Strona używa cookies (ciasteczek). Dowiedz się więcej o celu ich używania i zmianach ustawień. Korzystając ze strony wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.    X

Malinowy Serwer Domowy cz. 0 - dostęp do Malinki z zewnątrz

Pomysł tego projektu powstał już ponad rok temu. Wtedy jednak nie mogłem zdecydować się czy kupić Raspberry czy może jakiś tani terminal HP z x86. W końcu nie kupiłem żadnej z tych rzeczy. Na gwiazdkę, pod choinkę dostałem Raspberry Pi, a więc mogę wrócić do tematu :)

Jakie role ma pełnić tytułowy serwer?

Przede wszystkim powinien on być publicznie dostępny z Internetu pod stałym adresem. Poza tym chciałbym aby:

  • umożliwiał uruchomienie lub wybudzenia mojego PC przez sieć, przy pomocy wygodnego przycisku na stronie WWW (Wake On Lan);
  • umożliwiał zdalny dostęp do domowej sieci lokalnej (VPN);
  • przekierowywał przychodzące pakiety/połączenia na wybrane inne porty TCP/UDP innych maszyn w sieci lokalnej (iptables);
  • pełnił rolę serwera plików (Samba i FTP);
  • oraz zabezpieczał domową sieć WiFi (WPA2-Enterprise i Radius).

Dzisiaj zajmiemy się pierwszą z tych funkcji, czyli zdalnym dostępem do samej maliny z Internetu. Zapraszam do czytania :)

0. Dostęp z zewnątrz

0.0. Przekierowanie portów i DMZ

Zacznijmy od tego, dlaczego nie możemy po prostu będąc w szkole lub innym miejscu poza siecią domową wpisać adresu IP która nasze Raspberry otrzymało od routera i dostać się do niego. Otóż domowe routery najczęściej (w 99,99% przypadków) przydzielają adresy prywatne.Adresy te mogą być takie same w każdej innej sieci lokalnej (mogą się powtarzać). Zostały one wprowadzone ze względu na wyczerpującą się pulę adresów IPv4 i trochę namieszały :( Pule tych adresów to:

  • 192.168.x.x
  • od 172.16.0.0 do 172.31.255.255
  • oraz 10.x.x.x

(w miejsce x możemy wstawić dowolną wartość z zakresu od 0 do 255)

Ze względu na fakt że adresy te mogą być używane w różnych sieciach w tym samym czasie nie są one publicznie routowane/trasowane w internecie - routery w szkielecie sieci nie widziałyby do którego z odbiorców dostarczyć pakiet adresowany pod prywatny adres.

Bez specjalnego mechanizmu dostęp do Internetu z tych adresów byłby niemożliwy. Jak więc to działa? Pakiet wychodzący z prywatnego IP jest odbierany przez domowy router, tam następuje usunięcie adresu źródłowego i zastąpienie go adresem publicznym należącym do routera. Dalej pakiet jest już normalnie transmitowany. Gdy kilka pakietów z sieci domowej w tym samym czasie wysyłanych jest z tego samego portu źródłowego (identyfikator danego połączenia*) router musi zamienić te numery, tak aby były one unikalne - to właśnie na ich podstawie decyduje on do którego z komputerów w LAN-ie przesłać odpowiedź po odebraniu (oczywiście wcześniej podmieniając adresy i numery portów). Mechanizm ten nazywany jest translacją adresów sieciowych, w skrócie NAT, a konkretnie jego odmianą w której wiele adresów zamienianych jest na pojedynczy publiczny i inicjacją komunikacji możliwa jest tylko z 1 strony - z sieci domowej (nie możemy dostać się z zewnątrz do komputerów w sieci) - PAT lub inaczej maskarada.

Sposobem na obejście tych ograniczeń jest przekierowanie wybranych portów (tak aby połączenia przychodzące na danym porcie danego protokołu [TCP/UDP] były przekazywane dalej do wybranego komputera w sieci) lub przekierowanie całego ruchu nie będącego odpowiedziami na połączenia wychodzące z innych komputerów do jednego wybranego - tutaj Malinki :) Polecam wykorzystanie właśnie tej drugiej opcji i dalsze przekierowywanie portów już z RPI. Ta opcja to DMZ - strefa zdemilitaryzowana.

W mojej sieci domowej wykorzystywana jest pula/podsieć IP 192.168.0.0 z maską podsieci 255.255.255.0. Oznacza to że mogę korzystać z adresów od 192.168.0.0 do 192.168.0.255. Dwa z tych adresów są zarezerwowane - pierwszy na adres podsieci (192.168.0.0) i ostatni na adres rozgłoszeniowy (192.168.0.255). Adres podsieci to po prostu jej identyfikator, adres rozgłoszeniowy to natomiast dodatkowy adres wszystkich komputerów w sieci - wszystko wysłane pod ten adres jest odbierane przez wszystkie urządzenia. Mojemu PC-towi przypisałem adres 192.168.0.10, 192.168.0.20 to adres dla wirtualnej maszyny, 192.168.0.30 to Malinka :), a inne urządzenia dostają adresy dynamicznie z zakresu od 192.168.0.100 do 192.168.0.199.

192.168.0.0/24 - podsieć 255.255.255.0 - maska 192.168.0.10 - mój PC 192.168.0.20 - wirtualna maszyna 192.168.0.30 - Malinka 192.168.0.100+ - inne urządzenia

Aby się nie męczyć i nie przypisywać ręcznie IP-ków do każdego urządzenia po każdej reinstalacji systemu, ustawiłem w konfiguracji wbudowanego w routerze serwera DHCP rezerwacja dla każdego z urządzeń. Polecam ustawić taką rezerwacje dla Malinki.

Jeśli mamy router TP-LINK-a, rezerwacje możemy ustawić w panelu pod http://192.168.0.1, w zakładce DHCP -> Address Reservation. Podajemy tam adres MAC karty sieciowej malinki oraz wymyślony adres IP, oczywiście z takiej samej puli jak reszta urządzeń. Malinowego MAC-a poznamy wpisując w konsoli (jeśli mamy tam Linuxa) polecenie ifconfig - będzie to wartość po HWaddr w sekcji eth0 np. b8:27:eb:fd:1a:ca.

Przekierowanie DMZ ustawiamy z kolei w zakładce Forwarding -> DMZ. Zaznaczamy radiobox-a Enabled i podajemy IP na które przekierowujemy ruch.

Po zapisaniu zmian powinniśmy jeszcze zresetować router, tak aby urządzenia dostały nowe adresy i zmiany weszły w życie. Robimy to w System Tools -> Reboot -> Reboot.

Teraz już możemy dostać się do Malinki z zewnątrz podając zewnętrzny adres IP naszego routera. Oczywiście tylko wtedy gdy nasz router nie znajduje się za kolejnym NAT-em (PAT-em) np. w jakiejś osiedlowej radiówce..

0.1. Zmienne IP i dynamiczny DNS

Bardzo często operatorzy przydzielają klientom publiczne adresy tylko na pewien okres czasu - czas dzierżawy. Może to być kilka minut lub kilka tygodni, w zależności od konfiguracji serwera DHCP operatora. Po zakończeniu okresu dzierżawy nasz router/modem musi poprosić o nowe IP. Bardzo często jest to ten sam adres, jednak nie zawsze. Z tego względu nie możemy polegać na naszym publicznym IP.

Co prawda u mnie adres zmienia się dopiero po odłączeniu modemu od prądu na kilka dni lub restarcie kilku urządzeń na stacji czołowej, jednak korzystam z usługi Dynamic DNS. Polega ona na udostępnienie specjalnej domeny po odpytaniu o którą zawsze dostaniemy aktualny adres IP domowego routera. Rekord tej domeny nie jest cacheowany lub jest cacheowany przez bardzo krótki okres czasu. Router oczywiście po każdej zmianie adresu musi powiadomić o tym serwer DDNS. Klient DDNS informujący o zmianie adresu nie musi być też uruchomiony na routerze. Możemy skorzystać z klienta pod Linuxa zainstalowanego na RPI. Ponieważ mój TP-Link wspiera usługę www.no-ip.org, zarejestrowałem tam domenę akurczyk.no-ip.biz, a dalej utworzyłem przekierowanie na tą domenę z dom.olo-web.eu (CNAME).

Polecam poszukać w ustawieniach routera konfiguracji DDNS i zarejestrować sobie domenę u jednego ze wspieranych usługodawców, a następnie zalogować się do tej usługi na routerze. Na TP-LINK-ach robi się to w zakładce Dynamic DNS. Screen poniżej:

0.10. Zabezpieczanie Maliny

Malina jest teraz publicznie dostępna z sieci. Jeśli jeszcze tego nie zrobiliśmy, musimy jak najszybciej zmienić hasło użytkownika pi. Robimy to wpisując w konsoli

passwd

Powinniśmy również nadać rootowi jakieś hasło:

sudo passwd

Teraz nie jest już tak niebezpiecznie, ale możemy na wszelki wypadek przenieść SSH na inny port, dodać firewalla, zabezpieczyć się przed skanowaniem portów, logować się przy pomocy kluczy RSA itp. Żadne z tych zabezpieczeń nie dadzą oczywiście 100% skuteczności :(

TO BE CONTINUED

W kolejnej części przedstawię jak zdalnie uruchamiać PC przez stronę WWW uruchomioną na RPI.

* - Właściwie to identyfikacja połączenia TCP następuje na podstawie adresów IP źródłowego i docelowego oraz portów, tutaj także źródłowego i docelowego. W UDP natomiast w ogóle nie ma połączeń. 

linux internet serwery

Komentarze

0 nowych
Bolo92   4 #1 02.02.2014 09:42

Co do zabezpieczeń jak przeniesiemy na port 2222 lub 22222 to dalej czasami coś się będzie dobijać, bo jest to nadal popularny port na który ludzie przenoszą usługę SSH, ale zmienić już delikatnie to i raczej wielu prób dobijania nie będzie.
Ja budzę swój komputer via SSH, ConnectBot(zapisany profil + klucze) co loguje mnie automatycznie, oraz utworzony alias wake ;) Jak chcesz wypuścić w świat przycisk budzący kompa bez dodatkowego uwierzytelniania to obserwuj dziennik zdarzeń system :D czy przypadkiem nikt nie dorwał się do tego przycisku ;)

command-dos   18 #2 02.02.2014 09:47

Wszystko fajnie jak masz zewnętrzny adres ip. Po drugie z dmz nie masz (teoretycznie) dostępu do sieci lokalnej, więc Nie za bardzo zrealizujesz dalsze planowane rzeczy. To tak na szybko, co mi wypadło do głowy.

  #3 02.02.2014 09:54

Dodam, że mając Neostradę warto zmienić dane logowania. Orange 'chroni' niektóre porty i często ciężko dostać się do malinki. Wystarczy w routerze ustawić na nowo login na: BEZ_OCHRONY-login@neostrada.pl
Orange, nie będzie blokować "niechcianego" ruchu w naszą stronę.

tomek2102   4 #4 02.02.2014 10:43

"dowolną wartość z zakresu do 0 do 255" - Nie powinno być "od 0 do 255"?

  #5 02.02.2014 11:06

@command-dos:
Zasadniczo masz rację z DMZ, ale implementacja tego w routerach domowych jest słaba - nie izolują one hosta z DMZ od reszty sieci, a jedynie przekierują na niego porty.

GBM MODERATOR BLOGA  20 #6 02.02.2014 11:18

Podobne pomysły wpadły mi niedawno do głowy w związku z Raspberry, które dostaliśmy na ostatnim zlocie... Sporo wpisów o RPi będzie na blogach wkrótce :P

4lpha   10 #7 02.02.2014 11:43

Ja jednak wolę przekierować poszczególne porty do hostów, niż wystawić cały serwer w DMZ.

4lpha   10 #8 02.02.2014 11:48

@command-dos
W moim TP-LINKU ustawienie DMZ pozwalało hostowi na kontakt z LANem.

okokok   12 #9 02.02.2014 13:59

To moj 800-ny komentarz :-)

Bolo92, przycisk jest obecnie publicznie dostepny bez hasla. Probujcie :-) Planuje go zabezpieczyc.

command-dos, u mnie dmz to tylko nat 1:1. Ja to u Ciebe izoluje hosta od resty Lanu? Jakies inne IP? Moze ustawia to prawdziwe z maska /31 i robi arp proxy? Jesli tak to bardzo chcialbym dowiedziec sie co to za router. U mnie malinka i pc podlaczone sa do osbnego switcha, wiec nawet wtedy moglbym malince ustawic dodatkowy adres z podsieci prywatnej i dostac sie do pc.

tomek2012, dzieki, za chwile poprawie.

4lpha, firewall bedzie i beda troche bardziej zaawansowane przekierowania niz pozwala na to domowy router. W sumie to nie potrzebne, ale tak sie chce pobawic :-)

cyryllo   17 #10 02.02.2014 14:32

Zainstaluj fail2ban :) zaś na routerze zrób przekierowanie portu dowolnego (wysokiego ) na port 22 malinki. Nie baw się w DMZ tylko otwieraj i przekierowuj potrzebne porty, przynajmniej masz jakiegoś Firewalla, no chyba, że chcesz się bawić i instalować fw lub pobawić się iptable :P

roobal   15 #11 02.02.2014 14:58

"Teraz nie jest już tak niebezpiecznie, ale możemy na wszelki wypadek przenieść SSH na inny port..."

Zamiast tego, można zastosować port-knocking i korzystać z SSH tylko wtedy, kiedy potrzebujemu, tzn. port 22 jest domyślnie blokowany i odblokowujemy go na żądanie.

"Wszystko fajnie jak masz zewnętrzny adres ip. Po drugie z dmz nie masz (teoretycznie) dostępu do sieci lokalnej, więc Nie za bardzo zrealizujesz dalsze planowane rzeczy. To tak na szybko, co mi wypadło do głowy."

On to chce zrealizować poprzez VPN, jeśli z NATem będzie problem, można wystawić RPi przed TP Link.

"Zasadniczo masz rację z DMZ, ale implementacja tego w routerach domowych jest słaba - nie izolują one hosta z DMZ od reszty sieci, a jedynie przekierują na niego porty."

Bo to właściwie nie jest DMZ, a raczej NAT 1:1. Choć na niektórych routerach, można ustawić host w innej podsieci i dodać go do DMZ, niestety większość routerów na to nie pozwala, nie przyjmują adresu z innej podsieci.

jas_fasola   6 #12 02.02.2014 22:51

Czytając założenia nasuwa mi na myśl jedno skojarzenie. TP-LINK WR-1043ND na OpenWRT.

McDracullo   17 #13 03.02.2014 07:40

Niestety spóźniłem się - przygotowuje właśnie serię podobnych wpisów ;) Na szczęście moje założenia są trochę inne więc mam nadzieję, że jeszcze kogoś zainteresuje ;)

command-dos   18 #14 03.02.2014 08:06

koledzy, zaznaczyłem (co prawda w nawiasie), że teoretycznie nie powinno być dostępu z wewnętrznej sieci do DMZ. W praktyce wiem jak jest i co robią producenci routerów, ale wtedy pod żadnym pozorem nie powinno się to nazywać DMZ i dla porządku (nawet gdy założenia @okokok zostaną spełnione), nie powinno być to tutaj w ten sposób opisane jako rozwiązanie/tutorial...

  #15 03.02.2014 09:28

Zamiast bawić się w przekierowanie portów na dziadostwie zwanym tplinkiem polecam dorwać firmową kartę LAN na USB (np.Dlinka), podłączyć ją do malinki i na niej zrobić routing z porządnym firewallem. Działa to doskonale, sam mam tak postawione parę usługi m.in. www, poczta, samba, ftp, dhcpd i inne. Działa bez problemów od jakichś 4 miesięcy. Router zastąpiłem access pointem z mocnym wifi i cala sieć smiga elegancko.

wojtekadams   18 #16 03.02.2014 10:53

@teton
Podłączasz kilka dysków po USB, instalujesz mdadm, konfigurujesz i po sprawie...

xxx-xxx001   4 #17 03.02.2014 14:23

Raspberry okazuje się okropnie trudne do okiełznania i trochę bezużyteczne:

Desktop na Raspberry - zbyt powolny
Przedłużacz zasięgu WiFi - zbyt powolny (jeden kontroler USB na dwie karty)
Server dźwięku Mopidy - koszmarnie zła jakość dźwięku, zbyt powolny (dodatkowe obciążenie zacina muzykę)
Server drukowania - brak sterowników
Server plików - zbyt powolny

Do tego dochodzi generalny brak stabilności, przy zasilaniu innym niż idealne (inne niż zasilacz laboratoryjny).

Szkoda, bo kupiłem z dużymi nadziejami, a za co się nie zabiorę to okazuję się, że w praktycznych zastosowaniach komputerek nie daje rady :/

GBM MODERATOR BLOGA  20 #18 03.02.2014 15:32

@xxx-xxx001: Może niedostatecznie optymalizujesz wdrożone przez Ciebie rozwiązania? ;>

mktos   10 #19 03.02.2014 15:41

@xxx-xxx001:
Akurat tego braku stabilności nie widzę - główne Pi zasilam z aktywnego huba USB firmy D-Link (do którego też podłączony jest dysk 2,5") i działa nieprzerwanie po kilkadziesiąt dni. Drugie Pi zasilam z taniego zasilacza kupionego za kilka złotych i też działa idealnie.

  #20 03.02.2014 18:00

Dokładnie, po odpowiedniej konfiguracji malinka jest nie do zawieszenia. Sam zasilam ją z zasilacza po routerze. Działa to idealnie. Oczywiście jak ktoś liczy na wydajność 4 jajowego procka to się przeliczy. Ale jako prosty domowy serwer/router to jest idealne i bierze góra 5W, a to najważniejsze.

#r2d2#   11 #21 03.02.2014 18:24

Już czekam na następną część ;-)

wojtekadams   18 #22 04.02.2014 09:14

@xxx-xxx001
to jest klasyczny PEBCAK :)

command-dos   18 #23 05.02.2014 10:17

@wojtekadams - zazwyczaj ten błąd jest "unrecoverable" ;)

@xxx-xxx001 - kiedyś pisałem na ten temat: http://blog.r-pi.pl/2013/01/dla-kogo-raspberry-pi/ - widać przed zakupem nie rozeznałeś sprawy...

  #24 25.11.2016 15:10

Mógłbym prosić o zweryfikowanie linków w artykule? Nie działają już :(.
Poza tym - kiedy kolejne części i czemu się nie ukazały? Byłyby świetne!

okokok   12 #25 28.11.2016 15:14

@smartoslaf (niezalogowany): Nie widzę żadnych linków. Jeśli chodzi o to: "http://192.168.0.1", to jest to adres panelu konfiguracyjnego routera - u każdego może być inny. Standardowe to: 192.168.0.1, 192.168.1.1, 192.168.1.254. Jest to adres bramy domyślnej, wyświetlany przez Windowsa w stanie połączenia sieciowego. Kolejne części się nie ukazały, z powodu malejącego zainteresowania.