Tomato (Shibby) router firmware - vprašanja

Preveč vprašanj za na enkrat.

Na mnoga ti bosta odgovorila Google in Wikipedia (ali kakšen učbenik v slogu 'Networking for Dummies').

Nekatera so Tomato-specifična - si že preveril Tomato Firmware/Menu Reference?

Ne uporabljam DD-WRT/Tomato in ostalih izpeljank, zato ti lahko samo bolj na splošno kaj odgovorim. Boj točno ti bo moral povedat kdo, ki to tudi uporablja in pozna specifike.

0: Da. Internet je pač živahen. Imaš vsega, od broadcast-ov, pa do IP/port scanov. Če nimaš odprtih portov, itak ni panike. Ker jih imaš, pa moraš skrbeti za redno posodabljanje, da iz tistega 'tipanja' kdaj ne rata kaj več.

1: Kaj naj bi bili ti helperji, ti ne morem reči. Ker se gre za servise, ki potrebujejo več portov hkrati (tudi dinamične) za svoje delovanje, predvidevam, da je to kakšen način, da si nekoliko olajšaš konfiguriranje port forward-inga za te servise.

2: Tudi jaz ne vem, zakaj bi rabil posebej utišat, saj ga imaš že v osnovi vključenega ali izključenega.

3: NAT Loopbak je klasična problematika, ki se pojavi, če imaš npr. konfiguriran javno dostopni www strežnik na naslovu www.mojadomena.si in želiš do njega dostopati iz notranjega omrežja. Ko boš vpisal www.mojadomena.si, se bo to resolvalo v tvojo javno IP adreso. Logično bi bilo, da bi do tega strežnika šel direktno na privatno IP adreso, ker pa ti javni DNS vrne javno IP adreso, bo šel promet najprej na router, ta bo ugotovil, da to pravzaprav sploh ni za ven poslati, temveč da mora paket poslat nazaj na notranje omrežje na IP naslov, ki si ga definiral na port forwarding-u. Skratka, tvoja povezava se preko routerja vzpostavi do mašine, ki stoji morda poleg tebe na mizi, ali pa celo na tvoj lastni računalnik.

4: RIP protokoli so za dinamično usmerjanje prometa. V poštev pridejo pri malo kompleksnejših omrežjih, kjer ti omogočajo najti 'obvoz', če je najbolj optimalna povezava iz bilokaterega razloga prekinjena (po kmečko povedano). Zate ne pride v poštev. Kaj tu dela zraven še DHCP, ti nebi vedel reči. 'Zveni' tako, kot če bi na osnovi RIP-a delal update rout v DHCP strežniku, kar pa ne vem, kje bi bilo zares uporabno. Vsekakor, zare oboje nezanimivo, dokler si ne omisliš še kakšnega providerja, pa še takrat bi bolj potreboval BGP (novejši protokol), kot RIP.

6: Konkretno ne vem, mislim pa si lahko, da ta opcija odpre določen forwardiran port samo v primeru, da je na nekem drugem portu vzpostavljena povezava. To bi lahko prišlo v poštev npr. pri FTP-ju, kjer imaš ločen port za osnovno povezavo in za pretok podatkov (Data channel). Slednji je na dinamičnem portu in bi tako moral ves čas imeti en lep obseg portov odprt. Če ta opcija dela to, kar mislim, potem imaš odprt samo osnovni port 21/tcp, ostali pa se odprejo šele takrat, ko imaš na tem portu vzpostavljeno povezavo.
Za Skype očitno ni pomembno, če ti dela.

7: Če imaš vse ostalo izključeno in hočeš Skypat, ti QoS ne prinese nič. Če pa poganjaš torrente ali trije drugi na polno gledajo Youtube HD ali celo 4k stream-e, pa ti QoS lahko ogromno doprinese za Skype.


8: Web Administration:
- Remote Access (HTTP vs HTTPS) - kaj bi moral narediti, da bi se lahko lokalno in oddaljeno povezoval preko HTTPS namesto HTTP (brez da se zaklenem ven)?

Bolje da to sploh ne vklapljaš in dovoliš zgolj lokalno administracijo (preko VPN se smatra tudi za lokalno!)

- SSH Daemon - Preko tega se lahko z routerjem povežem preko PuTTy-a, ne? To bi rad naredil samo zato, da se navadim, še nikoli nisem uporabljal PuTTy-a.

Da. Preko SSH prideš do 'Command Line Interface-a' (CLI). Programčkov, ki obvladajo SSH je en kup, med njimi tudi Putty.

- Allowed Remote IP Address - Tu se vpiše IP naslov ki mu bo dovoljen oddaljen vstop v vmesnik routerja, ne?

Verjetno

- Allow web login as "root" - ?

Na splošno, se nikjer ni dobro prijavljati z root. Če zdaj vse nastavljaš brez teg, potem ne vklapljaj.

- Bandwidth and IP Traffic Monitoring - je bolje če monitoring izklopim, bi tako pridobil kaj na performansu?

Vsaka stvar, ki jo dodatno vklopiš, dodatno obremenjuje procesor in kuri pomnilnik. Če ti je kdaj kaj sumljivo, si to lahko vklopiš po potrebi. Ne morem pa nič reči, kje in kako potem izvajaš ta 'monitoring'. Predvidevam pa, da se nanaša na naslednji dve opciji, za katere sprašuješ.

- JFFS - kaj lahko pridobim s tem?
JFFS je del pomnilnika, kaj počne med traffic monitoring opcijami pa nebi vedel povedat.

- SNMP - kaj lahko naredim s tem?
Simple Network Management Protocol (SNMP) je luštna standardizirana zadeva, ki ti omogoča, da spremljaš s posebnim programom najbolj različne parametre neke naprave - v tem primeru routerja. Takšnih programov je cel kup, ki znajo preko SNMP protokola brati podatke in ti potem rišejo lepe grafe obremenjenosti, rabe spomina, koliko pretakaš, koliko imaš povezav,.... Kaj točno lahko spremljaš, pa zavisi od posamezne naprave.

Jaz temu GRC-u nič kaj dosti ne zaupam, še manj pa bi se zanašal nanj :)
(po moje je tega že 15 let nazaj, ko sem bral nek članek, v katerem je avtor Gibsona in neko njegovo takrat 'popularno' orodje/test argumentirano 'razcefral'. Od takrat Gibsona ne jemljem pretirano resno. Verjetno neupravičeno, ampak tako to je. Žal se ne spomnim več, za katero orodje ali test se je šlo, da bi lahko pogooglal in si osvežil spomin)

Saj tisti test nekaj 'dela', vendar testirati iz takšne razdalje, ko ne veš, če nek port ni bil že bogvedi kje prej blokiran, ni ravno neka trdna osnova, na katero bi se zanašal. Moja požarna pregrada pa ga itak 'ne mara' in ga takoj pokne na črno listo grešnikov, samo da se je 'dotakne'.

Če hočeš resno 'prerešetat' svojo škatlico, potem si naloži Kali na en USB ključek, z njega poženi prenosnik, vse skupaj na modemu priključi na vzporedni port ali še bolje če router skonfiguriraš na fikni IP naslov, Kali tudi in oboje povežeš direktno, brez česarkoli vmes. Potem pa zaženeš kakšen resen scan (Nmap, Nessus, Nexpose,...)... in na koncu pwnaš router :)

Takointako TI bolje veš, kot katerikoli scanner, kaj si sam odprl od zunaj proti notri in katere servise si svetu izpostavil. Skeniranje je na prvi stopnji (npr. Nmap) samo za to, da se prepričaš, da nisi morda še kaj spregledal. Druga stopnja pa je malo bolj kritična in zahteva že malo prakse, ker greš skozi tiste porte, ki so odprti in testiraš servise, ki so na njih, če imajo kakšne očitne ranljivosti.

Tu pa potem pride v igro tisti 'Update, Update, Update,...' - bolj ko boš posodabljal in vzdrževal aktualno stanje vseh servisov, manj bo ranljivosti, ki bi jih lahko kdo zlorabil. Žal pa se moraš zavedat, da samo update ne pomaga nič, če recimo tvoj javno dostopni FTP server dovoljuje RW dostop do korenskega directory-ja, ali pa če dovoliš root dostop do njega, po možnosti še z geslom '123456'. Razni scannerji ti tukaj tudi ne bodo kaj dosti pomagali.
Takšnih možnih 'bedastih' napak, ki jih lahko narediš, je ogromno. Več servisov ko imaš, več je različnih konfiguracij, več je spolskega ledu, na katerem lahko spodrsneš - sploh, če nisi res prepričan, kaj to pravzaprav nastavljaš in kakšne posledice to lahko ima.

Praviš, da ti tisti GRC test pravi, da imaš port 1194 zaprt? Kaj si nastavil OpenVPN dostop samo za določen IP naslov? Ali je to že ena takšna napaka, o kateri sem govoril, da ti jo lahko povzroči skeniranje 'na veliko daljavo'?

Kar se tiče naključnega dodeljevanja IP naslovov, je to še dokaj trivialna zadeva. Morda celo kje obstaja kakšna nastavitev, da se to da spremeniti (google?).
Drugače pa bi ti priporočil, da začneš uporabljati DHCP rezervacije za vse, kar je 'domače'. Čisto dinamično pa dodeljuj naslove napravam, ki pri tebi zgolj 'gostujejo'. Tako boš zagledal nek IP naslov in boš točno vedel, k kateri napravi spada. Brez tega pa ima tisti naslov lahko katerakoli naprava v hiši (predstavljaj si, da imaš še 'pametne žarnice', ki imajo vsaka svoj IP naslov, kako to potem šele postane zabavno ugotoviti, kam kateri naslov spada!).

Bluetooth...? Ali sploh kaj uporabljaš bluetooth? WiFi in Bluetooth si oba delita 2,4GHz območje in se teoretično lahko motita. Ta opcija naj bi kvazi zmanjšala te motnje, če jih imaš. Če jih nimaš, izključi.

UPnP velja za nekakšen hud nebodigatreba, ko se gre za varnost in žegen, ko se gre za poenostavitev priklopa raznih naprav in programov. Meni noben firewall ne podpira plug-and-pray, pa vseeno vse naprave in programi delujejo kot treba.

QoS postane zanimiv takoj, ko nekdo začne brez omejitve vlačiti torrente čez router, ko se nobena spletna stran noče več lepo odpirati, video stream se zatika, Skype šteka,.... Dokler si sam na mreži že veš zakaj 'trpiš', bolj hud je, če ti nekdo drug povzroča 'duševne bolečine'. Takrat te lahko odreši QoS, ali pa da nekomu iztakneš kabel (najbolje kar onega za elektriko). QoS pri tem povzroča manj razprtij v družini....

Prihodni/odhodni promet? - odvisno od implementacije. Pri meni imam QoS vezan na posamezna pravila požarne pregrade, ne glede na to, ali je incoming ali outgoing pravilo. Poleg QoS priority queue-jev pa imam lahko še bandwidth in connection limite na vsakem pravilu. Če malo pomisliš na IP telefonijo, potem vsekakor hočeš tudi za incoming klice imeti visoko prioritet, ne le za odhajajoče?
Kako ima Tomato to urejeno, pa res nebi vedel.

Tudi glede https administracije, ti ne morem nič reči, kako je to implementirano na Tomatu. Čisto možno, da moraš sam generirat self signed certifikat, da bo zadeva špilala. Da bi se čisto ven zaklenil ne verjamem, vsaj ne, če imaš SSH vključen, saj potem lahko preko konzolnega dostopa še kaj rešiš.

Pri meni http sploh ni opcija za administracijo. Takoj, ko se škatla boota, sama preveri, če ima veljaven certifikat in ga zgenerira, če slučajno manjka. Tako že v osnovi ne more priti do kakšnega lockout-a (imam pa še SSH in RS232 konzolni dostop, če čisto vse ostalo odpove).

Web login as root? Ker pri http root geslo prenašaš v cleartextu in ga lahko kdo prestreže? Ker potem z root geslom na tvoji škatli počne glih karkoli se mu zahoče? Ups?

Tam pri JFFS sem ti prilepil link, na katerem je nekaj pisalo o tem, za kaj naj bi se rabil. Če ne veš zakaj bi rabil, izključiš. KO boš rabil, še vedno lahko vključiš.

SNMP je popolnoma nekaj drugega kot SSH.
SSH ti odpre shell, ukazno okno, v katerem tipkaš ukaze. Podobno kot v CMD oknu na Windows, le da router 'govori' Linux...
SNMP pa je nekakšen strežnik za posredovanje podatkov, katere prebiraš s posebnimi programi, ki znajo komunicirati preko SNMP protokola in služijo nadzoru naprav v omrežju, deloma tudi upravljanju. En primer takšnega orodja je npr. Paessler PRTG Network Monitor. V teh orodjih si lahko nastaviš alarme, če so neke vrednosti presežene, se naprave ne odzivajo,.... Overkill za domačo mrežo, za kakšno poslovno pa lahko zelo koristno orodje.

- SSH Daemon - Se bom s tem poigral ob prostem času, gotovo je na internetu kakšen tutorial za SSH povezavo.

SSH dostop je na Tomatotih precej neuporaben, ker se večina nastavitev shranjuje / obdrži preko spletnega vmesnika v NVRAM. S stališča varnosti bi ti priporočal da tega ne vkapljaš.

...če mi lahko lepo prosim še malo odgovorite na prejšnji post? Hvala.

Lepo prosim? Saj je le malo vprašanj ostalo. :)

Splošno gledano, nastavitve za IPv6 nebi smele vplivati na dostop preko IPv4.

Ali se je morda z vključitvijo IPv6 samodejno spremenil IP naslov za web vmesnik, tako da je zdaj dostopen samo še preko IPv6? Preveri, če imaš kje kakšno nastavitev, na kateri IP/port naj se ti oglaša web vmesnik in če se je tam kaj spremenilo.

Tomato shibby 1.31 ima kot kaže nek hud bug ko vklopiš ip v6.
Sedaj sem namestil tomato toastman [ tomato-WRT54G_WRT54GL-1.28.7636Toastman-IPT-ND-MiniIPv6.bin 3.2 mb 11-05-2014 ] in dela iz prve vse.

http://www.4shared.com/dir/v1BuINP3/Toastman_Builds.html#dir=3aeoKSuX