Как подключиться к консоли роутера используя SSH
Web-интерфейс ориентирован для быстрого и простого запуска устройства в несколько кликов. Для получения больших возможностей по настройке и диагностике устройства необходим доступ к консоли.
Как получить доступ
Для настройка доступа к консоли устройства нужно всего пара минут и несколько кликов мышкой.
- Перейдите в раздел Администрирование -> Система
- >> В блоке Служба
- Включить SSH – в зависимости от устройства и установленной прошивки, значения могут быть следующие:
- Включить/Выключить или Да/Нет
- LAN Only / LAN + WAN / Нет (установите нужный тип доступа, обычно для доступа из локальной сети LAN Only, а LAN + WAN разрешает доступ из вне, не рекомендуется для постоянного доступа )
Какое ПО использовать в качестве клиента SSH
Самыми распространенными клиентами для ОС Windows являются
- PuTTY – Самый известный SSH-клиент для Windows. Пожалуй, единственный, что на слуху у всех. Официальный сайт https://www.putty.org/
- KiTTY – Базируется на PuTTY, но обладает массой преимуществ. Официальный сайт http://www.9bis.net/kitty/
- MobaXterm – Многофункциональный SSH-клиент. Официальный сайт: http://mobaxterm.mobatek.net/
- SmarTTY – Многофункциональный SSH-клиент. Официальный сайт: http://smartty.sysprogs.com/
Как пользоваться
Все примеры будут рассматривается на примере PuTTY
- Проверьте правильно заполняемых полей
- >> Первой закладке Session
- ПолеHost Name (or IP address)укажите IP адрес вашего устройства, в данном случае это:192.168.50.1
- ПолеPortукажите SSH службы который указали ранее, в данном случае это:22
- Проверьте что переключатель в Connection type: SSH
- Если вы открываете соединение в первые программа уточнит желаете ли вы подключится к указанному устройству с указанным отпечатком, то нажмите Yes
- Первой строкой которого будет login as: введите имя пользователя, обычно оно совпадает с тем что используется для входа в веб интерфейс устройства, в данном случае это:admin
- Затем будет запрошен пароль указанного пользователя и IP адреса устройства ранее, admin@192.168.50.1’s password:, при вводе пароля никакие символы не отображаются в целях безопасности, после окончания ввода пароля нажмите Enter
- После вы увидите приглашение для ввода команд admin@GT-AC2900:/tmp/home/root#
- Теперь вы можете вводить необходимые команды для выполнения нужных задач
Ограничения
2 комментария
Здравствуйте, подскажите пожалуйста, не заходит в 192.168.50.1, логин совпадает, ввожу пароль от админки роутера – не заходит , уже все варианты своих паролей перепробовал, даже стандартный admin-admin
[edit] SSH
SSH, или Secure Shell, является зашифрованным протоколом и связанной программой, предназначенной для замены telnet. Его также можно использовать для создания безопасных туннелей, что-то вроде виртуальных частных сетей VPN, и для использования в качестве сетевой файловой системы (SSHFS). По умолчанию SSH работает на порту 22.
SSH работает так же, как telnet с комбинацией имени пользователя и пароля, или на основе открытого и закрытого ключей. Чтобы последние работали, серверу предоставляется короткий открытый ключ, а сервер отдает клиенту свой открытый ключ. Клиент шифрует информацию, отправляемую на сервер, используя открытый ключ сервера, а сервер шифрует информацию, отправляемую клиенту, используя открытый ключ от клиента. Закрытые ключи никуда не отправляются и используются для расшифровки полученной информации, зашифрованной с помощью соответствующего открытого ключа.
Подключение к DD-WRT может выполняться с использованием имени пользователя и пароля или только от клиентов, чьи открытые ключи были введены вручную через веб-интерфейс. Несколько ключей можно ввести, разместив каждый в отдельной строке. Если вы хотите использовать имя пользователя и пароль для входа в систему с использованием SSH, используйте имя «root» с паролем, который установлен для веб-интерфейса.
На самом деле можно вручную установить (через telnet или SSH) переменную NVRAM sshd_authorized_keys командой:
Также можно вручную отредактировать файл /tmp/root/.ssh/authorized_keys и добавить в него ключи (хотя они исчезнут при перезагрузке, если у вас нет автоматически запускающегося сценария командной строки, изменяющего файл).
Стоит отметить, что SSH-ключи — это довольно длинные строки символов, поэтому, если вы вставляете их из буфера обмена, следует быть осторожным, чтобы не допустить разрывов строк, иначе ключи не будут работать (т.е. ключ — это одна длинная непрерывная строка).
[edit] Настройка
[edit] Подключение с использованием открытого ключа
Аутентификация с открытым ключом является одним из самых безопасных методов входа в SSH. Он функционирует подобно HTTPS, поскольку все передачи зашифрованы ключом, который будут иметь только клиент и сервер. Еще один плюс в том, что если вы используете этот метод вместо аутентификации по паролю, никто не сможет взломать маршрутизатор, пытаясь угадать пароль!
Чтобы включить его, сначала нужно сгенерировать пару открытого и закрытого ключей на компьютере. Это можно сделать с помощью утилиты «Puttygen», если вы используете в качестве программы-клиента Putty или WinSCP. Скопируйте открытый ключ из области public key в буфер обмена и сохраните закрытый ключ где-нибудь на компьютере. Нет необходимости сохранять открытый ключ. Если вы его забудете, всегда можно открыть файл закрытого ключа в программе Puttygen, которая покажет открытый ключ, а не генерировать новую пару ключей. Пользователи операционных систем, отличных от Windows, могут использовать утилиту ssh-keygen(1):
Рекомендуется не защищать свою пару ключей паролем, поскольку это облегчит вам задачу, хотя и менее безопасно.
- В веб-интерфейсе перейдите на вкладку Administration (в версии v24 — вкладку Services).
- На вкладке Services включите SSHd в группе параметров Secure Shell. Если после этого не появились новые параметры — сохраните настройки, нажав кнопку Save Settings.
- Вставьте ваш открытый ключ Public key в поле authorized key группы параметров SSHD. Нужно будет сгенерировать ключ на компьютере, если у вас его ещё нет.
- Сохраните и примените настройки, нажав кноки Save и Apply Settings.
ПРИМЕЧАНИЕ. Формат открытого ключа при вставке должен быть: «ssh-rsa», пробел, ключ, пробел, комментарий. Например (обратите внимание, что в конце не должно быть перевода строки):
Альтернативный метод — подключиться к маршрутизатору по SSH, используя имя пользователя и пароль, и задать ключ командой:
Не забудьте ввести ключ как целую строку символов (без пробелов, табуляции и т.п.).
В Putty можно использовать аутентификацию по ключу, открыв настройки аутентификации SSH (Connection → SSH → Auth) и введя или указав файл закрытого ключа. Также убедитесь, что имя пользователя для автоматического входа — root (Connection → Data).
[edit] Подключение с использованием имени пользователя и пароля
Если вы не хотите создавать SSH-ключи, можно использовать вход в систему с использованием имени пользователя и пароля. Однако учтите, что этот метод гораздо менее безопасен (пароли могут быть менее 8 символов)!
- В веб-интерфейсе перейдите на вкладку Administration (в версии v24 — вкладку Services).
- На вкладке Services включите SSHd в группе параметров Secure Shell. Если после этого не появились новые параметры — сохраните настройки, нажав кнопку Save Settings.
- Включите параметр Password Login для использования входа по паролю.
- Сохраните и примените настройки, нажав кноки Save и Apply Settings.
После этого вы можете войти в систему, используя имя пользователя «root» с паролем, который установлен для веб-интерфейса.
[edit] Автоматический вход (для сценариев оболочки)
SSH-клиент Dropbear позволяет указывать пароль через переменную окружения. Это полезно, когда нужно чтобы DD-WRT выполнял автоматическое подключение к другому устройству по SSH.
[edit] Советы по безопасности
- Выберите случайный нестандартный номер порта больше 1024, особенно при включении SSH-доступа из Интернета! Большинство злоумышленников используют сканер портов, который по умолчанию сканирует только небольшое количество известных открытых портов. Сканирование всех 65535 портов намного медленнее, что затрудняет поиск вектора атаки, а также повышает вероятность обнаружения атаки системой обнаружения вторжений (англ. Intrusion Detection System, IDS).
- Запомните или запишите в безопасное место отпечаток ключа от маршрутизатора! При подключении к маршрутизатору программа-клиент показывает отпечаток ключа (key fingerprint). Если вы видите, что отпечаток не изменился, то можете быть уверены, что никто не шпионит за вашим соединением с помощью атаки «человек посередине» (man-in-the-middle). Если отпечаток ключа НЕ совпадает (SSH-клиент, возможно, предупредит об этом), что-то не так и следует прервать соединение немедленно! Примечание: отпечаток ключа маршрутизатора может измениться после сброса к заводским настройкам или обновления прошивки, т.к. он, вероятно, сгенерирует новую пару ключей.
- Для еще большей безопасности при использовании открытого ключа можно защитить закрытый ключ паролем. Таким образом, если злоумышленник завладеет ключом, он всё равно не сможет войти в маршрутизатор без предварительного взлома пароля от ключа. В противном случае, если ключи не защищены, любой, кто наткнется на них, может получить полный доступ к маршрутизатору и контроль над сетью.
[edit] SSH-клиент
Обеспечивает безопасную альтернативу стандартному Telnet.
Хороший клиент для Windows — Putty.
Настройте клиент для использования закрытого ключа, который вы сохранили ранее.
В большинство дистрибутивов Linux по умолчанию включены программы-клиенты для Telnet и SSH.
[edit] Переадресация SSH-порта
Переадресация SSH-порта (англ. SSH port forwarding) — это возможность создавать зашифрованные туннели для прохождения трафика, подобно VPN. Ниже мы обсудим два разных подхода к переадресации портов SSH — локальный и удаленный.
[edit] Переадресация локального порта
Пример из реального мира:
Предположим, что вы хотите управлять настройками маршрутизатора из любой точки Интернета. Хотите использовать веб-интерфейс, но не хотите включать управление через удаленный HTTP (небезопасно) или HTTPS (ресурсоемко). Как этого достичь?
Именно здесь нужна переадресация порта SSH. Эта функция позволяет безопасно подключаться к веб-интерфейсу маршрутизатора, даже если интерфейс настроен так, что он доступен только для компьютеров в локальной сети маршрутизатора.
Во-первых, в разделе Administration → Management необходимо включить параметр ‘Remote SSH Management’, если хотите подключиться к маршрутизатору из глобальной сети WAN.
Переадресация локального порта может быть установлена из интерфейса командной строки следующей командой:
Чтобы объяснить более понятно, что делает эта команда: ваш компьютер устанавливает SSH-соединение с <ssh_server>. Туннель создается между <local_port> вашего компьютера, <ssh_server> и <destination_port> на <destination_server>. Данные, отправленные в <local_port>, передаются по защищенному SSH-соединению в <ssh_server>, где они затем дешифруются и пересылаются в <destination_port> на <destination_server>.
Например, если IP-адрес интерфейса WAN маршрутизатора — 12.23.34.35, его SSH-порт для удаленного администрирования — 9999, а доступный через интерфейс LAN веб-интерфейс находится на порту 80:
Откройте браузер и перейдите по адресу http://localhost:12345, и вы сможете войти в веб-интерфейс маршрутизатора, как если бы находились в локальной сети маршрутизатора. Это соединение безопасно!
Если вы используете PuTTY, процедура аналогична. Переадресация порта SSH настраивается в разделе SSH → Tunnels.
Примечание пользователя Brandonc: при использовании PuTTY из репозитория Ubuntu соединение завершается после входа в веб-интерфейс, выдавая ошибку: «SSH2_MSG_CHANNEL_FAILURE for nonexistent channel 257» (23:44, 2 августа 2012 г.).
Для получения дополнительной информации, связанной с настройкой туннеля, смотрите обсуждение на форуме.
[edit] Переадресация удаленного порта
Это полезно для туннелирования таких вещей, как удаленный рабочий стол (Remote Desktop, RDP) по зашифрованному туннелю SSH через Интернет. Например, вы хотите иметь доступ к вашему рабочему компьютеру из дома:
Домашний компьютер ↔ Маршрутизатор ↔ Интернет ↔ Брандмауэр ↔ Рабочий компьютер
На рабочем компьютере, на котором разрешен удаленный рабочий стол RDP через порт 3389, выполните ssh -R 5555:localhost:3389 root@router.home.
На домашнем компьютере можно использовать RDP-клиент для подключения к порту 5555 на маршрутизаторе, и это создаст SSH-туннель, который подключит домашний компьютер к порту 3389 на рабочем компьютере.
[edit] Требования
- DD-WRT v24 RC7 или новее
- В разделе Services → Secure Shell веб-интерфейса должны быть включены параметры SSHd и SSH TCP Forwarding.
- В разделе Administration → Management должен быть включен параметр Remote SSH Management.
[edit] Настройка
Настроить переадресацию удаленного порта относительно просто при использовании утилиты PuTTY для Windows. См. Connections → SSH → Tunnels. Убедитесь, что ваша конфигурация включает параметры, как показано выше. А именно:
- Local ports accept connections from other hosts.
- Remote ports do the same (SSH-2 only).
- Source port (номер порта на маршрутизаторе, должен быть больше 1024).
- Destination (IP-адрес:Порт).
- Remote.
[edit] SCP
Технология Secure Copy (SCP, с англ. «Защищенное копирование») позволяет безопасно копировать файлы с компьютера на маршрутизатор и обратно.
Некоторые хорошие клиенты для Windows — это FileZilla и WinSCP.
Настройте клиент для использования закрытого ключа, сохраненного ранее, или используйте вход по имени пользователя «root» и паролю от веб-интерфейса.
Помните: только разделы /tmp и /jffs доступны для записи!
[edit] Drop Bear
DropBear — это клиент и сервер SSH, установленный по умолчанию на маршрутизаторах WRT54G. DropBear позволяет подключаться с WRT54G к удаленному SSH-серверу для SCP и т.п. Мне кажется, что SSHD необяхательно включать через веб-интерфейс для использования клиентской части DropBear.
Если на компьютере есть сервер SSH (например, OpenSSH), вы можете получить файлы с компьютера с помощью команды scp. Её можно использовать в автоматически запускаемых сценариях.
[edit] Командная строка DD-WRT
Она же оболочка Linux DD-WRT. Это оболочка ‘ash’. Ash — это версия sh, буквально «A SHell».
[edit] Основной синтаксис
Командная оболочка Linux (Linux Command Shell, Ash) отличается от командной строки Windows и DOS.
Символ / (а не \) используется для разделения каталогов при указании как локальных, так и сетевых путей.
Для выполнения команды необходимо указать путь к этой команде. Это может быть либо полный путь, либо относительный (relative path).
[edit] Операторы относительного пути
Есть два оператора относительного пути.
[edit] Примеры
1) Если вы находитесь в каталоге /jffs/usr/bin и хотите запустить команду /jffs/usr/bin/noip, используйте:
2) Если вы находитесь в каталоге /jffs/usr/bin и хотите запустить команду /jffs/usr/kismet, используйте:
3) Относительные пути также могут быть использованы в качестве аргументов. Если вы установили пакет noip, вы заметили бы, что команда установлена как /jffs/usr/bin/noip, но ее файл конфигурации установлен как /jffs/etc/no-ip.conf. При запуске noip необходимо указать путь к файлу конфигурации с помощью команды -c. Это можно сделать так:
обратите внимание, что первый ../ приводит нас к /jffs/usr/. Второй ../ приводит к /jffs/. А затем можно добавить оставшуюся часть пути.
4) Хотя во всех других примерах показан минимально необходимый текст команды, с относительными путями также можно сотворить что-нибудь этакое. Чтобы запустить команду noip, как в примере 1, можно использовать:
Здесь мы проходим весь путь до корневого каталога /, затем переходим к /jffs/usr/bin, возвращаемся к /jffs/usr и, наконец, к /jffs/usr/bin.
Ссылки на текущий каталог /./ добавляются время от времени просто для того, чтобы вас запутать. Обратите внимание, что /./ всегда ссылается на текущий каталог.
[edit] Операторы конвеера и перенаправления
Pipe (конвеер) и Redirect (перенаправление) – это каналы взаимодействия между разными командами. Вывод одной команды (stdout) может быть передан на вход другой (stdin), как по конвееру, или перенаправлен в устройство или файл.
< и > — операторы перенаправления.
< берет данные из устройства или файла и направляет их на вход команды.
> берет вывод команды и направляет его в устройство или файл.
Например, если вы не хотите видеть вывод команды, перенаправьте ее на устройство null:
| — символ конвеера, который передает результат (вывод) одной команды (на вход) в другую.
Например: наиболее распространенное использование канала — ограничение вывода команды:
Это особенно полезно для таких команд, как nvram show, которая выводит около 800-1200 строк одновременно. Команда nvram show | more будет отображать результаты по одной странице за раз.
[edit] Фоновые процессы
Можно запускать программы в фоновом режиме (немедленно возвращает вас в командную строку), заканчивая команду символом &. Например:
Убедитесь, что добавили пробел между командой и амперсандом, иначе получите ошибку File not found («Файл не найден»).
[edit] Примечание по командной строке веб-интерфейса
Встроенный интерфейс командной строки веб-интерфейса DD-WRT (страница Diagnostics.asp) допускает максимум около 200 символов в строке.
Специальные символы, такие как « или |, должны быть экранированы — введены после знака \.
Доступ SSH для новичков
В первый раз, когда вы подключитесь к маршрутизатору, вы, вероятно, увидите предупреждение о отпечатке ключа RSA. Если вы уверены, что это адрес вашего маршрутизатора OpenWrt, просто введите yes и нажмите Return. Затем введите пароль, предоставленный вашему маршрутизатору, или нажмите Return, если это начальная настройка. Вот пример сеанса:
Чтобы завершить ssh сеанс на маршрутизаторе, введите exit и нажмите Return.
Остальная часть этой страницы описывает несколько эмуляторов терминала, которые Windows, Linux или macOS могут использовать для доступа к вашему маршрутизатору OpenWrt.
Терминальные эмуляторы Windows
Cmder, Smartty, Putty и WinSCP являются терминальными эмуляторами, которые позволяют вам сходить в маршрутизатор.
Использование Cmder
Cmder для Windows эмулятор терминала с открытым исходным кодом, который работает в Windows. Он может свободно использовать и обеспечивает легкую “оболочку командной строки” которая позволяет вам ssh в OpenWrt. Его привлекательные шрифты и цветовая схема легко видны на глазах. Полное распределение является предпочтительным (over the mini distribution), так как она обеспечивает эмуляцию Баша, с Unix-й набором команд.
Откройте папку Cmder и дважды щелкните Cmder значок. Вы увидите окно Cmder, похожее на изображение ниже.
Использование Smartty
Smartty дает вам доступ к командной строке для OpenWrt и позволяет вам открывать /редактировать/загружать/загружать файлы в OpenWrt и в целом более современную и удобную для пользователя, чем Putty (еще один инструмент, описанный ниже):
Использование putty
Putty дает вам доступ к командной строке для OpenWrt:
Использование WinSCP
WinSCP позволяет просматривать файловую систему OpenWrt в Windows Exlorer, например, в стиле GUI :
Редактирование конфигурационных файлов OpenWrt с помощью встроенного графического редактора WINSCP:
для редактирования конфигурационного файла OpenWrt с помощью редактора WinSCP с графическим интерфейсом щелкните правой кнопкой мыши файл в WinSCP и выберите “Edit” из контекстного меню.Linux Terminal Emulators
Все дистрибутивы Linux предоставляют клиентский интерфейс ssh как часть стандартной установки.
Обычно у Linux также есть клиенты SCP (для открытия/редактирования/загрузки/выгрузки файлов в OpenWrt), которые могут быть установлены или не установлены по умолчанию. Вам нужно найти документацию вашего дистрибутива или выполнить поиск с помощью интерфейса управления пакетами для “SCP”, чтобы найти, где он находится, и его текущий статус установки. Прочтите его встроенное руководство (“man scp”, например, для клиента командной строки SCP) или google некоторые учебные пособия, чтобы узнать, как его использовать.
macOS Terminal Emulators
На macOS (ранее Mac OSX) любой эмулятор терминала позволит вам ssh. Там несколько терминальных эмуляторов:
Чтобы подключиь ssh в вашем маршрутизаторе OpenWrt на 192.168.1.1, введите ssh root@192.168.1.1 , и нажмите Return.
- Last modified: 2020/01/10 15:01
- by stokito
Self-registration in the wiki has been disabled.
If you want to contribute to the OpenWrt wiki, please post HERE in the forum or ask on IRC for access.
Except where otherwise noted, content on this wiki is licensed under the following license:
CC Attribution-Share Alike 4.0 InternationalHackWare.ru
Этичный хакинг и тестирование на проникновение, информационная безопасность
Настройка роутера
Оглавление
Как работает роутер
Самый обычный домашний роутер, который уже есть почти в каждой квартире – это весьма интересное и сложное устройство. Между прочим, оно объединяет в себе функции сразу трёх различных сетевых устройств:
- свитч – устройство для объединения других сетевых устройств в локальную сеть
- беспроводная точка доступа, которая отвечает за Wi-Fi соединение
- сам роутер, который отвечает за маршрутизацию трафика между сетями (в домашних роутерах он просто перенаправляет трафик в сеть Интернет-провайдера и обратно)
В роутере в качестве операционной системы установлен Linux (да-да). У очень многих роутеров имеется DHCP-сервер, веб-сервер, SSH-сервер, NAT, Telnet, файервол – всё это есть практически в каждом домашнем роутере. Также могут быть дополнительные сервисы и утилиты.
Между прочим, при профессиональном развёртывании сети (например, в крупной организации, которая занимает несколько этажей здания), используются все три упомянутых сетевых элемента по отдельности: с помощью свитчей компьютеры и серверы объединяются в локальную сеть. На самом деле, для локальной сети роутер не нужен – один или несколько свитчей справятся с передачей локального трафика. Свитч – это устройство второго уровня (Layer 2), который называется канальным (data link). Свитчи не имеют IP и не понимают их. Перенаправление трафика в локальной сети, то есть с помощью свитчей, происходит на основе MAC-адресов.
Беспроводные точки доступа (AP) – это также устройства второго уровня – у них нет своих IP адресов. В больших сетях AP подключаются к свитчам.
И, наконец, классические роутеры – в них нет необходимости при передаче данных в локальной сети – они нужны для маршрутизации трафика МЕЖДУ сетями. Это могут быть локальные подсети одной организации или локальная сеть организации и сеть Интернет-провайдера.
Как уже было сказано, в домашнем роутере все необходимые элементы для обеспечения локальной сети и маршрутизации трафика во внешнюю сеть собраны в одном устройстве.
Упрощённо говоря – порты LAN вашего роутера – это свитч, который подключён к роутеру по внутреннему сетевому интерфейсу (eth0, например), а порт WAN – это сетевой интерфейс роутера для маршрутизации трафика во внешние сети. На самом деле – это чуть упрощённая модель, все порты LAN 1-4 и WAN могут принадлежать одному программируемому свитчу и быть разделены с помощью виртуальных LAN (VLAN) – не будем вникать в такие дебри, но просто знайте, что это позволяет, к примеру, изменить VLAN1 и VLAN2 так, что у роутера будет, например, три WAN порта и два LAN.
Я буду показывать настройку роутера на примере RT-N66U с прошивкой Asuswrt-Merlin. Большая часть из этих настроек доступна для большинства роутеров. Но внешний вид веб интерфейса может быть самым разным, в том числе совершенно не похожим на скриншоты, которые я сделал для вас.
Если вы и так знаете, как настраивать роутер, то переходите сразу к хардкорной части.
Сколько IP адресов у роутера
Домашнему роутеру необходимо и достаточно ровно два IP адреса. Один IP адрес – в локальной сети, и ещё один IP адрес для сети Интернет-провайдера. У каждого роутера должно быть столько IP адресов, к скольким сетям он одновременно подключён. К примеру, если роутер объединяет три подсети, то у него три IP адреса.
Как зайти в настройки роутера
Для управления роутером через веб-интерфейс, откройте браузер и введите IP адрес роутера. В большинстве случаев это 192.168.0.1 или 192.168.1.1. Если ничего не открылось, то попробуйте 192.168.0.1:8080 или 192.168.1.1:8080.
Если вы установили другой IP адрес для роутера и забыли его, то откройте командную строку Windows (нажмите Win+x и выберите Windows PowerShell (администратор)) и выполните там команду
Найдите строку с четырьмя нулями, например:
В ней адрес шлюза и будет IP адресом роутера – в моём случае это 192.168.0.1.
Вам нужно будет ввести логин и пароль для входа – посмотрите его в документации или погуглите заводской пароль для вашей модели.
Что делать если забыл пароль от роутера? Как зайти в роутер, если admin и password (учётные данные по умолчанию) заменил на другие и забыл, а на любые варианты паролей роутер отвечает «неправильная пара логин-пароль».
Самое простое — сброс до заводских настроек (Hard Reset) — для этого нужно иголкой нажать маленькую кнопочку на корпусе роутера — или погуглите, как это делается для вашей модели. Но придётся всё настраивать заново, в том числе подключение к Интернет-провайдеру.
Что такое гостевая сеть Wi-Fi
Гостевая сеть позволяет создать новую Wi-Fi сеть. Особенности гостевой сети:
- работает параллельно с вашей основной Wi-Fi сетью
- может иметь другое, отличное от основной Wi-Fi сети имя
- самое главное: она позволяет гостям выходить в Интернет, но отграничивает их от вашей локальной сети
- может быть открытой или иметь пароль
То есть если вы создали гостевую сеть и к ней подключаются пользователи, то они будут выходить в Интернет с вашим IP. Отличие от основной сети в том, что нет доступа к локальным ресурсам и вы можете установить другой пароль, не связанный с вашим основным Wi-Fi.
Настройка Wi-Fi
Современные роутеры с беспроводной точкой доступа обычно поддерживают два диапазона частот: 2.4 GHz и 5 GHz. Если вы не пользуетесь каким-то из этих диапазонов, его можно отключить.
Сети в диапазонах 2.4 GHz и 5 GHz могут иметь одинаковое имя или разное. Могут иметь одинаковые пароли или разные. Фактически – это две разные сети – их работа обеспечивается разными сетевыми картами и у них разные MAC-адреса.
Опция «Скрыть SSID» означает, что ваша сеть не будет видна обычным устройствам и для подключения к ней нужно будет сначала ввести имя сети, а затем её пароль. Это дополнительная защита, её нельзя считать надёжной. То есть если вы выбрали скрыть сеть, то всё равно установите надёжный пароль, поскольку для хакера не составит особого труда узнать имя сети.
Пароль Wi-Fi должен быть длинным и сложным, с использованием больших и маленьких букв, цифр и специальных символов.
Режим беспроводной сети позволяет выбрать, какой стандарт использовать. У вас могут быть разные варианты, в зависимости от возможностей роутера. Если к беспроводной сети подключено много разных устройств различного года выпуска, то выберите автоматический режим.
Ширина канала: Стандарт 802.11n поддерживает режим 40 MHz, который объединяет два соседних канала 20 MHz для создания большей «трубы». То есть это увеличивает пропускную способность. 802.11ac поддерживает также режим 80 MHz. То есть, чем больше это значение, тем лучше – но как и с выбором стандарта, учитывайте возможности устройств, которые будут подключаться. Если не уверены, выберите автоматический режим.
Канал: выберите любой или поставьте автоматический выбор.
Метод проверки подлинности: самое главное, не оставляйте сеть открытой или защищённой с помощью WEP, поскольку это очень небезопасно. Выберите WPA2-Personal.
Также найдите настройку WPS и обязательно её отключите.
Настройка локальной сети
Здесь вы можете поменять имя и IP адрес роутера – обычно это не требуется.
По умолчанию включён DHCP-сервер. Благодаря нему подключённые к роутеру устройства получают локальный IP адрес. Обычно нет необходимости что-либо здесь менять. Но в этой вкладке содержится важный пункт, позволяющий присваивать IP адреса вручную – то есть здесь вы можете назначить устройствам постоянные IP адреса – помните об этом, если вам понадобиться это сделать.
Настройка маршрутов локальной сети
Подавляющему большинству пользователей это не нужно. Настройка маршрутов нужна если у вас больше чем один роутер. И вы хотите:
- подключаться к локальной сети другого роутера
- сделать так, чтобы другой роутер имел Интернет-доступ через ваш роутер
Исходные данные: в данный момент мы настраиваем роутер, находящийся в сети 192.168.0.0/24.
Второй роутер находится в подсети 10.0.1.0/24. То есть он присваивает подключённым к нему устройства адреса 10.0.1.2, 10.0.1.3, 10.0.1.4 и так далее. Этот второй роутер через свой WAN порт подключён к нашему первому роутеру в порт LAN, причём ему назначен IP адрес, допустим, 192.168.0.11. Итак, у этого второго роутера два IP адреса: 10.0.1.1 для своей локальной сети и 192.168.0.11 на его WAN порту.
Чтобы мы могли подключаться к ресурсам той второй сети, добавьте маршрут где в качестве IP-адреса сети или хоста укажите 10.0.1.0, в качестве Сетевой маски – 255.255.255.0, а в качестве Шлюза – 192.168.0.11 (IP адрес второго роутера в сети первого роутера). Выберите интерфейс LAN.
Сделанные настройки позволяют правильно перенаправлять запросы в соседнюю локальную сеть 10.0.1.0/24.
На втором роутере также нужно сделать настройки маршрута, чтобы роутер знал, как связаться с сетью 192.168.0.0/24. Для этого добавьте маршрут где в качестве IP-адреса сети или хоста укажите 192.168.0.0, в качестве Сетевой маски – 255.255.255.0, а в качестве Шлюза – 192.168.0.1 (IP адрес первого роутера). Выберите интерфейс WAN.
Поскольку на втором роутере нет Интернет-соединения, то чтобы он мог использовать Интернет-подключение первого роутера, добавьте ещё один маршрут на втором роуоте, где в качестве IP-адреса сети или хоста укажите 0.0.0.0, в качестве Сетевой маски – 0.0.0.0, а в качестве Шлюза – 192.168.0.1 (IP адрес первого роутера). Выберите интерфейс WAN.
Если вы не знаете, что это за четыре нуля, то прочитайте здесь о маршруте по умолчанию. Если короткой, любой трафик, который не предназначен для локальной сети (не для 10.0.1.0/24) и не для других маршрутов (не для 192.168.0.0/24) будет отправляться по маршруту по умолчанию.
Примечание: мне не удалось проверить эти настройки (нет двух подходящих роутеров) – если вы в этом хорошо разбираетесь и увидели ошибку в моих маршрутах – напишите, пожалуйста.
Настройка Интернета
Здесь главная вкладка Подключение. Но она настраивается работниками Интернет-провайдера, либо даются чёткие указания на этот счёт, поэтому не нужно ничего менять.
Переключение портов
Переключаемый порт позволяет временно открыть порты для соединений из Интернета, когда сетевым устройствам требуются неограниченный доступ в Интернет. Имеется два способа для открытия входящих портов: переадресация портов и переключение портов. Переадресация портов открывает определенные порты на все время и устройства должны использовать статические IP адреса. Переключение портов открывает входящий порт, только когда сетевое устройство запрашивает доступ к переключаемому порту. В отличие от переадресации портов, переключение портов не требует статического IP адреса для сетевых устройств. Переключение портов позволяет нескольким устройствам совместно использовать один открытый порт, а переадресация портов разрешает доступ к открытому порту только одному клиенту.
Переадресация портов
У всех устройств локальной сети, понятное дело, локальные IP адреса – с такими адресами они не могут выходить в Интернет. Поэтому используется NAT, то есть Network Address Translation — «преобразование сетевых адресов».
Не будем прямо сейчас рассматривать технические подробности, но суть в том, что локальный компьютер может выйти в Интернет и получить данные, но из вне никто не может связаться с локальным компьютером – потому что у него локальный IP, а запрос приходит на внешний IP роутера (невозможно сделать запрос из вне на локальный адрес сети) и роутер просто не знает, кому его нужно переадресовать.
Именно эту проблему позволяет решить переадресация портов. Мы чётко указываем, что если пришёл запрос на 80 порт, то это соединение нужно перенаправить, например, на локальный IP 192.168.0.49.
Благодаря такой настройке, если кто-то обращается по IP к роутеру на установленный для переадресации порт (80 к примеру), то роутер чётко знает, какому локальному IP его нужно передать.
Настройка VPN/Tor
Эти функции есть не во всех роутерах. Здесь вы можете включить перенаправление трафика всех пользователей локальной сети через Tor.
Также вы можете настроить роутер для работы в качестве OpenVPN клиента, и тогда все пользователи локальной сети будут выходить в Интернет через VPN.
Если вы хотите, чтобы роутер работал как клиент OpenVPN, то проще всего загрузить файл конфигурации с настройками VPN. При этом самым удобным вариантом является файл конфигурации с встроенными в него сертификатами. Как это сделать написано здесь.
Либо можно включить на роутере OpenVPN сервер, тогда он сгенерирует файл конфигурации, с помощью которого можно будет подключаться к роутеру как к виртуальной частной сети (VPN).
Настройка брандмауэра (файервола)
Файерволы роутеров позволяют фильтровать данные как на прикладном (седьмом) уровне, так и на транспортном уровне (четвёртом).
На прикладном уровне возможна фильтрация протокола HTTP на основе адресов сайтов, а также содержимого, то есть слов на сайте. Помните, что фильтруются только данные, передаваемые по HTTP протоколу, протокол HTTPS передаётся как есть, без фильтрации.
Фильтр сетевых служб – это фильтрация на уровне TCP и UDP протоколов (транспортный уровень). Фильтр сетевых служб блокирует обмен пакетами между локальной и глобальной сетями и ограничивает устройства в использовании определенных сетевых служб. Например, если вы хотите заблокировать интернет-серфинг, введите 80 в порт назначения. Трафик, использующий порт 80 будет заблокирован.
Оставьте поле исходного IP/MAC пустым для применения этого правила ко всем устройствам локальной сети.
В настройках файервола можно «Включить защиту DoS», если ваш роутер это поддерживает.
Администрирование роутера
Здесь вы можете сделать резервную копию настроек или восстановить настройки файла.
Очень важно – регулярно проверяйте обновления для вашей модели роутера и устанавливайте их, чтобы защититься от известных уязвимостей.
Кроме управления по веб-интерфейсу, многие роутеры также поддерживают управление через:
- SSH
- Telnet
- SNMP
SSH и Telnet позволяют нам подключиться к консоли (командной строке роутера), а SNMP – это протокол управления устройствами со своими командами.
Для веб-интерфейса и SSH можно включить доступ из WAN. Это означает, что вы сможете управлять роутером не только из своей локальной сети, но также и из Интернета, подключившись к нему по внешнему IP адресу. Подавляющему числу людей это не нужно. Настоятельно рекомендую отключить доступ и к веб-интерфейсу, и к SSH из WAN, кроме тех случаев, когда вы точно понимаете что делаете и зачем вам это нужно.
Управление роутером через SSH (Telnet) в командной строке
Командная строка даёт полный контроль над роутером и над любой системой Linux. Нужно чётко понимать, что веб (или графический) интерфейс содержит только те настройки, которые его создатели посчитали нужным добавить. По сути, это только вершина айсберга от всех возможностей настройки роутера.
Поскольку командная строка даёт нам полный контроль, то рекомендую перед началом сделать копию настроек роутера (сохранить файл с настройками). В случае возникновения проблем, можно будет быстро вернуться к исходному состоянию.
В зависимости от того, что у вас есть SSH или Telnet, включите их. Мне доступны оба варианта, я выбираю SSH как более привычный.
Если вы настраиваете роутер из Linux, то там обычно есть и SSH, и Telnet – если нет, установите их прямо из репозиториев.
В Windows для SSH я настоятельно рекомендую использовать Cygwin это командная строка и набор утилит Linux, которые работают прямо в Windows, не требуя виртуальной машины или какой-то настройки. В Cygwin, в случае необходимости, можно сгенерировать SSH ключи и работать с другими консольными программами Linux.
Для Telnet установите PuTTY.
Итак, включаю SSH, меняю порт на 22222 (по умолчанию порт 22 – не люблю без необходимости использовать стандартные порты, поэтому меняю на любой незанятый).
Теперь в Cygwin вводим команду вида:
Замените имя_пользователя на имя пользователя в роутере, вместо IP_роутера впишите IP роутера. Если вы используете стандартный порт, то можно не указывать опцию -p, в противном случае укажите испольуемый ПОРТ.
Например, имя моего пользователя admin, роутер имеет адрес 192.168.0.1, я подключаюсь к порту 22222, тогда моя команда имеет вид:
Если вы выполняете подключение впервые, то вам зададут вопрос, хотите ли вы подключиться, введите yes. Затем введите пароль пользователя роута:
Для подключения по telnet:
Строка /tmp/home/root говорит о том, что я нахожусь в папке /tmp/home/root. Перейду в корневую папку и посмотрю её содержимое:
Посмотрим информацию о версии ядра Linux и о прошивке:
Узнаем информацию о железе:
На роутере установлен BusyBox. BusyBox — это набор UNIX утилит командной строки, который используется в качестве основного интерфейса во встраиваемых операционных систем. В различных версиях и сборках он содержит различное количество утилит.
Для того, чтобы получить список команд, поддерживаемых данным экземпляром BusyBox, запустите его без каких-либо аргументов или используйте опцию —list:
Для того, чтобы узнать о том, что делают отдельные команды, используйте опцию —help в сочетании с этой командой:
Но не все программы в прошивке являются частью BusyBox. Поэтому может потребоваться просмотреть список всех программ:
Если в списке вы видите что-то похожее на […] -> busybox то эта программа является частью BusyBox.
Некоторые программы размещены в /usr/bin/:
Также в /usr/sbin/:
И в /usr/share/:
Если нет нужной вам программы, то вы можете скачать её из интернета (или создать его путем кросс-компиляции) и положить в временный каталог (/tmp/). Также вы можете скачать полную версию BusyBox с официального сайта (http://www.busybox.net) и поместить его в временный каталог (/tmp/). Но после перезагрузки всё будет как раньше и новые файлы будут удалены.
Чтобы увидеть информацию о всех сетевых интерфейсах, введите:
Бросаются в глаза одинаковые MAC-адреса многих сетевых интерфейсов (видимо, из экономии). Например, у eth0 и eth1. Это не сетевые интерфейсы свитча – на свитче все MAC-адреса, конечно же, разные.
В роутерах могут быть разные настройки и набор портов, но, например, на том, который я рассматриваю: eth0 – к этому порту подключён свитч со всеми WAN и LAN портами; к eth1 подключён беспроводной интерфейс на 2.4 GHz, а к eth2 – на 5 GHz.
vlan1 – виртуальная LAN, объединяющая LAN порты. vlan2 – виртуальная LAN, отделяющая WAN порт в свитче.
br0 – это мост, который соединяет интерфейсы vlan1, eth1 и eth2.
ppp0 – Point to Point Protocol Zero – соединение до Интернет-провайдера.
lo – это Loopback, петлевой интерфейс на себя.
Чтобы посмотреть текущие настройки моста:
Для просмотра маршрутов:
Для просмотра ARP таблицы (сопоставляющие IP адреса и MAC адреса):
Просмотр всех сокетов:
Просмотр всех сокетов NAT:
Другие сетевые утилиты: traceroute (построение маршрута до сайта или IP адреса), ping (проверка доступности сайта или IP адреса).
Можно посмотреть все правила iptables:
Правила для NAT:
Смотрим смонтированные разделы:
Информация о файловой системе:
df
Показать занимаемый размер директориями:
Вывод списка всех подключённых USB устройств:
Чтобы посмотреть список запущенных процессов:
ps
Чтобы в реальном времени наблюдать за потреблением ресурсов роутера и запущенными процессами:
Просмотр переменных окружения:
Аналогичную информацию можно собрать с помощью LinEnum:
Просмотр сообщений системы:
NVRAM
Все настройки роутера (настройки изменяемые через веб-интерфейс, пользовательские настройки, загрузочные скрипты) хранятся в энергонезависимый памяти — NVRAM (Non Volatile Random Access Memory). Существует специальная команда для работы с этой памятью – flash и она уже установлена в оригинальную прошивку.
Его можно запустить без аргументов для того, чтобы увидеть все опции:
Если flash не найдена, то используйте nvram.
Все настройки хранятся в переменных.
Показать все переменные:
Для того, чтобы найти переменные с словом NAME, используйте команду nvram/flash совместно с grep:
Опция -i означает искать независимо от регистра букв.
Показать значение определенной переменной (например, порт VPN сервера):
Установить новое значение переменной (например, порт VPN сервера):
Для перезагрузки роутера:
Чтобы увидеть все пароли Wi-Fi роутера:
Чтобы узнать пароль администратора (веб-интерфейс, SSH, Telnet):
Чтобы посмотреть, какие порты к какой виртуальной LAN приписаны:
Чтобы увидеть аппаратные адреса (MAC) всех портов, в том числе свитча:
Как настроить подключение к SSH по сертификату без пароля
Можно настроить вход (аутентификацию) в SSH с помощью RSA ключа. Такой способ аутентификации очень удобен – не нужно каждый раз вводить пароль и очень надёжен – практически невозможно взломать вход в SSH с помощью брут-форса.
Последующие команды нужно выполнять в командной строке Linux или в Cygwin (если вы работаете на Windows)
Отключитесь от роутера, если вы подключены к нему по SSH, и на локальной машине (с которой заходим) выполните:
Вам будет предложено сохранить ключ в файле
/.ssh/id_rsa. Также у вас спросят пароль – его можно не вводить.
В настройках роутера найдите пункт «SSH Authentication key» и скопируйте туда содержимое файла id_rsa.pub:
Также отключите вход по паролю – чтобы невозможно было брутфорсить вход в SSH.
Заключение
Роутеры разных производителей и даже модели одного производителя могут сильно различаться. Тем не менее, как бы не был оформлен веб-интерфейс, роутер всегда имеет почти одинаковые настройки Интернета, локальной сети и беспроводной сети.
Также при работе в командной строке, может быть доступен различный набор команд, может быть специфика (nvram в роутерах с прошивкой WRT), но всегда это система на ядре Linux.
- Включить SSH – в зависимости от устройства и установленной прошивки, значения могут быть следующие: