Bridge Firewall Dengan OrangePi R1: 4 Langkah

2024 Pengarang: John Day | [email protected]. Diubah suai terakhir: 2024-01-30 11:10

Saya terpaksa membeli Orange Pi yang lain:) Ini kerana telefon SIP saya mula berdering di tengah malam dari nombor yang pelik dan pembekal VoIP saya mengesyorkan itu disebabkan pengimbasan port. Sebab lain - Saya terlalu sering mendengar tentang peretas yang diretas, dan saya mempunyai penghala yang tidak dibenarkan saya tadbir (Altibox / Norway). Saya juga ingin tahu apa yang berlaku di rangkaian rumah saya. Oleh itu, saya memutuskan untuk membuat jambatan-firewall, telus ke rangkaian rumah TCP / IP. Saya mengujinya dengan PC, kemudian saya memutuskan untuk membeli OPi R1 - kurang bunyi & kurang penggunaan tenaga. Sekiranya anda mempunyai alasan anda sendiri untuk memiliki firewall perkakasan - itu lebih mudah daripada yang anda fikirkan! Jangan lupa membeli heat sink dan kad micro SD yang baik.

Langkah 1: OS & Kabel

Saya memasang Armbian:

Seperti yang anda perhatikan, saya menggunakan penukar USB TTL untuk mempunyai akses ke konsol bersiri, yang tidak diperlukan, konfigurasi rangkaian lalai mengandaikan DHCP.

Satu-satunya komen kepada penukar - dalam banyak tutorial, tidak ada sambungan VCC yang disarankan. Bagi saya, ia hanya berfungsi apabila bekalan kuasa disambungkan (3.3V adalah satu-satunya pin persegi di papan). Dan ia akan menjadi terlalu panas jika tidak disambungkan ke USB sebelum bekalan kuasa dihidupkan. Saya rasa R1 mempunyai pinout yang sesuai dengan OPi Zero, saya menghadapi masalah untuk mencari skema R1.

Setelah boot Armbian, menukar kata laluan root dan beberapa kemas kini / peningkatan perkara saya dapati dua antara muka ('ifconfig -a') - eth0 dan enxc0742bfffc6e. Periksa kerana anda memerlukannya sekarang - perkara yang paling mengagumkan adalah untuk menjadikan R1 anda menjadi jambatan Ethernet, anda hanya perlu menyesuaikan fail / etc / network / interfaces. Saya berasa bangga bahawa Armbian dilengkapi dengan beberapa versi fail yang telah dikonfigurasi termasuk antaramuka.r1switch - terdengar seperti apa yang kita perlukan tetapi ia tidak berfungsi.

Satu lagi perkara penting ialah pengenalan port Ethernet yang betul - enxc0742bfffc6e adalah yang berdekatan dengan pin bersiri.

Sebelum anda membuat R1 terputus hubungan dengan Internet (OK, ini mungkin dikonfigurasi dengan lebih baik) hanya pasang satu perkara:

sudo apt-get install iptables-berterusan

Langkah 2: / etc / network / antaramuka

Sekiranya anda menukar rangkaian tempatan anda ke eth0 daripada yang anda perlukan fail antara muka berikut (anda selalu boleh kembali ke versi orig dengan sudo cp interfaces.default interfaces; reboot):

manual inet auto br0iface br0

bridge_ports eth0 enxc0742bfffc6e

jambatan_stp mati

jambatan_fd 0

jambatan_maxwait 0

jambatan_maxage 0

Langkah 3: Iptables

Selepas reboot, R1 anda harus telus ke rangkaian dan berfungsi seperti penyambung kabel. Sekarang mari kita menjadikan hidup lebih sukar bagi orang jahat di luar sana - konfigurasikan peraturan firewall (garis hash adalah komen; sesuaikan alamat rangkaian ke konfigurasi DHCP anda!):

# flash semua dan tutup pintu

iptables -Fiptables -P INPUT DROP

iptables -P KEHADIRAN HINGGA

iptables -P OUTPUT DROP

# tetapi membenarkan rangkaian dalaman keluar

iptables -A INPUT -m physdev --physdev-is-bridged --physdev-in eth0 -s 192.168.10.0/24 -j TERIMA

iptables -A FORWARD -m physdev --physdev-is-bridged --physdev-in eth0 -s 192.168.10.0/24 -j TERIMA

# membenarkan DHCP pergi melalui jambatan

iptables -A INPUT -i br0 -p udp --dport 67:68 --sport 67:68 -j MENERIMA

iptables -A FORWARD -i br0 -p udp --dport 67:68 --sport 67:68 -j TERIMA

# semua lalu lintas yang ditetapkan harus diteruskan

iptables -A FORWARD -m conntrack --ststate DILAYAN, BERKAITAN -j MENERIMA

# hanya untuk penyemak imbas tempatan - akses ke alat pemantauan seperti darkstat

iptables -A INPUT -i lo -j MENERIMA iptables -A OUTPUT -o lo -j MENERIMA

#sekat spoofing

iptables -A FORWARD -m physdev --physdev-is-bridged --physdev-in enxc0742bfffc6e -s 192.168.10.0/24 -m had - had 5 / min -j LOG --log-level 7 --log-awalan NETFILTER

iptables -A FORWARD -m physdev --physdev-is-bridged --physdev-in enxc0742bfffc6e -s 192.168.10.0/24 -j REJEK

Langkah 4: Pertimbangan Akhir

Selepas seminggu - ia berfungsi dengan sempurna. Satu-satunya perkara yang akan saya buat (dan hantar di sini) adalah pemantauan dan akses rangkaian melalui ssh. Saya ulangi - menukar fail antara muka ke kandungan yang saya lampirkan akan melepaskan peranti R1 dari rangkaian IP - hanya siri yang akan berfungsi.

6 Jun 2018: merapatkan tidak banyak kerja tetapi R1 mengeluarkan banyak haba, terlalu banyak. Singki haba sederhana menjadi sangat panas - pelik & saya tidak menyukainya. Mungkin tidak mengapa, mungkin seseorang mempunyai jalan keluar selain kipas.

18 Ogos 2018: 'armbianmonitor -m' menunjukkan 38 Celsius, yang jauh di bawah persepsi peribadi saya. Saya merasakan perubahan yang ketara (turun) ketika saya sedikit mengurangkan jam:

echo 1000000> / sys / peranti / sistem / cpu / cpu0 / cpufreq / scaling_max_freq

BTW - Saya berjaya menyambung ke WLAN rumah saya tetapi R1 belum menerima IP melalui DHCP, deo tugas statik juga tidak berfungsi. Itu adalah percubaan pertama saya untuk mempunyai antara muka pentadbiran, selain yang bersiri. Idea lain adalah untuk tetap mempunyai IP yang ditetapkan ke salah satu port ethernet. Saya akan mengulanginya dalam beberapa bulan.