Nanostation II. Tallafocs

El tallafocs que porta el Nanostation és el IPTABLES de tota la vida del linux, només que a la interfície web sols pots fer unex regles en especial, que s’apliquen al CHAIN ‘FIREWALL’, que el crea l’AP al habilitar el tallafocs, aquest chain s’aplica al FORWARD i al INPUT, però no al OUTPUT.

Aleshores la millor forma de configurar el tallafocs és via SSH, si no s’ha tocat el IPTABLES pot ser coste un poc al principi. El que s’ha de tindre clar és que FORWARD s’aplica als paquets que redirigix l’AP, INPUT als paquest que li arriben a l’AP (be via wifi o be via lan) i l’OUTPUT als paquets que ixen de l’AP. A partir d’aquest punt, en qualsevol exemple i amb el man del IPTABLES (al Nanostation no hi ha man)segur que resulta fàcil configurar-ho.

Via web sols es pot especificar l’interfície d’orige, IP, protocol (sols TCP, UDP o TOTS), port i IP i por de destí, no se si em dixe alguna cosa més.  Via ssh es pot especificar més protocols, si sols es vol en INPUT, OUTPUT o FORWARD (els canvis a la web s’apliquen a INPUT i FORWARD a l’hora). L’IPTABLES del Nanostation és una versió reduïda, segons he pogut comprovar, de l’original. Per exemple la opció de –match no funciona, dóna error a l’hora d’aplicar la regla.

Després hi ha un altre problema, les regles que s’apliquen no es queden guardades, hi ha dos solucions per a aquest problema:

  • Utilitzar un script per a que aplique les regles, igual com està indicat al post de les rutes estàtiques.
  • Modificant el fitxer de configuració a ma.

Vaig a explicar el segon punt, ja que el primer ja el vaig explicar en un altre post. Es descarrega el fitxer de configuració al pc des de la web i s’obri en qualsevol editor de text, si és en windows aconselle un tipus Notepad++, si és al linux.. ja sabreu quin us agrada més a cadascú i es busquen les següents línies de text:

iptables.1.cmd=-t nat -I POSTROUTING -o eth0 -j MASQUERADE
iptables.1.status=disabled
iptables.2.status=disabled
iptables.200.status=disabled
iptables.3.status=disabled
iptables.4.cmd=-t nat -N PORTFORWARD
iptables.4.status=disabled
iptables.5.cmd=-t nat -I PREROUTING -i eth0 -j PORTFORWARD
iptables.5.status=disabled
iptables.50.cmd=-N FIREWALL
iptables.50.status=enabled
iptables.51.cmd=-A INPUT -j FIREWALL
iptables.51.status=enabled
iptables.52.cmd=-A FORWARD -j FIREWALL
iptables.52.status=enabled
iptables.53.cmd=
iptables.53.comment=
iptables.53.status=disabled
iptables.54.cmd=
iptables.54.comment=

Cada 3 línies és una regla com es pot observar en la seua enumeració. cTé més entrades, però el que no he provat a posar-li jo és més entrades de les que té el fitxer de configuració, però igual si que les accepta encara que en la web no es mostren.

Es pot obersvar que les primeres regles és per a habilitar el NAT (pot ser que no estiguen d’aquesta forma si no s’habilita el NAT) i en les altres línies que no diu res és on podem posar les nostres regles, de tota la instrucció IPTABLES que s’escriu en consola, s’escriu tot en el iptables.XX.cmd= excepte la paraula IPTABLES, en el comment= es pot posar el que vulga (és informatiu) i en status es canvia a enabled. Així ja estarà configurada la regla, es puja el fitxer de configuració modificat al AP i es carrega la configuració.

Ara cal no modificar el tallafocs des de la web ja que desconfiguraria les regles aplicades manualment, si s’accedix via web al tallafocs es poden veure regles ‘extranyes’ ja que l’AP no ha sabut interpertar-les per a treure-les via web, però s’apliquen correctament, ho he comprovat

Més informació sobre IPTABLES:

http://es.tldp.org/Manuales-LuCAS/doc-iptables-firewall/doc-iptables-firewall.pdf

http://www.elrincondelprogramador.com/default.asp?pag=articulos%2Fleer.asp&id=14

Projecte Carasol…aconseguit!!! (i II)

Quan uno té ganes mira que s’afanya a fer les coses! Anit li vaig cridar a Joan per a anar aquest matí a posar l’antena al màstil de la caseta, ell té l’escala de 4m que arribava be per a muntar-ho. El pas més complicat era el de llevar el cable d’antena que vaig posar fa 2 anys i passar el cable de xarxa, ha sigut el més complicat perquè ara no tenia la guia que vaig utilitzar per a passar el cable. Però hem lligat be els dos cables i precintat per a que no s’enganxara ningun fil en algun colze del recorregut i ha eixit sense cap problema, després li he passat el POE i he connectat l’AP per a veure si agarrava la senyal i… si! la senyal era casi igual de bona que amb el trípode, així que allí dalt de la teulada estavem Joan i jo celebrant-ho, ho he instal·lat i la antena que ha estat durant 2 anys allí dalt posada l’he llevat. Després li he connectat el Router i he fet algunes proves de rendiment de xarxa, com per exemple reproduïr una pel·lícula AVI enmagatzemada en l’ordinador de taula de casa sense cap problema, o copiar un arxiu gran.

Així que ara, a falta de que Picola vaja a canviar el màstil de l’antena en casa ma tia (que a saber quan serà) ja puc dir que el projecte ja ha finalitzat correctament.

Projecte Carasol…aconseguit!!!

Correcte, és correcte el que esteu llegint, com ja m’havia fet la idea de posar en funcionament aquest projecte hui he anat a investigar on podia colocar la antena en la part de la casa i al final ho he fet en la antena de la casa veïna, que està en la paret de la casa de ma tia (aleshores no passa res no? ella dixa posar el màstil i els veïns em deixen posar l’antena).

Per ara he utilitzat l’antena de la casa de ma tia i en la caseta no he utilitzat cap antena, la de la casa de ma tia ho he fet simplement perquè el màstil estava en un lloc un poc inaccesible, així que he decidit arriesgar l’antena i no l’AP, però quan estiga el màstil de ma tia reparat provaré primer sense antena a vore com reacciona.

Xarxes trobades des de UBNT2

Com mostra la pantalla, la senyal de la wifi4t és de -47 dbs, senyal més que bona, així que quan tinga el màstil de l’antena posat de nou segur que prove a fe la connecció sense antenes.

L’antena en la caseta de ma tia la he instal·lat com l’altra vegada, damunt d’un trípode per a fer les proves però no he arribat ni a fer proves, ha sigut enxufar, encarar i s’ha connectat de seguida. Ara falta saber com estarà la connexió des del màstil de l’antena de la caseta, aquesta segona part ja la faré un altre dia, ja que em fa falta una escala llarga que no tinc i pot ser Joan me la puga deixar (si la que té és prou llarga). Quan puga primer instal·laré l’AP sense antena i si funciona ho deixaré així, sino… provaré amb l’antena. Ja vos mantindré informats i faré fotos per a vore el muntatge (Que sempre dic que posaré fotos i mai les pose)

Es paralitza el projecte

Doncs sí, es paralitza el projecte perquè hui he pujat a la teulada per a veure com es mantenia l’antena que vaig posar fa 2 anys i m’he trobat en que el màstil de l’antena està doblat. Ho he comentat i resulta que ja fa temps que està avisat l’electricista per a que ho arregle ja que està també l’antena per a veure la tele però…. passa prou del tema, com fa sempre, ara a esperar a que li vinga be canviar el màstil o que li vinga be al ferrer o ja vorem quina escusa posa

Projecte Carasol

Ja he configurat amb èxit tot el circuit al laboratori de proves (casa ma tia), aplicant-li la seguretat de tallafocs, rutes estàtiques i VPN. Adjunte una nova imatge de la topologia que he seguit (es que des que he descobert DIA que no pare d’utilitzar-lo, no trau uns gràfics tant definits com el VISIO però és programari lliure):

Diagrama Carasol

  • R1: Router Broadband, el que dóna accés a internet.
  • Servidor VPN: El nom ja ho diu tot, amb 2 interficies de xarxa, separant físicament la LAN local de la resta.
  • PLC1 i PLC2: Encarregats de portar la xarxa pel cablejat elèctric.
  • R2: UBNT1, el punt d’accés (Nanostation2) que hi ha a la casa per a unir-se a wifi4t.
  • R3: UBNT2, el punt d’accés (Nanostation2) que hi ha a la caseta per a unir-se a wifi4t.
  • R4: Router final de la caseta, on es connectaran els pc via LAN o wifi

wifi4t

Com ja havia dit alguns posts anteriors, la xarxa wifi4t és lliure, no està encriptada, així s’aprofita millor l’ample de banda que en les distàncies fa falta, jeje. En un principi es pot connectar qualsevol persona a la xarxa, encara que no tindrà accés a internet, però per ara l’he feta una xarxa /30 fent que no es pugui connectar a nivell d’IP més de 2 hosts (els 2 AP’s). Quan estiga tot en marxa i funcionant perfectament ja ho canviaré a una /16.

Tallafocs

Servidor VPN

És l’encarregat d’unir qualsevol client VPN a la xarxa local de casa i, per tant, a Internet. Conté un tallafocs que sols deixa passar els ports necessaris per a la connecció VPN

UBNT1

Conté un tallafocs que no permet que ixca res per la xarxa LAN, tant sols els paquets dirigits als ports que s’utilitzen per a l’enllaç VPN i que vinguen de la IP del R4.

R4

Tallafocs per a no deixar entrar ningun tràfic que no haja sigut provocat des de dins de la LAN. NAT habilitat. Com en la caseta la xarxa creada per R4 (que serà tabé wifi) és privada, aquesta si que anirà xifrada i amb un mínim de seguretat.

Les xarxes creades que són punt a punt van totes amb la màscara /30 per a donar un poc més de protecció, la wifi4t és lliure i les altres són privades, i els punts d’accés estan configurats com a “punt d’accés WDS” el de casa i com “estació WDS” el de la caseta. La connexió a la xaraxa wifi4t ja l’habilitaré quan ja haja finalitzat aquest projecte.

Ara falta implantar el projecte a la vida real, ja he vist que al laboratori funciona perfectament però falta veure com actuen els AP’s amb la distància i si fa falta connectar les antenes que ja estan instal·lades o no. A veure si demà dissabte al matí puc fer alguna prova i ja contaré

P.D.: Qaunta cosa s’ha de fer per a poder tenir internet a la caseta, no és més còmode un módem USB 3G? jajaja

Nanostation I. Configurar les rutes

El Nanostation ve amb mini linux empotrat anomenat AirOS, porta una interficie web i per defècte porta la IP 192.168.1.20 i user ubnt/ubnt. Via web es pot configurar ‘casi tot’ però no tot, per exemple les rutes. La configuració de les rutes es pot fer de forma estàtica o mitjançant RIP o OSPF.

Per a la segona opció tant sols cal actualitzar el firmware a la versió de inveneo i i seguir els passos que s’indiquen en l’enllaç, encara que està millor explicat ací. En aquest enllaç també hi ha una referència a una altra web en la qual expliquen com poder fer una xarxa en topologia mesh

Per a la primera opció cal accedir al AP per SSH i crear un script amb el route i les seues opcions. EL AirOS té una carpeta anomenada /etc/persistent al qual es poden crear scripts, els quals al engegar-se la màquina s’executen. Els noms dels scripts són:

  • /etc/persistent/rc.prestart
  • /etc/persistent/rc.poststart
  • /etc/persistent/rc.prestop
  • /etc/persistent/rc.poststop

El fitxer a crear (perquè el més segur es que no estiga creat) és el rc.poststart. Per a crear-lo s’escriu a la consola (estaguent al directori correcte)

#vi rc.poststart

I s’edita amb l’editor vi, primer premer ‘a’ i després ja es pot escriure. Quan estiga tot escrit, premer ‘Esc’ i ‘:x’ per a guardar els canvis al fitxer. Ja en consola se li donen permisos d’execució:

#chmod +x rc.poststart

I finalment per a que els canvis no desapareguen en quan es reinicie la màquina:

#cfgmtd -w -p /etc/

I arreando! ja està, fàcil del tot. Ara pose un exemple de script de rutes estàtiques:

#! /bin/sh
route add -net 10.10.10.0 netmask 255.255.255.0 gw 192.168.2.101 dev eth0

Pàgines d’interés:

http://www.ubnt.com/wiki/index.php/Manual_Routes

http://wiki.ubnt.com/wiki/index.php/User:Skyhook#How_to_add_a_static_route

http://wiki.ubnt.com/wiki/index.php/Linux_Script_FAQ

http://www.dc.fi.udc.es/~afyanez/info-vi/index.html Manual de VI

ací

Ja ha arribat tot el material

Ja tinc les Nanostations en casa, van arribar el dilluns. La veritat és que ha sigut bastant ràpid ja que la transferència la vaig fer el divendres abans de les 9 i el dilluns matí ja ho tenia en casa. Ja he estat trastejant en elles, la mala noticia és que no accepten punt a punt, però no passa res perquè com aquest projecte també és el principi d’un altre més important que vull empendre, em servirà aquesta topologia. Altra cosa en la que també he topat ha sigut en la configuració del iptables, que no accepta tots els paràmetres que em pensava (o ho estaré fent mal).

Aquests AP’s són una ‘virgueria’ tenen bona potència i accepten altres firmwares oberts com Openwrt i altres de pagament que ara mateix no recorde els noms, porten per defecte el PoE (cosa que em facilitarà molt la instal·lació del cabletjat).

Ja he estat fent proves de configuracions en ma casa i una vegada testejat l’enllaç he passat directe a casa ma tia, on anirà muntat esta ‘fira’. Allí una vegada configurat ha anat perfecte, això sí, dins d’una habitació emulant l’enllaç, ara falta veure si l’enllaç es pot aconseguir (la configuració ja està).La connexió que he realitzat amb èxit és la següent:

PC – ROUTER CASETA – UBNT2 -UBNT1 – PLC – PLC – SERVIDOR VPN – ROUTER CASA – INTERNET

UBNT1 i 2 són els noms que tenen per ara els AP’s i l’enllaç entre ells és inalàmbric. Les xarxes ente ROUTER CASETA – UBNT2, UBNT2 – UBNT1 i UBNT1 – SERVIDOR VPN són /30 i l’enllaç wifi és obert amb la SSID wifi4t encara que ara ho tinc en /30 més endavant la deixaré en /16 amb la IP de xarxa 10.10.0.0

Enllaç del dia:

www.comprawifi.com

Preliminars Caseta – Casa

Després d’haver fet les proves amb els components que ja tinc i després haver fet una estructura amb màquines virtuals de la forma Server VPN – Router – Router – Client VPN i configurant els tallafocs via iptables per a que al server vpn sols es puga accedir als ports que s’utilitzen per a les connexions VPN i a la part del client no acceptar connexions entrants a no ser que els ha establert ell abans de forma gratificant, ja he comprat els 2 punts d’accés Nanostation2, esta setmana espere que arriben. Torne a posar un diagrama actualitzat de la estructura de xarxa que implantaré, més que res perquè està fet en el software lliure anomenat DIA

CASETA-CASA TIA

Ara encara no tinc temps però al pròxim post ja posaré la configuració entre routers ja que com la xarxa WAN serà lliure i es podrà connectar qualsevol (sols accés a la xarxa, no accés a Internet)

(Modificat 4/11/09) Comentar que l’enllaç entre R2 i SERVER VPN és a través de PLC’s)

Tornant a parlar del projecte d’enllaç Caseta-Casa

Retornant a l’enllaç que vull fer de forma més professional, ja he escollit els elements que quedaven per escollir i ja els he comprat, la veritat es que no m’he calfat molt el cap, he entrat en les webs de PCBOX i de APPINFORMATICA i he estat mirant routers fiables i PLC’s a bon preu, al final m’he fet amb el router WRT54G2 de Linksys i amb un kit de LEVEL ONE PLC (els dos a la tenda d’APP que esta vegada els tenien més barats que a PCBOX), la veritat que el router també l’he escollit per el disseny, ja que feia les funcions que m’interesen i quedarà be penjat a la paret de la caseta XD

Com ja tenia aquest material no he pogut esperar a demanar els AP’s que vull i he provat l’esquema que vull fer però sense els AP’s, connectat el router dirèctament a un PLC. La prova ha sigut possitiva, encara que he estat ‘peleant’ 3 dies fins que ho he descobert com configurar-h0.

Primer he intentat fer un enllaç amb IP estàtica de router_caseta a router_casa, donant aquest últim accés a internet al primer, sense cap problema, es configura les ips en el rang de la xarxa de casa i ‘arreando’, he connectat el portàtil al router_caseta i funcionava la connexió.

El següent pas era configurar el servidor VPN i que el router es connecte a través d’aquest servidor, aquest pas ha sigut el que m’ha dut de cap 3 dies. Com el servidor VPN estaria situat a casa ma tia i allí en sa casa no puc tenir tot un CPD muntat m’he tingut que decidir de muntar el servidor VPN que porta el Windows XP, ja que és el més senzill de configurar i posar en marxa ademés que poden seguir utilitzant-lo amb l’emule, msn, navegar… sense cap problema. Si no se sap com fer del Windows XP un servidor VPN, a googlejar “servidor VPN Windows xp” i eixiran milers de webs on ho expliquen, és ben senzill. El que més ha costat és que el router fera de client VPN i el windows li donara les ip’s correctes. Primer ho he fet al meu portàtil utilitzant la ethernet per a connectar-li el router i la wifi per a connectar-se al router de casa, donant ip’s del mateix rang a les dos targetes (que aquest era la causa de que no funcionara correctament) finalment he reproduit un escenari paregut al vmware, on un windows xp feia de servidor VPN amb 2 targetes de xarxa (una en cada rang diferent d’IPs) i un altre windows xp feia de client sobre una targeta de xarxa, al connectar-se i vore que funcionava correctament m’he posat a analitzar l’escenari i és on me n’he adonat que el problema el tenia en el direccionament que donava.

El client i el servidor estan units en una xarxa amb el mateix rang d’ips i el que fa el servidor al connectar-se el client a ell és donar-li a aquest una ip del rang de l’altra targeta per a que puga accedir a la xarxa a la que està unida, exemple:

1. El servidor està connectat a 2 xarxes diferents: 192.168.0.0/24 i 192.168.5.0/24

2. El client està connecta a la xarxa 192.168.5.0/24, per tant sols té accés a aquesta xarxa

3. Quan el client es connecta al servidor per la xarxa 192.168.5.0, aquest li dona una IP del rang 192.168.0.0/24, des de la qual el client ja té accés a la xarxa 192.168.0.0/24 a través de la connexió VPN

Respecte als PLCs… cap problema, realment plug and play, els he connectat a la xarxa elèctrica i en un extrem al servidor VPN i a l’altre al router i he fet ping i resposta.

Resumint:

La connexió Router_caseta – PLC – PLC – Servidor VPN – Router_casa – Internet s’ha establit correctament, per a dur a terme aquest esquema li he instal·lat una altra targeta de xarxa al pc de taula de casa al qual es connecta al PLC, ho he provat en els tallafocs deshabilitats, ara falta fer-ho anar amb més seguretat aplicada

Després d’aquest èxit ja estic esperant poder demanar els APs per a provar la connexió wifi i el tunel VPN a través dels APs, que no se com reaccionaran els APs i els enrutament de direccions

Més del mateix

Primer que res, dir que això de sols utilitzar un parell per a la xarxa…. és mentida, no es pot fer, me la vaig ratllar massa.

Ara que ja he rectificat la meua errada… al tema!

Ja tinc el punt d’accés tant dessitjat però…. oh oh!! no és el mateix que hi ha a la imatge!!!! si que és el mateix model però no correspon amb la imatge 🙁 sols té una antena, l’he provat i està be, suporta mode repetidor, wds, wds + AP,… per als 40 i pocs euros no està mal. També suporta xifrat wep, wpa, wpa contra radius, servidor dhcp,… Total que pinta be el AP, si no fos perquè sols té una antena.

També tinc ja el tupperware i la garrafeta d’oli de motor (mineral). El tupperware té una capacitat de 4 litres (ara no el tinc ací i no ho recorde cert però crec que si que són 4 litres) mentre que la garrafeta d’oli és de 5 litres (crec).

Ja he trobat un ‘transformaoret’ amb opció de variar el voltatge (de 3v a 12v), perfecte per al POE i també he medit el voltatge d’eixida del transformador que porta l’AP (que necessita 7’5V) i quina sorpresa m’he emportat quan he vist que el transformador té una eixida de casi 12V!!! Per suposat he provat a enviar-li 7’5V que necessita l’AP i ha funcionat perfecte.

Sols em queda el cable de l’antena a l’AP i ja que estic per demana, també compraré alguns connectors RJ45 femelles, de paret i solts i algunes altres peces d’utilitat, per a fer-ho un poc més asseaet, així per ara he pensat en passar el cable de xarxa per la paret i a cada extrem posar-li un connector femella, i en la part de baix connectar un cable amb 3 eixides (termòmetre, POE i dades) i a la de dalt el mateix. També he vist una T per a connectar 2 antenes a l’AP, també ho compraré junt a una antena omnidireccional de 4dbs d’exterior. Així que fins que no tinga tot el material… no crec que pose ningun post més sobre aquest tema, encara que si que aniré “dissenyant” el tupperware (igual li faig un refugi de metall per a que el sol no faça malbé el plastic del ‘tupper’, que ja m’ha avisat ma mare que això passarà, fent que es trenque i se’n ixca tot l’oli!!!)

Això és tot, a vore si m’ix be la jugada i si ix be… utilitzaré el mateix AP amb una T per al node GINJOL.