чизе ба ин монандро дар мошини беруна иҷро мекунад nmap -vvv -p 22 TU_IP_PUBLICA ва санҷед, ки оё "open ssh" пайдо мешавад.
Ҳатто агар шумо калидҳои оммавиро истифода баред, кушода мондани порти 22 ба ҷустуҷӯи минбаъда, санҷиши портҳои дигар ва ҳамла ба хидматҳои идоракунӣ даъват мекунад. Ҳалли равшан аст: бо нобаёнӣ рад кунед ва танҳо аз IP ё диапазони иҷозатдодашуда фаъол созед.Беҳтараш аз ҷониби шумо собит ва назорат карда мешавад. Агар ба шумо идоракунии дурдаст лозим набошад, онро дар WAN пурра хомӯш кунед.
Илова ба фош кардани портҳо, ҳолатҳое вуҷуд доранд, ки шумо метавонед дар бораи тағирёбии қоида ё рафтори ғайриоддӣ шубҳа дошта бошед (масалан, модеми кабелӣ, ки пас аз муддате трафики содиротро "партофта" оғоз мекунад). Агар шумо бинед, ки ping, traceroute ё дидан аз модем намегузарад, танзимот, нармафзори нармафзорро тафтиш кунед ва барқарор кардани танзимоти заводро баррасӣ кунед. ва ҳама чизеро, ки шумо истифода намебаред, пӯшед.
Модели равонӣ: ба таври нобаёнӣ блок кунед ва рӯйхати сафед эҷод кунед
Фалсафаи ғолиб оддӣ аст: сиёсати радкунии пешфарз ва истисноҳои возеҳДар бисёре аз роутерҳои TP-Link бо интерфейси пешрафта, шумо метавонед дар брандмауэр сиёсати вуруди дурдасти Drop-ро муқаррар кунед ва сипас ба суроғаҳои мушаххас дар рӯйхати сафед барои хидматҳои идоракунӣ иҷозат диҳед.
Дар системаҳое, ки имконоти "Сиёсати вуруди дурдаст" ва "Қоидаҳои рӯйхати сафед" -ро дар бар мегиранд (дар шабака - саҳифаҳои Сипар), Тарки бренд дар сиёсати вуруди дурдаст Ва ба рӯйхати сафед IP-ҳои умумиро дар формати CIDR XXXX/XX илова кунед, ки онҳо бояд ба конфигуратсия ё хидматҳое мисли SSH/Telnet/HTTP(S) дастрасӣ дошта бошанд. Ин сабтҳо метавонанд тавсифи мухтасарро дар бар гиранд, то баъдтар нофаҳмиҳо пешгирӣ карда шаванд.
Фаҳмидани фарқияти байни механизмҳо муҳим аст. Интиқоли порт (NAT/DNAT) портҳоро ба мошинҳои LAN равона мекунадДар ҳоле ки "Қоидаҳои филтркунӣ" трафики WAN-ба-LAN ё байнишабакаро назорат мекунад, "Қоидаҳои Рӯйхати сафед"-и брандмауэр дастрасӣ ба системаи идоракунии роутерро танзим мекунад. Қоидаҳои филтр дастрасӣ ба худи дастгоҳро манъ намекунанд; барои ин, шумо рӯйхати сафед ё қоидаҳои мушаххасро дар бораи трафики воридотӣ ба роутер истифода мебаред.
Барои дастрасӣ ба хидматҳои дохилӣ, харитасозии порт дар NAT сохта мешавад ва он гоҳ маҳдуд аст, ки кӣ метавонад ба ин харитасозӣ аз берун дастрасӣ пайдо кунад. Дорухат ин аст: бандари заруриро кушоед ва сипас онро бо назорати дастрасӣ маҳдуд кунед. ки танҳо ба манбаъҳои ваколатдор имкон медиҳад, ки тавассути онҳо гузаранд ва боқимондаро манъ мекунад.
SSH аз IP-ҳои боэътимод дар TP-Link SMB (ER6120/ER8411 ва шабеҳ)
Дар роутерҳои SMB, ба монанди TL-ER6120 ё ER8411, намунаи маъмулии таблиғи хидмати LAN (масалан, SSH дар сервери дохилӣ) ва маҳдуд кардани он бо IP-и манбаъ думарҳила аст. Аввалан, порт бо сервери виртуалӣ (NAT) кушода мешавад ва сипас бо назорати дастрасӣ филтр карда мешавад. дар асоси гурӯҳҳои IP ва намудҳои хидмат.
Марҳилаи 1 - Сервери виртуалӣ: гузаред Мукаммал → NAT → Сервери виртуалӣ ва барои интерфейси мувофиқи WAN вуруд эҷод мекунад. Порти берунаи 22-ро танзим кунед ва онро ба суроғаи IP-и дохилии сервер нишон диҳед (масалан, 192.168.0.2:22)Барои илова кардани он ба рӯйхат қоидаро захира кунед. Агар парвандаи шумо порти дигарро истифода барад (масалан, шумо SSH-ро ба 2222 иваз кардаед), арзишро мувофиқи он танзим кунед.
Марҳилаи 2 - Навъи хидмат: ворид кунед Афзалиятҳо → Навъи хидмат, як хидмати нав эҷод кунед, масалан, SSH, интихоб кунед TCP ё TCP/UDP ва порти таъиноти 22-ро муайян кунед (диапазони порти манбаъ метавонад 0–65535 бошад). Ин қабат ба шумо имкон медиҳад, ки ба порт дар ACL тоза истинод кунед.
Марҳилаи 3 - Гурӯҳи IP: гузаред Афзалиятҳо → Гурӯҳи IP → Суроғаи IP ва воридотро барои манбаи иҷозатдодашуда (масалан, IP-и ҷамъиятии шумо ё диапазон бо номи "Access_Client") ва манбаи таъинот (масалан, "SSH_Server" бо IP дохилии сервер) илова кунед. Пас ҳар як суроғаро бо IP-и мувофиқи он пайваст кунед дар дохили ҳамон меню.
Марҳилаи 4 - Назорати дастрасӣ: дар Сипар → Назорати дастрасӣ Ду қоида эҷод кунед. 1) Иҷозат додан Қоида: Иҷозат додан ба сиёсат, хидмати навтаъсиси "SSH", Сарчашма = Гурӯҳи IP "Access_Client" ва макони таъинот = "SSH_Server". Ба он ID 1 диҳед. 2) Қоидаи басташавӣ: Сиёсати блок бо сарчашма = IPGROUP_ANY ва таъинот = "SSH_Server" (ё ба қадри имкон) бо ID 2. Бо ин роҳ, танҳо IP ё диапазони боэътимод тавассути NAT ба SSH-и шумо мегузарад; боқимонда баста мешавад.
Тартиби баҳодиҳӣ муҳим аст. Идентификаторҳои поёнӣ афзалият дорандАз ин рӯ, қоидаи Иҷозат бояд пеш аз (ID-и поён) қоидаи Блок бошад. Пас аз татбиқи тағирот, шумо метавонед ба суроғаи IP-и роутер дар бандари муайяншуда аз суроғаи IP-и иҷозатдодашуда пайваст шавед, аммо пайвастшавӣ аз дигар манбаъҳо баста мешавад.
Эзоҳҳои модел/прошвор: Интерфейс метавонад дар байни сахтафзор ва версияҳо фарқ кунад. TL-R600VPN барои пӯшонидани вазифаҳои муайян сахтафзори v4-ро талаб мекунадВа дар системаҳои гуногун, менюҳо метавонанд кӯчонида шаванд. Бо вуҷуди ин, ҷараён якхела аст: навъи хидмат → Гурӯҳҳои IP → ACL бо Иҷозат ва Блок. Фаромӯш накунед захира кунед ва татбиқ кунед то ки коидахо эътибор пайдо кунанд.
Санҷиши тавсияшаванда: Аз суроғаи IP ваколатдор, кӯшиш кунед ssh usuario@IP_WAN ва дастрасиро тафтиш кунед. Аз дигар суроғаи IP, порт бояд дастнорас гардад. (пайвастае, ки намерасад ё рад карда мешавад, идеалӣ бе баннер барои пешгирӣ кардани нишонаҳо).
ACL бо Omada Controller: Рӯйхатҳо, штатҳо ва сенарияҳои намунавӣ
Агар шумо шлюзҳои TP-Link-ро бо Controller Omada идора кунед, мантиқ монанд аст, аммо бо имконоти бештари визуалӣ. Гурӯҳҳо эҷод кунед (IP ё портҳо), ACL-ҳои шлюзро муайян кунед ва қоидаҳоро тартиб диҳед ба ҳадди ақал иҷозат диҳед ва ҳама чизро рад кунед.
Рӯйхатҳо ва гурӯҳҳо: дар Танзимотҳо → Профилҳо → Гурӯҳҳо Шумо метавонед гурӯҳҳои IP (зерҳо ё ҳостҳо, ба монанди 192.168.0.32/27 ё 192.168.30.100/32) ва инчунин гурӯҳҳои портӣ (масалан, HTTP 80 ва DNS 53) эҷод кунед. Ин гурӯҳҳо қоидаҳои мураккабро содда мекунанд бо истифодаи дубораи объектҳо.
Gateway ACL: дар Танзимот → Амнияти шабака → ACL Вобаста ба он чизе, ки шумо муҳофизат кардан мехоҳед, қоидаҳоро бо самти LAN→WAN, LAN→LAN ё WAN→LAN илова кунед. Сиёсати ҳар як қоида метавонад Иҷозат ё Инкор бошад. ва тартибот натичаи хакикиро муайян мекунад. Барои фаъол кардани онҳо "Фаъол" -ро санҷед. Баъзе версияҳо ба шумо имкон медиҳанд, ки қоидаҳоро омода ва ғайрифаъол гузоред.
Ҳолатҳои муфид (мувофиқ ба SSH): танҳо хидматҳои мушаххасро иҷозат диҳед ва боқимондаҳоро манъ кунед (масалан, иҷозат додан ба DNS ва HTTP ва сипас ҳамаро рад кунед). Барои рӯйхатҳои сафеди идоракунӣ, Иҷозат доданро аз IP-ҳои боэътимод ба "Саҳифаи маъмурияти дарвоза" эҷод кунед ва сипас як радди умумӣ аз шабакаҳои дигар. Агар нармафзори шумо ин имконот дошта бошад. ДуҷонибаШумо метавонед ба таври худкор қоидаи баръакс тавлид кунед.
Ҳолати пайвастшавӣ: ACL-ҳо метавонанд ҳолати мушаххас бошанд. Навъҳои маъмул нав, муқарраршуда, алоқаманд ва беэътибор мебошанд"Нав" бастаи аввалро идора мекунад (масалан, SYN дар TCP), "Таъсисшуда" трафики дуҷонибаи қаблан дучоршударо идора мекунад, "Алоқаманд" пайвастҳои вобастаро (масалан, каналҳои додаҳои FTP) идора мекунад ва "Беэътибор" трафики аномалияро идора мекунад. Одатан беҳтар аст, ки танзимоти пешфарзро нигоҳ доред, магар он ки шумо гранулияти иловагӣ талаб накунед.
VLAN ва сегментатсия: Дастгирии роутерҳои Omada ва SMB сенарияҳои якҷониба ва дуҷониба байни VLANҳоШумо метавонед Маркетинг → R&D -ро маҳкам кунед, аммо R&D → Маркетингро иҷозат диҳед ё ҳарду самтро маҳкам кунед ва ба як мудири мушаххас иҷозат диҳед. Самти LAN→LAN дар ACL барои идоракунии трафик байни зершабакаҳои дохилӣ истифода мешавад.
Усулҳо ва тақвияти иловагӣ: Wrappers TCP, iptables, MikroTik ва девори классикӣ
Илова ба ACL-ҳои роутер, қабатҳои дигаре ҳастанд, ки бояд татбиқ карда шаванд, хусусан агар макони таъиноти SSH сервери Linux дар паси роутер бошад. TCP Wrappers имкон медиҳад, ки тавассути IP бо hosts.allow ва hosts.deny филтр карда шавад дар бораи хидматҳои мувофиқ (аз ҷумла OpenSSH дар бисёр конфигуратсияҳои анъанавӣ).
Файлҳои назорат: агар онҳо вуҷуд надошта бошанд, бо онҳо эҷод кунед sudo touch /etc/hosts.{allow,deny}. Беҳтарин амал: ҳама чизро дар hosts.deny рад кунед ва ба таври возеҳ ба он дар hosts.allow иҷозат медиҳад. Масалан: дар /etc/hosts.deny пон sshd: ALL ва дар /etc/hosts.allow илова кунед sshd: 203.0.113.10, 198.51.100.0/24Ҳамин тариқ, танҳо он IP-ҳо метавонанд ба демони SSH сервер бирасанд.
IPtables фармоишӣ: Агар роутер ё сервери шумо ба он иҷозат диҳад, қоидаҳоеро илова кунед, ки танҳо SSH-ро аз манбаъҳои мушаххас қабул мекунанд. Қоидаи маъмулӣ хоҳад буд: -I INPUT -s 203.0.113.10 -p tcp --dport 22 -j ACCEPT пас аз он сиёсати пешфарз DROP ё қоидае, ки боқимондаҳоро маҳкам мекунад. Дар роутерҳо бо ҷадвали Қоидаҳои фармоишӣ Шумо метавонед ин сатрҳоро ворид кунед ва онҳоро бо "Захира ва татбиқ кунед" татбиқ кунед.
Таҷрибаҳои беҳтарин дар MikroTik (ҳамчун дастури умумӣ татбиқ карда мешаванд): агар имконпазир бошад, портҳои пешфарзро тағир диҳед, Telnetро ғайрифаъол кунед (танҳо SSH-ро истифода баред), паролҳои қавӣ истифода баред ё беҳтараш, аутентификатсияи калидДастрасиро бо суроғаи IP бо истифода аз девор маҳдуд кунед, 2FA-ро фаъол созед, агар дастгоҳ онро дастгирӣ кунад ва нармафзори нармафзор/RouterOS-ро навсозӣ кунед. Агар ба шумо лозим набошад, дастрасии WAN-ро хомӯш кунедОн кӯшишҳои нокомро назорат мекунад ва дар ҳолати зарурӣ маҳдудиятҳои суръати пайвастро барои ҷилавгирӣ аз ҳамлаҳои қувваи бераҳмона татбиқ мекунад.
Интерфейси классикии TP-Link (нармафзори кӯҳна): Бо истифода аз суроғаи IP-и LAN (пешфарз 192.168.1.1) ва эътимодномаи маъмур/администратор ба панел ворид шавед ва сипас ба суроға равед. Амният → СипарФилтри IP-ро фаъол созед ва интихоб кунед, ки бастаҳои номаълум ба сиёсати дилхоҳ мувофиқат кунанд. Сипас, дар Филтркунии суроғаи IP, пахш кунед "Иловаи нав" ва муайян кунед ки IP-ҳо метавонанд порти хидматрасониро истифода баранд ё наметавонанд дар WAN (барои SSH, 22/tcp). Ҳар як қадамро захира кунед. Ин ба шумо имкон медиҳад, ки радкунии умумиро татбиқ кунед ва истисноҳо эҷод кунед, то танҳо IP-ҳои боэътимод иҷозат диҳед.
IP-ҳои мушаххасро бо масирҳои статикӣ масдуд кунед
Дар баъзе мавридҳо барои беҳтар кардани субот бо хидматҳои муайян (ба мисли ҷараён) масдуд кардани ирсолот ба IP-ҳои мушаххас муфид аст. Як роҳе, ки ин корро дар дастгоҳҳои сершумори TP-Link анҷом медиҳад, ин масири статикӣ мебошад., эҷоди /32 хатсайрҳое, ки аз расидан ба он самтҳо худдорӣ мекунанд ё онҳоро тавре равона мекунанд, ки онҳо бо масири пешфарз истеъмол нашаванд (дастгирӣ аз рӯи нармафзор фарқ мекунад).
Моделҳои охирин: ба ҷадвал равед Мукаммал → Шабака → Масири пешрафта → Масири статикӣ ва "+ Илова" -ро пахш кунед. "Макони таъиноти шабакавӣ" -ро бо суроғаи IP барои басташавӣ, "Никоби зершабака" 255.255.255.255, "Шлюзи пешфарз" ба шлюзи LAN (одатан 192.168.0.1) ва "Интерфейс" LAN ворид кунед. "Иҷозат додан ба ин вуруд" -ро интихоб кунед ва захира кунедВобаста аз хидмате, ки шумо мехоҳед назорат кунед, барои ҳар як суроғаи IP-и мақсаднок такрор кунед.
Нармафзори кӯҳна: гузаред Масири пешрафта → Рӯйхати масирҳои статикӣ, "Иловаи нав" -ро пахш кунед ва ҳамон майдонҳоро пур кунед. Ҳолати масирро фаъол созед ва захира кунедБо дастгирии хидмати худ машварат кунед, то бифаҳмед, ки кадом IP-ҳо бояд муносибат кунанд, зеро онҳо метавонанд тағир ёбанд.
Тафтиш: Терминал ё сатри фармонро кушоед ва бо он озмоиш кунед ping 8.8.8.8 (ё IP-и таъинот, ки шумо баста кардаед). Агар шумо "Тамоми вақт" ё "Ҳозиси таъинот дастнорас" -ро бинедБлок кор мекунад. Дар акси ҳол, қадамҳоро аз назар гузаронед ва роутерро бозоғоз намоед, то ҳамаи ҷадвалҳо эътибор пайдо кунанд.
Санҷиш, санҷиш ва ҳалли ҳодиса
Барои тасдиқ кардани он, ки рӯйхати сафеди SSH-и шумо кор мекунад, кӯшиш кунед, ки суроғаи ваколатдори IP-ро истифода баред. ssh usuario@IP_WAN -p 22 (ё бандаре, ки шумо истифода мебаред) ва дастрасиро тасдиқ кунед. Аз суроғаи IP-и беиҷозат, порт набояд хидмат пешниҳод кунад.. ИМА nmap -p 22 IP_WAN барои тафтиш кардани вазъияти гарм.
Агар чизе ба таври лозима ҷавоб надиҳад, афзалияти ACL-ро санҷед. Қоидаҳо пайдарпай коркард карда мешаванд ва онҳое, ки ID-и пасттарин доранд, ғолиб меоянд.Рад дар болои Иҷозати шумо рӯйхати сафедро беэътибор мекунад. Инчунин, санҷед, ки "Намуди хидмат" ба порти дуруст ишора мекунад ва "Гурӯҳҳои IP"-и шумо диапазони мувофиқро дар бар мегирад.
Дар сурати рафтори шубҳанок (аз даст додани пайвастшавӣ пас аз муддате, қоидаҳое, ки худ аз худ тағир меёбанд, трафики LAN, ки коҳиш меёбад) баррасӣ кунед. навсозӣ кунедХидматҳоеро, ки шумо истифода намебаред, ғайрифаъол кунед (маъмурияти дурдасти веб/Telnet/SSH), маълумоти эътимодномаро тағир диҳед, клонкунии MAC-ро дар ҳолати имконпазир тафтиш кунед ва дар ниҳоят, Ба танзимоти заводӣ барқарор кунед ва бо танзимоти ҳадди ақал ва рӯйхати сафеди қатъӣ аз нав танзим кунед.
Мутобиқат, моделҳо ва қайдҳои мавҷудият
Мавҷудияти хусусиятҳо (ACL-ҳои давлатӣ, профилҳо, рӯйхатҳои сафед, таҳрири PVID дар портҳо ва ғайра) Он метавонад аз модели сахтафзор ва версия вобаста бошадДар баъзе дастгоҳҳо, ба монанди TL-R600VPN, қобилиятҳои муайян танҳо аз версияи 4 дастрасанд. Интерфейси корбар низ тағир меёбад, аммо раванди асосӣ як аст: басташавӣ ба таври нобаёнӣ, хизматхо ва гуруххоро муайян мекунанд, аз IP-ҳои мушаххас иҷозат диҳед ва боқимондаро маҳкам кунед.
Дар доираи экосистемаи TP-Link дастгоҳҳои зиёде мавҷуданд, ки дар шабакаҳои корхонаҳо иштирок мекунанд. Моделҳое, ки дар ҳуҷҷатҳо зикр шудаанд, дохил мешаванд T1600G-18TS, T1500G-10PS, TL-SG2216, T2600G-52TS, T2600G-28TS, TL-SG2210P, T2500-28TC, T2700G-28TQ, T2500G-10TS412, T2600G-28MPS, T1500G-10MPS, SG2210P, S4500-8G, T1500-28TC, T1700X-16TS, T1600G-28TS, TL-SL3452, TL-SG3216, T3700G0G05- T1700G-28TQ, T1500-28PCT, T2600G-18TS, T1600G-28PS, T2500G-10MPS, Festa FS310GP, T1600G-52MPS, T1600G-52PS, TL-SL24028, T3700G-28TQ, T1500G-8T, T1700X-28TQдар байни дигарон. Дар хотир доред, ки Пешниҳод вобаста ба минтақа фарқ мекунад. ва баъзеҳо метавонанд дар минтақаи шумо дастрас набошанд.
Барои навсозӣ шудан, ба саҳифаи дастгирии маҳсулоти худ равед, версияи сахтафзори дурустро интихоб кунед ва тафтиш кунед қайдҳои нармафзор ва мушаххасоти техникӣ бо такмили охирин. Баъзан навсозиҳо хусусиятҳои девори девор, ACL ё идоракунии дурро васеъ ё такмил медиҳанд.
Пӯшед SSH Барои ҳама, ба истиснои IP-ҳои мушаххас, дуруст ташкил кардани ACL ва фаҳмидани он, ки кадом механизм ҳар як чизро идора мекунад, шуморо аз сюрпризҳои ногувор наҷот медиҳад. Бо сиёсати пешфарз инкор, рӯйхатҳои дақиқи сафед ва санҷиши мунтазамРоутери TP-Link-и шумо ва хидматҳои паси он бе даст кашидан аз идоракунӣ ҳангоми зарурат хеле беҳтар муҳофизат карда мешаванд.
Аз хурдӣ ба технология шавқ дошт. Ман дӯст медорам, ки дар ин бахш замонавӣ бошам ва пеш аз ҳама бо он муошират кунам. Аз ин рӯ, ман солҳои зиёд ба муошират дар вебсайтҳои технология ва бозиҳои видео бахшида шудаам. Шумо метавонед маро пайдо кунед, ки дар бораи Android, Windows, MacOS, iOS, Nintendo ё дигар мавзӯъҳои марбута, ки ба хотир меоянд, менависам.