OpenWRT mit Raspberry Pi

Transkript

1 OpenWRT mit Raspberry Pi Folie 1 von 27 OpenWRT mit Raspberry Pi Katrin Eppler

2 Agenda Wieso, weshalb, warum? Ausgangslage Ziel Lösungssuche Lösungsansatz Umsetzung - Einrichtung OpenWRT auf Raspberry Pi 3B OpenWRT mit Raspberry Pi Folie 2 von 27

3 Wieso, weshalb, warum? Internetserviceprovider hat Zugriff auf von ihm gestellten Router. Auch auf das lokale Netzwerk dahinter? Weiternutzung eines alten Routers, der keine Firmwareupdates mehr bekommt. OpenWRT mit Raspberry Pi Folie 3 von 27

4 Ausgangslage ISDN-Anschluss. Router läuft nur, wenn Gerät benötigt wird. Reines LAN. OpenWRT mit Raspberry Pi Folie 4 von 27

5 Ziel Mehr Sicherheit. Weiternutzung bestehender Ressourcen, soweit möglich. Open Source. Raspi ausprobieren. OpenWRT mit Raspberry Pi Folie 5 von 27

6 Lösungssuche Günters Vortrag zu OpenWRT Recherche Internet (kein passendes Image) OpenWRT mit Raspberry Pi Folie 6 von 27 (Fork, passendes Image) Raspberry Pi Workshop 2017

7 Lösungsansatz OpenWRT mit Raspberry Pi Folie 7 von 27 Einrichtung eines Netzwerkes im Netzwerk, durch zwei, mittels LAN-zu-WANVerbindung, hintereinandergeschaltete (kaskadierte) Router.

8 Umsetzung (1) Was wird benötigt? Linuxrechner Rasberry Pi 3B + Netzteil USB-Netzwerkadapter (Achtung! Passender Treiber vorhanden? OpenWRT mit Raspberry Pi Folie 8 von 27 microsd USB-Adapter für microsd Eingangs(WLAN)router mit integriertem DSL-Modem Switch LAN-Kabel (mind. 3) passendes OpenWRT-Image %5D=raspberry %5D=raspberry Internetverbindung

9 Umsetzung (2) OpenWRT auf SD-Karte flashen Linuxrechner + USB-Adapter für microsd + microsd + passendes Image Terminalbefehl: sudo fdisk l (Output sdx merken) OpenWRT mit Raspberry Pi Folie 9 von 27 Terminalbefehl: sudo dd if=/pfad/zur/datei/lede brcm2708 bcm2710 rpi 3 ext4 sdcard.img of=/dev/sdx bs=2m conv=fsync

10 Umsetzung (3) Erster Zugriff auf OpenWRT microsd in Raspi stecken, Netzteil anschließen, LAN-Kabel in Raspis RJ45Buchse stöpseln, das andere Ende in den PC 2 Arten des Zugriffs: 1) Per Weboberfläche (LuCi) Standard IP: OpenWRT mit Raspberry Pi Folie 10 von 27 2) Per SSH (Dropbear) Terminalbefehl: sudo ssh root@

11 OpenWRT mit Raspberry Pi Folie 11 von 27 Umsetzung (4) Passwort, SSH-Zugriff Web: SSH Terminalbefehl: passwd

12 OpenWRT mit Raspberry Pi Folie 12 von 27 Umsetzung (5) Zeit einstellen

13 Umsetzung (6) OS aktualisieren OpenWRT mit Raspberry Pi Folie 13 von 27 Raspi WLAN aktivieren und als Client an Erstrouter (Master) hängen. Auf Firewall (WAN) und Ländereinstellung achten.

14 OpenWRT mit Raspberry Pi Folie 14 von 27 Umsetzung (6) OS aktualisieren OS aktualisieren.

15 Umsetzung (7) Pakete nachinstallieren SSL (LuCi mit https-unterstützung) uhttpd (Webserver u.a. mit TLS-Unterstützung) Werbeblocker Treiber für USB-Netzwerkadapter OpenWRT mit Raspberry Pi Folie 15 von 27 Web: SSH: ssh password: opkg update opkg install luci ssl luci ssl openssl uhttpd luci app uhttpd adblock luci app adblock kmod usb net kmod usb net...

16 Umsetzung (8) Netzwerk einrichten (1) Raspberry Pi WAN ( eth1 ) IP: Protocol: DHCP range: Subnet: DHCP IP: Protocol: Subnet: Gateway: DHCP server: static disabled Firewall zone: wan IPv6 abschalten. OpenWRT mit Raspberry Pi Folie 16 von 27 Eingangsrouter - LAN Raspberry Pi LAN ( eth0 ) IP: Protocol: DHCP range: Subnet: DHCP Firewall zone: lan IPv6 abschalten.

17 OpenWRT mit Raspberry Pi Folie 17 von 27 Umsetzung (8) Netzwerk einrichten (2)

18 Umsetzung (9) Raspi neu starten OpenWRT mit Raspberry Pi Folie 18 von 27 Raspi neu starten, da sich IP-Adresse geändert hat. Mit neuer Adresse ( ) anmelden. Nicht erschrecken. LuCi https certificate warning erscheint (da selbst zertifiziert). Mutig auf Akzeptieren klicken.

19 Umsetzung (10) Firewall und DNS-Server Firewall einstellen: Von innen nach außen alles erlaubt. Von außen nach innen nichts erlaubt. OpenWRT mit Raspberry Pi Folie 19 von 27 Weiterleitungen grundsätzlich verboten. DNS-Server einrichten: Entscheidung gegen den Platzhirschen, stattdessen für Censurfridns Danmark. Einstellung über Network Interfaces

20 Umsetzung (11) Raspi zusätzlich sichern Zugriff auf Raspberry Pi nur aus dem LAN. Zugriff per Webinterface nur über HTTPS. Port 80 für Zugriffe aus dem LAN schließen. SSH Port vom Standard 22 auf etwas größer 1024 (besser größer 8000 ) ändern. Ports 22, 80 und 443 zusätzlich für Zugriffe aus dem WAN schließen. Dazu kleines Skript erstellen ( Network Firewall Custom rules). OpenWRT mit Raspberry Pi Folie 20 von 27

21 Umsetzung (12) LAN zusätzlich sichern Zugang nur für definierte Geräte. Identifizierung erfolgt durch MACAdressen. OpenWRT mit Raspberry Pi Folie 21 von 27

22 Umsetzung (13) Letzte Schritte Testen, ob alles geht. Raspi + Netzteil + USBNetzwerkadapter Eingangsrouter per LAN-Kabel mit USB-Netzwerkadapter verbinden Raspis RJ45-Buchse per LAN-Kabel mit Rechner verbinden Browser öffnen. Webseite (heise.de) ansteuern et (hoffentlich) voilà! Konfigurationsdateien exportieren und sichern. Dokumentieren. OpenWRT mit Raspberry Pi Folie 22 von 27

23 OpenWRT Pro und Contra Open Source, d.h. jeder kann sehen, was vor sich geht. Entwickler reagieren schnell auf Sicherheitslücken. Kann sehr viel und ständig kommt mehr hinzu. Man muss sich selbst darum kümmern (Bsp. keine automatischen Updates) und trägt selbst das Risiko. Exportfunktion installierter Pakete und deren Konfiguration nicht automatisiert. OpenWRT mit Raspberry Pi Folie 23 von 27

24 OpenWRT Noch zu tun Portscan durchführen. check-2114.html OpenWRT Benutzer anstelle von root anlegen. SSH-Zugriff nur zertifizierten Clients erlauben (key-based authentication). OpenWRT mit Raspberry Pi Folie 24 von 27

25 Quellen Günters Vortrag zu OpenWRT rt.pdf OpenWRT mit Raspberry Pi Folie 25 von 27

26 OpenWRT mit Raspberry Pi Folie 26 von 27 Fragen?

27 OpenWRT mit Raspberry Pi Folie 27 von 27 Vielen Dank!