Como permitir que IPs públicos específicos acessem um servidor interno em roteadores TP-Link SMB

Cenário de Aplicação

Em alguns casos, queremos que apenas alguns IPs externos específicos acessem o servidor interno localizado atrás do Roteador TP-LINK SMB. Essa necessidade pode ser atendida usando o Virtual Server em conjunto com o Access Control.

Agora vamos utilizar o TL-ER6120 v2 como exemplo. O servidor Web está atrás da porta LAN do TL-ER6120 como 192.168.0.2:8080. E o cliente está localizado em 14.28.137.216 fora da WAN1. Queremos apenas que o IP externo 14.28.137.216 consiga acessar este servidor. Nossa topologia está conectada como a seguir.

Como podemos alcançar isso?

O TL-ER6120 é um dispositivo NAT. O servidor Web está em 192.168.0.2:8080 atrás do TL-ER6120. Antes de tudo, abrimos a porta 8080 para o IP 192.168.0.2 para todos os IPs externos. Em seguida, configuramos o Controle de Acesso (Access Control) para limitar o acesso ao servidor Web apenas para o IP 14.28.137.216. As etapas específicas de configuração são as seguintes.

Passo 1

Nesta etapa, precisamos abrir a porta 8080. Vá em Advanced---->NAT----->Virtual Server. Para a interface, selecionamos WAN1 e definimos a porta como 8080. O Internal Server IP é 192.168.0.2. Clique em OK em seguida. Quando terminar, uma entrada de regra será criada na Virtual Server List.

Passo 2

Nesta etapa, configuramos o Service Type para corresponder à porta 8080 do servidor Web. Vá em Preferences---->Service Type. Nomeie o tipo de serviço como Web Service. Selecione o Protocolo TCP/UDP. O Source Port Range é 0-65535. Preencha a porta de destino (destination port) como 8080. Clique em OK.

Passo 3

Nesta etapa, vamos configurar o IP group. Vá em Preferences----->IP Group---->IP address. Adicione a entrada conforme acima.

O processo para Access_Client é o mesmo que para o Web_Server. Então, haverá duas novas entradas na IP Address List.

Vá para IP Group. Corresponda o Address Name e o Group Name. Configure de acordo com a imagem, respectivamente.

Esta etapa é simples. Faça a correspondência de Access_Client com o Access_Client Group em seguida.

Passo 4 Vamos configurar o Access Control agora.

Em Firewall---->Access Control, configure como na imagem acima. Selecionamos a política Allow primeiro e escolhemos o Web_Service que acabamos de configurar para a porta 8080 em Service Type. Na opção Source, selecionamos IP Group-- Access_Client que definimos anteriormente. Em destination, escolhemos Web_Server. ID como 1. Depois, clique em OK.

E então configuramos uma política Block. A política é Block e a Origem (Source) é IPGROUP_ANY. Não se esqueça de definir o ID como 2. Clique em OK.

Após terminar, haverá duas entradas na List of Rules.

Verificação

Como na captura de tela acima, no cliente 14.28.137.216 digitamos 14.28.137.2:8080. (14.28.137.2 é o endereço WAN1) Verificamos que ele consegue acessar o servidor Web normalmente.

E em qualquer outro cliente, como 14.28.137.210, não conseguimos acessar o servidor Web. Funciona conforme o esperado!

Nota:
1. A ordem do ID da Access Control List representa a prioridade e é importante.
2. O TL-R600VPN atende às necessidades apenas a partir da versão de hardware v4.
3. Para versões de hardware diferentes de outros modelos, haverá uma interface de usuário diferente. O processo de configuração de interfaces diferentes é basicamente o mesmo da interface de exemplo. Faltando a configuração de IP Group, outras opções de configuração apenas mudaram de posição.

```