Olemme osoittaneet sinulle kuinka käynnistää WOL etänä reitittimesi "Portin koputuksella" . Tässä artikkelissa näytetään, kuinka sitä käytetään VPN-palvelun suojaamiseen.
Kuva Aviad Raviv & bfick .
Esipuhe
Jos olet käyttänyt
Sisäänrakennettu DD-WRT-toiminnallisuus
VPN: ää varten tai
toinen VPN-palvelin
verkostossasi saatat arvostaa kykyä suojata sitä raakavoimien hyökkäyksiltä piilottamalla se koputusjakson taakse. Tällöin suodatat pois komentosarjan lapset, jotka yrittävät päästä verkkoon. Tämän sanottu, kuten edellisessä artikkelissa todettiin, portin koputtaminen ei korvaa hyvää salasanaa ja / tai suojauskäytäntöä. Muista, että riittävän kärsivällisesti hyökkääjä voi löytää jakson ja suorittaa uusintahyökkäyksen.
Muista myös, että tämän toteuttamisen haittapuoli on, että kun joku VPN-asiakas / asiakas haluaa muodostaa yhteyden, heidän on käynnistettävä koputusjärjestys
etukäteen
ja että jos he eivät pysty suorittamaan jaksoa jostain syystä, he eivät pysty lainkaan VPN: ään.
Yleiskatsaus
* VPN-palvelun suojaamiseksi poistamme ensin kaiken mahdollisen viestinnän sen kanssa estämällä 1723: n välittömän portin. Tämän tavoitteen saavuttamiseksi käytämme iptablesia. Tämä johtuu siitä, että tällä tavoin tiedonsiirto suodatetaan useimmissa nykyaikaisissa Linux / GNU-jakeluissa yleensä ja erityisesti DD-WRT: ssä. Jos haluat lisätietoja iptables-kassalle, sen wiki-merkintä ja katsokaa edellinen artikkeli aiheesta. Kun palvelu on suojattu, luomme koputusjakson, joka avaisi väliaikaisesti VPN-instantointiportin ja sulkisi sen myös automaattisesti määritetyn ajan kuluttua pitäen jo muodostetun VPN-istunnon yhteydessä.
Huomaa: Tässä oppaassa käytämme esimerkkinä PPTP VPN -palvelua. Tästä huolimatta samaa menetelmää voidaan käyttää muille VPN-tyypeille, sinun on vain vaihdettava estetty portti ja / tai viestintätyyppi.
Edellytykset, oletukset ja suositukset
- Oletetaan / vaaditaan, että sinulla on Opkg-yhteensopiva DD-WRT-reititin .
- Oletetaan / vaaditaan, että olet jo suorittanut vaiheet Kuinka koputtaa verkkoosi (DD-WRT) " opas.
- Oletetaan jonkin verran verkostoitumista.
Antaa halkeilla.
Oletus "Estä uudet VPN: t" -sääntö DD-WRT: ssä
Vaikka alla oleva koodinpätkä todennäköisesti toimisi jokaisessa itsekunnioitavassa iptables-käyttöjärjestelmässä, Linux / GNU-jakelussa, koska siellä on niin paljon muunnelmia, näytämme vain, kuinka sitä käytetään DD-WRT: ssä. Mikään ei estä sinua, jos haluat, toteuttamasta sitä suoraan VPN-ruutuun. Tämän tekeminen on kuitenkin tämän oppaan ulkopuolella.
Koska haluamme laajentaa reitittimen palomuuria, on vain loogista, että lisäämme palomuuri-komentosarjaan. Tällöin iptables-komento suoritetaan joka kerta, kun palomuuri päivitetään, ja pitää siten lisäyksemme paikallaan säilyttämistä varten.
DD-WRT Web-GUI: sta:
-
Siirry kohtaan "Hallinta" -> "Komennot".
-
Kirjoita alla oleva "koodi" tekstiruutuun:
inline = "$ (iptables -L INPUT -n | grep -n" tila RELATED, ESTABLISHED "| awk -F: {'print $1'})"; inline = $ (($ inline-2 + 1)); iptables -I SYÖTTÖ "$ inline" -p tcp --portti 1723 -j DROP - Napsauta Tallenna palomuuri.
- Tehty.
Mikä tämä “Voodoo” -komento on?
Yllä oleva "voodoo magic" -komento tekee seuraavat toimet:
- Etsii missä on iptable-linja, joka mahdollistaa jo vakiintuneen tiedonsiirron. Teemme tämän, koska A. DD-WRT-reitittimissä, jos VPN-palvelu on käytössä, se sijaitsee juuri tämän rivin ja B. alapuolella. Tavoitteenamme on olennaisen tärkeää, että sallimme jo luotujen VPN-istuntojen jatkamisen kolkutin tapahtuma.
- Vähentää kaksi (2) listauskomennon lähdöstä vastaamaan informaation sarakeotsikoiden aiheuttamaa siirtymää. Kun se on tehty, lisää yksi (1) yllä olevaan numeroon, jotta lisäämämme sääntö tulee heti sen säännön jälkeen, joka sallii jo vakiintuneen viestinnän. Olen jättänyt tämän hyvin yksinkertaisen "matemaattisen ongelman" tänne, vain selventämään logiikkaa "miksi yhden täytyy vähentää säännön sijasta sen lisäämisen sijasta".
KnockD-määritykset
Meidän on luotava uusi käynnistysjärjestys, joka mahdollistaa uusien VPN-yhteyksien luomisen. Voit tehdä tämän muokkaamalla knockd.conf-tiedostoa julkaisemalla päätelaitteessa:
vi /opt/etc/knockd.conf
Liitä nykyiseen kokoonpanoon:
[enable-VPN]
sekvenssi = 02,02,02,01,01,01,2010,2010,2010
seq_timeout = 60
start_command = iptables -I TULO 1 -s% IP% -p tcp --portti 1723 -j HYVÄKSY
cmd_timeout = 20
stop_command = iptables -D INPUT -s% IP% -p tcp --port 1723 -j HYVÄKSY
Tämä kokoonpano:
- Aseta jakson loppuun saattamisen ikkuna 60 sekuntiin. (On suositeltavaa pitää tämä mahdollisimman lyhyt)
- Kuuntele kolmen koputuksen sarjaa portteihin 2, 1 ja 2010 (tämä järjestys on tarkoituksellinen heittää porttiskannerit raiteilta).
- Kun sekvenssi on havaittu, suorita “start_command”. Tämä "iptables" -komento asettaa "hyväksy liikenteen porttiin 1723, josta koput tulivat" palomuurisääntöjen yläosaan. (% IP% -direktiiviä käsittelee erityisesti KnockD ja se korvataan koputusten alkuperäisen IP: llä).
- Odota 20 sekuntia, ennen kuin annat “stop_command”.
- Suorita "stop_command". Missä tämä "iptables" -komento tekee päinvastoin kuin yllä ja poistaa yhteyden sallivan säännön.
Kirjoittaja Vinkkejä
Vaikka sinun pitäisi olla kaikki asetettu, on muutama seikka, jotka mielestäni tarvitsevat mainita.
- Ongelmien karttoittaminen. Muista, että jos sinulla on ongelmia, vianetsintä-segmentti lopussa ensimmäinen artikkeli pitäisi olla ensimmäinen pysäkki.
- Halutessasi voit antaa “start / stop” -direktiivien suorittaa useita komentoja erottamalla ne semi-colenilla (;) tai jopa skriptillä. Näin voit tehdä hienoja juttuja. Esimerkiksi olen koputtanut lähettämään minulle * sähköpostin, jossa kerrotaan, että jakso on käynnistetty ja mistä.
- Älä unohda Siellä on sovellus "Ja vaikka sitä ei mainita tässä artikkelissa, sinua kannustetaan tarttumaan StavFX Android kolkutinohjelma .
- Android-sovelluksen suhteen älä unohda, että käyttöjärjestelmään on yleensä valmistajan sisäänrakennettu PPTP VPN -asiakas.
- Menetelmää, jolla jotain estetään aluksi ja jatketaan sitten jo vakiintuneen tiedonsiirron sallimista, voidaan käyttää käytännössä missä tahansa TCP-pohjaisessa viestinnässä. Itse asiassa Knockd DD-WRT: ssä 1 ~ 6 elokuvia, olen palannut takaisin, kun olen käyttänyt etätyöpöytäprotokollaa (RDP), joka käyttää esimerkkinä porttia 3389.
