我的 ER605 路由器有一个辅助网络，用于隔离连接的设备（树莓派）。我用它来隔离和扫描来自可疑来源的传入文件（例如我姻亲的计算机永远受到恶意软件的影响）。我需要能够访问 pi 并将扫描的文件渗透到我的主网络。我计划使用 VNC 进行访问，并通过 SMB 共享将确定的文件直接放在我的 QNAP NAS 上。
ACL 规则 5 阻止从隔离网络到我的主网络的通信。为了让 VNC 从我的主网络连接到我的隔离 pi，我最初添加了规则 4，但这是不够的（在线阅读建议我需要一个用于返回消息的 ACL），因此我添加了引用 VNC 服务的规则 3 的版本，并且还是失败了。一时兴起，我尝试创建 VNC_duplex 服务定义，该定义交换源端口和目标端口，并将规则 #3 从 VNC 服务更改为 VNC 双工，并且 viola VNC 工作了！
我很高兴这能起作用，但我不确定为什么，或者它是否安全。我是否正确理解 ACL 规则 3 允许恶意脚本从树莓派上的任何端口向我的主网络上任何设备上的端口 5900 发送消息？理解这一点的语义方式是什么？它可以变得更安全吗？
我的网络和 VLAN：
我还设置了一些 IP 范围来描述我想要分段/授予访问权限的网络区域：
我的服务类型（最后四种是我自定义输入的）：
最后是我的 ACL：
当 Pi 向您的计算机发送回复时，Pi 是源。
“返回”数据包不仅将 Pi 的 IP 地址作为“源 IP”，而且还将Pi 端相应的端口号作为“源端口”。
防火墙中的所有原始服务模板均仅针对“转发”方向进行定义；例如，“VNC”模板将 5900 匹配为目标端口 – 正如所解释的，它仅匹配以 VNC 服务器作为目标的数据包，但不匹配“返回”数据包。
不。它所允许的是相反的 – 它允许脚本从树莓派上的端口 5900向主网络上的任何端口发送消息。（“源端口= 5900”中的“源”实际上意味着数据包的源。）
由于连接的源端口可以任意选择（如果需要），这意味着主网络对任何知道此异常存在的人都是开放的；他们所需要做的就是要求操作系统将连接绑定到本地端口 5900。（但另一方面，由于源端口通常是随机的，并且范围开始远远超出 5900，所以任何不知道此异常的人都会不太可能偶然发现它。）
“源”实际上意味着单个数据包的源，而不是整个连接的源。（实际上，端口几乎可以被视为数据包“传输层”地址的一部分，而且实际上在其他几个非 IP 协议中，它实际上是地址的一部分。）
每个端口都与特定端点关联，就像每个 IP 地址与特定端点关联一样 – 如果您连接到 Pi，您不会期望来自 Pi 的“返回”数据包仍会显示Pi 的 IP 地址作为“目的地”，端口号也是如此。
通常的方法是完全避免此类自反 ACL 并使用状态防火墙。大多数路由器能够跟踪活动连接（“状态”或“流”）——如果它们实现典型的 1：多 NAT，则它们必须这样做——并且防火墙过滤器可能有一个特殊的规则，允许任何对应的数据包到“已建立的”连接（如 iptables/nftables 中），或隐式允许此类数据包（如 pf 中）。
ER603 似乎在固件 2.1 中获得了对有状态 ACL 的支持。（不过，人们似乎说这不起作用。）
如果必须使用无状态 ACL，则替代方法是仅允许设置了TCP“ACK”标志的“返回”数据包。TCP 连接的初始数据包永远不会设置此标志，而所有其他数据包都会设置此标志；拥有一条允许任何端口上的 TCP ACK 数据包的规则就足够了。
当然，这种方法仅适用于 TCP - 如果没有状态跟踪，您无法对 UDP 做太多事情，除非希望没有人发现您的自反 ACL 造成的漏洞。
您还应该有另一个允许 ICMP“返回”数据包的规则（例如 Echo Reply 和各种 ICMP“错误”消息 - 至少需要允许“需要分段”，但最好应该允许其他错误，例如“无法到达”）也允许）。