Безопасность и настройки базовой защиты роутера Tp-Link

Несмотря на то, что защита тут примитив, оставляем включенной.

Как вы можете заметить, у меня отключены все VPN, ибо мне не нужно. В данном случае это VPN-Passtrough, т е. возможность создания VPN туннеля через роутер. Если пользуетесь CISCO VPN, или просто подключаетесь по VPN к каким-либо серверам, то оставляйте включенным. Если не уверены — тоже оставляйте.

ALG (Application-level gateway) — оставляем включенным, ибо данный компонент понимает что такое FTP, TFTP и прочее, и позволяет работать с этими протоколами через NAT, за которым мы находимся.

Расширенные настройки защиты

Фактически, защита от DDoS атак. Для такого унылого роутера как Tp-Link — весьма интересная функция. «Включить фильтрацию от атак ЮМР-FLOOD» включит фильтрацию от атак ЮМР-FLOOD. Аналогично и остальные. Вкратце, роутер будет отсеивать DDoS по каждому из выбранных типов флуда, что позволит вам, в случае DDoS атаки, чувствовать себя более-менее комфортно, а роутеру не виснуть каждые 5 секунд. Насколько хорошо это реализовано в Tp-Link? Не уверен, что это знают даже его создатели. Оставляем включенным.

«Игнорировать Ping-пакеты от порта WAN» и «Запретить Ping-пакеты от порта LAN» — установив галочки, мы закроем для pinga наш роутер как из внутренней, так и из внешней сетей (роутер будет отсеивать все ICMP реквесты). Не думаю, что можно пингом положить современный роутер, а вот узнать завис он или нет — дело куда более полезное.

«Локальное управление» и «Удаленное управление». Первое дает возможность настроить до 4-х устройств, которые могут получить локальный доступ к настройкам роутера, указав MAC адреса разрешенных устройств, второе же позволяет получить доступ к роутеру из внешней сети (правда, тут уже фильтрации по MAC адресам не будет).

В удаленном управлении всего 2 строчки настроек:

• Порт веб-управления (по умолчанию 80). Если же открываете удаленный доступ, не поленитесь, и выберете другой порт, 11911, например. Тогда чтобы попасть извне в настройки роутера, в адресной строке браузера будем писать http://:11911
• IP-адрес удаленного управления. 0.0.0.0 — удаленный доступ закрыт, 255.255.255.255 — удаленный доступ открыт для всех, указание конкретного IP разрешит доступ только с этого IP.

Здравствуйте!

Как подключиться к роутеру Asus удаленно через смартфон или другой компьютер? В настройках роутера включил "веб-доступ из WAN", а дальше как?
Прошивка стоковая, при активации веб-доступа он мне даёт адрес ххх.asuscomm.com:8443, а что дальше с ним делать непонятно. Пытаюсь зайти на этот адрес с другого компьютера, пишет, что сервер не найден.

Ответ

Здравствуйте. Сложная тема. В интернете есть инструкции, все рассказывают как настроить доступ к роутеру ASUS через интернет, но никто не показывает до конца, как это работает на самом деле. У меня, честно говоря, тоже ничего не получилось. Сейчас рассмотрим некоторые моменты.

Сразу нужно заметить, что в идеале, конечно, купить у провайдера внешний, белый IP адрес. Тогда, при активации функции "веб-доступ из WAN". Вы сможете зайти в настройки своего роутера по адресу: http://ваш_IP_адрес:8080 (если вы порт в настройках не меняли) .

В противном случае, когда у вас нет выделенного, внешнего IP адреса, нужно настраивать функцию DDNS. Когда вы получаете адрес, который закреплен за вашим роутером. Это то, о чем вы писали выше. И вы не смогли получить доступ к настройкам по этому адресу. Дело в том, что функция DDNS может работать не всегда. Это зависит от провайдера. И в настройках DDNS на ASUS у меня появляется сообщение: "Беспроводной роутер использует приватный WAN IP адрес. Этот роутер находится в NAT окружении и служба DDNS работать не может". Как я понимаю, это от провайдера зависит, и здесь ничего не сделать. Кроме покупки выделенного адреса. Или требовать от провайдера нормальный адрес. Не из окружения NAT.

Вход в настройки роутера ASUS через интернет

1 Первым делом, конечно, включаем функцию "веб-доступ из WAN" в настройка роутера ASUS, в разделе "Администрирование", на вкладке "Система".

Сохраните настройки.

2 Об этом нигде не написано, но мне кажется, что нужно еще включить настройку "Отвечать на пинг-запросы из WAN " в разделе "Брандмауэр". Если она отключена. По моему, по умолчанию она включена.

Возможно, это не важно. Точно не знаю, и нет возможности проверить.

3 Ну а дальше нужно настроит DDNS. Находится эта настройка в разделе "Интернет" (WAN), на вкладке "DDNS". Включаем функцию "DDNS-клиент". Выбираем сервер "www.asus.com", и в поле "Имя хоста " нужно придумать и указать свой уникальный домен. Можно даже что-то типа "dgsdewlj" (просто набор букв) . Сохраняем настройки.

Если все ок, то по идеи, удаленный доступ к настройкам вашего роутера ASUS должен быть по адресу: http://dgsdewlj.asuscomm.com:8080, или https:// dgsdewlj.asuscomm.com:8443.

Почему у меня не получается настроить? Не работает DDNS из-за ошибки "Беспроводной роутер использует приватный WAN IP адрес. Этот роутер находится в NAT окружении и служба DDNS работать не может". Как я понимаю, это из-за того, что провайдер что-то мутит с IP-адресами. Он мне дает не внешний IP, а внутренний в своей системе.

Маршрутизация (Routing)

Существуют модели, позволяющие выполнять обычную маршрутизацию (не-NAT). То есть вместо того, чтобы позволять нескольким компьютерам использовать один IP-адрес для доступа в Интернет, маршрутизатор может передавать трафик на компьютеры в локальной сети, имеющие реальные IP-адреса (выданные провайдером). Одна из ключевых функций здесь состоит в том, что компьютеры с реальными IP-адресами могут напрямую связываться со всеми другими компьютерами в Интернете. Естественно, при этом необходимо защищать каждую машину индивидуально.

Есть ещё два типа особенностей, относящихся к маршрутизации. Статическая маршрутизация требует указания информации о подключённых подсетях. Динамическая маршрутизация использует протокол RIP (Routing Information Protocol) для автоматического получения маршрутов от других устройств, использующих этот протокол.

Другие функции

Здесь мы рассмотрим все остальные функции маршрутизаторов NAT, которые нельзя отнести ни к одному из предшествующих разделов.

Блокирование запросов ping снаружи (Discard WAN ping, Stealth mode)

Одна из основных возможностей всех программ-сканеров портов - это отсылка на исследуемые адреса запроса ping и последующее ожидание ответа. Изначально запросы ping используются для диагностики связи с удалённым компьютером, но теперь ping используют и для обнаружения активных компьютеров. Вы можете блокировать запросы ping - в результате ваш маршрутизатор не будет на них отвечать.

Удалённое администрирование (Remote Administration)

При наличии этой возможности можно разрешить административный вход из внешнего сегмента (WAN или Интернет). Её очень удобно использовать в том случае, если вы часто находитесь в разъездах, и вам необходимо часто изменять настройки маршрутизатора, или если вы отвечаете за работу сразу нескольких маршрутизаторов, расположенных в разных местах. Если такой доступ недостаточно защищён, то он представляет потенциальную опасность - ведь любой злоумышленник тоже может получить доступ к вашей локальной сети, поэтому следует выбирать маршрутизаторы, обеспечивающие максимальную защиту административного доступа. Как минимум, стоит ограничить административный доступ, разрешив его только с одного IP-адреса или с группы адресов. Ещё лучше будет возможность задания номера порта, используемого для подключения к консоли администрирования - но данная функция встречается относительно редко. То есть для получения доступа злоумышленнику необходимо будет узнать не только IP-адрес маршрутизатора, но и порт, используемый консолью администрирования.

Сервер печати (Print Server)

Эта функция приобрела популярность благодаря старой линейке маршрутизаторов Barricade компании SMC. Она позволяет подключать принтер с параллельным портом к маршрутизатору, а не к компьютеру сети. Таким образом, печать не зависит от работы или доступности какого-то одного компьютера, и, кроме того, вы можете установить принтер в более удобное место. Большинство моделей с серверами печати имеют небольшое количество памяти (ограничивая размер печатаемых файлов), могут не работать с MacOS, и не поддерживают функции двунаправленной передачи данных по LPT-порту. В целом, сервер печати - вещь полезная, особенно с учётом того, что он совсем незначительно увеличивает стоимость устройства.

MTU

Этот параметр позволяет изменять параметр Maximum Transmission Unit для маршрутизатора. Наиболее интересно это может показаться для тех, кто использует соединение PPPoE, или для тех, кто пытается настроить соединение VPN, или то и другое одновременно. Необходимость изменять этот параметр вызвана настройками сетей некоторых провайдеров. Подробнее узнать о том, к чему приводят такие изменения можно на сайте speedguide.net, тем не менее, мы считаем, что вам не стоит изменять этот параметр до тех пор, пока провайдер или производитель не посоветуют это сделать.

СОДЕРЖАНИЕ

Известно, что интернет-центры серии Keenetic отличаются своей надёжностью и стабильностью работы. Но иногда необходимо удалённо, внести какие-то изменения в работу локальной сети, к примеру пробросить порты, или убедиться что интернет-центр находится в глобальной сети и отвечает на (ICMP Echo-Request) запросы по протоколу ICMP, в простонародье ping запросы. Для организации удалёного доступа к интернет-центру необходимо открыть внешний доступ к WEB интерфейсу по протоколу HTTP, а для получения (ICMP Echo-Reply) ответов, или ping ответов, необходимо разрешить отвечать на ping запросы. Как это сделать описанно ниже. Инструкция релевантна для всей серии Keenetic(ов) с микропрограммой второго поколения NDMS V2.

Для демонстрации, мы организовали локальную сеть с адресным пространством 192.168.1.1 - 192.168.1.254 на основе Zyxel Keenetic LIte 2 - №1 . К данной сети подключили другой интернет-центр Zyxel Keenetic Lite 2 (ZYXEL KEENETIC LITE II) №2 с внутренним адресным пространством 192.168.0.1 - 192.168.0.254. К Keenetic(y) №2 мы и откроем внешний доступ и разрешим прохождение пинг запросов.

Zyxel Keenetic ping

Для начала, зайдем в Keenetic №2 и во вкладке Интернет/ Подключения/ Brodband connection присвоим ему статический IP 192.168.1.5. Маску подсети 255.255.255.0 и основной шлюз 192.168.1.1

Далее зайдём во вкладку Безопасность/ Межсетевой экран и создадим правило для интерфейса "Broadband connection (ISP)", так как мы подключены к Keentic(y) №1 через этот интерфейс. Чтобы создать правило, необходимо нажать кнопку "добавить правило". Во всплывшем окне разрешить прохождение пакетов по протоколу ICMP

Теперь перейдём в локальную сеть Keenetic(a) №1 и пропингуем адрес 192.168.1.5 . Для этого запустим программу cmd.exe . В WIN7 нажать WinKey+r , в всплывшем окне введём cmd.exe и нажмём ввод. В появившемся чёрном окне введём команду ping 192.168.1.5 . Утилита "ping" сообщает, что узел по данному адресу доступен и показывает время прохождения пакетов.

Zyxel Keenetic удалённый доступ

Открываем удалённый доступ. Заходим в WEB интерфейс Keenetic(а) №2 . Переходим во вкладку Безопасность/ Межсетевой экран. Выбираем закладку Трансляция сетевых адресов (NAT). Нажимаем кнопку "добавить правило". Во всплывшем окне выбираем:

• Интерфейс: Broadband connection (ISP)
• Протокол: TCP
• Порты TCP/UDP: Один порт 8080
• Перенаправить на адрес: 192.168.0.1
• Новый номер порта назначения: 80

По сути, мы

Справочник пользователя сети LDS.ua

Настройка Asus – Вариант 2

1. Предварительные данные.

Перед непосредственным подключением и настройкой роутера необходимо зайти в Личный кабинет и записать Ваш текущий MAC–адрес» .

Следует учитывать, что МАС адрес может содержать только цифры 0, 1, 2, 3, 4, 5, 6, 7, 8, 9 и буквы латинского алфавита a, b, c, d, e, f

2. Правильное подключение.

На обратной стороне роутера имеется пять разъемов. Четыре из них подписаны LAN, один - WAN(Internet). Для правильной работы устройства необходимо подключить кабель Интернета к порту WAN, а еще одним проводом соединить один из портов LAN с разъемом сетевой карты Вашего компьютера, с которого будет производиться последующая настройка.

3. Вход в настройки роутера.

Запускаем любой браузер, где в адресной строке прописываем http://192.168.1.1 и нажимаем клавишу «Enter» . В появившемся окне в полях «User Name» и «Password» вводим admin и нажимаем клавишу «OK»

4. Настройка подключения.

В открывшемся окне переходим в раздел «Дополнительные настройки» , далее «WAN» .

В следующем окне заполняем поля:

Тип WAN подключения: PPPoE;

Ставим галочки «Получить IP автоматически» и «Подключаться к DNS автоматически»

Имя пользователя: Ваш логин пользователя ЛДС;

Пароль: Ваш пароль;

MAC Address: прописываем Ваш MAC адрес из статистики;

И в завершение сохраняем настройки «Применить» .

5. Настройка параметров Wi-Fi подключения.

Выбираем раздел «Дополнительные настройки» , а затем пункт «Беспроводная сеть» .

Заполняем поля:

SSID: придумаем имя для WiFi сети;

Канал: Auto;

Метод проверки подлинности: WPA-Auto-Personal;

Шифрование WPA: AES;

Предварительный ключ WPA: пароль для сети Wi-Fi;

«Применить» .

Заполняем поля:

Отвечать на пинг-запросы из WAN: устанавливаем в положение «Да»

Для подтвеждения изменений нажимаем кнопку «Применить» .

Настройка роутера завершена. Теперь нужно убедиться что роутер запомнил внесенные нами изменения и после отключения повторная настройка не потребуется. Перезагружаем роутер, нажимаем кнопку в верхней части экрана.

6.Загрузка программного обеспечения.

Обновление программного обеспечения роутера не является обязательной процедурой его настройки, но эту процедуру желательно выполнить, т.к. в противном случае корректная работоспособность не гарантируется.

Перед тем как начать обновление необходимо определится с версией аппаратной части (ревизия) роутера и загрузить программное обеспечение с сайта производителя. Для этого смотрим на нижнюю часть корпуса роутера, где ищем строку H/W Ver.:

После этого заходим по адресу http://support.asus.com/Download/Options.aspx , где ищем модель вашего роутера, учитывая его аппаратную часть (H/W Ver. ). Далее переходим по вкладке «Загрузить» , выбираем other в «OS» и открываем меню «Firmware»

В данном примере файл с программным обеспечением будет заархивирован (zip ). После извлечения из архива получим файл с расширением trx .

7.Обновление программного обеспечения.

Осуществляем вход в управление роутером, переходим в раздел «Дополнительные настройки» , далее нажимаем «Администрирование» , затем «Обновление микропрограммы» . В новом окне с помощью копки «Обзор» находим файл с программным обеспечением, который предварительно загрузили, после чего нажимаем «Отправить» . После обновления программного обеспечения роутер автоматически перезагрузится.

Во время обновления нельзя отключать кабель питания.