• Zarejestrowany: 2023-01-17
  • Posty: 134

Temat: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Wiele jest w internetach poradników nt killswitcha VPN w OpenWRT. Wiele z nich podaje różne (czasem wzajemnie sprzeczne) sposoby na jego osiągnięcie, wiele też jest po prostu przestarzałe i nieaktualne w nowych wydaniach systemu. To frustrujące dla mniej zaawansowanego usera.

Chciałbym prosić Cezarego i/lub innych starych wyjadaczy OpenWRT (bo z tego co zauważam, tylko tu są godni zaufania fachowcy) o najlepszą metodę osiągnięcia stabilnego i bezawaryjnego killswitcha dla OpenVPN i/lub Wireguarda.

Szczytem marzeń by było mieć tę kwestię definitywnie załatwioną w pakiecie Cezarego o obecnej nazwie easyconfig (choć proponuję zmianę nazwy na CezarOS, bo jest w pełni godna tego miana) po prostu jako włącznik w menu GUI!

Mój przypadek użycia: Używam GL-MIFI z obrazem mifi od Cezarego. Łączę się wyłącznie przez VPN i muszę mieć pewność, że:
a) Nic nie wycieknie poza tunel w trakcie pracy
b) Nic nie wycieknie w przypadku awarii tunelu (rozłączenia, zerwania) = brak internetu i amen
Jedne poradniki radzą to zrealizować regułami firewall, inne mówią że wystarczy odklikać strefę VPN ze strefy WAN, jeszcze inne jakimiś skryptami....oszaleć można sad

W oryginalnym sofcie GL-inet oraz routerze Dovado (również opartym na OpenWRT) były po prostu przełączniki w menu:
https://thumbs2.imgbox.com/02/11/4iG89xO7_t.png https://thumbs2.imgbox.com/d3/38/uLiAAYre_t.png
Obaj też twierdzili (jak widać na screenie), że nie tylko klienci LAN/WIFI, ale nawet wewnętrzne procesy routera (NTP, aktualizacje itd) są kierowane tylko przez tunel.

Dwa pytania zatem:

1. Jak najlepiej obecnie (czyste OpenWRT 22.03 lub obrazy Cezarego lub bez znaczenia) to zrobić?
Czy te trzy poniższe metody załatwiają sprawę i de facto robią tą samą robotę, tylko via uci i luci?
https://openwrt.org/docs/guide-user/ser … ill_switch
https://openwrt.org/docs/guide-user/ser … ecommended
https://openwrt.org/docs/guide-user/ser … using_luci

2. Czy można liczyć na implementację porządnego killswitcha GUI w CezarOS?

Gotów jestem docenić ogrom kosmicznej roboty, którą Cezary wykonuje i wysłać dotację na skrzynkę piwa!
A może jest więcej zainteresowanych i też się dorzucą?

2 Odpowiedź przez smereka

  • Zarejestrowany: 2014-07-09
  • Posty: 2,437

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Fajną nazwę nadałeś CezareOs wink)))) takiej jeszcze nie było

3 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,919

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Usuń forwarding wan<>lan. Wtedy router będzie miał dostęp do internetu ale żaden podłączony klient nie o ile nie zostanie zestawiony vpn. Oczywiście forwarging vpn<>lan zostawiasz w spokoju tak jak był.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

4 Odpowiedź przez Ketoniu

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Cezary napisał/a:

Usuń forwarding wan<>lan

Daj proszę dokładny command do wykonania w SSH, bo za słaby jestem w te klocki OpenWRT (jeszcze) sad
A jak wymusić kierowanie do tunelu procesów routera?
A jest szansa na dodanie killswitcha do CezarOS?

smereka napisał/a:

Fajną nazwę nadałeś CezareOs wink)))) takiej jeszcze nie było

Dzięki że się komuś spodobało, choć nie wiem co na to główny zainteresowany wink
Niesamowity kawał roboty Cezary wykonał z tym pakietem/systemem, ma więcej fjuczerów niż GL.inet, który jest przecież gigantem. Wokół pełno smętnych i gównomających projektów, które sobie wielkie nazwy cośtamOS nadały, a w rzeczywistości jedynie dodały inną tapetę do innej dystrybucji. OS Cezarego zasługuje na więcej widoczności w galaktyce!

5 Odpowiedź przez Ketoniu

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Cezary napisał/a:

Usuń forwarding wan<>lan

Czy to oznacza to samo, co w tym linku?
https://openwrt.org/docs/guide-user/ser … ill_switch

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,919

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

uci -q delete firewall.@forwarding[0]
uci commit

ALE... upewnij się że to na pewno chodzi o pierwszą sekcję. Zrób uci show firewall i jeżeli wyszło coś takiego:
...
firewall.@forwarding[0]=forwarding
firewall.@forwarding[0].src='lan'
firewall.@forwarding[0].dest='wan'
...

To wykonaj w/w polecenia.

Jeżeli będziesz miał zestawiony tunel vpn który będzie trasą domyślną to wszystko będzie leciało przez tunel.

Nie wiem czy dodam to do easyconfig. Pomyślę.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez Ketoniu

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Cezary napisał/a:

Jeżeli będziesz miał zestawiony tunel vpn który będzie trasą domyślną to wszystko będzie leciało przez tunel.

Czy to jest odpowiedź na pytanie o kierowanie do tunelu vpn wszystkiego WŁĄCZNIE z procesami własnymi routera?
Jak sprawdzić i ustawić trasę domyślną?

8 Odpowiedź przez Ketoniu (edytowany przez Ketoniu 2023-01-18 18:17:28)

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Cezary napisał/a:

Nie wiem czy dodam to do easyconfig. Pomyślę.

Uwaga chłopaki i dziewczyny! Cezary zrobił pierwszy krok właśnie! Proszę o wsparcie pomysłu! Robimy zrzutkę i naciskamy mistrza? smile

9 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,919

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Zwykle trasa domyślna sama się nadpisuje jak vpn wstaje. Zrób route -n i zobacz gdzie 0.0.0.0 jest kierowane.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

10 Odpowiedź przez Ketoniu (edytowany przez Ketoniu 2023-01-18 18:31:14)

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Czyli to oznacza, że:
1. przy działającym vpn procesy routera też lecą przez tunel razem z klientami lanu
2. przy padniętym tunelu podłączone klienty nie mają internetu, ale procesy routera lecą sobie spokojnie poza tunelem, bo trasa domyślna z powrotem się nadpisała z vpn do wan
Dobrze rozumiem?
A jeśli dobrze rozumiem, to sposób na odcięcie również procesów routera?

11 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,919

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

tak i tak.

Problem jest w tym że jak obetniesz roterowi internet to... nie zrobi już połączenia vpn bo będzie miał obcięte. Ew możesz zablokować na firewallu (to zadanie domowe) cały ruch na wszystko poza hostem vpn'a.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

12 Odpowiedź przez Ketoniu

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Zadanie domowe oblałem zanim zacznę. Może mój stary mózg coś by jeszcze sobie przypomniał ze składni iptables po stu latach, ale na nftables mam alergię od pierwszego wejrzenia. Nie wiem czemu ale mam i już sad

13 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,919

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

I właśnie dlatego masz w luci klikacza do firewalla, przez co nie widzisz ani iptables ani nftables a tylko śmieszne wpisy w uci.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

14 Odpowiedź przez Ketoniu

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Ale:
1. Luci nie mam w obrazach mifi (zrobiłem nową instalkę i już nie chciałem instalować wiedząc, że problem z ledami wkrótce zniknie)
2. Szczerze mówiąc luci mnie nie lubi, albo ja jej. Może wstyd się przyznać, ale nie do końca rozumiem ten interfejs, a jak czegoś nie rozumiem to się boję tykać. Nie wiem na przykład, czy mogę sobie swobodnie i bez obaw dodawać własne reguły firewalla i czy nie zepsuję już obecnych jednocześnie sad
Może przesadzam, ale chaos i niepokój odczuwam...no dobra spróbuję raz jeszcze.

15 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,919

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Ledy zrobiłem dla gl-mifi, chcesz to teraz to wykonaj sobie w konsoli przez ssh:

    uci add system led
    uci set system.@led[-1].sysfs='green:3g4g'
    uci set system.@led[-1].trigger='netdev'
    uci set system.@led[-1].dev='wwan0'
    uci add_list system.@led[-1].mode='link'
    uci add_list system.@led[-1].mode='tx'
    uci add_list system.@led[-1].mode='rx'
    uci commit

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

16 Odpowiedź przez Ketoniu

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Wow pięknie dziękuję!
BTW: Przyjmujesz datki poza serwisem https://buycoffee.to/eko.one.pl ?
Mam na myśli BTC lub inne dowolne krypto.

17 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,919

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Nie, nie posiadam żadnego portfela z crypto.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

18 Odpowiedź przez Ketoniu

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Może czas założyć i wystawić adres Donate na stronce?

19 Odpowiedź przez Ketoniu

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

W sprawie zadania domowego: zakładam, że ten poradnik to już się do niczego nie przyda?
https://eko.one.pl/?p=openwrt-customfirewall
Albo dużo roboty z przepisaniem go dla nftables?

20 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,919

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Takie przepisane w ogóle nie ma sensu. W czym ci przeszkadza firewall od openwrt? Jest dobrze zrobiony, spełnia swoją rolę, domyślnie blokuje to co trzeba. Czemu chcesz go całkowicie wyrzucić?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

21 Odpowiedź przez Ketoniu

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Bo jakoś go nie rozumiem (via luci również) sad
Dotarłem do końca internetu w poszukiwaniu poradnika, który mi go wyjaśni i nie znalazłem.
Koncepcja tych stref interfejsów, forwardów między nimi, priorytetów wykonywania reguł fw itd itp mnie przerasta i mam wrażenie (choć może złudne), że już łatwiej bym to ogarnął wprost w iptables, no ale iptables już nie ma.
A celem jest zadanie domowe z postu 11 > killswitch, który zablokuje wszystko oprócz hosta vpn (włącznie z procesami routera).

22 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,919

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

iptables nadal jest, wywalasz firewall4, instalujesz firewall3 i masz firewall z iptables. Lub instalujesz iptables-nft i... masz iptables. Tyle że docelowo wszystko będzie promowało nftables.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

23 Odpowiedź przez Ketoniu

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Cezary napisał/a:

instalujesz iptables-nft i... masz iptables

Czyli wtedy powyższy poradnik z powrotem staje się w pełni aktualny?

24 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,919

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Zrobienie własnego firewalla? Tak. Chcesz własny to odinstaluj firewall4, zainstaluj iptables i jedziesz. Tylko pamiętaj że niektóre pakiety zależą od firewalla i uci, więc potem musisz samodzielnie wszystko ogarnąć i zmodyfikować jak zajdzie potrzeba.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

25 Odpowiedź przez Ketoniu

  • Zarejestrowany: 2023-01-17
  • Posty: 134

Odp: Prośba o fjuczer killswitch w CezarOS [czyli w easyconfig]

Cezary napisał/a:

Tylko pamiętaj że niektóre pakiety zależą od firewalla i uci, więc potem musisz samodzielnie wszystko ogarnąć i zmodyfikować jak zajdzie potrzeba.

To już chyba lepiej zrobić kolejne podejście do nauczenia się nftables i bardziej przyszłościowe to będzie wink