Проброс портов и настройка роутера для внешнего доступа
Домашний роутер обычно не дает возможности добраться из внешнего Интернета до компьютеров во внутренней сети. Это правильно — хакерские атаки рассчитаны на известные уязвимости компьютера, так что роутер является дополнительным препятствием. Однако бывают случаи, когда доступ к роутеру и его локальным ресурсам из «внешнего мира» становится необходим. О том, в каких случаях бывает нужен доступ извне, и как его безопасно настроить — эта статья.
Зачем открывать доступ извне?
Доступ «снаружи» нужен не только в экзотических случаях вроде открытия игрового сервера или запуска сайта на домашнем компьютере. Гораздо чаще приходится «открывать порт» для многопользовательской игры, а это — как раз предоставление внешнему пользователю (серверу игры) доступа к внутренней сети (порт компьютера). Если необходимо удаленно подключиться и настроить компьютер или роутер, просмотреть файл-другой из домашней сети, находясь в командировке, или посмотреть видео с подключенных к домашней сети IP-камер — нужно настроить доступ.
Цвета и формы IP-адресов
Прежде чем разбираться, как открыть доступ к своим ресурсам, следует понять, как вообще происходит соединение в сети Интернет. В качестве простой аналогии можно сравнить IP-адрес с почтовым адресом. Вы можете послать письмо на определенный адрес, задать в нем какой-то вопрос и вам придет ответ на обратный адрес. Так работает браузер, так вы посещаете те или иные сайты.
Но люди общаются словами, а компьютеры привыкли к цифрам. Поэтому любой запрос к сайту сначала обрабатывается DNS-сервером, который выдает настоящий IP-адрес.
Допустим теперь, что кто-то хочет написать письмо вам. Причем не в ответ, а самостоятельно. Не проблема, если у вас статический белый адрес — при подключении сегодня, завтра, через месяц и год он не поменяется. Кто угодно, откуда угодно, зная этот адрес, может написать вам письмо и получите его именно вы. Это как почтовый адрес родового поместья или фамильного дома, откуда вы не уедете. Получить такой адрес у провайдера можно только за отдельную и регулярную плату. Но и с удаленным доступом проблем меньше — достаточно запомнить выданный IP.
Обычно провайдер выдает белый динамический адрес — какой-нибудь из незанятых. Это похоже на ежедневный заезд в гостиницу, когда номер вам выдается случайно. Здесь с письмом будут проблемы: получить его можете вы или другой постоялец — гарантий нет. В таком случае выручит DDNS — динамический DNS.
Самый печальный, но весьма распространенный в последнее время вариант — серый динамический адрес: вы живете в общежитии и делите один-единственный почтовый адрес с еще сотней (а то и тысячей) жильцов. Сами вы письма писать еще можете, и до адресата они дойдут. А вот письмо, написанное на ваш почтовый адрес, попадет коменданту общежития (провайдеру), и, скорее всего, не пойдет дальше мусорной корзины.
Сам по себе «серый» адрес проблемой не является — в конце концов, у всех подключенных к вашему роутеру устройств адрес именно что «серый» — и это не мешает им пользоваться Интернетом. Проблема в том, что когда вам нужно чуть больше, чем просто доступ к Интернету, то настройки своего роутера вы поменять можете, а вот настройки роутера провайдера — нет. В случае с серым динамическим адресом спасет только VPN.
Кто я, где я, какого я цвета?
С терминологией разобрались, осталось понять, какой именно адрес у вас. У большинства провайдеров фиксированный адрес стоит денег, так что если у вас не подключена услуга «статический IP-адрес», то он наверняка динамический. А вот белый он или серый гусь — это нужно проверить. Для начала надо узнать внешний IP-адрес роутера в его веб-интерфейсе и сравнить с тем адресом, под которым вас «видят» в Интернете.
В админ-панели роутера свой IP можно найти на вкладках «Информация о системе», «Статистика», «Карта сети», «Состояние» и т. п. Где-то там нужно искать WAN IP.
Если адрес начинается с «10.», или с «192.168.», то он определенно «серый» — большинство способов открытия доступа работать не будет и остается только VPN.
Если же адрес выглядит по-другому, надо посмотреть на него «снаружи» с помощью одного из сервисов, показывающих ваш IP-адрес, например, http://myip.ru/.
Если адрес, показанный на сайте, совпадает с тем, что вы увидели в веб-интерфейсе, то у вас честный «белый» адрес и доступ из «большого мира» не вызовет особых затруднений — остается только настроить «пробросы» на роутере и подключить DDNS.
Что такое порты и зачем их бросать?
Порт — это пронумерованное виртуальное «устройство», предназначенное для передачи данных по сети. Каждая сетевая программа использует для установления связи отдельный порт или группу портов. К примеру, браузеры используют TCP-порт 80 для незашифрованного трафика (http) и 443 для зашифрованного (https).
Проброс порта — это специальное правило в роутере, которое разрешает все обращения извне к определенному порту и передает эти обращения на конкретное устройство во внутренней сети.
Необходимость «проброса» портов обычно возникает при желании сыграть по сети в какую-нибудь игру с компьютера, подключенного к роутеру. Впрочем, это не единственная причина — «проброс» потребуется при любой необходимости получить «извне» доступ к какому-нибудь конкретному устройству в вашей локальной сети.
Разрешать к компьютеру вообще все подключения, то есть пробрасывать на него весь диапазон портов — плохая идея, это небезопасно. Поэтому роутеры просто игнорируют обращения к любым портам «извне». А «пробросы» — специальные исключения, маршруты трафика с конкретных портов на конкретные порты определенных устройств.
Игровые порты: что, куда бросаем?
Какой порт открыть — зависит от конкретного программного обеспечения. Некоторые программы требуют проброса нескольких портов, другим — достаточно одного.
У разных игр требования тоже отличаются — в одни можно играть даже с «серого» адреса, другие без проброса портов потеряют часть своих возможностей (например, вы не будете слышать голоса союзников в кооперативной игре), третьи вообще откажутся работать.
Например, чтобы сыграть по сети в «Destiny 2», нужно пробросить UDP-порт 3074 до вашей «плойки», или UDP-порт 1200 на Xbox. А вот до ПК потребуется пробросить уже два UDP-порта: 3074 и 3097.
В следующей таблице приведены некоторые игры и используемые ими порты на ПК:
Как закрыть порт в роутере?
Счетчик сообщений и начисление баллов в разделе отключены.
#1 OFF ska79
Старожилы
Как закрыть порт в роутере dlink dsl 2640u? iot scanner говорит что открыт 23 порт — конфигурацию telnet отключил в роутере, однако вердикт не изменился — iot также пишет что открыт 23 порт.
Использовать тригер портов для закрытия данного порта?
Тригерром закрыть нельзя
Пробовал ip фильтром закрыл, lot пишет что также открыт. У меня появились сомнения в его адекватности
#2 OFF andrew75
СтарожилыНаграды
Спасибо x 1- Показать
Спасибо x 1#3 OFF ska79
Старожилыandrew75, откатил — не помогло. lot также пишет что в роутере открыт 23 порт
#4 OFF mike 1
КонсультантыСтарожилыНаграды
А через PuTTy он дает подключиться к роутеру по Telnet?
- Спасибо x 1
- Показать
Бессигнатурная защита от неизвестных троянцев-шифровальщиков, Рекомендации по защите данных от троянцев-шифровальщиков
Бесплатная базовая защита от Лаборатории Касперского => https://www.kaspersk. ivirus-download
#5 OFF ska79
Старожилыmike 1, не знаю. Проверить наверно не получится, ip динамический.
#6 OFF oit
Совет фан-клубаНаграды
ska79, так вы со своего компа на роутер по путти пробуйте через телнет
у меня тоже эти порты открыты. 23 закрыл, сейчас 445 займусь.
Как ЗАКРЫТЬ порты на роутере
Утро доброе. Проблема такая:
Есть роутер dlink 2640u, весьма себе приятная 4-х портовая железка с wi-fi. За nat’ом поднял ftp, порт пробросил, сделал nmap с другой машины, чтобы посмотреть открыл ли он порт. Результаты меня мягко говоря удивили:
Not shown: 988 closed ports
PORT STATE SERVICE
21/tcp open ftp
22/tcp open ssh
23/tcp open telnet
80/tcp open http
135/tcp filtered msrpc
139/tcp filtered netbios-ssn
445/tcp filtered microsoft-ds
1720/tcp filtered H.323/Q.931
1863/tcp open msnp
4550/tcp open unknown
5190/tcp open aol
5431/tcp open park-agent
первые четыре порта — стандартные роутеровские сервисы. Но я их сразу отключил, коннектится к ним он не дает — какого черта они висят? Следующие пять — непонятная ересь, непонятно кака там взявшаяся. 4550 — ftp, дальше тоже непонятно что.
Собственно вопрос — как, не имея но router’e netstat отключить всё это безобразие?
P.S.
top выдает, что ftpd, telnet и httpd не запущены, остальные сервисы тоже.
Как ЗАКРЫТЬ порты на роутере
Почитать документацию к длинку/написать письмо в ТП длинка?
Как ЗАКРЫТЬ порты на роутере
читал, нету. хм, если есть тривиальное решение, проще спросить на форуме.
Как ЗАКРЫТЬ порты на роутере
Кто ж знает, что там длинковцы китайскими руками наворотили.
Как ЗАКРЫТЬ порты на роутере
P.S. Вообще, всё должно быть в веб-интерфейсе. Если всего нет => обновлять прошивку до последней, сбрасывать настройки в дефолт и снова смотреть в веб-интерфейсе.
Как ЗАКРЫТЬ порты на роутере
там есть страница настроек, где стоят галочки используемых сервисов
http://s60.radikal.ru/i167/0911/ad/9cae086d6eae.png
если там есть столбец WAN — можно оттуда галочки снять (у меня только LAN, но железяка сама не поднимает WAN , а работает как мост, так что поэтому может ничего и нет)
как вариант можно открыть открытые на роутере порты в LAN (перенаправить в меню port forward)
соответственно роутер перестанет светиться портами 21 (ftp) 22 (ssh) 80 (администрирование через веб), вместо этого все это переедет на 2121 2222 (?) и 8080
ну и не забудьте обновить прошивку ftp://ftp.dlink.ru/pub/ADSL
Как ЗАКРЫТЬ порты на роутере
1)Сервисы отключены(в lan стоит только ssh)
2)Они же все равно будут торчать)
3)Насчет прошивки — спасибо, может помочь.
Как ЗАКРЫТЬ порты на роутере
хм.. пока ничего нового. попробую отписать в support.
Как ЗАКРЫТЬ порты на роутере
забыл отписать) прошивка вроде бы даже помогла.
HackWare.ru
Этичный хакинг и тестирование на проникновение, информационная безопасность
Атака на устройства в локальной сети через уязвимый роутер
Если получен доступ к роутеру, можно ли получить доступ к устройствам в локальной сети? Чтобы ответить на этот вопрос, давайте разберёмся, как работает домашняя локальная сеть.
Как работает домашняя локальная сеть
В домашней локальной сети основой является роутер — довольно сложное сетевое устройство. Это устройство обеспечивает работу локальной сети. При подключении нового устройства к локальной сети роутера, он с помощью протокола DHCP присваивает новому устройству IP адрес. В качестве диапазона IP адресов в домашних сетях обычно используются 192.168.1.0/24, 192.168.0.0/24 или 192.168.100.0/24.
То есть у вашего компьютера или телефона, подключённого к Интернету через роутер, имеется локальный IP адрес.
Возможно вы уже слышали про NAT и даже знаете, что эта технология позволяет Интернет-провайдеру использовать один единственный внешний (белый) IP адрес для всех или для множества его клиентов. Но NAT используется не только на уровне провайдера Интернет услуг, но и уже в вашем роутере. Рассмотрим NAT чуть подробнее.
NAT — это технология, которая позволяет множеству устройств выходить в Интернет используя один и тот же IP адрес. Кстати, в вашей локальной сети, в которой имеется роутер, уже применяется NAT — именно благодаря этому все ваши устройства могут выходить в Глобальную сеть и не нужно каждому из них иметь внешний IP.
Как вы понимаете, это часто используемая технология. Возможно, вы много лет ею пользуетесь, даже не зная про неё. Она действительно приносит очень много пользы, но у неё есть недостаток — она позволяет делать подключения «в одну сторону». То есть если ваш компьютер инициализировал подключение к Интернету, то он отправит его роутеру, роутер сделает две вещи: 1) запомнит, что запрос пришёл с определённого устройства и 2) отправить этот запрос в Интернет. Когда придёт ответ, роутер всё ещё «помнит», что этот запрос был сделан для определённого устройства в локальной сети, и отправит ответ именно этому устройству. И так происходит каждый раз.
Но вот если на роутер придёт новый HTTP запрос из Глобальной сети (не ответ на запрос, а именно новый запрос), то роутер банально не знает, для кого в локальной сети он предназначен (если не настроена переадресация портов). Поэтому с этим поступившим запросом роутер ничего не делает (источник).
Можно ли получить доступ к компьютеру в локальной сети, если есть доступ к роутеру?
Вроде бы, ответ очевиден — технология NAT не даёт такой возможности в принципе: подключение к локальным устройствам, у которых нет белого IP, а есть только локальный IP вида 192.168.0.*, невозможен.
Но я начал с того, что роутер это весьма сложное сетевое устройство. И это устройство поддерживает множество функций по настройке сети, в частности оно поддерживает:
- настройку статичных IP адресов для устройств в локальной сети минуя протокол DHCP
- Forwarding портов
Forwarding портов
Forwarding, который ещё называют «переадресацией» портов, «проброской портов», «перенаправлением портов» или «Port mapping» (сопоставление портов) позволяет делать очень замечательную вещь — с его помощью устройства за NAT, то есть устройство в локальной сети, имеющее локальный IP адрес, могут стать доступными глобально. Правила могут быть настроены весьма гибкой, можно сделать пересылку нескольких портов на один, или с одного на несколько, или несколько на несколько и так далее. Но для наших целей больше всего интересно следующее правило, которое словами можно выразить так:
Запрос, который пришёл на порт роутера 22 перенаправить на порт 22 устройства с IP адресом 192.168.0.5.
Номера портов необязательно должны быть одинаковыми, поэтому правило может быть таким:
Запрос, который пришёл на порт роутера 50080 перенаправить на порт 80 устройства с IP адресом 192.168.0.5.
В результате мы получим доступ к порту 80 (его обычно прослушивает веб-сервер) устройства в локальной сети 192.168.0.5.
Это означает, что мы можем получить доступ к любому открытому порту и запущенному на нём службе в локальной сети! Это может быть веб-сервер, SSH, FTP, сетевые протоколы Windows и т.д.
Просмотр устройств локальной сети. Настройка статических адресов в локальной сети
Чтобы выполнить атаку на устройства в локальной сети через уязвимый роутер, нам нужно знать, какие у этих устройств локальные IP адреса.
Рассмотрим пример. В локальной сети провайдера есть роутер с IP адресом 100.69.64.23 к которому получен административный доступ.
Все (или практически все) роутеры могут показать информацию о подключённых в данный момент клиентах. Эта информация может быть:
- на странице статуса роутера
- на странице настройки DHCP
- на странице статуса LAN (локальной сети)
Например, на этом роутере информация собрана на странице DHCP Clients List:
Данный роутер показывает всего лишь MAC-адрес и локальный IP адрес устройств. Многие роутеры кроме этой информации также показывают, является ли это мобильным устройством или настольным компьютером. Поскольку здесь такой информации нет, то мне нужно самостоятельно догадаться о типе устройства на основе его производителя. Производителя устройства можно узнать по MAC адресу на этом сервисе: https://suip.biz/ru/?act=mac
Например, для MAC 00:80:92:c4:6a:f9 найдена следующая информация:
Меня не интересуют мобильные телефоны и планшеты — как правило, на них все порты закрыты. Меня интересуют ноутбуки и настольные компьютеры, поскольку на них могут быть запущены службы, которые прослушивают порты.
Из всех устройств самыми интересными мне показались следующие
Причина в следующем:
- их MAC-адреса, вроде бы, не принадлежат производителям мобильных телефонов
- их IP адреса являются самыми первыми — то есть к роутеру весьма вероятно вначале подключаются проводные устройства, а затем устройства по Wi-Fi
- эти устройства отсутствуют в списке беспроводных клиентов:
Если атака планируется длительной, то определённым устройствам можно присвоить статичные IP адреса. Дело в том, что проброска портов настраивается относительно IP адреса. А целевое устройство через некоторое время может сменить IP адрес на произвольный. Если это случиться, то правила переадресации портов будут работать — просто теперь они будут отправлять пакеты другому устройству, которое заняло этот IP адрес.
Чтобы этого избежать можно привязать IP к MAC-адресу — мне ещё не встречались роутеры, которые не умеют этого делать. Настройка выполняется достаточно просто.
Настройка переадресации портов
В зависимости от модели роутера эта вкладка может называться
- Forwarding
- Port Forwarding
- Port mapping
- Переадресация портов
- другие варианты
Например, на рассматриваемом роутере эту вкладку я нашёл по пути Application → Port Forwarding:
Всего портов 1-65535 и роутеры позволяют делать переадресацию диапазонов, то есть 65 тысяч портов не придётся настраивать по одному.
Но есть очень важное замечание — мы не можем настроить переадресацию того порта, на котором работает веб-сервер роутера. То есть если роутер открывается на 80 порту, то этот порт должен стать исключением. Иначе произойдёт следующее: ни мы, ни даже владелец роутера больше не сможем попасть в панель администрирования роутера пока не будут сброшены настройки на заводские.
Обратите внимание, что некоторые роутеры работают не на 80, а на 8080 или 443 порте.
Итак, если веб-интерфейс роутера работает на 80 порту и мы хотим получить доступ к локальным ресурсам устройства с IP 192.168.1.2, то нам нужно установить следующие три правила:
- Переадресацию портов 1-79 на 1-79 порты адреса 192.168.1.2
- Переадресацию портов 81-65534 на 81-65534 порты адреса 192.168.1.2
- Переадресацию порта 65535 на 80 порт адреса 192.168.1.2
Первые два правила с диапазонами (надеюсь) очевидны. Третьим правилом мы перенаправляем запросы, пришедшие на порт 65535, на 80 порт локального компьютера, поскольку там может быть веб-сервер или что-то другое интересное.
Начнём с того, что сделаем контрольный замер, какие именно порты открыты:
Эта команда покажет открытые порты на роутере:
Добавляем первое правило:
Заново сканируем порты:
Констатируем — нас постигла неудача. 80-й порт — это порт самого роутера, а на устройстве с IP 192.168.1.2 просканированные порты закрыты.
Не отчаиваемся — переделываю все правила на переадресацию портов на IP 192.168.1.3:
И опять сканируем порты:
Поясню, хотя команда Nmap одна и та же, но на самом деле в предыдущий раз мы сканировали порты устройства в локальной сети с IP 192.168.1.2. А последняя команда уже сканирует порты на 192.168.1.3.
А вот здесь нам повезло:
Напомню, что все эти порты, кроме 80, открыты на устройстве, у которого даже нет белого IP адреса, у него IP адрес 192.168.1.3.
А как проверить 80 порт на 192.168.1.3? Делаем это так:
Порт оказался закрыт.
Чтобы собрать информацию об отрытых портах, изучим их баннеры:
Не очень интересно — видимо, это всё функции связанные с принтером.
Чтобы подключиться к HTTPS порту, достаточно открыть ссылку в веб-браузере: https://100.69.64.23:443
А там мы видим интерфейс многофункционального устройства (принтер-копер-сканер) MFC-J5910DW:
Ещё раз для тех, кто потерялся, это устройство с IP адресом 192.168.1.3!
Также я сумел подключиться к FTP:
Заключение
Это самый универсальный способ атаки на локальную сеть с уязвимым роутером, поскольку практически все роутеры поддерживают переадресацию портов.
Другие варианты атак:
- подмена DNS на сервера злоумышленника и манипуляция трафиком на основе поддельных DNS ответов (подвержены все роутеры) (см. Применение фальшивого DNS)
- перенаправление трафика с помощью VPN канала на оборудование злоумышленника (подвержены только более продвинутые модели с поддержкой VPN) (см. Применение фальшивого VPN (атака человек-посередине+обход HSTS))
- доступ к медиа носителям, подключённым к роутеру (подвержены только модели с такой функциональностью)