Obrázok Bficka a Aviada Raviva
Ak ste to ešte neurobili, uistite sa a skontrolujte predchádzajúce články v sérii:
- Prepnite svoj domovský smerovač do super-Powered Router s DD-WRT
- Ako nainštalovať ďalší softvér na váš domovský smerovač (DD-WRT)
- Ako odstrániť inzeráty s Pixelserv na DD-WRT
Za predpokladu, že ste oboznámení s týmito témami, pokračujte v čítaní. Majte na pamäti, že táto príručka je trochu technickejšia a začiatočníci by mali byť opatrní pri modifikácii ich smerovača.
Prehľad
Tradične, aby bolo možné komunikovať so zariadením / službou, musel by sa iniciovať a plne s ním. Vykonáva to však, čo sa v bezpečnostnom veku nazýva, útokom. Démon Knock je akýmsi sieťovým snifferom, ktorý môže reagovať, keď je pozorovaná predkonfigurovaná sekvencia. Keďže spojenie nemusí byť stanovené, aby knock démon rozpoznal konfigurovanú sekvenciu, povrch útoku sa zníži pri zachovaní požadovanej funkcie. V istom zmysle budeme predpísať smerovač s apožadovaný "Dva bity" odpoveď (na rozdiel od chudobných Rogera …).
V tomto článku budeme:
- Ukážte, ako používať nástroj Knockd, aby ste mali router Wake-On-Lan počítač vo vašej lokálnej sieti.
- Ukážte, ako spustiť sekvenciu Knock z aplikácie pre systém Android, ako aj z počítača.
Poznámka: Pokiaľ inštalačné pokyny už nie sú relevantné, mohli by ste si pozrieť sériu filmov, ktoré som vytvoril "späť kedy", aby ste videli celú zmenu konfigurácie na klepanie. (Len ospravedlňte hrubú prezentáciu).
Bezpečnostné dôsledky
Diskusia o tom, "ako je bezpečný Knockd?", Je dlhá a pochádza z mnohých tisícročí (v internetových rokoch), ale z toho vyplýva:
Knock je vrstva zabezpečenia z dôvodu nejasnosti, ktorá by mala byť použitá iba na zvýšiť iné prostriedky, ako je šifrovanie a nemali by byť použité na jeho vlastné ako koniec všetci sú všetky bezpečnostné opatrenia.
Predpoklady, predpoklady a odporúčania
- Predpokladá sa, že máte router DD-WRT s podporou Opkg.
- Niektorá trpezlivosť, ako to môže trvať "chvíľu" na nastavenie.
- Dôrazne odporúčame, aby ste získali účet DDNS pre vaše externé (zvyčajne dynamické) IP.
Dovoľte, aby ste sa rozbili
Inštalácia a základná konfigurácia
Nainštalujte démona Knock otvorením terminálu smerovača a vydaním:
opkg update; opkg install knockd
Teraz, keď je nainštalovaný Knockd, musíme nakonfigurovať spúšťacie sekvencie a príkazy, ktoré sa vykonajú po ich spustení. Ak to chcete urobiť, otvorte súbor "knockd.conf" v textovom editore. Na smerovači by to bolo:
vi /opt/etc/knockd.conf
Vytvorte svoj obsah ako:
[options] logfile = /var/log/knockd.log UseSyslog
[wakelaptop] sequence = 56,56,56,43,43,43,1443,1443,1443 seq_timeout = 30 command = /usr/sbin/wol aa:bb:cc:dd:ee:22 -i $( nvram get lan_ipaddr | cut -d. -f 1,2,3 ).255 tcpflags = sync
Dovoľte vysvetliť vyššie uvedené:
- Segment "možnosti" umožňuje konfigurovať globálne parametre pre démona. V tomto príklade sme poučili démona, aby uchoval protokol v syslog a v súbore. Hoci to nepoškodí používanie obidvoch možností v spojení, mali by ste zvážiť udržanie len jedného z nich.
- Segment "wakelaptop" je príklad sekvencie, ktorá spustí príkaz WOL do vašej LAN pre počítač s MAC adresou aa: bb: cc: dd: ee: 22. Poznámka: Príkaz uvedený vyššie predpokladá predvolené správanie podsiete triedy C.
Ak chcete pridať ďalšie sekvencie, jednoducho skopírujte a prilepte segment "wakelaptop" a nastavte nové parametre a / alebo príkazy, ktoré má smerovač vykonať.
Začiatok
Aby router vyvolal démona pri štarte, pripojte nižšie k skriptu "geek-init" zo sprievodcu OPKG:
knockd -d -c /opt/etc/knockd.conf -i '$( nvram get wan_ifname )'
Tým sa spustí daemon Knock na rozhraní WAN vášho smerovača, aby počul pakety z internetu.
Zrazte z Androidu
Vo veku prenosnosti je takmer nevyhnutné mať "aplikáciu pre to" … takže StavFX vytvoril jednu pre túto úlohu:) Táto aplikácia vykonáva klepacie sekvencie priamo zo zariadenia Android a podporuje vytváranie miniaplikácií na vašich domovských obrazovkách.
- Nainštalujte aplikáciu Knocker z trhu s Androidom (tiež prosím, buď milý a poskytnite mu dobrý rating).
-
Po nainštalovaní v zariadení spustite ho. Mali by ste byť privítaní niečím ako:
Image -
Môžete dlho stlačiť ikonu príkladu na jej úpravu alebo kliknutím na "ponuka" pridať nový záznam. Nová položka by vyzerala takto:
Image -
Pridajte riadky a vyplňte informácie požadované pre vaše klepanie. Napríklad WOL konfigurácia zhora by bola:
Image - Voliteľne môžete zmeniť ikonu dlhým stlačením ikony vedľa názvu Knock.
- Uložte Knock.
- Jediným kliknutím na novú položku Knock na hlavnej obrazovke ju aktivujete.
- Voliteľne si ju vytvorte na domácej obrazovke.
Majte na pamäti, že pri konfigurácii príkladového konfiguračného súboru so skupinami 3 pre každý port (kvôli sekcii Telnet nižšie) s touto aplikáciou nie je obmedzenie množstva opakovaní (ak vôbec) pre port. Bavte sa s aplikáciou, ktorú spoločnosť StavFX darovala:-)
Zraziť z Windows / Linux
Kým je možné vykonať službu Knocking s najjednoduchším sieťovým nástrojom a.k.a "Telnet", spoločnosť Microsoft rozhodla, že Telnet je "bezpečnostné riziko" a následne ju už na moderných oknách nainštalovať štandardne.Ak sa ma pýtate "Kto sa môže vzdať základnej slobody, aby získal trochu dočasnú bezpečnosť, nezaslúži ani slobodu, ani bezpečnosť. ~ Benjamin Franklin ", ale odbočím.
Dôvod, prečo sme nastavili sekvenciu príkladov do skupín po 3 pre každý port, je, že keď sa telnet nedokáže pripojiť k požadovanému portu, automaticky sa to pokúsi znova ešte 2 krát. To znamená, že telnet skutočne zaklopne trikrát, než sa vzdá. Takže všetko, čo musíme urobiť, je vykonať príkaz telnet raz pre každý port v skupine portov. Je to tiež dôvod, prečo bol vybratý časový interval 30 sekúnd, pretože musíme počkať na časový limit telnetu pre každý port, kým nevykonáme ďalšiu skupinu portov. Po dokončení testovacej fázy sa odporúča automatizovať tento postup pomocou jednoduchého skriptu Batch / Bash.
Použitím nášho príkladu sekvencie by to vyzeralo takto:
- Ak ste na svojich oknách, postupujte podľa inštrukcií MS na inštaláciu Telnetu.
- Drop na príkazový riadok a vydanie: telnet geek.dyndns-at-home.com 56 telnet geek.dyndns-at-home.com 43 telnet geek.dyndns-at-home.com 1443
Ak všetko šlo dobre, to by malo byť.
Riešenie problémov
Ak váš smerovač nereaguje na sekvencie, nájdete niekoľko krokov na riešenie problémov, ktoré môžete vykonať:
-
Zobrazenie denníka - Knockd si ponechá záznam, ktorý si môžete prezrieť v reálnom čase, aby ste zistili, či klamočí sekvencie prišli k démonu a či bol príkaz vykonaný správne. Za predpokladu, že použijete aspoň súbor denníka ako v príklade vyššie, aby ste ho v reálnom čase videli, vydali v termináli:
tail -f /var/log/knockd.log
- Buďte si vedomí firewallov - Niekedy sa vaša internetová kaviareň, pracovisko alebo internetová kaviareň nemôžu blokovať komunikáciu pre vás. V takom prípade, zatiaľ čo váš smerovač môže počúvať, klepanie na porty, ktoré sú zablokované ľubovoľnou časťou reťaze, nedosiahne smerovač a bude mať ťažké reagovať na ne. Preto sa odporúča vyskúšať kombinácie, ktoré používajú známe porty, ako napríklad 80, 443, 3389 a tak ďalej, skôr ako sa pokúsite nájsť viac náhodných kombinácií. Znova môžete zobraziť protokol a zistiť, ktoré porty sa dostanú do rozhrania WAN smerovača.
-
Skúste sekvencie interne - Pred započítaním vyššie uvedenej složitosti, ktorú môžu zavádzať iné časti reťazca, odporúča sa, aby ste sa pokúsili vykonať interné sekvencie, aby zistili, že A. zasiahli router tak, ako si myslíte, že by mali B. vykonať príkaz / ako sa očakávalo. Ak to chcete dosiahnuť, môžete spustiť program Knockd, kým sa viaže na rozhranie LAN pomocou:
knockd -d -i '$( nvram get lan_ifnameq )' -c /opt/etc/knockd.conf
Po vykonaní vyššie uvedeného môžete klienta Knocking priamo nasmerovať na interný IP smerovača namiesto jeho externého. Tip: Vzhľadom k tomu, že knockd počúva na úrovni "rozhrania" a nie na úrovni IP, možno budete chcieť mať stále nainštalovaný inštanciu programu KnockD na rozhraní LAN. Keďže bol program "Knocker" aktualizovaný, aby podporil dvoch hostiteľov pri klepaní, urobí to tak, aby ste zjednodušili a upevnili svoje klepajúce profily.
- Pamätajte, na ktorej strane je vaša - Nie je možné zaklepávať rozhranie WAN z rozhrania LAN vo vyššie uvedenej konfigurácii. Ak by ste chceli byť schopní zaklopať bez ohľadu na to, na akej strane ste ", môžete jednoducho spustiť démona dvakrát, raz pripojený k WAN ako v článku a raz viazaný na LAN ako v ladiaci krok zhora. Neexistuje žiadny problém so súčasným pripojením príkazu z vyššie uvedeného na rovnaký skript geek-init.
Poznámky
Zatiaľ čo vyššie uvedený príklad by mohol byť splnený rôznymi spôsobmi, dúfame, že ho môžete použiť, aby ste sa naučili, ako dosiahnuť viac pokrokových vecí. Druhá časť tohto článku, ktorá skrýva službu VPN za zaklepaním, prichádza, takže zostaňte naladení.
Prostredníctvom Knockingu budete môcť: Dynamicky otvárať porty, zakázať / povoliť služby, vzdialene WOL počítače a ďalšie …
