Προσβαση στο router Speedport entry 2i, απομακρυσμενα

[jkoukos]

-Αρκεί να θες / μπορείς να βάλεις άλλη συσκευή.. Για το vpn.. Αν έτρεχε μέσω του cpe θα ήταν πολύ πιο απλά..
Υποθέτω ότι δεν μιλάμε για Pc ε;

-Στη τρίτη περίπτωση έτσι όπως το λες είναι.. Δεν συμπεριέλαβες όμως τη περίπτωση port forward που είπες στο ερώτημα που έθεσα..

Υπάρχουν πολλές λύσεις να τρέχει το VPN. Π.χ. με ένα μικρό και φθηνό Mango ή κάποιο Raspberry Pi.

Δεν κατάλαβα τι ρωτάς για το port forward. Δεν έχει σχέση με το αν έχουμε επιτρέψει ή όχι πρόσβαση στο μενού του cpe.

[K1m0n]

Με προβληματίσατε, και τελικά από το πουθενά δοκίμασα να μπω με https και εν τέλη ανοίγει το router! Στο απλό ανοίγει ο server των pv που έχω, και στο https ανοίγει το ρούτερ! Προσωπικά δε με χαλάει αυτό και μου κάνει εύκολη τη δουλειά μου!

Καταλαβαίνω τους κινδύνους που έχει αυτή η ενέργεια, και ευχαριστώ για τις προειδοποιήσεις, απλά ουσιαστικά εκεί δεν υπάρχει τίποτα και με καμιά ευαίσθητη πληροφορία οπότε για αυτό παίρνω και το ρίσκο. Επειδή βρίσκεται σε απομακρυσμένο χώρο "αποθήκης" όπου χρειάζεται να γνωρίζω αν έχει πέσει το ρεύμα, και ότι δουλεύουν τα μηχανήματα, χρειάζομαι να έχω πρόσβαση για να μπορώ να κάνω ένα πρώτο troubleshoot απομακρυσμένα, για να μην κάνω 60 χιλιόμετρα πάνε έλα χωρίς λόγο. Επίσης και λόγω του ότι το ρεύμα πέφτει αρκετά συχνά, ο υπολογιστής που έχω εκεί δεν είναι δυνατόν να μένει ανοιχτός συνέχεια, και τυχαίνει μετά από διακοπή να κλείνει. Έχω μόνο ένα ups του ΟΤΕ πάνω στο ρούτερ!

Ok.
Έχε υπόψιν, οι συχνότερες επιθέσεις σε routers/cpe (μιλώντας για οικιακά δίκτυα πάντα) έχουν σκοπό:
είτε να αλλάξουν dns με κάποιο δικό τους (ads + phishing + etc)
είτε να χρησιμοποιήσουν το router σαν zombie για ddos
είτε να στείλουν spam
θα μπορούσε να είναι και stepping stone για περεταίρω εισβολή μέσα στο lan (αλλά στην περίπτωση σου δεν..).

Αν γνωρίζεις τα ρίσκα και είναι αποδεκτά, Ok.
Η καλή πρακτική πάντως είναι το vpn.

[GregoirX23]

Αναλόγως υλοποίησης.
Αν κάνουν etablished ένα encrypted stream με το upstream cloud του provider,
τυπικά δεν είναι εκτεθειμένες οι ίδιες στο wan.
Εκεί είναι θέμα η υλοποίηση/ασφάλεια της cloud υπηρεσίας.

Αν κάνουν dyndns ή/και upnp/port-forward και βγάζουν κάποιο gui/stream είτε της ίδιας της κάμερας είτε του καταγραφικού στην wan είναι επίφοβα.
Προσωπικά, δεν θα έβαζα κάμερα στην κρεβατοκάμαρα.
Μη γίνω διάσημος στα γεράματα...

Off Topic

Δεν νομίζω να κάνουν port forward.. Π.χ μερικές που έχω δοκιμάσει..
Προσωπικά το upnp το έχω πάντα off.. Και το wps το ίδιο..
Ούτε μέσω ddns παίζουν.. Οι επιλογές αυτές δεν είναι ενεργές.. Σε χρήση δλδ..
Και το stream τους αν δεν βάλεις κωδικό που έχει η συσκευή επάνω στο ταμπελάκι και το οποίο μπορείς να αλλάξεις, δεν μπορείς να το παρακολουθήσεις.. Το κατά πόσο μπορεί να σπάσει είναι άλλο θέμα.. Επίσης χρειάζεται και το account που δημιουργείς στο cloud.. Και το pass για το gui τους λέμε, αν.. Που δεν θα τύχει να βγει αυτό το τελευταίο προς τα έξω..
Μιλάω για cloud based ip-cam..

Τώρα για smart plug κλπ Ιοτ εκεί είναι άλλο θέμα ίσως.. Με αυτά τα esp modules..
Όταν το κάνεις pair στο δίκτυο σου ζητάει το κωδικό του wifi για να το ψάξει.. Μετά δημιουργείς και ένα account στο αντίστοιχο cloud με δυνατότητα 2fa.. Αυτό αν θυμάμαι καλά..
Απ'ότι έχω δει, μου φαίνεται ότι σηκώνει δεύτερη δική του pppoe κλήση μέσω της οποίας επικοινωνεί.. Αυτό δεν ξέρω πόσο ασφαλές μπορεί να είναι..
Επίσης αυτό που έχω παρατηρήσει με τα smart plug είναι ότι δεν έχουν gui.. Απαντάνε όμως σε ping από μέσα..
Ίσως μεγάλη κουβέντα ε;
Κάποτε μου πρότειναν να δοκιμάσω wireshark ώστε να δω τι ακριβώς "κάνει" στο δίκτυο.. Για να έχω μια ιδέα..
Αυτό που επίσης έχω δει είναι ότι κάθε μερικά δευτερόλεπτα επικοινωνεί με τον server του μάλλον.. Καθώς έχω σχετική καταχώρηση στο log του ρουτερ με τη mac της συσκευής.. Είχα θέμα με μερικά (παλιά) ρουτερ με αυτό το τελευταίο.. Κόλλαγαν.. Μάλλον το έβλεπαν σαν flood; Δεν ξέρω..

Hint:
Θεωρητικά, οι διάφορες iot συσκευές στο σπίτι καλό θα ήταν να είναι σε ξεχωριστό/απομονωμένο δίκτυο,
αλλά αυτά δεν γίνονται με τον τυπικό εξοπλισμό του isp ούτε με τα τυπικά οικιακά switches.
Αν κάποιος ενδιαφέρεται θα βρεί εύκολα τα σχετικά στον γούγλη.
Μεγάλο θεμα, και guides/tutorials υπάρχουν πολά.

Διαφορετικό δίκτυο εντελώς; Η π.χ άλλο a.p με άλλο dhcp και επιπλέον νατ;

- - - Updated - - -

Υπάρχουν πολλές λύσεις να τρέχει το VPN. Π.χ. με ένα μικρό και φθηνό Mango ή κάποιο Raspberry Pi.

Δεν κατάλαβα τι ρωτάς για το port forward. Δεν έχει σχέση με το αν έχουμε επιτρέψει ή όχι πρόσβαση στο μενού του cpe.

Μου πέρασε και εμένα το pi σαν ιδέα, θα το έγραφα αλλά περίμενα εσένα.. Αλλά μετά πας σε πιο πολύπλοκες λύσεις.. Όχι σκληροπυρηνικές αλλά επιπλέον εξοπλισμό..

Για το άλλο λέω, αν κάνεις port forward την 80 στην 8081, θα απαντάει μόνο στην 8081 ε; Στην 80 όχι.. Σωστά το σκέφτομαι;
Αν όμως κλείσεις την 80 από το κουτάκι του http, χωρίς να έχεις ακυρώσει το port forward τότε υποθέτω ότι θα είναι απλά σαν να μην υπάρχει το port forward; Καλά τα λέω;

- - - Updated - - -

Ok.
Έχε υπόψιν, οι συχνότερες επιθέσεις σε routers/cpe (μιλώντας για οικιακά δίκτυα πάντα) έχουν σκοπό:
είτε να αλλάξουν dns με κάποιο δικό τους (ads + phishing + etc)
είτε να χρησιμοποιήσουν το router σαν zombie για ddos
είτε να στείλουν spam
θα μπορούσε να είναι και stepping stone για περεταίρω εισβολή μέσα στο lan (αλλά στην περίπτωση σου δεν..).

Αν γνωρίζεις τα ρίσκα και είναι αποδεκτά, Ok.
Η καλή πρακτική πάντως είναι το vpn.

Αν έχεις γερό κωδικό που θέλει χρόνια για να σπάσει, firewall με spi, nat, καθώς https & δεν απαντάς σε ping, νομίζω ότι ίσως είναι μια προστασία..
Από την άλλη με το attack δεν ξέρω τι φρίκη μπορεί να φάει το cpe(flood) με αποτέλεσμα να κολλήσει και άντε κάνε επανεκκίνηση χωρίς πρόσβαση..
Για το vpn σωστός.. Χωρίς κουβέντα.. Είναι πολύ σωστή πρακτική, αλλά ολίγον δύσκολη στην υλοποίηση..

[jkoukos]

Μου πέρασε και εμένα το pi σαν ιδέα, θα το έγραφα αλλά περίμενα εσένα.. Αλλά μετά πας σε πιο πολύπλοκες λύσεις.. Όχι σκληροπυρηνικές αλλά επιπλέον εξοπλισμό..

Το VPN για να δουλέψει, πρέπει να τρέχει κάπου.
α. Αν δεν γίνεται στο cpe, αγοράζουμε άλλο.
β. Αν δεν είναι εφικτό ή δεν θέλουμε το (α), κάνουμε χρήση υπολογιστή που έχουμε.
γ. Αν δεν είναι εφικτό ή δεν θέλουμε το (β), κάνουμε χρήση άλλης δικτυακής συσκευής.
δ. Αν δεν υπάρχει δυνατότητα του (γ), πρέπει να προμηθευτούμε κάποια.
ε. Αν δεν θέλουμε το (δ), με την θέλησή μας δεν υπάρχει δυνατότητα VPN.

Για το άλλο λέω, αν κάνεις port forward την 80 στην 8081, θα απαντάει μόνο στην 8081 ε; Στην 80 όχι.. Σωστά το σκέφτομαι;
Αν όμως κλείσεις την 80 από το κουτάκι του http, χωρίς να έχεις ακυρώσει το port forward τότε υποθέτω ότι θα είναι απλά σαν να μην υπάρχει το port forward; Καλά τα λέω;

Με ενεργό port forward την 8081 προς την 80 του server:
α. Κτυπώντας απ' έξω την 8081 πάμε κατευθείαν στον server. Αυτό είναι άσχετο με το τι έχουμε τικάρει για το remote management του cpe.
β. Κτυπώντας απ' έξω την 80 πάμε (ή όχι) κατευθείαν στο cpe. Αυτό σχετίζεται με το τι έχουμε τικάρει για το remote management του cpe.

[K1m0n]

Διαφορετικό δίκτυο εντελώς; Η π.χ άλλο a.p με άλλο dhcp και επιπλέον νατ;

Τυπικά διαφορετικά vlans σε firewall/switches/routers/ap/etc.
Θα μπορούσε να είναι και τελείως ξεχωριστά firewall/switches/router(s)/APs,
δεν προτείνεται για να μην στήνεται διπλή υποδομή (αλλά θεωρείται αυτονόητο ότι υπάρχει η δυνατότητα για vlans).
Είπαμε, είναι best practice, δεν σημαίνει ότι γίνεται με τυπικό οικιακό εξοπλισμό και δυό-τρία κλίκ.
Αν σε ενδιαφέρει google it, έχουν γραφτεί άπειρα περί του θέματος.

Αν έχεις γερό κωδικό που θέλει χρόνια για να σπάσει, firewall με spi, nat, καθώς https & δεν απαντάς σε ping, νομίζω ότι ίσως είναι μια προστασία..

Έχεις μια προστασία.. έτσι όπως το είπες.
Αν ανοίγεις το cpe (και όχι μόνο το cpe, οποιονδήποτε server) στην wan, και υπαρχει/υπάρξει ένα vulnerability που είναι exploitable wan-side,
αυτά μπορεί να μην έχουν καμία σημασία.

[sweet dreams]

Με προβληματίσατε, και τελικά από το πουθενά δοκίμασα να μπω με https και εν τέλη ανοίγει το router! Στο απλό ανοίγει ο server των pv που έχω, και στο https ανοίγει το ρούτερ! Προσωπικά δε με χαλάει αυτό και μου κάνει εύκολη τη δουλειά μου!

Καταλαβαίνω τους κινδύνους που έχει αυτή η ενέργεια, και ευχαριστώ για τις προειδοποιήσεις, απλά ουσιαστικά εκεί δεν υπάρχει τίποτα και με καμιά ευαίσθητη πληροφορία οπότε για αυτό παίρνω και το ρίσκο. Επειδή βρίσκεται σε απομακρυσμένο χώρο "αποθήκης" όπου χρειάζεται να γνωρίζω αν έχει πέσει το ρεύμα, και ότι δουλεύουν τα μηχανήματα, χρειάζομαι να έχω πρόσβαση για να μπορώ να κάνω ένα πρώτο troubleshoot απομακρυσμένα, για να μην κάνω 60 χιλιόμετρα πάνε έλα χωρίς λόγο. Επίσης και λόγω του ότι το ρεύμα πέφτει αρκετά συχνά, ο υπολογιστής που έχω εκεί δεν είναι δυνατόν να μένει ανοιχτός συνέχεια, και τυχαίνει μετά από διακοπή να κλείνει. Έχω μόνο ένα ups του ΟΤΕ πάνω στο ρούτερ!

Συναγερμό δεν έχεις??

[YAziDis]

Συναγερμό δεν έχεις??

Υπάρχει συναγερμός ναι

[sweet dreams]

Aυτός δεν έχει τηλεειδοποίηση για να σε ενημερώνει για διακοπή και επαναφορά ρεύματος??

[YAziDis]

Aυτός δεν έχει τηλεειδοποίηση για να σε ενημερώνει για διακοπή και επαναφορά ρεύματος??

Να σου πω την αλήθεια τον έβαλε ο πατέρας μου και δεν γνωρίζω ούτε τι μάρκα είναι ούτε τις δυνατότητες του, ούτε τίποτα. Όπως ειπ είναι μια ιδιάζουσα περίπτωση η κατάσταση. Για να σου δώσω μια ιδέα, δεν έχω ρεύμα εκεί. Ουσιαστικά παίρνω ρεύμα από το φωτοβολταϊκό πάρκο το οποίο έχω, όποτε αν δεν έχω ρεύμα εκεί σημαίνει ότι έπεσε κάποια ασφάλεια, πραγμα σπάνιο (μια φορά μου έχει τύχει στα 10 χρόνια). Όποτε αν εγώ δεν έχω πρόσβαση στον server των φωτοβολταϊκών, σημαίνει 9/10 πως ο ΟΤΕ γαμ**ται, γιατί τους τελευταίους 2 μήνες, δεν είχα για 21 μέρες ούτε τηλέφωνο ούτε Ίντερνετ λόγω βλάβης, ή επειδή η γραμμή δεν χρησιμοποιείται ιδιαίτερα να με έχει γυρίσει το σύστημα σε ip 100.x.x.x
Τις υπόλοιπες φορές, επειδή εκεί επίσης περνάει η υψηλής τάσης λόγω βιομηχανικού χώρου, υπάρχουν πολλά σκαμπανεβάσματα στο ρεύμα και πολλές μικροδιακοπες, όπου αυτό σημαίνει πως τα inverter κάνουν επανεκκίνηση και μέσα στα επόμενα 3 λεπτά ξανά συνδέονται. Εκεί κάποιες φορές μπορεί κάποιο να κολλήσει, κει να θέλει επανεκκίνηση χειροκίνητα.

Εν κατακλείδι, επειδή 9/10 φταίει ο ΟΤΕ, επειδή η καμπίνα είναι 2 - 2,5 χλμ μακριά (για να καταλάβεις ζήτησα να με κλειδώσουν σε προφίλ 4mbps για να είναι σταθερή η γραμμή χωρίς αποσυνδέσεις), πρώτο μέλημα μου είναι να βλέπω το γίνεται στο ρουτερ και γενικά στη γραμμή, για να ξέρω αν φταίει αυτός ή αν υπάρχει κάποιο πρόβλημα στο δίκτυο εκεί.

[sweet dreams]

Aφού χρησιμοποιείς το Internet πολύ λίγο, δεν θα σε βόλευε να έχεις router 4G??

[YAziDis]

Φυσικά και θα με ενδιέφερε! Είχα ανοίξει αυτό το θέμα για το αν μπορεί να γίνει από δίκτυο κινητής να έχω υπηρεσία dyndns, αλλά εφόσον δεν υπάρχει δυνατότητα να έχω public ip πως θα το στήσω;

[sweet dreams]

Κάνε ερώτηση στην Cosmote, ρίξε μια ματιά στο Link
https://www.adslgr.com/forum/threads...85#post6195985

[K1m0n]

ή επειδή η γραμμή δεν χρησιμοποιείται ιδιαίτερα να με έχει γυρίσει το σύστημα σε ip 100.x.x.x

Μιας και το θές για δουλειά, ίσως είναι καλή ιδέα να ζητήσεις static ip.
Έχει μια επιβάρυνση λόγω "business" πακέτου, αλλά εξ'ορισμού δεν σε βάζουν σε cg-nat,
οπότε θάχεις να ανησυχείς για ένα πρόβλημα λιγότερο.
Γενικά όσο περνάει ο καιρός τόσο το cg-nat θα γίνεται κανόνας,
και σε κάποια στιγμή θα δούμε και ipv4 over v6 (as-a-service),
οπότε όσοι θέλουν static/vpn/κλπ θα πληρώνουν ένα εξτραδάκι.

[YAziDis]

Κάνε ερώτηση στην Cosmote, ρίξε μια ματιά στο Link
https://www.adslgr.com/forum/threads...85#post6195985

Πολύς κόπος για το τίποτα.. αυτή τη στιγμή έχω 22€ συμβόλαιο στην cosmote, όποτε και να πάω σε σύνδεση ή internet on the go δε νομίζω να με συμφέρει τόσο πολύ. Βάλε μετά ότι θα έχω και το κόστος του να αγοράσω ένα καλό 4G router. Σε ευχαριστω πάντως, θα μελετήσω και λίγο παραπάνω αυτό που περιγράφει ο συνφορπυμιτης στο αντίστοιχο νήμα.

[sweet dreams]

Δεν το είπα από θέμα κόστους αλλά από θέμα βλαβών που έχει η ενσύρματη σύνδεση.