• Zarejestrowany: 2012-12-18
  • Posty: 317

Temat: limit polaczen WAN->LAN na konkretny port

Hej

Wybaczcie, jesli to juz gdzies jest opisane - nie moglem znalezc
Chcialbym zrobic limit polaczen z konkretnego zewnetrznego IP na moj port na routerze (DNAT)
Mam przekierowanie portu na 8800 i wystawione radio internetowe - jednak czasami klienci wariuja, nawiazuja mnostwo polaczen i icecast w LAN sie wykrzacza. Myslalem, zeby zrobic np. max 2 polaczenia

sprawa 2 - ssh na router zmienilem na mniej standardowy port, ale od czasu do czasu jakby regula przestawala dzialac, musze wejsc przez www / system / administaration -> save & apply i pownie dostep jest. Mam CC 15.05

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,352

Odp: limit polaczen WAN->LAN na konkretny port

1. Zobacz np. https://forum.openwrt.org/viewtopic.php … 5#p149455, możesz analogicznie zrobić.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez miguelos

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: limit polaczen WAN->LAN na konkretny port

BusyBox v1.23.2 (2015-11-28 22:44:43 CET) built-in shell (ash)


                   _            _____ _____
                  | |          / ____|_   _|
                  | |    _   _| |      | |
                  | |   | | | | |      | |
                  | |___| |_| | |____ _| |_
                  |______\__,_|\_____|_____|

----------------------------------------------------------------
|                                                              |
| OpenWrt Chaos Calmer 15.05 (r48023)                          |
| Build time: 2016-01-02 13:05 CET                             |
|                                                              |
| Cezary Jackiewicz (obsy), http://eko.one.pl                  |
|                                                              |
----------------------------------------------------------------
| Machine: TP-Link TL-WDR3600 v1                               |
| Uptime: 8d, 03:16:30                                         |
| Load: 0.04 0.03 0.05                                         |
| Flash: total: 1.6MB, free: 796KB, used: 50%                  |
| Memory: total: 123.0MB, free: 98.9MB, used: 19%              |


root@gnp:~# opkg install kmod-ipt-ipset
Multiple packages (kmod-ipt-ipset and kmod-ipt-ipset) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-ipt-ipset and kmod-ipt-ipset) providing same name marked HOLD or PREFER. Using latest.
Installing kmod-ipt-ipset (3.18.29-1) to root...
Downloading http://dl.eko.one.pl/chaos_calmer/ar71x … r71xx.ipk.
Multiple packages (kmod-ipt-core and kmod-ipt-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-ipt-core and kmod-ipt-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-ipt-core and kmod-ipt-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-nfnetlink and kmod-nfnetlink) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-nfnetlink and kmod-nfnetlink) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-nfnetlink and kmod-nfnetlink) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-nfnetlink and kmod-nfnetlink) providing same name marked HOLD or PREFER. Using latest.
Collected errors:
* satisfy_dependencies_for: Cannot satisfy the following dependencies for kmod-ipt-ipset:
*      kernel (= 3.18.29-1-671355321f1f43963c3be1685d51bbe8) *         kernel (= 3.18.29-1-671355321f1f43963c3be1685d51bbe8) *
* opkg_install_cmd: Cannot install package kmod-ipt-ipset.


upgrade calego systemu ?

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,352

Odp: limit polaczen WAN->LAN na konkretny port

Tak by było najlepiej.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez miguelos

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: limit polaczen WAN->LAN na konkretny port

ale wystarczy opkg upgrade czy po prostu instalacja najnowszego obrazu - tzn r49294 ?
btw - widze, ze w koncu pojawil sie gargoyle w CC - czy instalacja luci->gargoyle albo odwrotnie jest supportowana ?

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,352

Odp: limit polaczen WAN->LAN na konkretny port

Jest wspierana, możesz zmienić w którą stronę chcesz - ale bez zachowania konfiguracji.

Instalację najnowszego obrazu masz zrobić.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez miguelos (edytowany przez miguelos 2016-05-18 15:01:59)

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: limit polaczen WAN->LAN na konkretny port

zrobilem upgrade, zamontowalem wczesniejszy nosnik z extroota... (caly jest na /overlay)

zapuscilem
opkg update
i
opkg list-upgradable

i mam wielka liste pakietow w stylu :
kmod-cfg80211 - 3.18.23+2015-03-09-3 - 3.18.29+2016-01-10-1
luci-i18n-p910nd-pl - git-16.018.33482-3201903-1 - git-16.110.26779-c0ae328-1
Multiple packages (kmod-ipt-nat and kmod-ipt-nat) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-ipt-nat and kmod-ipt-nat) providing same name marked HOLD or PREFER. Using latest.
kmod-ipt-nat - 3.18.23-1 - 3.18.29-1
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
kmod-sched-core - 3.18.23-1 - 3.18.29-1

to normalne ? to przez starsze pakiety na extroot ? ale ja nie pamietam upgrade'u tylu pakietow...
co teraz wykonac - opkg upgrade ?

z gory dzieki za pomoc

8 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,352

Odp: limit polaczen WAN->LAN na konkretny port

Te starsze to z openwrt.org, CC oryginalny miał taką wersję. Te nowsze - ode mnie, taką wersję ma aktualna gałąź CC w openwrt. Czyli - normalnie.

Jak masz extoota to sam ręcznie musisz zaktualizować pakiety na nim,

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

9 Odpowiedź przez miguelos (edytowany przez miguelos 2016-05-18 15:15:29)

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: limit polaczen WAN->LAN na konkretny port

ok, czyli ktora komenda bedzie najlepsza ?

opkg upgrade --force-depends ?
opkg upgrade --force-reinstall ?

czy raczej cos takiego :
https://www.codeden.net/2015/05/upgrade … e-command/

10 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,352

Odp: limit polaczen WAN->LAN na konkretny port

Raczej ręcznie pakiet po pakiecie...

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

11 Odpowiedź przez miguelos (edytowany przez miguelos 2016-05-18 15:28:35)

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: limit polaczen WAN->LAN na konkretny port

a czy nie da rady jakos wyczyscic tego nosnika, tak zeby wzial pakiety z zaaktualizowanego systemu ?
rozumiem, ze te pakiety "pod" extrootem sa nowsze, tak ?

de facto na extroot mam 3 pakiety ktore nie miescily sie w standardzie i ktorych konfig moge przekopiowac/wygenerowac ponownie + storage na jakies mp3 itp

12 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,352

Odp: limit polaczen WAN->LAN na konkretny port

Nie możesz po prostu zrobić sobie extroota jeszcze raz od nowa?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

13 Odpowiedź przez miguelos (edytowany przez miguelos 2016-05-18 15:37:48)

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: limit polaczen WAN->LAN na konkretny port

ostatecznie tak zrobie, poki co nie chce mi sie zgrywac 16GB po sieci smile
+ nie chce tego powtarzac po kazdym upgrade

14 Odpowiedź przez miguelos (edytowany przez miguelos 2016-05-19 14:13:54)

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: limit polaczen WAN->LAN na konkretny port

Ok, zrobione. nie trzeba robic extroota od nowa. Krotka instrukcja dla dokumentacji

1. Upgrade z opcja zachowania konfiguracji (konfigi zapisza sie na jffs)

2. po starcie na nowej wersji modyfikacja /etc/config/fstab -> nie montuj na razie w /overlay tylko np. /mnt/tmp
(reboot zeby sie tam podmontowalo?)

3. wywalic z starego pendrive overlay (w tym wypadku /mnt/tmp/uppper) co nie potrzebne. W moim wypadku zostal tylko jeden folder z danymi samby

4. zamontuj jffs (zgodnie z twoimi wczesniejszymi wskazowkami)
mkdir -p /tmp/jffs
mount -t jffs2 /dev/mtdblock3 /tmp/jffs
Czy jest to mtdblock3 to zobacz w /proc/mtd, masz zamontowac partycje która nazwana jest rootfs_data

5. kopiowanie konfigow z jffs na overlay (upper chyba jest specyficzne w CC)
cp -R /tmp/jffs/upper/* /mnt/tmp/upper

6. zmiana /etc/config/fstab aby nosnik ponownie montowal sie na /overlay
reboot

15 Odpowiedź przez miguelos (edytowany przez miguelos 2016-05-27 13:29:53)

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: limit polaczen WAN->LAN na konkretny port

hm...

w tym artykule wspomnianym wczesniej znalazlem ladny skrypcik :

# cat /etc/firewall.user 
# This file is interpreted as shell script.
# Put your custom iptables rules here, they will
# be executed with each firewall (re-)start.

ipset -exist restore << __EOF__
create ssh_stage1 hash:ip family inet hashsize 1024 maxelem 65536 timeout 60
create ssh_stage2 hash:ip family inet hashsize 1024 maxelem 65536 timeout 60
create ssh_stage3 hash:ip family inet hashsize 1024 maxelem 65536 timeout 60
create ssh_blacklist hash:ip family inet hashsize 1024 maxelem 65536 timeout 864000
create ssh_whitelist hash:net family inet hashsize 1024 maxelem 65536
__EOF__

iptables-restore -n << __EOF__
*filter
-A input_rule -p tcp -m conntrack --ctstate NEW -m set --match-set ssh_whitelist src -m tcp --dport 22 -m comment --comment "permit SSH whitelist unconditionally" -j ACCEPT
-A input_rule -p tcp -m tcp --dport 22 -m set --match-set ssh_blacklist src -m comment --comment "drop ssh bruteforcers" -j DROP
-A input_rule -p tcp -m conntrack --ctstate NEW -m set --match-set ssh_stage3 src -m tcp --dport 22 -m comment --comment "blacklist timeout: 10 days" -j SET --add-set ssh_blacklist src --timeout 864000
-A input_rule -p tcp -m conntrack --ctstate NEW -m set --match-set ssh_stage2 src -m tcp --dport 22 -m comment --comment "stage3 timeout: 60 sec" -j SET --add-set ssh_stage3 src --timeout 60
-A input_rule -p tcp -m conntrack --ctstate NEW -m set --match-set ssh_stage1 src -m tcp --dport 22 -m comment --comment "stage2 timeout: 60 sec" -j SET --add-set ssh_stage2 src --timeout 60
-A input_rule -p tcp -m conntrack --ctstate NEW -m tcp --dport 22 -m comment --comment "stage1 timeout: 60 sec" -j SET --add-set ssh_stage1 src --timeout 60
COMMIT
__EOF__

tylko nie wiem jak go przerobic na forward, w koncu usluga jest na przekierowanym porcie, nie na INPUT

jak tylko probuje :

iptables -A zone_wan_prerouting -p tcp -m conntrack --ctstate NEW -m set --match-set ssh_whitelist src -m tcp --dport 8800 -m comment --comment "permit 8800 whitelist unconditionally" -j ACCEPT

iptables: No chain/target/match by that name.

jakies sugestie ?

ipset i kmod-ipt-ipset mam zainstalowane - sam skrypt moge zapuscic na INPUT bez problemu