OpenWrt on La fonera Tips

sshを使っているとは言えど、パスワードログインでは攻撃の対象となるようだ。なので、公開暗号鍵方式での認証に変えた方がより安全。参考：「OpenWRT での dropbear に関するページ」

root@OpenWrt:/etc/config# cat dropbear
config dropbear
        option PasswordAuth 'on'   < --- ここをoffにすれば良い。もちろん鍵作ってからね。
        option Port         '22'

root@OpenWrt:/etc/config# cat dropbear

config dropbear

option PasswordAuth 'on' < --- ここをoffにすれば良い。もちろん鍵作ってからね。

option Port '22'

しかしながら、パスワードログインを完全にやめちゃうとメンテナンス時にログインできなくて困っちゃうかもしれない。シリアルケーブルは持ち歩かない(La Foneraは実家だ:-))し、いつもと違うPCでログインしたい場合もあるかも。

だから、wan側のポートをiptablesで閉じておくことで対処。

root@OpenWrt:/etc# cat firewall.user
iptables -I INPUT 1 -p tcp -i [インターフェース ex)eth0] --dport 22 -j DROP
root@OpenWrt:/etc# /etc/init.d/firewall restart

root@OpenWrt:/etc# cat firewall.user

iptables -I INPUT 1 -p tcp -i [インターフェース ex)eth0] --dport 22 -j DROP

root@OpenWrt:/etc# /etc/init.d/firewall restart

root@OpenWrt:/etc# iptables -L -v -t filter
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 DROP       tcp  --  eth0   any     anywhere             anywhere            tcp dpt:22
    0     0 DROP       all  --  any    any     anywhere             anywhere            state INVALID
 :

root@OpenWrt:/etc# iptables -L -v -t filter

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

0 0 DROP tcp -- eth0 any anywhere anywhere tcp dpt:22

0 0 DROP all -- any any anywhere anywhere state INVALID

外からsshでアクセス(eth0=192.168.100.2)すると、応答無し状態からタイムアウトになる。

root@OpenWrt:/etc# ssh root@192.168.100.2
ssh: exited: Error connecting: Connection timed out

1 2	root@OpenWrt:/etc# ssh root@192.168.100.2 ssh: exited: Error connecting: Connection timed out

IPの初期設定を変更

root@OpenWrt:~# cd /etc/config/
root@OpenWrt:/etc/config# ls
dhcp         firewall     httpd        luci_ethers  network      ucitrack
dropbear     fstab        luci         luci_hosts   system       wireless
root@OpenWrt:/etc/config# vi network

root@OpenWrt:~# cd /etc/config/

root@OpenWrt:/etc/config# ls

dhcp firewall httpd luci_ethers network ucitrack

dropbear fstab luci luci_hosts system wireless

root@OpenWrt:/etc/config# vi network

# Copyright (C) 2006 OpenWrt.org

config interface loopback
        option ifname   lo
        option proto    static
        option ipaddr   127.0.0.1
        option netmask  255.0.0.0

config interface lan
        option ifname   eth0
        option type     bridge
        option proto    static
        option ipaddr   192.168.10.1 < ----ここを編集する
        option netmask  255.255.255.0

config interface loopback

option ifname lo

option proto static

option ipaddr 127.0.0.1

option netmask 255.0.0.0

config interface lan

option ifname eth0

option type bridge

option proto static

option ipaddr 192.168.10.1 < ----ここを編集する

option netmask 255.255.255.0

sshでログインできるようにする

まず、rootのパスワードを設定する。doropbearを有効する。

root@OpenWrt:~# /etc/init.d/dropbear enable

1	root@OpenWrt:~# /etc/init.d/dropbear enable

再起動後、リモートからsshログインしてみる。

~$ ssh root@192.168.10.1
root@192.168.10.1's password:


BusyBox v1.11.2 (2009-01-05 06:34:55 CET) built-in shell (ash)
Enter 'help' for a list of built-in commands.

  _______                     ________        __
 |       |.-----.-----.-----.|  |  |  |.----.|  |_
 |   -   ||  _  |  -__|     ||  |  |  ||   _||   _|
 |_______||   __|_____|__|__||________||__|  |____|
          |__| W I R E L E S S   F R E E D O M
 KAMIKAZE (8.09, r14511) ----------------------------
  * 10 oz Vodka       Shake well with ice and strain
  * 10 oz Triple sec  mixture into 10 shot glasses.
  * 10 oz lime juice  Salute!
 ---------------------------------------------------
root@OpenWrt:~#

~$ ssh root@192.168.10.1

root@192.168.10.1's password:

BusyBox v1.11.2 (2009-01-05 06:34:55 CET) built-in shell (ash)

Enter 'help' for a list of built-in commands.

_______ ________ __

| |.-----.-----.-----.| | | |.----.| |_

| - || _ | -__| || | | || _|| _|

|_______|| __|_____|__|__||________||__| |____|

|__| W I R E L E S S F R E E D O M

KAMIKAZE (8.09, r14511) ----------------------------

* 10 oz Vodka Shake well with ice and strain

* 10 oz Triple sec mixture into 10 shot glasses.

* 10 oz lime juice Salute!

---------------------------------------------------

root@OpenWrt:~#

無線IFを有効にする

まずは有効にしてみる

root@OpenWrt:~# iwconfig
lo        no wireless extensions.

eth0      no wireless extensions.

wifi0     no wireless extensions.

br-lan    no wireless extensions.
root@OpenWrt:~# vi /etc/config/wireless

root@OpenWrt:~# iwconfig

lo no wireless extensions.

eth0 no wireless extensions.

wifi0 no wireless extensions.

br-lan no wireless extensions.

root@OpenWrt:~# vi /etc/config/wireless

config wifi-device  wifi0
        option type     atheros
        option channel  auto

        # REMOVE THIS LINE TO ENABLE WIFI:
        option disabled 0      < --- 1を0に変更する

config wifi-iface
        option device   wifi0
        option network  lan
        option mode     ap
        option ssid     OpenWrt
        option encryption none

config wifi-device wifi0

option type atheros

option channel auto

# REMOVE THIS LINE TO ENABLE WIFI:

option disabled 0 < --- 1を0に変更する

config wifi-iface

option device wifi0

option network lan

option mode ap

option ssid OpenWrt

option encryption none

使える様になった～(^^/

root@OpenWrt:~# /etc/init.d/network restart
root@OpenWrt:~# iwconfig
lo        no wireless extensions.

eth0      no wireless extensions.

wifi0     no wireless extensions.

br-lan    no wireless extensions.

ath0      IEEE 802.11g  ESSID:"OpenWrt"  Nickname:""
          Mode:Master  Frequency:2.417 GHz  Access Point: 00:18:84:24:03:A1
          Bit Rate:0 kb/s   Tx-Power:18 dBm   Sensitivity=1/1
          Retry:off   RTS thr:off   Fragment thr:off
          Encryption key:off
          Power Management:off
          Link Quality=0/70  Signal level=-96 dBm  Noise level=-96 dBm
          Rx invalid nwid:0  Rx invalid crypt:0  Rx invalid frag:0
          Tx excessive retries:0  Invalid misc:0   Missed beacon:0

root@OpenWrt:~# /etc/init.d/network restart

root@OpenWrt:~# iwconfig

lo no wireless extensions.

eth0 no wireless extensions.

wifi0 no wireless extensions.

br-lan no wireless extensions.

ath0 IEEE 802.11g ESSID:"OpenWrt" Nickname:""

Mode:Master Frequency:2.417 GHz Access Point: 00:18:84:24:03:A1

Bit Rate:0 kb/s Tx-Power:18 dBm Sensitivity=1/1

Retry:off RTS thr:off Fragment thr:off

Encryption key:off

Power Management:off

Link Quality=0/70 Signal level=-96 dBm Noise level=-96 dBm

Rx invalid nwid:0 Rx invalid crypt:0 Rx invalid frag:0

Tx excessive retries:0 Invalid misc:0 Missed beacon:0

無線WIFI端末にしてみる

暗号化などは置いといて、とりあえず繋ぐだけの設定。dhcp

root@OpenWrt:/# vi /etc/config/wireless

1	root@OpenWrt:/# vi /etc/config/wireless

config wifi-device  wifi0
        option type     atheros
        option channel  auto

        # REMOVE THIS LINE TO ENABLE WIFI:
        option disabled 0

config wifi-iface
        option device   wifi0
        # option network  lan < ----この行はコメントアウトする
        option mode   sta <---- apをstaに変更する
        option ssid     ********
        option encryption none
        option nosbeacon 1 <---- この行を追加する
        option network wan <---- この行を追加する(/etc/confic/networkに書くinterface名

config wifi-device wifi0

option type atheros

option channel auto

# REMOVE THIS LINE TO ENABLE WIFI:

option disabled 0

config wifi-iface

option device wifi0

# option network lan < ----この行はコメントアウトする

option mode sta <---- apをstaに変更する

option ssid ********

option encryption none

option nosbeacon 1 <---- この行を追加する

option network wan <---- この行を追加する(/etc/confic/networkに書くinterface名

root@OpenWrt:~# vi /etc/config/network

1	root@OpenWrt:~# vi /etc/config/network

# Copyright (C) 2006 OpenWrt.org

config interface loopback
        option ifname   lo
        option proto    static
        option ipaddr   127.0.0.1
        option netmask  255.0.0.0

config interface lan
        option ifname   eth0
        option type     bridge
        option proto    static
        option ipaddr   192.168.10.1
        option netmask  255.255.255.0

#ここから下を追加する
config interface wan
        option ifname   "ath0"
        option proto    dhcp

config interface loopback

option ifname lo

option proto static

option ipaddr 127.0.0.1

option netmask 255.0.0.0

config interface lan

option ifname eth0

option type bridge

option proto static

option ipaddr 192.168.10.1

option netmask 255.255.255.0

#ここから下を追加する

config interface wan

option ifname "ath0"

option proto dhcp

root@OpenWrt:~# vi /etc/config/dhcp

1	root@OpenWrt:~# vi /etc/config/dhcp

config dnsmasq
        option domainneeded     1
        option boguspriv        1
        option filterwin2k      '0'  #enable for dial on demand
        option localise_queries 1
        option local    '/lan/'
        option domain   'lan'
        option expandhosts      1
        option nonegcache       0
        option authoritative    1
        option readethers       1
        option leasefile        '/tmp/dhcp.leases'
        option resolvfile       '/tmp/resolv.conf.auto'

config dhcp lan
        option interface        lan
        option start    100
        option limit    150
        option leasetime        12h
#ここから下が参照される模様
config dhcp wan
        option interface        wan
        option ignore   1

config dnsmasq

option domainneeded 1

option boguspriv 1

option filterwin2k '0' #enable for dial on demand

option localise_queries 1

option local '/lan/'

option domain 'lan'

option expandhosts 1

option nonegcache 0

option authoritative 1

option readethers 1

option leasefile '/tmp/dhcp.leases'

option resolvfile '/tmp/resolv.conf.auto'

config dhcp lan

option interface lan

option start 100

option limit 150

option leasetime 12h

#ここから下が参照される模様

config dhcp wan

option interface wan

option ignore 1

eth0をWAN側に接続する、かつ、メンテナンス用としても使えるようする-失敗

La foneraはethernetポートを一つしか持っていない。アクセスポイントとして使うときはethernetをWAN側(dhcp)にするのだけれど、なにかあったときにethernetで接続してメンテできると便利だ。そこで、仮想IFを設定する。

WAN用をeth0:1(dhcp)、メンテ用をeth0(static)とする。

root@OpenWrt:~# vi /etc/config/network

1	root@OpenWrt:~# vi /etc/config/network

# Copyright (C) 2006 OpenWrt.org

config interface loopback
        option ifname   lo
        option proto    static
        option ipaddr   127.0.0.1
        option netmask  255.0.0.0

# WAN側の設定
config interface ethwan
        option ifname   eth0:1
        option proto    dhcp

# メンテ用の設定
config interface mente
        option ifname   eth0
        option proto    static
        option ipaddr   192.168.10.1
        option netmask  255.255.255.0
 :

config interface loopback

option ifname lo

option proto static

option ipaddr 127.0.0.1

option netmask 255.0.0.0

# WAN側の設定

config interface ethwan

option ifname eth0:1

option proto dhcp

# メンテ用の設定

config interface mente

option ifname eth0

option proto static

option ipaddr 192.168.10.1

option netmask 255.255.255.0

root@OpenWrt:~# vi /etc/config/dhcp

1	root@OpenWrt:~# vi /etc/config/dhcp

  :
#WAN側のDHCP設定
config dhcp ethwan
        option interface        ethwan
        option ignore   1

#WAN側のDHCP設定

config dhcp ethwan

option interface ethwan

option ignore 1

ntpで時刻合わせ

インストール

root@OpenWrt:/etc# opkg install ntpclient
Installing ntpclient (2007_365-1) to root...
Downloading http://downloads.openwrt.org/kamikaze/8.09/atheros/packages/./ntpclient_2007_365-1_mips.ipk
Connecting to downloads.openwrt.org (195.56.146.238:80)
ntpclient_2007_365-1 100% |**********************************************| 11583  00:00:00 ETA
Configuring ntpclient

root@OpenWrt:/etc# opkg install ntpclient

Installing ntpclient (2007_365-1) to root...

Downloading http://downloads.openwrt.org/kamikaze/8.09/atheros/packages/./ntpclient_2007_365-1_mips.ipk

Connecting to downloads.openwrt.org (195.56.146.238:80)

ntpclient_2007_365-1 100% |**********************************************| 11583 00:00:00 ETA

Configuring ntpclient

時刻サーバは日本標準時プロジェクトの公開NTPサーバを利用する。

root@OpenWrt:~# vi /etc/config/ntpclient

1	root@OpenWrt:~# vi /etc/config/ntpclient

config ntpserver
        option hostname 'ntp.nict.jp'
        option port     '123'
        option count    1

config ntpdrift
        option freq     '0'

config ntpclient
        option interval 60
        #option count   10

config ntpserver

option hostname 'ntp.nict.jp'

option port '123'

option count 1

config ntpdrift

option freq '0'

config ntpclient

option interval 60

#option count 10

タイムゾーンも設定しておく

root@OpenWrt:/etc/config# uci show | grep timezone
uci: Entry not found
system.@system[0].timezone=UTC
root@OpenWrt:/etc/config# uci set system.@system[0].timezone="JST-9"
root@OpenWrt:/etc/config# uci set system.@system[0].zonename="Asis/Tokyo"
root@OpenWrt:/etc/config# uci commit
root@OpenWrt:/etc/config# uci show system.@system[0]
system.cfg0243cc=system
system.cfg0243cc.hostname=OpenWrt
system.cfg0243cc.timezone=JST-9
system.cfg0243cc.zonename=Asis/Tokyo
root@OpenWrt:/etc/config#

root@OpenWrt:/etc/config# uci show | grep timezone

uci: Entry not found

system.@system[0].timezone=UTC

root@OpenWrt:/etc/config# uci set system.@system[0].timezone="JST-9"

root@OpenWrt:/etc/config# uci set system.@system[0].zonename="Asis/Tokyo"

root@OpenWrt:/etc/config# uci commit

root@OpenWrt:/etc/config# uci show system.@system[0]

system.cfg0243cc=system

system.cfg0243cc.hostname=OpenWrt

system.cfg0243cc.timezone=JST-9

system.cfg0243cc.zonename=Asis/Tokyo

root@OpenWrt:/etc/config#

再起動して確認

root@OpenWrt:/etc/config# cat /var/TZ
JST-9
root@OpenWrt:/etc/config# cat /etc/TZ
JST-9
root@OpenWrt:/etc/config# ps ax | egrep ntp
  868 root      1388 S    /usr/sbin/ntpclient -i 60 -s -l -D -p 123 -h ntp.nict
root@OpenWrt:/etc/config# date
Sun May  3 01:18:41 JST 2009
root@OpenWrt:/etc/config#

root@OpenWrt:/etc/config# cat /var/TZ

JST-9

root@OpenWrt:/etc/config# cat /etc/TZ

JST-9

root@OpenWrt:/etc/config# ps ax | egrep ntp

868 root 1388 S /usr/sbin/ntpclient -i 60 -s -l -D -p 123 -h ntp.nict

root@OpenWrt:/etc/config# date

Sun May 3 01:18:41 JST 2009

root@OpenWrt:/etc/config#

OpenWrt on La fonera Tips

iptableで外部からのsshを防ぐ

IPの初期設定を変更

sshでログインできるようにする

無線IFを有効にする

無線WIFI端末にしてみる

eth0をWAN側に接続する、かつ、メンテナンス用としても使えるようする-失敗

ntpで時刻合わせ

コメントを残すコメントをキャンセル

2024年11月
月	火	水	木	金	土	日
				1	2	3
4	5	6	7	8	9	10
11	12	13	14	15	16	17
18	19	20	21	22	23	24
25	26	27	28	29	30

OpenWrt on La fonera Tips

iptableで外部からのsshを防ぐ

IPの初期設定を変更

sshでログインできるようにする

無線IFを有効にする

無線WIFI端末にしてみる

eth0をWAN側に接続する、かつ、メンテナンス用としても使えるようする-失敗

ntpで時刻合わせ

コメントを残す コメントをキャンセル

コメントを残すコメントをキャンセル