1 Temat przez namado (edytowany przez namado 2019-06-20 10:04:58)

  • namado
  • Użytkownik
  • Nieaktywny
  • Skąd: Toruń
  • Zarejestrowany: 2012-04-20
  • Posty: 130

Temat: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

Cel:
Zablokować niechciany ruch wychodzący z kamer IP  z wyjątkiem NTP i opcjonalnego NVR (chodzi o zablokowanie możliwości połączenie p2p z kamerą). Jednak nadal zezwalać na oglądanie po VPN (WEB, rtsp, onvif)  i dostęp do ftp i telnet kamery po VPN.

----
Załóżmy, że adres lokalny kamery to: 192.168.74.254
Zrobiłem po prostu tak:

iptables -I FORWARD  -p udp -s 192.168.74.254 --dport 10005:65535 -j DROP

Jednak nie mam przekonania, proszę o radę.
Niby sukces jest, jednak widzę, że tcpdump od czasu do czasu pokazuje ruch.

10:40:40.742743 IP 192.168.74.254.25746 > 54.186.68.220.32100: UDP, length 48
10:40:40.742937 IP 192.168.74.254.25746 > 54.186.116.85.32100: UDP, length 48
10:40:40.743104 IP 192.168.74.254.25746 > 182.92.233.118.32100: UDP, length 48
10:41:24.754214 IP 192.168.74.254.25746 > 54.186.68.220.32100: UDP, length 48
10:41:24.754446 IP 192.168.74.254.25746 > 54.186.116.85.32100: UDP, length 48
10:41:24.754644 IP 192.168.74.254.25746 > 182.92.233.118.32100: UDP, length 48


Może ktoś z szanownych grypowiczów przerabiał problem i ma lepszy pomysł.

NETGEAR WNDR4300

2 Odpowiedź przez ambrozy5

  • Zarejestrowany: 2015-01-27
  • Posty: 2,429

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

ja mam zablokowany cały ruch z i do świata, po vpn bez problemu mam dostęp. serwer ntp mam na routerze i jego ip wpisane w ustawieniach na każdej kamerze. działa bez problemu.

Dom : router https://i.imgur.com/IuB6Zwy.png | TP-LINK T1700G-28TQ |Zyxel XGS-1210-12 | 6x Ruckus r310 unleashed  + Ruckus icx7150-c12p | Truenas scale 124TB 25Gb| Xpenology 12TB | apc smart ups 750 lcd smile 100Mb/s - 25Gb/s
Podróżne : GL.Inet MT3000  +1TB hdd
Działka : rb260gs 1j wdm 1Gb+ ruckus r310 + nb m5 + kilka kamer ip  + panel 285Wp + lifepo4 12v 60Ah .

3 Odpowiedź przez namado

  • namado
  • Użytkownik
  • Nieaktywny
  • Skąd: Toruń
  • Zarejestrowany: 2012-04-20
  • Posty: 130

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

Jak "zablokowałeś cały ruch"?

Ja również mam dostęp po vpn.

NETGEAR WNDR4300

4 Odpowiedź przez michalik

  • Zarejestrowany: 2021-05-23
  • Posty: 63

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

Obudzę stary temat, udało mi się zablokować cały ruch na zewnątrz wpisałem własne reguły w firewall

iptables -I FORWARD 1 -m mac --mac-source x:mac kamery:x -j REJECT

Widzę kamerę po LAN ale gdy łączę się z zewnątrz przez VPN WG do routera nie mogę połączyć się z kamerą może trzeba dodać do reguły port z VPN ? Może ktoś mi taką regułę napisać, mój port VPN to 8902

5 Odpowiedź przez mar_w (edytowany przez mar_w 2022-01-06 12:54:09)

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

michalik napisał/a:

Obudzę stary temat, udało mi się zablokować cały ruch na zewnątrz wpisałem własne reguły w firewall

iptables -I FORWARD 1 -m mac --mac-source x:mac kamery:x -j REJECT

Widzę kamerę po LAN ale gdy łączę się z zewnątrz przez VPN WG do routera nie mogę połączyć się z kamerą może trzeba dodać do reguły port z VPN ? Może ktoś mi taką regułę napisać, mój port VPN to 8902

To nie jest kwestia portu VPN. Kamera ma adres IP-Lan i chcąc wyjść do tunelu musi odbyć się FORWARD, który.... właśnie zablokowałeś smile

PS. Kosmetyka. Jeżeli używasz przełącznika -I FORWARD lub INPUT to nie musisz pisać cyfry 1 bo z automatu reguła wstawiana jest jako pierwsza.
Jak chcesz na konkretnej pozycji to używasz przełącznika -A FORWARD 3.
Reguła napisana przez Ciebie również spełni swoją rolę, ale wygląda jak określenie "cofam autem do tyłu" lub "podrzucam coś do góry"

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

6 Odpowiedź przez michalik

  • Zarejestrowany: 2021-05-23
  • Posty: 63

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

Ok super a tak głęboko to nie znam się na tych regułach zrobiłem jak napisałeś mam dostęp do kamery ale kamera nawiązuje połączenie z Amazonem widzę na statystykach a tego chce zablokować

7 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,060

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

A nie możesz zablokować forwardingu z kamery tylko do serwerów amazonu?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

8 Odpowiedź przez mar_w (edytowany przez mar_w 2022-01-06 20:44:15)

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

michalik napisał/a:

Ok super a tak głęboko to nie znam się na tych regułach zrobiłem jak napisałeś mam dostęp do kamery ale kamera nawiązuje połączenie z Amazonem widzę na statystykach a tego chce zablokować

OK. Nie miej urazy do mnie za wstawkę z "PS.", chciałem Ci tylko doradzić jak pisać tak, żeby wyglądało bardziej "profesjonalnie".
Co do reguły, to nie pisałem, żebyś całkowicie usunął FORWARD bo myślałem, że się domyślisz czytając post @ambrozy5 który jest 2 linijki wyżej:
https://eko.one.pl/forum/viewtopic.php? … 96#p221996

Blokując TYLKO po mac-source wycinasz wszystko. Zablokowałeś również FORWARD do tunelu, a można przecież zablokować FORWARD do wszystkiego oprócz tunelu smile
Są jeszcze do wykorzystania takie opcje jak: -i oraz -o, -s oraz -d do wyboru do koloru, bez pomijania opcji --mac-source, ale taka reguła musi być np. na ACCEPT i wtedy sprawdzi nie tylko źródłowy mac adres, ale również do jakiego interfejsu będzie chciał wyjść i wypuści go tylko tam gdzie będzie miał zgodę.

Amazon nie wejdzie Ci przez tunel, no chyba żeby..... big_smile

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

9 Odpowiedź przez michalik

  • Zarejestrowany: 2021-05-23
  • Posty: 63

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

Więc co wpisać aby zablokować cały ruch oprócz tunelu

10 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

Metody są różne na takie konfiguracje.

1. Niektórzy robią dodatkową oddzielną sieć dla kamer np."lan_cam" i wyłączają forward (w zasadzie w ogóle go nie wpisują w /etc/config/firewall ) między "lan_cam" i "wan" ale zostawiają forward między (ważne strzałki):
"wg" <-> "lan_cam"
"wg" <-> "lan"
"lan" <-> "lan_cam"
"lan"  -> "wan"
po to, żeby będąc podłączonym np. laptopem lub smartfonami do tego routera do sieci "lan" móc wychodzić na świat i jednocześnie łączyć się lokalnie z kamerami z tej drugiej puli adresów.
Konfig WG też musi być odpowiednio przygotowany.

2. A jeżeli chcesz zrobić podobnie do @ambrozy5 i mieć kamerę w strefie "lan" to:
a) usuwasz forward między "lan" i "wan"
b) zezwalasz na forward między: "wg" <-> "lan"
c) ustawiasz na routerze serwer ntp
d) wpisujesz w kamerach IP routera jako serwer ntp

3. a co do Twojej reguły i własnego sposobu na zablokowanie ruchu z kamery za pomocą komendy to może sprawdź to:

iptables -I FORWARD -m mac --mac-source x:mac kamery:x ! -o wg0 -j DROP

-o wg0 ----> to jest interfejs wyjściowy (out) czyli interfejs tunelu
! -----> wykrzyknik przed -o neguje ten interfejs, czyli "wszystkie za wyjątkiem wg0"
-j DROP ----> wiadomo smile
możesz wtedy mieć forward między "lan" i "wan", ponieważ ta pierwsza reguła sprawi że nastąpi dopasowanie źródłowego mac adresu kamery i jeżeli pakiet z adresem docelowym np. Amazona będzie chciał wyjść interfejsem "wan" np. eth1 to zostanie odrzucony.
Warunek. Tunel nie może być wyjściem na świat dla routera, czyli domyślna trasa nie może być kierowana na tunel.

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

11 Odpowiedź przez michalik (edytowany przez michalik 2022-01-08 10:34:51)

  • Zarejestrowany: 2021-05-23
  • Posty: 63

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

Po zastosowaniu tej reguły obserwuje połączenia i pojawiają się połączenia od kamery do portu 53 mojej sieci LAN

Spróbuję zrobić tą oddzielna sieć

12 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

... ale chyba kamera nie wychodzi na świat?

Jeżeli myślałeś że regułą na routerze zmusisz kamerę żeby siedziała cicho i w ogóle nic nie puszczała nawet po sieci LAN to ... tak nie działa.

Połączenia w sieci LAN będą, ponieważ kamera pyta DNSa a więc wysyła coś na bramę czyli router. Czasem router jej odpowie że adres amazon.pl to A.B.C.D.
Kamera uszykuje połączenie na adres docelowy A.B.C.D który musi wyjść przez WAN routera i wtedy reguła powinna zablokować taki FORWARD na świat.

Zależy ile masz tych kamer i innych rzeczy. Jak sporo to opłaca się robić osobną sieć.
Ale w tamtej sieci też będzie ruch po "lan_cam" bo hostom jak ludziom, gęby nie zamkniesz smile
Chyba że wejdziesz do konsoli kamery i tam ustawisz w jej własnym firewallu, żeby nic nie puszczała na OUTPUT oprócz "wyjątków" wink

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

13 Odpowiedź przez michalik

  • Zarejestrowany: 2021-05-23
  • Posty: 63

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

Ciekawie się zrobiło ale już dużo zrozumiałem kamera to ezviz c6n dużo tego jest w sprzedaży są po zwrotach są przypisane do właściciela (nie można ich odpiąć od chmury ezviz tego nie robi) kamera działa po LAN przez program od hikvision można kamerę zresetować i zmienić hasło admina, można wejść w ustawienia (przez program hikvision) tam zmienić ustawienia sieci IP, DNS, połączyć po wifi, ale wszystkie ful opcje dostępne od strony chmury a więc właściciel pewnie może się dostać do kamery tego nie jestem w stanie sprawdzić widzę tylko połączenia do Amazona jak w routerze nie mam ustawionej żadnej blokady ciekawe smile

14 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

kamera jak kamera. Praca w chmurze dobra rzecz, bo nie trzeba mieć publicznego IP żeby oglądać pokoje czy podwórko.
Ale czasem ma to swoje wady sad bo chińczyk też ogląda co się robi big_smile

A może ona ma interfejs WEBowy na innym porcie np. 192.168.1.101:81 i nie trzeba przez program hikvision ?
A możę sprawdź jak wygląda ścieżka strumienia rtsp i wołaj obraz po rtsp://192.168.1.101/abcdefgh ?

Ty masz ten sprzęt, to poszukaj takich informacji

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

15 Odpowiedź przez michalik

  • Zarejestrowany: 2021-05-23
  • Posty: 63

Odp: Kamera IP (chińska) zablokowanie p2p, dostęp tylko po VPN

Zrobiłem tak w Luci Zapora sieciowa - Reguły ruchu
Dodałem dwie reguły z wan > LAN > wan zablokowałem wszystkie protokoły w regułach dodałem adresy MAC i adresy IP (mam stałe dzierżawy i wyłączone dynamiczne przydzielanie DHCP) Natomiast w kamerze ustawiłem DNS na 0.0.0.0 serwer czasu na router i wyłączyłem DHCP obserwuje połączenia i jest cisza, odnośnie aplikacji hikvision to właśnie dzięki tej aplikacji oglądam i steruje sobie kamera tylko przez LAN ale omijam to bo wchodzę tunelem