17 Sierpień 2017 11:43:35
Nawigacja
· Strona Główna
· Galeria
· Forum
· Linki

· Tomato by Shibby

· Wiki-OpenWrt
· Wiki-DD-WRT
· Emulatory sprzętu

Darowizna
Ostatnio na forum
Najnowsze tematy
· Jak ustawić Tomato d...
· Instalacja Newcs na ...
· [MOD] Tomato by shibby
· [MOD] Tomato by kille72
· Netgear R6400 - tańs...
· netiaspot + Linksys ...
· (RT-AC66U) 1.28.0000...
· [S] Asus RT-AC56U
· Linksys EA3200 i pro...
· [S] Laptop ASUS R500...
· VLAN VID 102 Dla GPON
· OptWare - co to jest...
· Tomato upgrade z 1.1...
· Skrypt w zakładce fi...
· WNR3500L v2 + zyxel ...
· zakup routera do Net...
· Monitorownie odwiedz...
· Układy radiowe stoso...
· Uwalony EA6900 - czy...
· Komenda AT wymuszeni...
Najciekawsze tematy
· [MOD] Tomato by s... [13504]
· [MOD] Tomato by k... [653]
· OptWare - co to j... [527]
· Netgear R6400 - t... [85]
· Jak ustawić Tomat... [35]
· Skrypt w zakładce... [8]
· Instalacja Newcs ... [7]
· Monitorownie odwi... [7]
· WNR3500L v2 + zyx... [5]
· Linksys EA3200 i ... [4]
· zakup routera do ... [4]
· netiaspot + Links... [3]
· VLAN VID 102 Dla ... [3]
· Tomato upgrade z ... [2]
· [S] Laptop ASUS R... [1]
Ankieta
Jaki procesor posiada twój router?

Broadcom MIPSEL
Broadcom MIPSEL
41% [123 głosy]

Broadcom ARM
Broadcom ARM
49% [147 głosów]

Atheros
Atheros
6% [17 głosów]

Marvell
Marvell
1% [4 głosy]

Ralink
Ralink
0% [1 głos]

Intel/AMD/VIA
Intel/AMD/VIA
1% [3 głosy]

Żaden z powyższych
Żaden z powyższych
3% [8 głosów]

Ogółem głosów: 303
Musisz zalogować się, aby móc zagłosować.
Rozpoczęto: 02/02/2015 09:38

Archiwum ankiet
Reklama
Twoje IP
54.80.198.222
Reklama
Jak zabezpieczyć router i sieć domową?
SiecJak zabezpieczyć router i sieć domową? Oto 14 porad:

- Należy unikać używania routerów dostarczanych przez ISP. Routery te są mniej bezpieczne niż te sprzedawane przez wyspecjalizowanych producentów. Poza tym urządzenia należące do dostawców internetu mają często dedykowane poświadczenia obsługi zdalnej, których użytkownik nie może sam w żaden sposób zmienić, oraz definiowany firmware często aktualizowany znacznie później, niż wymaga od tego dynamiczny świat złośliwego oprogramowania. Trzeba przyznać, że producenci routerów działają w tym zakresie znacznie szybciej.

- Zmień domyślne hasło administratora. Wiele routerów dostarczanych jest z ustawionymi domyślnymi hasłami administratora. Cyberprzestępcy z kolei nieustannie starają się łamać tego typu hasła, bo dałyby im one dostęp do wielu urządzeń jednocześnie. Gdy po raz pierwszy zalogujesz się do konsoli zarządzania swoim routerem, koniecznie zmień hasło dostarczone przez ISP/producenta.

- Strona do zarządzania routerem zdalnie nie powinna być osiągalna przez zwykłe połączenie internetowe. W większości przypadków zmiana jakichkolwiek ustawień routera poza siecią lokalną (LAN) nie jest potrzebna. Tym bardziej powinno się zablokować taką możliwość z innych miejsc internetu. A jeśli z jakiegoś powodu potrzebujesz takiej opcji, używaj do tego zawsze połączenia szyfrowanego usługą VPN.

- Nawet w sieci LAN warto ustalić restrykcyjnie, który adres IP (Internet Protocol) może zarządzać routerem. Jeśli ta opcja jest możliwa, to zawsze pozwalaj na dostęp pojedynczego adresu IP, który nie należy do puli wydzielonej w tamach protokołu DHCP (Dynamic Host Configuration Protocol). Przykładowo skonfiguruj ustawienie DHCP, by przydzielał adresy z puli od 192.168.0.1 do 192.168.0.50, ale pozwalaj na dostęp do konsoli zarządzania routerem tylko dla adresu 192.168.0.53. Komputer powinien być ręcznie konfigurowany, by nawiązać połączenie z tym adresem, a tym samym z routerem.

- Włącz dostęp HTTPS do interfejsu konfiguracji, dodatkowo ustaw niestandardowy port, pod którym jest dostępny interfejs konfiguracji routera i zawsze wyloguj się po zakończeniu tej czynności. Używaj trybu incognito lub prywatnego, pracując z routerem, tak aby w przeglądarce nie zapisywały się żadne sesje zawierające pliki cookie, z których cyberprzestępca mógłby wyciągnąć login i hasło.

- Zmień adres LAN IP routera, jeśli tylko to możliwe. W większości wypadków router zostanie przydzielony do pierwszego zdefiniowanego bloku, np. 192.168.0.1. Jeśli tylko to możliwe, zmień ten adres na 192.168.0.99 lub cokolwiek innego i łatwego do zapamiętania, a co jednocześnie nie należy do puli DHCP. Warto dodać, że całą tę pulę można wymienić (w prywatnych sieciach).

- Wybierz skomplikowane hasło Wi-Fi i silny protokół bezpieczeństwa (WPA2-AES + minimum 12 znaków, małe, duże litery, cyfry, znaki specjalne i nie słownikowe). WPA2 (Wi-Fi Protected Access II) powinno być już standardem, ponieważ starsze WPA i WEP są podatne na ataki typu brute-force. Jeśli router oferuje tę opcję, stwórz oddzielną sieć Wi-Fi dla gości, także zabezpieczoną protokołem WPA2 i silnym hasłem. Poproś przyjaciół i innych wizytujących, by korzystali z tej sieci, a nie z twojego głównego Wi-Fi. Najprawdopodobniej znajomi nie będą mieli złych intencji, ale ich urządzenia mobilne mogą być zarażone złośliwym oprogramowaniem. Uwaga: jeśli masz nowoczesny router, wybierając standard WPA2, od razu włącz szyfrowanie CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol). W niektórych routerach szyfrowanie to nosi nazwę AES (Advanced Encryption Standard). Stosuje się w nim klucz o długości 256 bitów. Moc obliczeniowa obecnych komputerów nie pozwala złamać go w akceptowalnym czasie. Mniej skuteczne szyfrowanie WPA-PSK (Pre-shared key) w połączeniu z TKIP (Temporal Key Integrity Protocol) wykorzystuje klucz długości 40 lub 128 bitów. Jeśli agresor ma do dyspozycji sprzęt o dużej mocy obliczeniowej, może - przynajmniej teoretycznie - złamać szyfrowanie i wedrzeć się do sieci metodą wielokrotnych prób (atak metodą siłową).

- Wyłącz w swoim routerze DSL funkcję WPS (WiFi Protected Setup). WPS ma zapewniać użytkownikowi większą wygodę podczas nawiązywania połączeń w sieci WLAN, pozwala bowiem ustanawiać Wi-Fi z wykorzystaniem kodu PIN zwykle znajdującego się na naklejce routera. Jednak funkcja ta może równie dobrze ułatwiać hakerom wdzieranie się do cudzych sieci.

- Im mniej usług twój router wykorzystuje do łączenia się z internetem, tym lepiej. Trzeba o tym pamiętać, zwłaszcza gdy korzystasz z usług, o których działaniu prawdopodobnie nawet nie wiesz, takich jak: Telnet, UPnP (Universal Plug and Play), SSH (Secure Shell) i HNAP (Home Network Administration Protocol), które przecież teoretycznie dostępne są przez Internet, a zatem służą jako drzwi dla potencjalnych hakerów. Weźmy jako przykład UPnP. Fakt, że pozwala programom i urządzeniom modyfikować ustawienia routera, abyś nie musiał za każdym razem własnoręcznie zmieniać konfiguracji, ale przemycony do sieci WLAN trojan mógłby w ten sposób poprzestawiać ustawienia routera. Dlatego zaleca się wyłączyć UPnP. W niektórych modelach można zabronić zmieniania opcji zabezpieczeń przez UPnP, wówczas nie trzeba całkowicie rezygnować z tej funkcji. Warto sprawdzić usługę internetową https://www.grc.com/shieldsup, która skanuje publiczne IP routera i wyszukuje otwarte porty. Sprawdza także UPnP.

- Aktualizuj firmware routera. Odwiedzaj w regularnych odstępach czasu witrynę producenta, sprawdzając, czy jest nowa wersja firmware'u do routera. Aktualizacje w wielu wypadkach usuwają nowo odkryte luki w zabezpieczeniach urządzenia.

Dla wymagających:

- Segmentacja sieci może się przydać, by izolować ryzykowne urządzenia. Niektóre routery dla konsumentów mają funkcję tworzenia sieci VLAN (virtual local area networks) jako część większej sieci prywatnej. Te sieci wirtualne mogą być używane np. do izolowania urządzeń internetu rzeczy (internet-of-things), które wciąż określane są przez ekspertów jako najbardziej podatne na ataki ze strony cyberprzestępców. Wiele urządzeń IOT może być kontrolowanych z poziomu aplikacji smartfonowych albo poprzez zewnętrzne usługi chmurowe. Tak długo jak te urządzenia będą miały własny dostęp do sieci, nie będą musiały na bieżąco korzystać z połączenia ustanowionego za pośrednictwem smartfona (z wyjątkiem może pierwszej konfiguracji). To dobre rozwiązanie, bo w innym przypadku złośliwe oprogramowanie mogłoby wykorzystać podatności urządzenia IOT, by zainfekować urządzenia sterujące, takie jak smartfon czy komputer.

- Filtrowanie adresów MAC i IP się sprawdza. Adresy MAC, inaczej zwane adresami fizycznymi, są wizytówkami urządzeń korzystających z sieci. Routery obsługujące Wi-Fi umożliwiają stworzenie listy zaufanych podzespołów, które mogą się z nim łączyć. Komputer o adresie spoza listy zostanie zablokowany. Wprawdzie możliwe jest podszycie się pod adres MAC, ale filtr stanowi poważną barierę ograniczającą ewentualność włamania. O ile to możliwe, warto również skorzystać z filtrowania IP. Włączenie filtrowania adresów MAC może bardzo utrudnić, o ile nie uniemożliwić, atakującemu połączenie się z siecią Wi-Fi, nawet gdy zostanie skradzione hasło do niej.

- Przekierowywanie portów powinno iść w parze z filtrowaniem IP. Usługi uruchamiane na komputerze za routerem mogą być dostępne z zewnątrz, jeśli przekierowywanie portów w routerze nie jest odpowiednio zdefiniowane. Wiele aplikacji automatycznie otwiera porty, korzystając z funkcji UPnP, co nie zawsze jest bezpieczne. Gdy UPnP jest wyłączone, użytkownik może dodawać reguły dotyczące otwierania portów. Niektóre routery oferują możliwość wskazania źródła adresu lub puli adresów IP, które mogą łączyć się z konkretnym portami w celu obsługi wskazanych usług w danej sieci. Przykładowo, jeśli chcesz podłączyć się do serwera FTP na swoim domowym komputerze z pracy, możesz utworzyć regułę przekierowania portu 21 (FTP) w twoim routerze, ale tylko dla połączeń z bloku należącego do adresów IP firmy, w której pracujesz.

- Własny firmware może być bardziej bezpieczny niż preinstalowany. W sieci dostępnych jest kilka opartych na Linuksie i rozwijanych przez społeczność projektów oprogramowania układowego (firmware) dla szerokiej grupy routerów domowych. Tomato, OpenWRT, DD-WRT i Asuswrt-Merlin (dla urządzeń Asusa) to tylko niektóre z popularnych projektów. Takie oprogramowanie oferuje bardziej zaawansowane i modyfikowalne możliwości konfiguracji niż firmware udostępnione dla urządzeń fabrycznie. Jego twórcy bardzo szybko też łatają wszelkie dziury w oprogramowaniu (zwykle szybciej niż producenci sprzętu). Także relatywnie niska popularność takiego oprogramowania sprawia, że to rzadziej znajduje się na celowniku hakerów. Oczywiście, są też wady. Przede wszystkim trzeba mieć świadomość, że zabawa z tego typu oprogramowaniem wymaga od użytkownika naprawdę dużej wiedzy technicznej i świadomości tego, co się robi, oraz zwykle oznacza także utratę gwarancji na sprzęt (który można w ten sposób łatwo uszkodzić). Żeby nie było, że nie ostrzegaliśmy!

Źródło
Komentarze
#1 | b3rok dnia 17 styczeń 2017 21:29:32
Dobra robota, przydatny artykuł. Nasunął mi 2 sprawy do wdrożenia - VLANy oraz zdefiniowanie zaufanego IP z którego jest dostęp do panelu administracyjnego routera.
#2 | kille72 dnia 17 styczeń 2017 21:33:05
Bound to - Enforce static ARP binding of this particular IP/MAC address pair, tez nie glupie.
#3 | servee dnia 23 styczeń 2017 23:30:44
Fajny artykuł, dzięki!
O jednej rzeczy nie pomyślałem i na pewno z niej skorzystam, ale nie napiszę z jakiej, żeby słabego punktu swojej sieci nie ujawniać Pfft.
#4 | Anter34 dnia 12 czerwiec 2017 14:18:30
Dla mnie najbardziej przydatna informacja to wyłączenie nieużywanych usług. Jakoś nie wpadło mi to do głowy.
Dodaj komentarz
Zaloguj się, aby móc dodać komentarz.
Logowanie
Nazwa użytkownika

Hasło



Nie masz jeszcze konta?
Zarejestruj się

Nie możesz się zalogować?
Poproś o nowe hasło
Aktualnie online
· Gości online: 5

· Użytkowników online: 0

· Łącznie użytkowników: 23,572
· Najnowszy użytkownik: Zbigniew Chmielewski
Shoutbox
Musisz zalogować się, aby móc dodać wiadomość.

Unpleasant
16-08-2017 18:48
Panowie, działają Wam regułki ebtables na nowszych wersjach AIO z multi WAN? (AC66U)

b3rok
12-08-2017 14:35
@djwujek i inni - ostrożnie z tym sklepem, więcej tutaj (komentarze) https://zaufanatrz
eciastrona.pl/post
/jak-bezkarnie-kra
sc-pieniadze-czyli
-o-bezradnosci-org
anow-scigania/

djwujek
12-08-2017 02:05
Po 210 Zł RT-N18U arendt-24 //usunąłem link poczytajcie komentarze o Arendt - b3rok

feszt
08-08-2017 16:38
NewCS to zabytek, napewno na ARM też go nie ma.

PanRatio
07-08-2017 21:39
Jest promocja i Router Xiaomi Mi Pro można mieć za 295 zł. Szkoda, że nie ma na niego Tomato Frown

scooby
07-08-2017 19:10
czesc, mam pytanie czy dałoby rade wykorzystac tutorial Cardserwer NewCS 1.67RC1 pod Tomato w sofcie RMerlin z optware ?

PixelPL
02-08-2017 16:46
na torrent trochę się zapycha i szału nie ma, w LAN -> Switch Control -> Enable Jumbo Frame

PixelPL
02-08-2017 16:44

PixelPL
02-08-2017 16:43
@ovner RT-N16 AsusWRT Merlin 378.50

ovner
02-08-2017 09:37
RT-N16 wyrabia na łączu +400Mb/s Smile No ładnie jak na staruszka, jaką dokładnie masz wersje wgrana bo ja mam Firmware:374.43_2-
26E3j9527 (Merlin LTS fork)

PixelPL
01-08-2017 23:26
http://beta.speed.
..597417.png
RT-N16 AsusWRT Merlin 378.50

ovner
01-08-2017 10:32
RT-N16_Discontinue
d Rmerlin zaprzestał rozwoju i wsparcia tomato dla rt-n16 To co mamy wgrane to jest fork na baziw jego softu

PixelPL
01-08-2017 10:30
no i jeszcze teraz łączy mi z routerem na wyższym adresie bo jeszcze używam PPPoE do ADSL

PixelPL
01-08-2017 10:27
RT-N16_3.0.0.4_378
.50_0 Dodali okienko CPU Usage Grin

PixelPL
01-08-2017 09:57
Panowie jest problem https://www.media.
..nw5wo8wrco
Wedle tej strony soft na samej górze nie jest najnowszy, dziś sprawdziłem po datach doda

PixelPL
30-07-2017 08:54
Nat DMZ itd. cmd ping, iperf, nie łączy. Skończyły mi się pomysły. Może Asus WRT Merlin jest jakieś pop... nie chcę mi się zmieniać już na coś innego

PixelPL
30-07-2017 08:52
Dziś spędziłem nad tym 4 godziny, jak kolega wspomniał adresacja 10.0.0.1 i 10.0.0.2 jest poprawna ponieważ ruch występuje a router w sekcji WAN widzi to poprawnie, nic jednak z przekierowania portu N

33,088,168 unikalne wizyty