- Thoir prìomhachas do phoileasaidh diùltadh bunaiteach agus cleachd liostaichean geala airson SSH.
- A’ cothlamadh NAT + ACL: a’ fosgladh a’ phuirt agus a’ cuingealachadh a rèir IP an stòr.
- Dearbhaich le nmap/ping agus thoir urram do phrìomhachas na riaghailt (ID).
- Neartaich le ùrachaidhean, iuchraichean SSH, agus seirbheisean as ìsle.
¿Ciamar a chuireas tu casg air ruigsinneachd SSH gu router TP-Link gu IPan earbsach? Chan e saobh-chràbhadh a th’ ann a bhith a’ cumail smachd air cò as urrainn faighinn chun lìonra agad tro SSH, ’s e sreath riatanach de thèarainteachd a th’ ann. Leig le ruigsinneachd a-mhàin bho sheòlaidhean IP earbsach Bidh e a’ lughdachadh uachdar an ionnsaigh, a’ slaodadh sìos sganaidhean fèin-ghluasadach, agus a’ cur casg air oidhirpean ionnsaigh leantainneach bhon eadar-lìon.
Anns an stiùireadh practaigeach is coileanta seo, chì thu mar a nì thu e ann an diofar shuidheachaidhean le uidheam TP-Link (SMB agus Omada), dè a bu chòir dhut beachdachadh le riaghailtean ACL agus liostaichean geala, agus mar a dhearbhas tu gu bheil a h-uile càil dùinte gu ceart. Bidh sinn a’ toirt a-steach dòighean a bharrachd leithid TCP Wrappers, iptables, agus deagh chleachdaidhean. gus an urrainn dhut an àrainneachd agad a dhèanamh tèarainte gun chrìochan sam bith fhàgail.
Carson a chuireas tu crìoch air ruigsinneachd SSH air routers TP-Link
Le bhith a’ nochdadh SSH don eadar-lìon, tha e comasach sgrìoban mòra a dhèanamh le bots fiosrach mu thràth le droch-rùn. Chan eil e neo-chumanta port 22 a lorg a tha ruigsinneach air an WAN às dèidh sganadh, mar a chaidh fhaicinn ann an [eisimpleirean de SSH]. fàilligidhean èiginneach ann an routers TP-Link. Faodar àithne nmap sìmplidh a chleachdadh gus dèanamh cinnteach a bheil port 22 fosgailte aig do sheòladh IP poblach.a’ cur rudeigin mar seo an gnìomh air inneal taobh a-muigh nmap -vvv -p 22 TU_IP_PUBLICA agus thoir sùil a bheil “fosgail ssh” a’ nochdadh.
Fiù 's ma chleachdas tu iuchraichean poblach, ma dh'fhàgas tu port 22 fosgailte, cuiridh sin barrachd rannsachaidh ort, deuchainnean a dhèanamh air puirt eile, agus ionnsaigh a thoirt air seirbheisean riaghlaidh. Tha am fuasgladh soilleir: diùlt gu bunaiteach agus cuir an comas a-mhàin bho IPan no raointean ceadaichte.Mas fheàrr leatsa a rèiteachadh agus a smachdachadh. Mura h-eil feum agad air riaghladh iomallach, cuir dheth e gu tur air an WAN.
A bharrachd air puirt fhoillseachadh, tha suidheachaidhean ann far am faodadh tu a bhith fo amharas mu atharrachaidhean riaghailtean no giùlan neo-àbhaisteach (mar eisimpleir, modem càball a thòisicheas a’ “leigeil às” trafaic a-mach às deidh greis). Ma mhothaicheas tu nach eil ping, traceroute, no brobhsadh a’ faighinn seachad air a’ mhodem, thoir sùil air na roghainnean, am firmware, agus smaoinich air roghainnean an fhactaraidh ath-shuidheachadh. agus dùin a h-uile rud nach eil thu a’ cleachdadh.
Modail inntinn: bloc gu bunaiteach agus cruthaich liosta gheal
Tha feallsanachd a’ bhuannaiche sìmplidh: poileasaidh diùltadh bunaiteach agus eisgeachdan soilleirAir mòran de routers TP-Link le eadar-aghaidh adhartach, faodaidh tu poileasaidh inntrigidh iomallach seòrsa Drop a shuidheachadh anns a’ bhalla-teine, agus an uairsin leigeil le seòlaidhean sònraichte air liosta gheal airson seirbheisean riaghlaidh.
Air siostaman anns a bheil roghainnean “Poileasaidh Cuir a-steach Iomallach” agus “Riaghailtean Liosta Geal” (air duilleagan Lìonra - Balla-teine), Leig às branda ann am poileasaidh inntrigidh iomallach Agus cuir ris an liosta gheal na IPan poblach ann an cruth CIDR XXXX/XX a bu chòir a bhith comasach air an rèiteachadh no seirbheisean leithid SSH/Telnet/HTTP(S) a ruighinn. Faodaidh na h-inntrigidhean seo tuairisgeul goirid a thoirt a-steach gus troimh-chèile a sheachnadh nas fhaide air adhart.
Tha e deatamach tuigsinn an eadar-dhealachaidh eadar na meacanaigean. Bidh puirt air adhart (NAT/DNAT) ag ath-stiùireadh phuirt gu innealan LANGed a bhios “riaghailtean sìolaidh” a’ cumail smachd air trafaic WAN-gu-LAN no eadar-lìonra, bidh “riaghailtean liosta gheal” a’ bhalla-teine a’ riaghladh ruigsinneachd gu siostam riaghlaidh an router. Chan eil riaghailtean sìolaidh a’ bacadh ruigsinneachd chun inneal fhèin; airson sin, bidh thu a’ cleachdadh liostaichean geala no riaghailtean sònraichte a thaobh trafaic a tha a’ tighinn a-steach don router.
Gus faighinn gu seirbheisean a-staigh, cruthaichear mapadh puirt ann an NAT agus an uairsin tha cuingealachadh air cò as urrainn faighinn chun a’ mhapaidh sin bhon taobh a-muigh. Is e an reasabaidh: fosgail am port riatanach agus an uairsin cuir bacadh air le smachd ruigsinneachd. a leigeas le stòran ùghdarraichte a-mhàin a dhol troimhe agus a chuireas bacadh air a’ chòrr.
SSH bho IPan earbsach air TP-Link SMB (ER6120/ER8411 agus coltach ris)
Ann an routers SMB leithid TL-ER6120 no ER8411, tha am pàtran àbhaisteach airson seirbheis LAN a shanasachadh (me, SSH air frithealaiche a-staigh) agus a chuingealachadh le IP tùsail dà-ìre. An toiseach, thèid am port fhosgladh le Frithealaiche Brìgheil (NAT), agus an uairsin thèid a shìoladh le Smachd Ruigsinneachd. stèidhichte air buidhnean IP agus seòrsachan seirbheis.
Ìre 1 – Frithealaiche Brìgheil: rach gu Adhartach → NAT → Frithealaiche Brìgheil agus cruthaichidh e inntrigeadh airson an eadar-aghaidh WAN co-fhreagarrach. Cuir air dòigh port taobh a-muigh 22 agus comharraich e gu seòladh IP a-staigh an fhrithealaiche (mar eisimpleir, 192.168.0.2:22)Sàbhail an riaghailt gus a cur ris an liosta. Ma chleachdas do chùis port eadar-dhealaichte (m.e., ma dh’atharraich thu SSH gu 2222), atharraich an luach a rèir sin.
Ìre 2 – Seòrsa seirbheis: cuir a-steach Roghainnean → Seòrsa Seirbheis, cruthaich seirbheis ùr ris an canar, mar eisimpleir, SSH, tagh TCP no TCP/UDP agus mìnich am port ceann-uidhe 22 (faodaidh raon a’ phuirt thùsail a bhith 0–65535). Leigidh an ìre seo leat iomradh a thoirt air a’ phort gu glan san ACL..
Ìre 3 – Buidheann IP: rach gu Roghainnean → Buidheann IP → Seòladh IP agus cuir a-steach inntrigidhean airson an dà chuid an stòr ceadaichte (me an IP poblach agad no raon, leis an ainm "Access_Client") agus an goireas ceann-uidhe (me "SSH_Server" le IP a-staigh an fhrithealaiche). An uairsin ceangail gach seòladh ris a’ Bhuidheann IP co-fhreagarrach aige taobh a-staigh an aon chlàr-taice.
Ìre 4 – Smachd ruigsinneachd: a-steach Balla-teine → Smachd Ruigsinneachd Cruthaich dà riaghailt. 1) Riaghailt Ceadaich: Poileasaidh ceadaich, seirbheis "SSH" ùr-mhìnichte, Stòr = buidheann IP "Access_Client" agus ceann-uidhe = "SSH_Server"Thoir ID 1 dha. 2) Riaghailt Bacaidh: Poileasaidh bacaidh le stòr = IPGROUP_ANY agus ceann-uidhe = "SSH_Server" (no mar a tha iomchaidh) le ID 2. San dòigh seo, cha tèid ach an IP no an raon earbsach tron NAT chun SSH agad; thèid an còrr a bhacadh.
Tha òrdugh a’ mheasaidh deatamach. Bidh prìomhachas aig IDan nas ìsleMar sin, feumaidh an riaghailt Ceadaich a bhith ro (an ID as ìsle) an riaghailt Bacaidh. Às dèidh dhut na h-atharrachaidhean a chur an sàs, bidh e comasach dhut ceangal ri seòladh IP WAN an router air a’ phort mhìnichte bhon t-seòladh IP ceadaichte, ach thèid ceanglaichean bho thùsan eile a bhacadh.
Notaichean modail/firmware: Dh’ fhaodadh an eadar-aghaidh a bhith eadar-dhealaichte eadar bathar-cruaidh agus dreachan. Feumaidh TL-R600VPN bathar-cruaidh v4 gus gnìomhan sònraichte a chòmhdachAgus air siostaman eadar-dhealaichte, dh’ fhaodadh na clàir-taice a bhith air an gluasad. A dh’aindeoin sin, tha an t-sruth mar an ceudna: seòrsa seirbheis → buidhnean IP → ACL le Ceadaich agus Bacadh. Na dìochuimhnich sàbhail agus cuir an sàs gus na riaghailtean a thighinn gu buil.
Dearbhadh a thathar a’ moladh: Bhon t-seòladh IP ùghdarraichte, feuch ssh usuario@IP_WAN agus dearbhaich ruigsinneachd. Bho sheòladh IP eile, bu chòir don phort a bhith neo-ruigsinneach. (ceangal nach ruig no a thèid a dhiùltadh, gu h-àraidh às aonais bratach gus nach toir e comharran).
ACL le Smachdair Omada: Liostaichean, Stàitean, agus Eisimpleirean de Sheallaidhean
Ma bhios tu a’ riaghladh geataichean TP-Link le Omada Controller, tha an loidsig coltach ris ach le barrachd roghainnean lèirsinneach. Cruthaich buidhnean (IP no puirt), mìnich ACLan geata, agus cuir air dòigh na riaghailtean gus an ìre as ìsle a cheadachadh agus a h-uile càil eile a dhiùltadh.
Liostaichean agus buidhnean: ann an Roghainnean → Pròifilean → Buidhnean Faodaidh tu buidhnean IP (fo-lìonraidhean no aoighean, leithid 192.168.0.32/27 no 192.168.30.100/32) agus buidhnean puirt cuideachd (mar eisimpleir, HTTP 80 agus DNS 53) a chruthachadh. Bidh na buidhnean seo a’ sìmpleachadh riaghailtean iom-fhillte le bhith ag ath-chleachdadh nithean.
ACL geata: air Rèiteachadh → Tèarainteachd Lìonra → ACL Cuir riaghailtean ris le stiùireadh LAN→WAN, LAN→LAN no WAN→LAN a rèir na tha thu airson a dhìon. Faodaidh am poileasaidh airson gach riaghailt a bhith Ceadaich no Diùlt. agus tha an òrdugh a’ dearbhadh an fhìor thoradh. Thoir sùil air “Cumasaich” gus an cur an gnìomh. Leigidh cuid de dhreachan leat riaghailtean fhàgail deiseil agus à comas.
Cùisean feumail (a ghabhas atharrachadh gu SSH): leig le seirbheisean sònraichte a-mhàin agus cuir bacadh air a’ chòrr (me, Leig le DNS agus HTTP agus an uairsin Diùlt Uile). Airson liostaichean geala riaghlaidh, cruthaich Ceadaich bho IPan earbsach chun "Duilleag Rianachd Geata" agus an uairsin diùltadh coitcheann bho na lìonraidhean eile. Ma tha an roghainn sin aig do firmware. BidirectionalFaodaidh tu an riaghailt neo-dhìreach a chruthachadh gu fèin-ghluasadach.
Inbhe ceangail: Faodaidh ACLn a bhith stàiteil. Is iad na seòrsaichean cumanta Ùr, Stèidhichte, Co-cheangailte, agus Neo-dhligheachBidh “Ùr” a’ làimhseachadh a’ chiad phacaid (m.e., SYN ann an TCP), bidh “Stèidhichte” a’ làimhseachadh trafaic dà-shligheach a chaidh a lorg roimhe, bidh “Co-cheangailte” a’ làimhseachadh cheanglaichean eisimeileach (leithid seanalan dàta FTP), agus bidh “Neo-dhligheach” a’ làimhseachadh trafaic neo-àbhaisteach. Mar as trice, ’s fheàrr na roghainnean bunaiteach a chumail mura h-eil feum agad air barrachd mion-fhiosrachaidh.
VLAN agus roinneadh: Taic do routers Omada agus SMB suidheachaidhean aon-stiùiridh agus dà-stiùiridh eadar VLANanFaodaidh tu bacadh a chur air Margaidheachd→R&D ach leigeil le R&D→Margaidheachd, no bacadh a chur air an dà stiùireadh agus ùghdarras a thoirt do rianaire sònraichte fhathast. Tha an stiùireadh LAN→LAN san ACL air a chleachdadh gus smachd a chumail air trafaic eadar fo-lìonraidhean a-staigh.
Modhan agus neartachaidhean a bharrachd: Pasganan TCP, iptables, MikroTik agus balla-teine clasaigeach
A bharrachd air ACLan an router, tha sreathan eile ann a bu chòir a chur an sàs, gu h-àraidh ma tha ceann-uidhe SSH na fhrithealaiche Linux air cùl an router. Leigidh TCP Wrappers le sìoladh a rèir IP le hosts.allow agus hosts.deny air seirbheisean co-chòrdail (a’ gabhail a-steach OpenSSH ann an iomadh rèiteachadh traidiseanta).
Faidhlichean smachd: mura h-eil iad ann, cruthaich iad le sudo touch /etc/hosts.{allow,deny}. Cleachdadh as fheàrr: diùlt a h-uile càil ann an hosts.deny agus a’ ceadachadh gu soilleir e ann an hosts.allow. Mar eisimpleir: ann an /etc/hosts.deny pon sshd: ALL agus a-staigh /etc/hosts.allow cuir ris sshd: 203.0.113.10, 198.51.100.0/24Mar sin, chan urrainn ach na seòlaidhean IP sin ruighinn air daemon SSH an fhrithealaiche.
Iptables gnàthaichte: Ma leigeas an router no an frithealaiche agad leis, cuir riaghailtean ris nach gabh ach SSH bho thùsan sònraichte. Bhiodh riaghailt àbhaisteach: -I INPUT -s 203.0.113.10 -p tcp --dport 22 -j ACCEPT agus an uair sin poileasaidh DROP bunaiteach no riaghailt a chuireas bacadh air a’ chòrr. Air routers le taba de Riaghailtean gnàthaichte Faodaidh tu na loidhnichean seo a thoirt a-steach agus an cur an sàs le “Sàbhail & Cuir an sàs”.
Cleachdaidhean as fheàrr ann am MikroTik (iomchaidh mar stiùireadh coitcheann): atharraich na puirt bunaiteach ma ghabhas sin dèanamh, cuir Telnet dheth (cleachd SSH a-mhàin), cleachd faclan-faire làidir no, nas fheàrr fhathast, dearbhadh iuchairCuir crìoch air ruigsinneachd le seòladh IP a’ cleachdadh a’ bhalla-teine, cuir 2FA an gnìomh ma tha an inneal ga thaic, agus cùm am firmware/RouterOS ùraichte. Cuir dheth ruigsinneachd WAN mura h-eil feum agad airBidh e a’ cumail sùil air oidhirpean a dh’fhàillig agus, ma tha sin riatanach, a’ cur crìochan ìre ceangail an sàs gus ionnsaighean feachd brùideil a chasg.
Eadar-aghaidh Clasaigeach TP-Link (Bathar-bog nas sine): Log a-steach don phannal a’ cleachdadh seòladh IP an LAN (192.168.1.1 mar as trice) agus teisteanasan an rianaire/rianaire, an uairsin rach gu Tèarainteachd → Balla-teineCuir an criathrag IP an gnìomh agus tagh gum bi pacaidean neo-shònraichte a’ leantainn a’ phoileasaidh a tha thu ag iarraidh. An uairsin, ann an Criathradh Seòladh IP, brùth air “Cuir fear ùr ris” agus mìnich dè na IPan as urrainn no nach urrainn am port seirbheis a chleachdadh air an WAN (airson SSH, 22/tcp). Sàbhail gach ceum. Leigidh seo leat diùltadh coitcheann a chuir an sàs agus eisgeachdan a chruthachadh gus nach leig thu ach le IPan earbsach.
Cuir bacadh air IPan sònraichte le slighean statach
Ann an cuid de chùisean tha e feumail casg a chur air a dhol a-mach gu IPan sònraichte gus seasmhachd a leasachadh le seirbheisean sònraichte (leithid sruthadh). Is e aon dhòigh air seo a dhèanamh air iomadh inneal TP-Link tro shlighe statach., a’ cruthachadh slighean /32 a sheachnas ruighinn nan cinn-uidhe sin no gan stiùireadh ann an dòigh nach tèid an ithe leis an t-slighe bunaiteach (tha an taic ag atharrachadh a rèir firmware).
Modalan o chionn ghoirid: rach chun taba Adhartach → Lìonra → Slighe Adhartach → Slighe Statach agus brùth “+ Cuir ris”. Cuir a-steach “Ceann-uidhe Lìonra” leis an seòladh IP a tha thu airson a bhacadh, “Masg Fo-lìonra” 255.255.255.255, “Geata Bunaiteach” geata an LAN (mar as trice 192.168.0.1) agus “Eadar-aghaidh” LAN. Tagh “Ceadaich an inntrigeadh seo” agus sàbhailDèan a-rithist airson gach seòladh IP targaid a rèir na seirbheis a tha thu airson a smachdachadh.
Firmware nas sine: rach gu Slighe adhartach → Liosta slighe statach, brùth air “Cuir fear ùr ris” agus lìon na h-aon raointean. Cuir inbhe an t-slighe an gnìomh agus sàbhail eBruidhinn ri taic na seirbheis agad gus faighinn a-mach dè na IPan a bu chòir dhut a làimhseachadh, oir dh’ fhaodadh iad sin atharrachadh.
Dearbhadh: Fosgail crìoch-uidhe no àithne-stiùiridh agus dèan deuchainn le ping 8.8.8.8 (no an seòladh IP ceann-uidhe a chuir thu bacadh air). Ma chì thu “Ùine crìochnachaidh” no “Chan eil an aoigh ceann-uidhe ri ruigsinn”Tha am bacadh ag obair. Mura h-eil, thoir sùil air na ceumannan agus ath-thòisich an router gus am bi na clàran uile èifeachdach.
Dearbhadh, deuchainn, agus fuasgladh thachartasan
Gus dearbhadh gu bheil an liosta gheal SSH agad ag obair, feuch ri seòladh IP ùghdarraichte a chleachdadh. ssh usuario@IP_WAN -p 22 (no am port a chleachdas tu) agus dearbhaich ruigsinneachd. Bho sheòladh IP neo-ùghdarraichte, cha bu chòir don phort seirbheis a thabhann.. USA nmap -p 22 IP_WAN gus sùil a thoirt air an t-suidheachadh teasachaidh.
Mura h-eil rudeigin a’ freagairt mar bu chòir, thoir sùil air prìomhachas an ACL. Thèid na riaghailtean a phròiseasadh ann an sreath, agus bidh an fheadhainn leis an ID as ìsle a’ buannachadh.Ma thèid “Diùltadh” os cionn do “Ceadaich” a chur an gnìomh, thèid an liosta gheal a chur à bith. Cuideachd, dèan cinnteach gu bheil an “Seòrsa Seirbheis” a’ comharrachadh a’ phuirt cheart agus gu bheil na raointean iomchaidh anns na “Buidhnean IP” agad.
Ma thachras giùlan amharasach (call ceangail às dèidh greis, riaghailtean a dh’atharraicheas leotha fhèin, trafaic LAN a thuiteas), smaoinich air ùrachadh am firmwareCuir dheth seirbheisean nach eil thu a’ cleachdadh (rianachd lìn iomallach/Telnet/SSH), atharraich teisteanasan, thoir sùil air clònadh MAC ma tha sin iomchaidh, agus mu dheireadh, Ath-shuidhich gu roghainnean factaraidh agus ath-rèiteachadh le roghainnean as ìsle agus liosta gheal teann.
Notaichean co-chòrdalachd, modailean, agus ruigsinneachd
Cothrom air feartan (ACLan stàiteil, pròifilean, liostaichean geala, deasachadh PVID air puirt, msaa.) Dh’fhaodadh e a bhith an urra ri modail agus dreach a’ bhathar-chruaidhAnn an cuid de dh’ innealan, leithid an TL-R600VPN, chan eil comasan sònraichte rim faighinn ach bho dhreach 4 air adhart. Bidh na h-eadar-aghaidhean cleachdaiche ag atharrachadh cuideachd, ach tha am pròiseas bunaiteach mar an ceudna: a’ bacadh gu bunaiteach, mìneachadh seirbheisean agus buidhnean, ceadaich bho IPan sònraichte agus cuir bacadh air a’ chòrr.
Taobh a-staigh eag-shiostam TP-Link, tha mòran innealan an sàs ann an lìonraidhean iomairt. Am measg nam modalan a chaidh ainmeachadh anns na sgrìobhainnean tha T1600G-18TS, T1500G-10PS, TL-SG2216, T2600G-52TS, T2600G-28TS, TL-SG2210P, T2500-28TC, T2700G-28TQ, T2500G-10TS, 2500G-10TS, 2500G-10TS T2600G-28MPS, T1500G-10MPS, SG2210P, S4500-8G, T1500-28TC, T1700X-16TS,T1600G-28TS, TL-SL3452, TL-SG3216,T370QG-28TS T1700G-28TQ, T1500-28PCT, T2600G-18TS, T1600G-28PS, T2500G-10MPS, Festa FS310GP, T1600G-52MPS, T1600G-52PS, TL-SL2428, T1600G-52TS, T3700G-28TQ, T1500G-8T, T1700X-28TQam measg feadhainn eile. Cumaibh cuimhne air sin Bidh an tairgse ag atharrachadh a rèir sgìre. agus is dòcha nach bi cuid dhiubh rim faighinn san sgìre agad.
Gus fuireach suas ris an latha, tadhail air duilleag taic an toraidh agad, tagh an dreach bathar-cruaidh ceart, agus thoir sùil air notaichean firmware agus mion-chomharrachadh teicnigeach leis na leasachaidhean as ùire. Aig amannan bidh ùrachaidhean a’ leudachadh no a’ leasachadh fheartan balla-teine, ACL, no riaghlaidh iomallach.
Dùin an SSH Airson a h-uile IP ach a-mhàin IP sònraichte, ma chuireas tu ACLan air dòigh gu ceart agus ma thuigeas tu dè an dòigh-obrach a tha a’ cumail smachd air gach rud, cha bhith iongnadh ort. Le poileasaidh diùltadh bunaiteach, liostaichean geala mionaideach, agus dearbhadh cunbhalachBidh an router TP-Link agad agus na seirbheisean air a chùlaibh air an dìon gu math nas fheàrr gun a bhith a’ toirt seachad riaghladh nuair a bhios feum agad air.
Tha e dìoghrasach mu theicneòlas bho bha e beag. Is toil leam a bhith ùraichte san roinn agus, os cionn a h-uile càil, a bhith ga conaltradh. Sin as coireach gu bheil mi air a bhith gu sònraichte airson conaltradh air làraich-lìn teicneòlas agus geama bhidio airson grunn bhliadhnaichean. Lorgaidh tu mi a’ sgrìobhadh mu Android, Windows, macOS, iOS, Nintendo no cuspair co-cheangailte sam bith eile a thig nam inntinn.