Schimbare router HG8247W5

[Alin110]

As dori sa inlocuiesc routerul HG8247W5 cu un tipul curent de router pe care-l folositi pentru conexiunile "Fibra 1000".

Problema care o am cu router-ul Huawei HG8247W5 este ca firewall-ul pt protocolul IPv6 (meniul IPv6->IP filter configuration) nu e functional.

[Radutuby]

Salutare,

Din câte știu, în general un ONT din gama ZTE (precum F6600 sau F6605R) se oferă de obicei în situații precum activarea unui abonament nou, înlocuirea unui echipament defect sau, uneori, la upgrade de abonament. Este posibil ca între timp aceste condiții să se mai fi modificat.

Pentru o informație sigură și actualizată, cel mai bine ar fi să contactezi serviciul de suport, care îți poate spune exact care sunt opțiunile disponibile în cazul tău pentru a primi un ONT nou.

O zi frumoasă îți doresc!

[Alin110]

Multam fain pt raspuns. Cred ca o sa astept pana vor oferi un ONT mai acatarii, am o opinie negativa despre echipamentele ZTE.

[Radutuby]

Sfatul meu ar fi să îți iei un router mai de doamne ajuta din comerț, iar ONT-ul de la Orange să-l treci în modul bridge. Așa o să poți să-ți configurezi rețeaua mult mai frumos și mai flexibil, după cum îți place ție.

Să ai o zi faină!

[Viper]

Poți să detaliezi? ce anume nu funcționează în acel meniu?

[Alin110]

Orice as selecta in meniul "IPv6->IP filter configuration" nu vad nici un efect aplicat traficului forwardat de router intre interfata WAN si LAN. Indiferent de setari pot sa accesez orice port TCP/UDP ale device-urilor conectate la interfata LAN a routerului.

[Viper]

Urcă te rog un screenshot cu setările actuale să vedem ce-i acolo, am un singur HG8247W5 dar nu am acces la el momentan. Ascunzi IP-urile.

[Alin110]

Am incercat atat modul whitelist cat si blacklist. Conform acestei configuratii ar trebui sa am acces doar la serverele SSH din LAN, insa am verificat cu nc -l -p 1111 rulat pe laptopul din LAN si pot accesa si portul 1111 prin IPv6 de pe un remote host din WAN.

[Viper]

De test:
- mod Blacklist;
- LAN IP (nu știu exact sintaxa acolo fiindcă nu se vede ce este mai în dreapta), poți încerca să treci întregul tău prefix /56 alocat, ex: 2a02:a58:xxxx:xxxx:: / 56
- LAN Side TCP: 22 (sau 1111)
- restul necompletate.

Restart la ONT.

[Alin110]

Nu pot sa trec prefixul alocat pt ca e dinamic. Vreau sa introduc un pin hole pt un anumit port, in rest ma bazez ca traficul initiat din LAN e permis.

[Viper]

Dacă se schimba prefixul poți încerca totuși de test să vedem daca e funcțional firewall-ul (fără restart după ce definești regula).

Dar obligatoriu restart după ce dai enable la IP Firewall și/sau schimbi modul de filtrare.

[Alin110]

Problema mea nu e ca regula nu se aplica. Problema mea e ca orice conexiune e permisa chiar daca nu exista regula pentru o astfel de conexiune inbound. Practic firewall-ul e ca si inexistent, totul e permis WAN2LAN si LAN2WAN.

[Viper]

Deci nu vrei să testezi, ok.

[Alin110]

Nu e vorba ca nu vreau, e vorba ca firewallul NU MERGE. Spune-mi tu ce sa fac sa blocheze tot traficul IPv6 si ma descurc de acolo.
Parerea mea de specialist in domeniu e ca acest CPE nu are un firewall functional pe IPv6.

[Viper]

Ok, șterge toate regulile, lasă Enable IP filter bifat, Filter Mode Whitelist. Restart la ONT.

Dacă tot mai poți accesa din exterior vreun port IPv6 deschis pe vreun server/PC din LAN, atunci clar nu funcționează firewall-ul. Dar din exterior testezi, după ce dai restart la ONT.