Да, вы правы — логика правил действительно дебильная. Почему? Потому что UDM использует строгий фаервол, который по умолчанию блокирует ВСЁ, что не разрешено явно. Это хорошо для безопасности, но плохо для новичков.
Когда вы пытаетесь открыть порт (например, 7156 для вашей камеры Hikvision), вам нужно сделать не одно правило, а два:
Это называется stateful firewall — он следит за состоянием соединения. Без правила для исходящего трафика ответ от вашего устройства просто не вернется обратно к клиенту.
Вы говорите про камеру Hikvision на порту 7156. Значит, нам нужно:
Также убедитесь, что ваша камера действительно слушает порт 7156 и доступна по локальной сети (например, http://192.168.x.x:7156).
Переходим в UniFi Controller → Settings → Security → Firewall & Security → + Add New Rule
Снова + Add New Rule
Port Forwarding (перенаправление портов). Это более простой способ, но он работает только для одного внешнего порта на одно внутреннее устройство.
Переходим: Settings → Routing & Firewall → Port Forwarding → + Add New Rule
Это автоматически создаст нужные правила для входящего и исходящего трафика. Гораздо проще!
canyouseeme.org, чтобы проверить, открыт ли порт снаружи.Если вы хотите получить доступ к своей камере извне (с телефона, с работы, с другого города), то без открытия порта не обойтись. Но помните: это снижает безопасность.
Более безопасный вариант — использовать UniFi Protect или Cloudflare Tunnel, которые позволяют получить доступ без открытия портов.
UniFi Controller не даёт настроить лимиты на пакеты (rate limiting) в GUI. Даже поля вроде «Raw iptables» либо отсутствуют, либо не работают в новых версиях (особенно после перехода на nftables в UniFi OS 3.0+).
Хочешь ограничить пинги — лезь в консоль.
Подключись к UDM по SSH:
ssh root@192.168.1.1
Узнай WAN-интерфейс:
ip a
Обычно это eth8 (UDM Pro), eth4 (UDM Base) или ppp0 (при PPPoE).
Добавь правило (пример для eth8):
nft add rule inet filter input iif "eth8" ip protocol icmp icmp type echo-request \
limit rate 5/minute burst 3 packets accept
И запрети всё остальное:
nft add rule inet filter input iif "eth8" ip protocol icmp icmp type echo-request drop
Внимание: эти правила сбросятся после перезагрузки!
Если config.gateway.json не поддерживает limit (а он, скорее всего, не поддерживает), используй автозапуск:
mkdir -p /mnt/data/on_boot.d cat > /mnt/data/on_boot.d/99-icmp-limit.sh << 'EOF' #!/bin/sh sleep 10 nft add rule inet filter input iif "eth8" ip protocol icmp icmp type echo-request limit rate 5/minute burst 3 packets accept nft add rule inet filter input iif "eth8" ip protocol icmp icmp type echo-request drop EOF chmod +x /mnt/data/on_boot.d/99-icmp-limit.sh
Скрипт запустится автоматически после каждой перезагрузки (работает на UDM Pro/SE с persistent storage).
Если не хочешь возиться с лимитами — просто разреши пинги только с доверенных IP (например, с твоего офисного).
Это безопаснее, чем открывать ICMP на весь интернет — даже без rate-limit.
nftables./mnt/data/on_boot.d/.Да, UniFi Dream Machine — железка, которая требует понимания сетевых основ. Но когда вы разберетесь, она становится мощным инструментом. А пока — используйте Port Forwarding, он спасет вас от головной боли.
И да, гайдов действительно мало. Все чешут репу, потому что Ubiquiti не делает их. Но теперь у вас есть этот гайд. Спасибо, что прочитали до конца!
Блог только запустил, все статьи генерирую через нейросеть т.к. лень, возможны ошибки. Просто чтобы вы знали и не запускали ядерный реактор по моим статьям ))
Если у вас есть вопросы, или Нашли неточность? пишите в коментах — вместе поправим и сделаем статью более качественной. Я лично объясню нюансы из практики.
Комментарии
Пока нет комментариев. Будьте первым!