🏹 😣 🤞🏻 ICW पोर्ट OpenWRT में दस्तक देता है 🛃 👩🏻‍💼 👨🏻

लेख से प्रभावित होकर , मैंने OpenWRT (ब्लीडिंग एज r38381) चलाने वाले होम राउटर पर एक समान समाधान लागू करने का निर्णय लिया। समाधान संभवत: मिकरोटिक पर उतना सुरुचिपूर्ण नहीं है, लेकिन मुख्य बात यह है कि यह लिपियों और क्रोन के बिना काम करता है। इसे अन्य लिनक्स ऑपरेटिंग सिस्टम पर कार्यान्वयन के लिए आधार के रूप में भी लिया जा सकता है। यह किसके लिए दिलचस्प है मैं कैट के तहत पूछता हूं।

मुझे बहुत सारे संसाधनों पर चढ़ना पड़ा। मैंने सिस्टम लॉग में iptables से लॉग या ULOG घटनाओं को ट्रैक करने के लिए स्क्रिप्ट लिखने के बारे में भी सोचा। मैं यहां तक कि एक प्रोजेक्ट - स्पेक्टर के साथ आया था, जिसके साथ आप ULOG ईवेंट्स को iptables करने के लिए एक प्रतिक्रिया (स्क्रिप्ट निष्पादन) को लागू कर सकते हैं, जो कि ulogd में नहीं है। यहां पोर्ट दस्तक को लागू करने के लिए पुरानी परियोजनाओं का एक बड़ा चयन है, लेकिन मैं एक राउटर या वर्चुअल मशीन पर संकलन नहीं करना चाहता था। समाधान की खोज करते समय, मैं अक्सर ipsets की गति और सुविधा के बारे में सुझाव देता हूं, ताकि "समान" नियमों के एक समूह के साथ iptables को ढेर न करूं। और चाबी "--मैच-सेट" और "- एडड-सेट" उन पर ध्यान दिया गया था, आगे की खोजों ने एक समाधान का नेतृत्व किया।
सामान्य तौर पर, ipsets का उपयोग करने का निर्णय लिया गया था, जैसा कि कुछ भी ट्रैक करने और iptables के बाहर की घटनाओं पर प्रतिक्रिया लिखने की कोई आवश्यकता नहीं है।

तो, शुद्ध रूप से iptables और ipset का उपयोग करके समाधान को लागू किया जाता है। धारणा की सादगी के लिए, "नॉक" का संयोजन उल्लिखित लेख के समान होगा। मैं आपको यह याद दिलाता हूं - 70 बाइट्स की एक पंक्ति में 2 ICMP पैकेट और उनके पीछे 2 ICMP पैकेट आकार में 100 बाइट्स की पंक्ति में। ठीक है, ICMP लकड़ी की छत (28 बाइट्स) के हेडर के आकार के बारे में मत भूलना ।
मेरे मामले में, इसी "नॉक" के बाद, आईपी पते के लिए ओपन वीपीएन सर्वर के लिए पोर्ट 1194 / टीसीपी पर एक कनेक्शन की अनुमति है, जिसमें से "नॉक" बनाए गए थे। OpenWRT पर OpenVPN सर्वर स्थापित करने के निर्देश आधिकारिक विकी पर पाए जा सकते हैं, जैसा कि यह इस लेख के दायरे से परे है।

Ipsets तैयार करना

यह ध्यान देने योग्य है कि OpenWRT फ़ायरवॉल सेटिंग्स फ़ाइल में ipsets बनाने के लिए नियमों का समर्थन केवल Attitude एडजस्टमेंट की रिलीज़ के साथ दिखाई दिया, हालाँकि संशोधन r36349 ने काम नहीं किया ( नियमों को लागू करते समय, यह चेतावनी जारी की कि डेटासेट ipsets के लिए निर्दिष्ट नहीं था )।

लेकिन ipsets को पेन के साथ बनाया जा सकता है, उन्हें बूट समय पर बनाना उचित है, उदाहरण के लिए: /etc/rc.local में रजिस्टर करें।

ipset create knock1 hash:ip ipset create knock2 hash:ip ipset create knock3 hash:ip ipset create AllowedVPN hash:ip

यदि fw3 ipsets के निर्माण का समर्थन करता है (fw3 स्वयं OpenWRT फ़ायरवॉल मैनेजमेंट टूल है, तो आधिकारिक विकी पर सेटिंग्स का एक विस्तृत विवरण पाया जा सकता है), तो फ़ायरवॉल सेटिंग्स फ़ाइल / etc / config / फ़ायरवॉल में निम्न आइटम जोड़े जाते हैं:

 config ipset option enabled 1 option name knock1 option storage hash option match src_ip config ipset option enabled 1 option name knock2 option storage hash option match src_ip config ipset option enabled 1 option name knock3 option storage hash option match src_ip config ipset option enabled 1 option name AllowedVPN option storage hash option match src_ip

ICMP पैकेट अनुक्रमण तर्क

पहली दस्तक पकड़ो

 icmptype 8 length 98 ! match-set knock1 src ! match-set knock2 src ! match-set knock3 src ! match-set AllowedVPN src add-set knock1 src

आकार के 98 बाइट्स के ICMP पैकेट का आउटगोइंग पता ipset knock1 में दर्ज किया गया है, यदि यह अन्य ipsets में नहीं है।

हम दूसरी दस्तक पकड़ते हैं

 icmptype 8 length 98 match-set knock1 src ! match-set knock2 src ! match-set knock3 src ! match-set AllowedVPN src add-set knock2 src

98 बाइट्स का निवर्तमान ICMP पैकेट पता ipset knock2 में दर्ज किया गया है, अगर यह पहले से ही ipset knock1 में है और बाकी में नहीं है।

तीसरी दस्तक पकड़ो

 icmptype 8 length 128 match-set knock1 src match-set knock2 src ! match-set knock3 src ! match-set AllowedVPN src add-set knock3 src

128 बाइट्स का आउटगोइंग ICMP पैकेट पता ipset knock3 में दर्ज किया गया है, अगर यह ipset knock1 और knock2 में भी मौजूद है, लेकिन AllowedVPN में नहीं।

हम चौथी दस्तक देते हैं

 icmptype 8 length 128 match-set knock1 src match-set knock2 src match-set knock3 src ! match-set AllowedVPN src add-set AllowedVPN src

128-बाइट ICMP पैकेट का आउटगोइंग पता ipset AllowedVPN में दर्ज किया गया है, यदि यह ipset knock1, knock2 और knock3 पर भी मौजूद है।
अनुक्रम को सही ढंग से पकड़े जाने के लिए, iptables के नियमों को रिवर्स ऑर्डर में दर्ज किया जाना चाहिए । अन्यथा, पहले "नॉक" को पहले और दूसरे नियमों द्वारा तुरंत पकड़ा जाएगा, जिस तरह तीसरे और चौथे नियमों द्वारा तुरंत तीसरे "दस्तक" को पकड़ा जाएगा।
अन्य ipsets में अनुपस्थिति के लिए अतिरिक्त चेक को स्पष्ट रूप से "नॉक" के अनुक्रम को ट्रिगर करने के लिए संकेत दिया जाता है ।

इनपुट_ब्रल चेन में डालने के लिए iptables कमांड का एक अनुक्रम निम्नलिखित है (उपयोगकर्ता नियमों के लिए OpenWRT फ़ायरवॉल में एक विशेष रूप से बनाई गई श्रृंखला) /etc/firewall.user में जोड़ा जाता है।

 iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set --match-set knock1 src -m set --match-set knock2 src -m set --match-set knock3 src -m set ! --match-set AllowedVPN src -j SET --add-set AllowedVPN src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set --match-set knock1 src -m set --match-set knock2 src -m set ! --match-set knock3 src -m set ! --match-set AllowedVPN src -j SET --add-set knock3 src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set --match-set knock1 src -m set ! --match-set knock2 src -m set ! --match-set knock3 src -m set ! --match-set AllowedVPN src -j SET --add-set knock2 src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set ! --match-set knock1 src -m set ! --match-set knock2 src -m set ! --match-set knock3 src -m set ! --match-set AllowedVPN src -j SET --add-set knock1 src

समान नियम, लेकिन सिसलॉग में लॉगिंग के साथ

 iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set --match-set knock1 src -m set --match-set knock2 src -m set --match-set knock3 src -m set ! --match-set AllowedVPN src -j LOG --log-prefix "(KNOCK4 O) " iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set --match-set knock1 src -m set --match-set knock2 src -m set --match-set knock3 src -m set ! --match-set AllowedVPN src -j SET --add-set AllowedVPN src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set --match-set knock1 src -m set --match-set knock2 src -m set ! --match-set knock3 src -m set ! --match-set AllowedVPN src -j LOG --log-prefix "(KNOCK3 O) " iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set --match-set knock1 src -m set --match-set knock2 src -m set ! --match-set knock3 src -m set ! --match-set AllowedVPN src -j SET --add-set knock3 src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set --match-set knock1 src -m set ! --match-set knock2 src -m set ! --match-set knock3 src -m set ! --match-set AllowedVPN src -j LOG --log-prefix "(KNOCK2 O) " iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set --match-set knock1 src -m set ! --match-set knock2 src -m set ! --match-set knock3 src -m set ! --match-set AllowedVPN src -j SET --add-set knock2 src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set ! --match-set knock1 src -m set ! --match-set knock2 src -m set ! --match-set knock3 src -m set ! --match-set AllowedVPN src -j LOG --log-prefix "(KNOCK1 O) " iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set ! --match-set knock1 src -m set ! --match-set knock2 src -m set ! --match-set knock3 src -m set ! --match-set AllowedVPN src -j SET --add-set knock1 src

सबसे महत्वपूर्ण नियम

यह वह नियम है जो 1194 / tcp पोर्ट के लिए एक आने वाले कनेक्शन की अनुमति देता है, अगर आईपी पता जिससे कनेक्शन बनाया गया है, वह ipset AllowedVPN में स्थित है।

 config 'rule' option enabled 1 option 'target' 'ACCEPT' option 'name' 'VPN' option 'src' 'wan' option 'proto' 'tcp' option 'dest_port' '1194' option 'extra' '-m set --match-set AllowedVPN src'

अन्यथा, इसे /etc/firewall.user में लिखा जा सकता है

 iptables -A input_rule -p tcp --dport 1194 -m set --match-set AllowedVPN src -j ACCEPT

बंदरगाह की दस्तक

आप कमांड के साथ विंडोज पर पोर्ट दस्तक दे सकते हैं:
पिंग readyshare.mydomain.ua -l 70 -n 2 और& पिंग readyshare.mydomain.ua -l 100 -n 2

पहुँच बंद करें

मैं तर्क को पूरी तरह से चित्रित नहीं करूंगा, क्योंकि यह ऊपर वर्णित के समान है, बस नियमों में सत्यापन तर्क उलटा है और ipsets से हटाने होता है। खैर, और तदनुसार, अगर आईपी पता ipset-e AllowedVPN में नहीं है, तो कोई पहुंच नहीं है।
"नॉक" का अनुक्रम एक्सेस खोलने के दौरान समान है।
निम्नलिखित iptables कमांड का एक क्रम है, जिसमें श्रंखला_ इनपुट_रेल, फ़ाइल /etc/firewall.user तक होती है

 iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set ! --match-set knock1 src -m set ! --match-set knock2 src -m set ! --match-set knock3 src -m set --match-set AllowedVPN src -j SET --del-set AllowedVPN src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set ! --match-set knock1 src -m set ! --match-set knock2 src -m set --match-set knock3 src -m set --match-set AllowedVPN src -j SET --del-set knock3 src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set ! --match-set knock1 src -m set --match-set knock2 src -m set --match-set knock3 src -m set --match-set AllowedVPN src -j SET --del-set knock2 src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set --match-set knock1 src -m set --match-set knock2 src -m set --match-set knock3 src -m set --match-set AllowedVPN src -j SET --del-set knock1 src

अवरुद्ध करने के लिए समान नियम, लेकिन सिसलॉग में लॉगिंग के साथ

 iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set ! --match-set knock1 src -m set ! --match-set knock2 src -m set ! --match-set knock3 src -m set --match-set AllowedVPN src -j LOG --log-prefix "(KNOCK4 C) " iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set ! --match-set knock1 src -m set ! --match-set knock2 src -m set ! --match-set knock3 src -m set --match-set AllowedVPN src -j SET --del-set AllowedVPN src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set ! --match-set knock1 src -m set ! --match-set knock2 src -m set --match-set knock3 src -m set --match-set AllowedVPN src -j LOG --log-prefix "(KNOCK3 C) " iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 128 -m limit --limit 10/s -m set ! --match-set knock1 src -m set ! --match-set knock2 src -m set --match-set knock3 src -m set --match-set AllowedVPN src -j SET --del-set knock3 src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set ! --match-set knock1 src -m set --match-set knock2 src -m set --match-set knock3 src -m set --match-set AllowedVPN src -j LOG --log-prefix "(KNOCK2 C) " iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set ! --match-set knock1 src -m set --match-set knock2 src -m set --match-set knock3 src -m set --match-set AllowedVPN src -j SET --del-set knock2 src iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set --match-set knock1 src -m set --match-set knock2 src -m set --match-set knock3 src -m set --match-set AllowedVPN src -j LOG --log-prefix "(KNOCK1 C) " iptables -A input_rule -p icmp -m icmp --icmp-type echo-request -m length --length 98 -m limit --limit 10/s -m set --match-set knock1 src -m set --match-set knock2 src -m set --match-set knock3 src -m set --match-set AllowedVPN src -j SET --del-set knock1 src

मुझे आशा है कि मेरा अनुभव दूसरों के लिए उपयोगी है।

QC सह लैब से क्रिस कूपर के ipsets पर एक अच्छी प्रस्तुति , जिससे मैंने समाधान पर निर्माण करना शुरू किया।

ICW पोर्ट OpenWRT में दस्तक देता है