Доброго времени суток господа. Ни как не могу понять работу правил firewall в DI-804HV.
Настроил VPN между двумя DI-804HV, но правила в firewall не менял и все работает.

Рискнул и написал правило Deny *,* *,* *,* а он все равно работает.

На самом деле очень хочется запретить любой (входящий/исходящий) внешний траффик, кроме как между двумя DI-804HV.
Не могу найти такого живого примера.

Буду очень благодарен.

Пример настройки firewall есть у нас в faq http://www.dlink.ru/technical/faq_internet_30.php

Аналогично первому автору не могу понять логику работы файрвола линейки DI-xxx.

Дано: локальная сеть, имеющая выход в Интернет через DI-824VUP+. Есть некий ресурс в Интернете, на котором запущен сервис ssh.
Задача: разрешить выход из локалки _только_ на этот ресурс.

Когда правила по умолчанию используются - все работает отлично (т.е. у нас три правила по умолчанию - разрешить все изнутри наружу, запретить все снаружи внутрь и разрешить icmp на wan-порт устройства).
Прописываем еще два правила - запретить все изнутри наружу и разрешить изнутри (LAN) со всех адресов наружу (WAN) на конкретный IP адрес доступ по любому из протоколов (*) на любой порт (*).

При этом icmp ходят ТОЛЬКО на указанный адрес (что и требуется), но вот ssh-клиент отваливается по таймауту. И устройство пишет в логах:

Tuesday May 31, 105 15:06:45 Blocked access attempt from 195.64.xxx.xxx:22 to TCP port 57279

Как победить?

Кроме правил по умолчанию необходимо добавить два правила в готовом виде это будет выглядеть так
Action Name Source Destination Protocol
1. Allow test1 LAN,* WAN, XXX.XXX.XXX.XXX *,*
2. Deny test LAN,* WAN,* *,*
Далее правила по умолчанию
XXX.XXX.XXX.XXX - это ip адрес сервера куда нужен доступ.

Сергей, прошу прощения, но Вы невнимательно читаете сообщение. Я написал, что эти правила мной прописаны. Обычный трафик ходит (скажем, http по tcp, icmp-пакеты), а вот ssh - нет.

Но проблема уже решена Вашим коллегой из Екатеринбурга - необходимо выключть режим SPI и защиту от DoS-атак.

Прошу прощения, ssh сервера под рукой не было чтобы до конца проверить.