Hogyan viselkedjen a hálózatba (DD-WRT)

Voltál már valaha is akartad ezt a különleges "kollégiumi kopogást" a routereddel, hogy csak "nyissa ki az ajtót", amikor a titkos kopogást felismerjük? A How-To Geek elmagyarázza, hogyan telepítse a Knock démonot a DD-WRT-re.

Bfick és Aviad Raviv képe

Ha még nem volt, győződjön meg róla, és ellenőrizze a korábbi cikkeket a sorozatban:

Kapcsolja be otthoni útválasztóját egy nagy teljesítményű útválasztóba a DD-WRT segítségével
További szoftverek telepítése az otthoni útválasztóra (DD-WRT)
Hogyan távolítsuk el a hirdetéseket a Pixelserv szolgáltatással a DD-WRT-n

Feltételezve, hogy ismeri ezeket a témákat, olvassa tovább. Ne feledje, hogy ez az útmutató egy kicsit technikaiabb, és a kezdőknek óvatosnak kell lenniük az útválasztó módosításakor.

Áttekintés

Hagyományosan, annak érdekében, hogy képes legyen kommunikálni egy eszközzel / szolgáltatással, az a teljes hálózati kapcsolat. Ennek ellenére a biztonsági korban hívják fel a támadási felületet. A Knock démon egy olyan hálózat, amely egy előre konfigurált szekvencia figyelembevételével reagálhat. Mivel nem kell kapcsolatot létesítenie ahhoz, hogy a kopogtató démon felismerje a konfigurált szekvenciát, a támadó felület csökken, miközben megtartja a kívánt funkciót. Bizonyos értelemben előfeltételezzük a routert egy kívánatos „Két bit” válasz (ellentétben a szegény Roger…).

Ebben a cikkben:

Mutassa meg, hogyan kell használni a Knockd-ot a Wake-On-Lan router számítógépén a helyi hálózaton.
Mutassa meg, hogyan indíthatja el a Knock szekvenciát egy Android alkalmazásból és egy számítógépből.

Megjegyzés: Bár a telepítési utasítások már nem relevánsak, megnézheted az általam létrehozott filmsorozatot, hogy lássam a kopogás teljes beállítását. (Csak elnézést kérek a nyers bemutatótól).

biztonsági vonatkozásai

A „biztonságos Knockd?” Beszélgetés hosszú és sok évezredből (internetes években) nyúlik vissza, de a lényeg:

A kopogás a bizonytalanság által okozott biztonságréteg, amelyet csak akkor kell használni fokozza más eszközök, mint például a titkosítás, és azt nem szabad használni saját célra, mint minden biztonsági intézkedést.

Előfeltételek, feltételezések és ajánlások

Feltételezzük, hogy van egy Opkg engedélyezett DD-WRT útválasztó.
Néhány türelem, mivel ez egy ideig eltarthat a beállításig.
Rendkívül ajánlott, hogy DDNS-fiókot szerezzen be külső (általában dinamikus) IP-jéhez.

Lehetővé válik a repedés

Telepítés és alapbeállítás

Telepítse a Knock démet úgy, hogy megnyit egy terminált az útválasztóhoz és kiadja:

opkg frissítés; opkg telepítse a knockd-ot

Most, hogy a Knockd telepítése megtörténik, be kell állítanunk azokat a triggerelő szekvenciákat és parancsokat, amelyeket a kiváltás után hajtanak végre. Ehhez nyissa meg a „knockd.conf” fájlt egy szövegszerkesztőben. Az útválasztón ez az lenne:

vi /opt/etc/knockd.conf

Úgy tűnik, hogy a tartalma úgy néz ki, mint:

[opciók] logfile = /var/log/knockd.log UseSyslog

[Wakelaptop] szekvencia = 56,56,56,43,43,43,1443,1443,1443 seq_timeout = 30 parancs = / usr / sbin / wol aa: bb: cc: dd: ee: 22 -i $ (nvram kap lan_ipaddr | cut -d. -f 1,2,3) .255 tcpflags = szinkronizálás

Lehetővé teszi a fenti magyarázatot:

Az „opciók” szegmens lehetővé teszi a démon globális paramétereinek konfigurálását. Ebben a példában arra utasítottuk a démonot, hogy naplót tartson mind a syslog, mind a fájlban. Bár nem károsítja mindkét opciót együtt, meg kell fontolnia, hogy csak az egyiket tartsa fenn.
A „wakelaptop” szegmens egy olyan szekvencia példája, amely a WOL-parancsot a LAN-hoz kapcsolja ki a számítógép MAC-címével: bb: cc: dd: ee: 22.
Megjegyzés: A fenti parancs a C osztályú alhálózat alapértelmezett viselkedését feltételezi.

További szekvenciák hozzáadásához egyszerűen másolja és illessze be a „wakelaptop” szegmenst, és állítsa be az új paraméterekkel és / vagy parancsokkal, amelyeket a router hajt végre.

üzembe helyezés

Ahhoz, hogy az útválasztó indítsa el a démonot, csatolja az alábbiakat az OPKG útmutató „geek-init” parancsfájljához:

knockd -d -c /opt/etc/knockd.conf -i "$ (nvram get wan_ifname)"

Ez elindítja a Knock démonot az útválasztó „WAN” felületén, hogy meghallgassa a csomagokat az internetről.

Knock az Androidból

A hordozhatóság korában szinte elengedhetetlen, hogy „legyen egy alkalmazás ehhez”… így StavFX létrehozott egyet a feladathoz :)
Ez az alkalmazás közvetlenül az Android-eszközön végzi el a kopogtató szekvenciákat, és támogatja a widgetek létrehozását az otthoni képernyőkön.

Telepítse a Knocker alkalmazást az Android piacról (kérjük, legyen kedves és adjon jó minősítést).
A telepítés után indítsa el. Önnek valami olyat kell üdvözölnie, mint:
Lehet, hogy hosszabb ideig megnyomja a példa ikont a szerkesztéshez, vagy kattintson a „menü” gombra egy új bejegyzés hozzáadásához. Új bejegyzés jelenik meg:
Adjon hozzá vonalakat és töltse ki a Knockinghoz szükséges információkat. A fenti WOL-konfiguráció felülről:
Választhatóan módosíthatja az ikont a Knock név melletti ikon hosszú megnyomásával.
Mentse el a Knockot.
Érintse meg az új Knockot a főképernyőn, hogy aktiválja.
Opcionálisan hozzon létre egy widgetet a kezdőképernyőn.

Ne feledje, hogy míg az egyes portokhoz a 3-as csoportokkal rendelkező példakonfigurációs fájlt konfiguráltuk (az alábbi Telnet rész miatt), ezzel az alkalmazással nincs korlátozás a port ismétlődésének (ha egyáltalán van) mennyiségére.
Szórakozzon a StavFX által adományozott alkalmazással :-)

Knock Windows / Linux rendszerről

Bár lehetséges, hogy a Knockingot a legegyszerűbb hálózati segédprogrammal, a „Telnet” segítségével végezhetjük el, a Microsoft úgy döntött, hogy a Telnet „biztonsági kockázatot jelent”, és ezt követően már nem telepíti a modern ablakokra. Ha megkérdezel engem: „Azok, akik lemondanak az alapvető szabadságról, hogy egy kis ideiglenes biztonságot szerezzenek, nem érdemlik sem a szabadságot, sem a biztonságot. ~ Benjamin Franklin ”, de elhúzom.

Az ok, hogy minden port esetében a 3-as csoportokra állítottuk be a példaszekvenciát, az, hogy amikor a telnet nem tud csatlakozni a kívánt porthoz, akkor automatikusan újra megpróbál még 2 alkalommal. Ez azt jelenti, hogy a telnet 3-szor ténylegesen kopog, mielőtt feladja. Tehát mindössze annyit kell tennünk, hogy végrehajtjuk a telnet parancsot a portcsoport minden portjára egyszer. Ez az oka annak is, hogy 30 másodperces időintervallumot választottunk ki, mivel mindegyik portra várnunk kell a telnet időkorlátját, amíg a következő portcsoportot végrehajtjuk. Javasoljuk, hogy ha befejezte a tesztelési fázist, automatizálja ezt az eljárást egy egyszerű Batch / Bash parancsfájl segítségével.

A példaszekciónk használatával ez a következő lenne:

Ha a Windows-on van, kövesse az MS utasításokat a Telnet telepítéséhez.
A parancssorba való belépés és a probléma kiadása:
telnet geek.dyndns-at-home.com 56
telnet geek.dyndns-at-home.com 43
telnet geek.dyndns-at-home.com 1443

Ha minden jól ment, akkor ez kell.

Hibaelhárítás

Ha az útválasztó nem reagál a szekvenciákra, itt találhat néhány hibaelhárítási lépést:

A napló megtekintése - A Knockd naplót tárol, amellyel valós időben megtekintheti, hogy a kopogtató szekvenciák megérkeztek-e a démonhoz, és hogy a parancsot megfelelően végrehajtották-e.
Feltételezve, hogy legalább a fenti példában szereplő naplófájlt használja, hogy valós időben láthassa azt, adja ki a terminált:

far -f /var/log/knockd.log
Figyeljen a tűzfalakra - néha az internetszolgáltató, a munkahely vagy az internet kávézó szabadon letiltja a kommunikációt. Ilyen esetben, miközben az útválasztó hallgat, a láncok bármely részén blokkolt ütések nem érik el az útválasztót, és nehezen reagálnak rájuk. Ezért javasoljuk, hogy próbáljon ki olyan kombinációkat, amelyek a jól ismert portokat használják, mint például a 80, 443, 3389 stb. Ismét megnézheti a naplót, hogy megnézze, milyen portok érik el a router WAN felületét.
Próbáld ki a szekvenciákat belsőleg - Mielőtt a fenti összetettséget belefoglalnád a lánc más részeibe, ajánlatos, hogy a szekvenciákat belsőleg hajtsa végre, hogy lássák, hogy A. megütnek-e az olyan útválasztóhoz, mint amilyennek úgy gondolják, hogy B. végre kell hajtania a parancsot s várt módon. Ehhez elindíthatja a Knockd-ot, miközben a LAN-interfészhez kötött:
knockd -d -i "$ (nvram get lan_ifnameq)" -c /opt/etc/knockd.conf

A fenti végrehajtás után a Knocking ügyfelet a külső útválasztó belső IP-jére irányíthatja.
Tipp: Mivel a knockd meghallgatja az „interfész” szintet, és nem az IP szintet, érdemes lehet, hogy a KnockD példánya folyamatosan futjon a LAN felületen. Mivel a „Knocker” frissítésre került, hogy támogasson két gépet a kopogás érdekében, ezzel megpróbálja egyszerűsíteni és megszilárdítani a kopogtató profiljait.
Emlékezzünk arra, hogy melyik oldalon van a bekapcsolás - A fenti konfigurációban nem lehetséges a WAN interfész áthidalása a LAN interfészről. Ha azt szeretné, hogy bármit is be lehessen ütni, hogy mi legyen az oldalán, egyszerűen kétszer futtathatja a démonot, ha egyszer a WAN-hoz kötődik, mint a cikkben, és ha egyszer csatlakozik a LAN-hoz, mint a felületi hibakeresési lépésben. Egyik probléma sem fut, ha egyszerûen hozzáadjuk a parancsot a fenti geek-init parancsfájlhoz.

Megjegyzések

Míg a fenti példa más módszerekkel is megvalósítható, reméljük, hogy felhasználhatja azt, hogy megtanuljon több előrelépést elérni. A cikk második része, amely elrejti a VPN-szolgáltatást a kopogás mögött, jön, így maradjon hangolva.

A Knocking segítségével: Dinamikusan megnyitható portok, Szolgáltatások letiltása / engedélyezése, WOL számítógépek távolról történő elhelyezése és még sok más…