Premostite vatrozid sa OrangePi R1: 4 koraka

2024 Autor: John Day | [email protected]. Zadnja izmjena: 2024-01-30 08:08

Morao sam kupiti još jedan Orange Pi:) To je bilo zato što je moj SIP telefon počeo zvoniti usred noći od čudnih brojeva i moj VoIP provajder je predložio da je to zbog skeniranja portova. Drugi razlog - prečesto sam čuo o ruterima koji su hakirani, a imam usmjerivač kojim ne smijem upravljati (Altibox/Norveška). Takođe sam bio znatiželjan šta se dešava u mojoj kućnoj mreži. Zato sam odlučio postaviti bridge-firewall, transparentan za TCP/IP kućnu mrežu. Testirao sam ga na računaru, a zatim sam odlučio kupiti OPi R1 - manje buke i manja potrošnja energije. Ako imate vlastiti razlog da imate takav hardverski zaštitni zid - to je lakše nego što mislite! Ne zaboravite kupiti hladnjak i pristojnu mikro SD karticu.

Korak 1: OS i kabliranje

Instalirao sam Armbian:

Kao što ste možda primijetili, koristio sam USB TTL pretvarač za pristup serijskoj konzoli, što nije bilo potrebno, zadana mrežna konfiguracija pretpostavlja DHCP.

Jedini komentar pretvarača - u mnogim vodičima nije predložena VCC veza. Za mene je radio samo kad je napajanje spojeno (3.3V je jedini kvadratni pin na ploči). I pregrijat će se ako nije spojen na USB prije nego što je napajanje uključeno. Pretpostavljam da R1 ima pinout kompatibilan s OPi Zero, imam problema s pronalaženjem R1 shema.

Nakon dizanja Armbian -a, promjene root lozinke i nekih stvari o ažuriranju/nadogradnji, našao sam dva sučelja ('ifconfig -a') - eth0 i enxc0742bfffc6e. Provjerite jer će vam sada trebati - najstrašnije je to što za pretvaranje vašeg R1 u Ethernet most trebate samo prilagoditi datoteku/etc/network/sučelja. Bio sam šokiran da Armbian dolazi s nekim unaprijed konfiguriranim verzijama datoteke uključujući interfaces.r1switch - zvuči kao ono što nam treba, ali ne radi.

Druga važna stvar bila je pravilna identifikacija Ethernet portova - enxc0742bfffc6e je bio jedan u blizini serijskih pinova.

Prije nego što učinite da R1 izgubi kontakt s internetom (u redu, ovo se moglo bolje konfigurirati) samo instalirajte jednu stvar:

sudo apt-get install iptables-persistent

Korak 2:/etc/network/sučelja

Ako lokalnu mrežu prebacite na eth0, potrebna vam je sljedeća datoteka sučelja (uvijek se možete vratiti na izvornu verziju sa sudo cp sučeljima. Zadana sučelja; ponovno podizanje sustava):

auto br0iface br0 inet priručnik

bridge_ports eth0 enxc0742bfffc6e

bridge_stp isključen

bridge_fd 0

bridge_maxwait 0

bridge_maxage 0

Korak 3: Iptables

Nakon ponovnog pokretanja, vaš R1 trebao bi biti transparentan za mrežu i raditi poput konektora za kabel. Ajmo sada otežati život lošim momcima vani - konfigurirajmo pravila zaštitnih zidova (raspršeni redovi su komentari; prilagodite mrežne adrese vašoj DHCP konfiguraciji!):

# trepću sve i zatvaraju vrata

iptables -Fiptables -P INPUT DROP

iptables -P NAPRED DROP

iptables -P OUTPUT DROP

# ali dozvolite da interna mreža izađe van

iptables -A ULAZ -m physdev --physdev -je premošćen --physdev -in eth0 -s 192.168.10.0/24 -j PRIHVATI

iptables -A NAPRIJED -m physdev --physdev -je premošćen --physdev -in eth0 -s 192.168.10.0/24 -j PRIHVATI

# dozvoliti DHCP -u da prođe kroz most

iptables -A ULAZ -i br0 -p udp --dport 67:68 --sport 67:68 -j PRIHVATI

iptables -A NAPRED -i br0 -p udp --dport 67:68 --sport 67:68 -j PRIHVATI

# sav uspostavljeni promet treba proslijediti

iptables -A NAPRED -m ugovor

# samo za lokalni pretraživač - pristup alatima za praćenje poput darkstata

iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT

#blocking lažiranje

iptables -A NAPRIJED -m physdev --physdev -je premošćen --physdev -in enxc0742bfffc6e -s 192.168.10.0/24 -m limit -ograničenje 5/min -j LOG -log -razina 7 --log -prefiks NETFILTER

iptables -A NAPRED -m physdev --physdev -je premošćen --physdev -in enxc0742bfffc6e -s 192.168.10.0/24 -j ODBIJI

Korak 4: Završna razmatranja

Nakon tjedan dana - radi savršeno. Jedino što ću izmisliti (i poslati ovdje) je nadzor mreže i pristup putem ssh -a. Ponavljam - promjena datoteke sučelja na sadržaj koji sam priložio odvojit će R1 uređaj od IP mreže - funkcionirat će samo serijski.

6. jun 2018: premošćivanje nije toliko posla, ali R1 emitira mnogo topline, previše. Jednostavan hladnjak jako se zagrijava - čudno i to mi se ne sviđa. Možda je to u redu, možda neko ima rješenje osim obožavatelja.

18. avgust 2018.: 'armbianmonitor -m' pokazuje 38 Celzijusa, što je daleko ispod moje lične percepcije. Osetio sam značajnu promenu (nadole) kada sam malo smanjio sat:

echo 1000000>/sys/devices/system/cpu/cpu0/cpufreq/scaling_max_freq

BTW - Uspio sam se spojiti na svoju kućnu WLAN, ali R1 nije primio nikakav IP putem DHCP -a, niti deos statičkog dodjeljivanja ne radi. To je bio moj prvi pokušaj da imam administrativno sučelje, osim serijskog. Druga ideja je da IP i dalje bude dodijeljen jednom od ethernet portova. Vratiću se na ovo za nekoliko meseci.