Bridge -firewall met OrangePi R1: 4 stappe

2024 Outeur: John Day | [email protected]. Laas verander: 2024-01-30 07:26

Ek moes 'n ander Orange Pi koop:) Dit was omdat my SIP -telefoon in die middel van die nag begin lui het van vreemde nommers en my VoIP -aanbieder het gesê dat dit te wyte was aan hawe -skanderings. Nog 'n rede - ek het te gereeld gehoor dat routers gekap word, en ek het 'n router wat ek nie mag administreer nie (Altibox/Noorweë). Ek was ook nuuskierig wat in my tuisnetwerk aangaan. Daarom het ek besluit om 'n brug-firewall op te stel, deursigtig vir TCP/IP-tuisnetwerk. Ek het dit met 'n rekenaar getoets, en toe besluit ek om OPi R1 te koop - minder geraas en minder kragverbruik. As u u eie rede het om so 'n hardeware -firewall te hê, is dit makliker as wat u dink! Moenie vergeet om 'n koellichaam en 'n ordentlike mikro -SD -kaart te koop nie.

Stap 1: OS en bekabeling

Ek het Armbian geïnstalleer:

Soos u miskien opgemerk het, het ek 'n USB TTL -omskakelaar gebruik om toegang tot die seriële konsole te kry, wat nie nodig was nie, maar die standaard netwerkopstelling aanvaar DHCP.

Die enigste opmerking vir die omskakelaar - in baie tutoriale word geen VCC -verbinding voorgestel nie. Vir my het dit slegs gewerk toe die kragtoevoer gekoppel was (3.3V is die enigste vierkantige pen op die bord). En dit sou oorverhit as dit nie aan 'n USB gekoppel is voordat die kragtoevoer aangeskakel is nie. Ek dink R1 het pinout versoenbaar met OPi Zero, ek het probleme met die vind van R1 -skemas.

Nadat ek Armbian gestart het, die wortelwagwoord verander het en 'n paar opdaterings/opgraderings, het ek twee koppelvlakke gevind ('ifconfig -a') - eth0 en enxc0742bfffc6e. Kyk of u dit nou nodig het - die wonderlikste is dat u slegs die lêer/etc/network/interfaces moet aanpas om u R1 na 'n Ethernet -brug te verander. Ek was verbaas dat Armbian 'n paar vooraf gekonfigureerde weergawes van die lêer bevat, insluitend interfaces.r1switch - dit klink na wat ons nodig het, maar dit werk nie.

'N Ander belangrike ding was die korrekte identifisering van Ethernet -poorte - enxc0742bfffc6e was die een naby seriële penne.

Installeer net een ding voordat u die R1 kontak met die internet verloor (OK, dit kon beter gekonfigureer gewees het):

sudo apt-get install iptables-persistent

Stap 2:/etc/network/interfaces

As u u plaaslike netwerk oorskakel na eth0, benodig u die volgende koppelvlaklêer (u kan altyd terugkeer na die oorspronklike weergawe met sudo cp interfaces.default interfaces; herlaai):

outomatiese br0iface br0 inet handleiding

bridge_ports eth0 enxc0742bfffc6e

bridge_stp af

brug_fd 0

bridge_maxwait 0

brug_maxage 0

Stap 3: Iptables

Na herlaai moet u R1 deursigtig wees vir die netwerk en werk dit soos 'n kabelaansluiting. Laat ons nou die lewe vir die slegte mense moeiliker maak - stel firewalls -reëls op (hashed lines is comments; pas netwerkadresse by u DHCP -konfigurasie aan!):

# flits alles en maak deure toe

iptables -Fiptables -P INVOER DROP

iptables -P VORENTOE DROP

iptables -P UITSET DROP

#, maar laat die interne netwerk buite toe

iptables -A INPUT -m physdev --physdev -is -bridged --physdev -in eth0 -s 192.168.10.0/24 -j AANVAAR

iptables -A FORWARD -m physdev --physdev -is -bridged --physdev -in eth0 -s 192.168.10.0/24 -j AANVAAR

# laat DHCP deur die brug gaan

iptables -A INPUT -i br0 -p udp --port 67:68 -sport 67:68 -j AANVAAR

iptables -A VOORUIT -i br0 -p udp --port 67:68 -sport 67:68 -j AANVAAR

# alle gevestigde verkeer moet aangestuur word

iptables -A VOORUIT -m conrack --ctstate GEVESTIG, VERWANTE -j AANVAAR

# net vir die plaaslike blaaier - toegang tot moniteringsinstrumente soos darkstat

iptables -A INVOER -i lo -j AANVAAR iptables -A UITGANG -o lo -j AANVAAR

#blokkering

iptables -A FORWARD -m physdev --physdev -is -bridged --physdev -in enxc0742bfffc6e -s 192.168.10.0/24 -m limiet -limiet 5/min -j LOG --log -vlak 7 --log -voorvoegsel NETFILTER

iptables -A FORWARD -m physdev --physdev -is -bridged --physdev -in enxc0742bfffc6e -s 192.168.10.0/24 -j VERWERP

Stap 4: Laaste oorwegings

Na 'n week - dit werk perfek. Die enigste ding wat ek sal opmaak (en hier indien) is netwerkmonitering en toegang via ssh. Ek herhaal: deur die koppelvlaklêer te verander na die inhoud wat ek aangeheg het, sal die R1 -toestel van die IP -netwerk verwyder word - slegs die reeks werk.

6 Junie 2018: oorbrugging is nie soveel werk nie, maar R1 straal baie hitte uit, te veel. 'N Eenvoudige koelkas word baie warm - vreemd en ek hou nie daarvan nie. Miskien is dit goed, miskien het iemand 'n ander oplossing as 'n waaier.

18 Augustus 2018: 'armbianmonitor -m' toon 38 Celsius, wat ver onder my persoonlike persepsie is. Ek voel 'n aansienlike verandering (af) toe ek die horlosie 'n bietjie verminder:

echo 1000000>/sys/devices/system/cpu/cpu0/cpufreq/scaling_max_freq

BTW - ek het daarin geslaag om aan te sluit by my huis WLAN, maar R1 het geen IP via DHCP ontvang nie, statiese opdrag deos werk ook nie. Dit was my eerste poging om 'n administratiewe koppelvlak te hê, behalwe 'n seriële. 'N Ander idee is om steeds 'n IP aan een van die ethernet -poorte toe te ken. Ek sal oor 'n paar maande hierop terugkeer.