Speedport Entry 2i

[YannisA]

Ευχαριστώ όλους που το θέμα μου έτυχε τόσης ανάλυσης.
Μετά τη συμβουλή του GregoirX23 να κόψω το HTTP k PING, αφήνοντας μόνο το HTTPS, εδώ και 2 μέρες δε βρήκα στο log απόπειρα για login στο Wen UI.

Θα ήθελα να ρωτήσω όμως κάτι ακόμα.
Απ' ότι φαίνεται, το VPN είναι ο ασφαλέστερος τρόπος για Remote Access στο Router. Το είχα κάνει παλιά σε Netgear, αλλά μεγάλωσα κιόλας και δε θυμάμαι.
Αν θυμάμαι καλά, με VPN γίνεσαι client του απομακρυσμένου δικτύου και παίρνεις IP απ' τον εκεί Router, σαν να είσαι στο δικό του δίκτυο.
Υπάρχουν εδώ σε κάποιο νήμα οδηγίες, πως γίνεται αυτό σε Speedport 2i?

[GregoirX23]

Εγώ βρίσκω κ με το https scans απλά πιο σπάνια..
Είναι λίγο επόμενο τα scans για την 80 να είναι πιο πολλά από την 443..
Μέσα σε όλα αυτά όμως αυτό δεν ακυρώνει όσα σωστά γράφτηκαν πιο πίσω σχετικά με την ασφάλεια..
Για το vpn νομίζω ότι γίνεται όπως έγραψες, κατεβάζεις την εφαρμογή του εκάστοτε vpn και συνδέεσαι με αυτόν για αρχή.. Παίρνεις ip από αυτόν εννοείται.. Μετά πας στο entry και ορίζεις ένα εύρος ip στο οποίο θα ανοίγει τη σελίδα με το gui.. Το εύρος αυτό θα είναι της ip του vpn..
Το εύρος αυτό ορίζεται εκεί που διάλεξες και τα http/https/ping, πάνω αντί για 0.0.0.0 = όλες τις ip, θα ορίσεις το εύρος του vpn..
Νομίζω κάπως έτσι.. Αν και πάλι μπορεί να υπάρχουν scans..
Εκτός μετά αν κάποιος vpn δώσει static ip οπότε το εύρος αυτό θα είναι πιο μικρό κ συγκεκριμένο κ πιο ασφαλές..
Αν κάνω λάθος ας με διορθώσουν τα παιδιά..

[K1m0n]

Υπάρχουν εδώ σε κάποιο νήμα οδηγίες, πως γίνεται αυτό σε Speedport 2i?

Το ζητούμενο είναι να στήσεις έναν vpn server στο σπίτι/γραφείο/όπου θες απομακρυσμένη πρόσβαση.
Ο άνω server πρέπει να τρέχει κάπου στο lan που θες να έχεις απομακρυσμένη πρόσβαση.
Είτε τρέχει στο ίδιο το cpe (το speedport ατυχώς δεν προσφέρει τα σχετικά αλλά μπορείς να βάλεις πχ ένα fritzbox ή ένα asus),
είτε στήνεις ένα μηχάνημα στο lan να εκτελεί χρέη vpn server και αναλόγως το πρωτόκολο προωθείς τις σχετικές πόρτες/πρωτόκολλα
από την wan του speedport στην local ip του vpn server ώστε να μπορείς να συνδεθείς σε αυτόν από "έξω".

Συγκεκριμένο οδηγό για το 2i δεν νομίζω να έχουμε,
γενικούς οδηγούς για το πως στήνεται το ovpn/ipsec/wireguard/whatever_vpn στο x router/firewall ή στην x διανομή linux θα βρεις άπειρους.

[GregoirX23]

Ο τρόπος που ανέφερα δεν κάνει δουλειά; Το να χρησιμοποιήσεις vpn υπηρεσία από άλλον λέω..
Απλά ρωτάω, δεν το έχω κάνει ξανά κ δεν ξέρω..
Αυτό με τον server που λες ίσως είναι πιο σωστό αλλά μου ακούγεται σαν πολύπλοκο..

[jkoukos]

Για να μην υπάρχουν φοβίες με το θέμα απομακρυσμένης πρόσβασης και χρήσης της τηλεφωνίας, με τα CPE των παρόχων απλά είναι αδύνατον.
Ο λόγος είναι ότι κανένα δεν έχει SIP Server ώστε κάποια ΙΡ συσκευή ή εφαρμογή να καταφέρει με κάποιον τρόπο να συνδεθεί ώστε να κάνει χρήση της τηλεφωνίας.
Αυτό είναι ευτύχημα, μα συνάμα δυστύχημα για όσους από εμάς θέλουμε ασφαλή πρόσβαση (π.χ. με VPN) για να κάνουμε χρήση της τηλεφωνίας από άλλο σημείο του πλανήτη.

[GregoirX23]

Νομίζω δεν είχαμε συζητήσει καθόλου για απομακρυσμένη χρήση της τηλεφωνίας.. Αυτό είναι άλλο θέμα..

[jkoukos]

Αναφέρθηκε σε προηγούμενα μηνύματα και μάλιστα έθεσες ερώτημα.

[K1m0n]

Ο τρόπος που ανέφερα δεν κάνει δουλειά; Το να χρησιμοποιήσεις vpn υπηρεσία από άλλον λέω..
Απλά ρωτάω, δεν το έχω κάνει ξανά κ δεν ξέρω..
Αυτό με τον server που λες ίσως είναι πιο σωστό αλλά μου ακούγεται σαν πολύπλοκο..

Δεν είναι θέμα "πιο σωστού".
Η x vpn υπηρεσία από κάποιον 3ό θα σε συνδεσει στον δικό τους vpn server,
και τυπικά, όσο μιλάμε για υπηρεσίες τύπου nord/mullvad/etc ο σκοπός είναι το anonymization/privacy ή το να παρακάμψεις geoblocking.
Οπωσδήποτε δεν θα σε συνδέσει σπίτι σου...

Για να κάνουμε vpn-in στον x χώρο/δίκτυο ενδιαφέροντος μας, θέλουμε κάποιον vpn server να τρέχει εκεί (στον x χώρο/δίκτυο).
Αν θέλουμε να συνδεθούμε με vpn στην δουλειά, κάνουμε ένα tunnel/session με τον vpn server στην δουλειά.
Αν θέλουμε να συνδεθούμε με vpn στο σπίτι, κάνουμε ένα tunnel/session με τον vpn server στo σπίτι.
κοκ.

Οπότε, αν θέλουμε να κάνουμε ένα tunnel με το σπίτι, για να δούμε το router/pc/nas/whatever τρέχει στο σπίτι μας,
έ, θέλουμε έναν vpn server στο σπίτι.
Δεν γίνεται αλλιώς.
Εναλλακτικά, πρέπει να κάνουμε port forward και να "ανοίξουμε" τις παραπάνω συσκευές/υπηρεσίες στην wan του router,
που παίζει μεν, είναι συνταγή για προβλήματα δε.

Για τους συνδρομητές cosmote (μιάς και είμαστε στο νήμα περί speedport...) ένα fritzbox θα κάνει vpn server με λίγα κλίκ,
και θα παίξει αυτόματα με την cosmote και το voip της οπότε είναι μονόδρομος για all-in-1 και "τα-κάνω-όλα-με-wizard" λύση
(και όχι, δεν μου βγάζει χαρτζιλίκι η avm).

Για καλύτερα/γρηγορότερα/πιο παραμετροποιήσιμα, μπορεί κανείς να στήσει ότι vpn server τραβάει η όρεξη του
στην lan-side του speedport.

- - - Updated - - -

Ο λόγος είναι ότι κανένα δεν έχει SIP Server ώστε κάποια ΙΡ συσκευή ή εφαρμογή να καταφέρει με κάποιον τρόπο να συνδεθεί ώστε να κάνει χρήση της τηλεφωνίας.

Out-of-the-box, και με το firmware του isp και τις επιλογές που δίνει στο gui, όχι.
Και όντως, σε ένα pbx είναι πιο εύκολο αν δεν έχουν ασφαλίσει τα extensions.
Αλλά εσωτερικά τα cpe τρέχουν ένα linux + ένα σφαγμένο asterisk που σηκώνει το sip session upstream.
Αν το χακέψουν και βγάλουν ένα shell απομακρυσμένα θα καλέσουν χωρίς να χρειάζεται να συνδέσουν συσκευή/extension.
Δεν θα ένιωθα άνετα να έχω το gui του cpe ανοιχτό στον πλανήτη.

[jkoukos]

Όλα τα CPE είναι τσίμα τσίμα στο λογισμικό που δέχονται, εξού όπως λες για περιορισμένο asterisk.
Δεν παίζει με τίποτα να προσθέσουν πακέτα ή scripts για να σηκωθεί SIP server. Ούτε σε OpenWrt με το κανονικό λογισμικό γίνεται, παρά μόνον με έξτρα πακέτα σε extroot και χρήση usb στικάκι. Βασικά γίνεται, αλλά προϋποθέτει βαριά αλλαγή όλου του λογισμικού και σίγουρα βγάζοντας εντελώς το gui, κάτι όμως που γίνεται άμεσα αντιληπτό.
Με ποιο shell υπάρχει δυνατότητα να παίξουν μπάλα στην αναλογική θύρα, όταν είναι καρακλειδωμένος ο οδηγός για την επικοινωνία με τον DSP;
Δεν ασχολούνται καν με τέτοιες περιπτώσεις όταν υπάρχουν πληθώρα ανοικτά PBX να το πετύχουν ευκολότερα.
Για τα υπόλοιπα συμφωνώ απόλυτα.

[K1m0n]

Δεν παίζει με τίποτα να προσθέσουν πακέτα ή scripts για να σηκωθεί SIP server.

Κατά πάσα πιθανότητα ο asterisk είναι ήδη σηκωμένος, το θέμα είναι αν έχουν απομακρυσμένα ένα shell και πρόσβαση στο cli/config του asterisk.
Δεν επιμένω, διότι δεν έχω κάτσει να σκαλίσω το 2i, και έδωσα πίσω και το δικό μου.
Έχω όμως ένα + (για περίπτωση ανάγκης), άν έχω κενό χρόνο τις επόμενες μέρες θα το κοιτάξω και θα σου πω συγκεκριμένα τι κάνει η sercomm.

Δεν ασχολούνται καν με τέτοιες περιπτώσεις όταν υπάρχουν πληθώρα ανοικτά PBX να το πετύχουν ευκολότερα.

Αυτό +1000.

Πάντως, γενικά, είναι κακή ιδέα να ανοίγουμε στο wan συσκευές από το lan.
Εδώ ένα web server θες να σηκώσεις, και βάζεις ένα firewall μπροστά,
και κάνεις hardening όλο το os και τον web server, και το cgi, και έχεις και τον κώδικα που τρέχει,
και έχεις και το νου σου για cves, και πάλι κάνεις το σταυρό σου.

Το να βγάλεις χύμα στο wan rdp/εκτυπωτές/κάμερες/nas/etc είναι no-no.
Και το μέσο κινέζικο router που θα τρέχει κάτι σε 3.x kernel + ένα web server 10 χρόνια πίσω
+ ότι customization έχει κάνει (με .hidden, lol) στα templates της JS o isp στο front-end + ότι (επικίνδυνες?) επιλογές έχει στο back-end,
+ τα ενδεχομενα backdoors για χρήση του oem ή/και του isp.
Εγώ δεν θα το άνοιγα στο wan με τπτ.

[GregoirX23]

Αναφέρθηκε σε προηγούμενα μηνύματα και μάλιστα έθεσες ερώτημα.

Βασικά η ερώτηση μου ήταν περισσότερο σχετικά με το τι θα γινόταν αν σε μια πιθανή επίθεση υπήρχε φραγή στις εξερχόμενες μέσω του παρόχου και όχι τόσο περί απομακρυσμένης χρήσης της τηλεφωνίας, αλλά οκ.. Thanks για τις πληροφορίες..

- - - Updated - - -

Δεν είναι θέμα "πιο σωστού".
Η x vpn υπηρεσία από κάποιον 3ό θα σε συνδεσει στον δικό τους vpn server,
και τυπικά, όσο μιλάμε για υπηρεσίες τύπου nord/mullvad/etc ο σκοπός είναι το anonymization/privacy ή το να παρακάμψεις geoblocking.
Οπωσδήποτε δεν θα σε συνδέσει σπίτι σου...

Για να κάνουμε vpn-in στον x χώρο/δίκτυο ενδιαφέροντος μας, θέλουμε κάποιον vpn server να τρέχει εκεί (στον x χώρο/δίκτυο).
Αν θέλουμε να συνδεθούμε με vpn στην δουλειά, κάνουμε ένα tunnel/session με τον vpn server στην δουλειά.
Αν θέλουμε να συνδεθούμε με vpn στο σπίτι, κάνουμε ένα tunnel/session με τον vpn server στo σπίτι.
κοκ.

Οπότε, αν θέλουμε να κάνουμε ένα tunnel με το σπίτι, για να δούμε το router/pc/nas/whatever τρέχει στο σπίτι μας,
έ, θέλουμε έναν vpn server στο σπίτι.
Δεν γίνεται αλλιώς.
Εναλλακτικά, πρέπει να κάνουμε port forward και να "ανοίξουμε" τις παραπάνω συσκευές/υπηρεσίες στην wan του router,
που παίζει μεν, είναι συνταγή για προβλήματα δε.

Για τους συνδρομητές cosmote (μιάς και είμαστε στο νήμα περί speedport...) ένα fritzbox θα κάνει vpn server με λίγα κλίκ,
και θα παίξει αυτόματα με την cosmote και το voip της οπότε είναι μονόδρομος για all-in-1 και "τα-κάνω-όλα-με-wizard" λύση
(και όχι, δεν μου βγάζει χαρτζιλίκι η avm).

Για καλύτερα/γρηγορότερα/πιο παραμετροποιήσιμα, μπορεί κανείς να στήσει ότι vpn server τραβάει η όρεξη του
στην lan-side του speedport.

- - - Updated - - -



Out-of-the-box, και με το firmware του isp και τις επιλογές που δίνει στο gui, όχι.
Και όντως, σε ένα pbx είναι πιο εύκολο αν δεν έχουν ασφαλίσει τα extensions.
Αλλά εσωτερικά τα cpe τρέχουν ένα linux + ένα σφαγμένο asterisk που σηκώνει το sip session upstream.
Αν το χακέψουν και βγάλουν ένα shell απομακρυσμένα θα καλέσουν χωρίς να χρειάζεται να συνδέσουν συσκευή/extension.
Δεν θα ένιωθα άνετα να έχω το gui του cpe ανοιχτό στον πλανήτη.

Ερώτηση..
Το να έχουμε ανοιχτό το gui σε όλες τις ip δεν είναι ασφαλές..
Δεν υπάρχει κάποιος τρόπος να αποκτήσουμε μια static ip και να ορίσουμε να ανοίγει μόνο σε αυτή;
Δεν είναι αυτό μια ιδέα όχι για να εξαλειφθεί αλλά για να μειωθεί ο κίνδυνος;
Το λέω απλά για να αποφύγουμε όλη τη βαβούρα περί σερβερ, αν και το σωστό μάλλον είναι αυτό που λες..

[K1m0n]

Δεν υπάρχει κάποιος τρόπος να αποκτήσουμε μια static ip και να ορίσουμε να ανοίγει μόνο σε αυτή;
Δεν είναι αυτό μια ιδέα όχι για να εξαλειφθεί αλλά για να μειωθεί ο κίνδυνος;

Σαφώς.
Όταν "ανοίγεις" μια πόρτα/υπηρεσία στο wan (ειδικά web/ssh/nfs/ftp/etc), αν δεν είναι για ευρεία κατανάλωση
o πρώτος τρόπος που την ασφαλίζεις είναι να ελέγχεις source ip στο firewall.
Αν στο άλλο άκρο έχεις static και ξέρεις την source ip λες allow new connections protocol port:z from source ip/list y.
Είναι 99,999999% ασφαλές (όσο ο απέναντι δεν κάνει ip spoofing, που *δεν* είναι εύκολο).
Για όλους τους άλλους είναι κλειστή.
Ή το ίδιο με το ανωτέρω και αντί ip domain name (allow new from myhome.john.dydnsservice.tld),
που έχει κάποια θεματάκια αλλά μερικά firewall το κάνουν.
Το πρόβλημα είναι ότι το απλοποιημένο gui των soho cpe συχνά δεν έχει τέτοιες επιλογές (έχει το speedport?),
και ότι συχνά δεν έχεις static/known ip ή domain name απέναντι.

Για να έχεις static απέναντι
σπίτι/γραφείο (xdsl/fiber) = $
mobile = είτε α) επαγγελματικό πακέτο (και αν δίνουν), είτε β) vpn tunnel με static = $

Επειδή λοιπόν ο μέσος χρήστης δεν θα έχει static ip στο δρόμο,
και θα θέλει να συνδεθεί στο σπίτι να δει τις κάμερες (πχ),
για να μην ανοίξει τις κάμερες στο wan το κάνει με ένα vpn.

[nikoslykos]

Παιδια επειδη εχω μπερδευτει λιγο θα ηθελα λιγο βοηθεια. Πηρα σημερα το ΖΤΕ Η1600 και εχω και ενα FritzBox 7530AX απλα δεν μπορω να το χρησιμοποιω πια ως modem διοτι μου κανει νερα με τον συναγερμο. Οποτε θελω να χρησιμοποιησω το ZTE ως modem και τηλεφωνια και το FritzBox ως router καθαρα. Τι βηματα πρεπει να ακολουθησω ;

Λάθος topic sorry

[antonaros]

Ερωτηση¨Το torrent επιρεαζει τις ταχυτητες και το ping ?
Εν αρχη ηταν ενας τεχνικος που ηρθε να φριαξει μια βλαβη στο μαγαζι κατω απο το σπιτι μου.
Μεχρι εκεινη τη στιγμη ειχα 33 Mbps Download, 4.5 Mbps Upload , 26 PING.
Καποια στιγμη κοπηκε το ιντερνετ και βγηκα στο μπαλκονι και του ειπα οτι μου εκοψε το ιντερνετ αλλα εκεινος ανενδοτος οτι δε εκανε κανενα λαθος.
Μετα απο λιγο και αφου ο τεχνικος επαιξε με τα καλωδια ειχα 22 Mbps Download , και 26 PING με θρασος μου ειπε να παρω τις βλαβες.
Τις πηρα και η κοπελα αφου ειδε οτι με reset του ρουτερ και οτι μπορουσε να κανει το καταχωρησε σαν βλαβη. Μου ειπε πριν βγαλώ συμπερασματα και να περιμενω μυνημα οτι αποκατασταθηκε η βλαβη πραγμα που 5 ωρες μετα δεν εχει ερθει κατι αναλογο..
Τωρα που μιλαμε εχω 22 Mbps Download , 1,6 Mbps Upload και 122 PING . Επειδη ενα συνεργατης μου απο το εξωτερικο δεν εχει προσβαση στο MEGA Ή στο FileFactory εκανα ενα τορρεντ αλλα ακομα δεν εχει καποια κινηση.
Θα μπορουσε το τορεντ να επιρεαζει τις ταχυτητες μου ακομα και αν καποιος δεν κατεβαζει το αρχειο που εχω στο τορεντ?

[YannisA]

Καλησπέρα παιδιά.
Υπάρχει κάτι που να μπορεί να μας δώσει το Calls Log (αναπάντητες / εισερχόμενες / εξερχόμενες) για τον 2i ?