Malinowy Serwer Domowy cz. 0 - dostęp do Malinki z zewnątrz

Pomysł tego projektu powstał już ponad rok temu. Wtedy jednak nie mogłem zdecydować się czy kupić Raspberry czy może jakiś tani terminal HP z x86. W końcu nie kupiłem żadnej z tych rzeczy. Na gwiazdkę, pod choinkę dostałem Raspberry Pi, a więc mogę wrócić do tematu :)

Jakie role ma pełnić tytułowy serwer?

Przede wszystkim powinien on być publicznie dostępny z Internetu pod stałym adresem. Poza tym chciałbym aby:

• umożliwiał uruchomienie lub wybudzenia mojego PC przez sieć, przy pomocy wygodnego przycisku na stronie WWW (Wake On Lan);
• umożliwiał zdalny dostęp do domowej sieci lokalnej (VPN);
• przekierowywał przychodzące pakiety/połączenia na wybrane inne porty TCP/UDP innych maszyn w sieci lokalnej (iptables);
• pełnił rolę serwera plików (Samba i FTP);
• oraz zabezpieczał domową sieć WiFi (WPA2-Enterprise i Radius).

Dzisiaj zajmiemy się pierwszą z tych funkcji, czyli zdalnym dostępem do samej maliny z Internetu. Zapraszam do czytania :)

0. Dostęp z zewnątrz

0.0. Przekierowanie portów i DMZ

Zacznijmy od tego, dlaczego nie możemy po prostu będąc w szkole lub innym miejscu poza siecią domową wpisać adresu IP która nasze Raspberry otrzymało od routera i dostać się do niego. Otóż domowe routery najczęściej (w 99,99% przypadków) przydzielają adresy prywatne.Adresy te mogą być takie same w każdej innej sieci lokalnej (mogą się powtarzać). Zostały one wprowadzone ze względu na wyczerpującą się pulę adresów IPv4 i trochę namieszały :( Pule tych adresów to:

• 192.168.x.x
• od 172.16.0.0 do 172.31.255.255
• oraz 10.x.x.x

(w miejsce x możemy wstawić dowolną wartość z zakresu od 0 do 255)

Ze względu na fakt że adresy te mogą być używane w różnych sieciach w tym samym czasie nie są one publicznie routowane/trasowane w internecie - routery w szkielecie sieci nie widziałyby do którego z odbiorców dostarczyć pakiet adresowany pod prywatny adres.

Bez specjalnego mechanizmu dostęp do Internetu z tych adresów byłby niemożliwy. Jak więc to działa? Pakiet wychodzący z prywatnego IP jest odbierany przez domowy router, tam następuje usunięcie adresu źródłowego i zastąpienie go adresem publicznym należącym do routera. Dalej pakiet jest już normalnie transmitowany. Gdy kilka pakietów z sieci domowej w tym samym czasie wysyłanych jest z tego samego portu źródłowego (identyfikator danego połączenia*) router musi zamienić te numery, tak aby były one unikalne - to właśnie na ich podstawie decyduje on do którego z komputerów w LAN-ie przesłać odpowiedź po odebraniu (oczywiście wcześniej podmieniając adresy i numery portów). Mechanizm ten nazywany jest translacją adresów sieciowych, w skrócie NAT, a konkretnie jego odmianą w której wiele adresów zamienianych jest na pojedynczy publiczny i inicjacją komunikacji możliwa jest tylko z 1 strony - z sieci domowej (nie możemy dostać się z zewnątrz do komputerów w sieci) - PAT lub inaczej maskarada.

Sposobem na obejście tych ograniczeń jest przekierowanie wybranych portów (tak aby połączenia przychodzące na danym porcie danego protokołu [TCP/UDP] były przekazywane dalej do wybranego komputera w sieci) lub przekierowanie całego ruchu nie będącego odpowiedziami na połączenia wychodzące z innych komputerów do jednego wybranego - tutaj Malinki :) Polecam wykorzystanie właśnie tej drugiej opcji i dalsze przekierowywanie portów już z RPI. Ta opcja to DMZ - strefa zdemilitaryzowana.

W mojej sieci domowej wykorzystywana jest pula/podsieć IP 192.168.0.0 z maską podsieci 255.255.255.0. Oznacza to że mogę korzystać z adresów od 192.168.0.0 do 192.168.0.255. Dwa z tych adresów są zarezerwowane - pierwszy na adres podsieci (192.168.0.0) i ostatni na adres rozgłoszeniowy (192.168.0.255). Adres podsieci to po prostu jej identyfikator, adres rozgłoszeniowy to natomiast dodatkowy adres wszystkich komputerów w sieci - wszystko wysłane pod ten adres jest odbierane przez wszystkie urządzenia. Mojemu PC-towi przypisałem adres 192.168.0.10, 192.168.0.20 to adres dla wirtualnej maszyny, 192.168.0.30 to Malinka :), a inne urządzenia dostają adresy dynamicznie z zakresu od 192.168.0.100 do 192.168.0.199.

192.168.0.0/24 - podsieć
255.255.255.0 - maska

192.168.0.10 - mój PC
192.168.0.20 - wirtualna maszyna
192.168.0.30 - Malinka
192.168.0.100+ - inne urządzenia

Aby się nie męczyć i nie przypisywać ręcznie IP-ków do każdego urządzenia po każdej reinstalacji systemu, ustawiłem w konfiguracji wbudowanego w routerze serwera DHCP rezerwacja dla każdego z urządzeń. Polecam ustawić taką rezerwacje dla Malinki.

Jeśli mamy router TP-LINK-a, rezerwacje możemy ustawić w panelu pod http://192.168.0.1, w zakładce DHCP ->Address Reservation. Podajemy tam adres MAC karty sieciowej malinki oraz wymyślony adres IP, oczywiście z takiej samej puli jak reszta urządzeń. Malinowego MAC-a poznamy wpisując w konsoli (jeśli mamy tam Linuxa) polecenie ifconfig - będzie to wartość po HWaddr w sekcji eth0 np. b8:27:eb:fd:1a:ca.

Przekierowanie DMZ ustawiamy z kolei w zakładce Forwarding ->DMZ. Zaznaczamy radiobox-a Enabled i podajemy IP na które przekierowujemy ruch.

Po zapisaniu zmian powinniśmy jeszcze zresetować router, tak aby urządzenia dostały nowe adresy i zmiany weszły w życie. Robimy to w System Tools ->Reboot ->Reboot.

Teraz już możemy dostać się do Malinki z zewnątrz podając zewnętrzny adres IP naszego routera. Oczywiście tylko wtedy gdy nasz router nie znajduje się za kolejnym NAT-em (PAT-em) np. w jakiejś osiedlowej radiówce..

0.1. Zmienne IP i dynamiczny DNS

Bardzo często operatorzy przydzielają klientom publiczne adresy tylko na pewien okres czasu - czas dzierżawy. Może to być kilka minut lub kilka tygodni, w zależności od konfiguracji serwera DHCP operatora. Po zakończeniu okresu dzierżawy nasz router/modem musi poprosić o nowe IP. Bardzo często jest to ten sam adres, jednak nie zawsze. Z tego względu nie możemy polegać na naszym publicznym IP.

Co prawda u mnie adres zmienia się dopiero po odłączeniu modemu od prądu na kilka dni lub restarcie kilku urządzeń na stacji czołowej, jednak korzystam z usługi Dynamic DNS. Polega ona na udostępnienie specjalnej domeny po odpytaniu o którą zawsze dostaniemy aktualny adres IP domowego routera. Rekord tej domeny nie jest cacheowany lub jest cacheowany przez bardzo krótki okres czasu. Router oczywiście po każdej zmianie adresu musi powiadomić o tym serwer DDNS. Klient DDNS informujący o zmianie adresu nie musi być też uruchomiony na routerze. Możemy skorzystać z klienta pod Linuxa zainstalowanego na RPI. Ponieważ mój TP-Link wspiera usługę www.no-ip.org, zarejestrowałem tam domenę akurczyk.no-ip.biz, a dalej utworzyłem przekierowanie na tą domenę z dom.olo-web.eu (CNAME).

Polecam poszukać w ustawieniach routera konfiguracji DDNS i zarejestrować sobie domenę u jednego ze wspieranych usługodawców, a następnie zalogować się do tej usługi na routerze. Na TP-LINK-ach robi się to w zakładce Dynamic DNS. Screen poniżej:

0.10. Zabezpieczanie Maliny

Malina jest teraz publicznie dostępna z sieci. Jeśli jeszcze tego nie zrobiliśmy, musimy jak najszybciej zmienić hasło użytkownika pi. Robimy to wpisując w konsoli

passwd

Powinniśmy również nadać rootowi jakieś hasło:

sudo passwd

Teraz nie jest już tak niebezpiecznie, ale możemy na wszelki wypadek przenieść SSH na inny port, dodać firewalla, zabezpieczyć się przed skanowaniem portów, logować się przy pomocy kluczy RSA itp. Żadne z tych zabezpieczeń nie dadzą oczywiście 100% skuteczności :(

TO BE CONTINUED

W kolejnej części przedstawię jak zdalnie uruchamiać PC przez stronę WWW uruchomioną na RPI.

* - Właściwie to identyfikacja połączenia TCP następuje na podstawie adresów IP źródłowego i docelowego oraz portów, tutaj także źródłowego i docelowego. W UDP natomiast w ogóle nie ma połączeń.