Kif tirrestrinġi l-aċċess SSH għal router TP-Link għal IPs fdati

¿Kif nillimita l-aċċess SSH għal router TP-Link għal IPs fdati? Il-kontroll ta' min jista' jaċċessa n-netwerk tiegħek permezz ta' SSH mhuwiex kapriċċ, huwa saff essenzjali ta' sigurtà. Ħalli l-aċċess biss minn indirizzi IP fdati Inaqqas il-wiċċ tal-attakk, inaqqas l-iskansijiet awtomatiċi, u jipprevjeni tentattivi kostanti ta' intrużjoni mill-Internet.

F'din il-gwida prattika u komprensiva se tara kif tagħmel dan f'xenarji differenti b'tagħmir TP-Link (SMB u Omada), x'għandek tikkonsidra bir-regoli tal-ACL u l-whitelists, u kif tivverifika li kollox huwa magħluq kif suppost. Aħna nintegraw metodi addizzjonali bħal TCP Wrappers, iptables, u l-aħjar prattiki sabiex tkun tista' tassigura l-ambjent tiegħek mingħajr ma tħalli xi truf maħlula.

Għaliex tillimita l-aċċess SSH fuq routers TP-Link

L-espożizzjoni tal-SSH għall-internet tiftaħ il-bieb għal sweepings massivi minn bots diġà kurjużi b'intenzjoni malizzjuża. Mhuwiex rari li tiskopri l-port 22 aċċessibbli fuq il-WAN wara skenn, kif ġie osservat f'[eżempji ta' SSH]. ħsarat kritiċi fir-routers TP-Link. Kmand sempliċi nmap jista' jintuża biex tivverifika jekk l-indirizz IP pubbliku tiegħek għandux il-port 22 miftuħ.: tesegwixxi xi ħaġa bħal din fuq magna esterna nmap -vvv -p 22 TU_IP_PUBLICA u ċċekkja jekk jidhirx "open ssh".

Anke jekk tuża ċwievet pubbliċi, jekk tħalli l-port 22 miftuħ, dan jistieden aktar esplorazzjoni, ittestjar ta' portijiet oħra, u attakk ta' servizzi ta' ġestjoni. Is-soluzzjoni hija ċara: ċaħda awtomatikament u attiva biss minn IPs jew firxiet permessi.Preferibbilment imwaħħal u kkontrollat ​​minnek. Jekk m'għandekx bżonn ġestjoni remota, iddiżattivaha kompletament fuq il-WAN.

Minbarra li tesponi l-portijiet, hemm sitwazzjonijiet fejn tista' tissuspetta bidliet fir-regoli jew imġieba anomala (pereżempju, modem tal-kejbil li jibda "jwaqqa'" t-traffiku ħiereġ wara ftit żmien). Jekk tinnota li l-ping, it-traceroute, jew il-browsing mhumiex qed jgħaddu mill-modem, iċċekkja s-settings, il-firmware, u kkunsidra li tirrestawra s-settings tal-fabbrika. u agħlaq kull ħaġa li ma tużax.

Mudell mentali: imblokka awtomatikament u oħloq whitelist

Il-filosofija rebbieħa hija sempliċi: politika ta' ċaħda awtomatika u eċċezzjonijiet espliċitiFuq ħafna routers TP-Link b'interfaċċja avvanzata, tista' tissettja politika ta' dħul remot tat-tip Drop fil-firewall, u mbagħad tippermetti indirizzi speċifiċi fuq whitelist għal servizzi ta' ġestjoni.

Fuq sistemi li jinkludu l-għażliet "Remote Input Policy" u "Whitelist rules" (fuq il-paġni tan-Netwerk - Firewall), Żid il-marka mal-politika tad-dħul remot U żid mal-whitelist l-IPs pubbliċi fil-format CIDR XXXX/XX li għandhom ikunu jistgħu jilħqu l-konfigurazzjoni jew servizzi bħal SSH/Telnet/HTTP(S). Dawn l-entrati jistgħu jinkludu deskrizzjoni qasira biex tiġi evitata konfużjoni aktar tard.

Huwa kruċjali li nifhmu d-differenza bejn il-mekkaniżmi. It-trażmissjoni tal-portijiet (NAT/DNAT) tidderieġi l-portijiet lejn magni LANFilwaqt li r-"Regoli ta' filtrazzjoni" jikkontrollaw it-traffiku minn WAN għal LAN jew inter-netwerk, ir-"Regoli tal-Whitelist" tal-firewall jirregolaw l-aċċess għas-sistema ta' ġestjoni tar-router. Ir-regoli ta' filtrazzjoni ma jimblokkawx l-aċċess għall-apparat innifsu; għal dan, tuża whitelists jew regoli speċifiċi rigward it-traffiku li jkun dieħel fir-router.

Biex jiġu aċċessati servizzi interni, il-port mapping jinħoloq fin-NAT u mbagħad ikun limitat min jista' jilħaq dak il-port mapping minn barra. Ir-riċetta hija: iftaħ il-port meħtieġ u mbagħad irrestrinġih bil-kontroll tal-aċċess. li jippermetti biss li jgħaddu sorsi awtorizzati u jimblokka l-bqija.

SSH minn IPs fdati fuq TP-Link SMB (ER6120/ER8411 u simili)

F'routers SMB bħal TL-ER6120 jew ER8411, il-mudell tas-soltu għar-reklamar ta' servizz LAN (eż., SSH fuq server intern) u l-limitazzjoni tiegħu permezz tal-IP tas-sors huwa f'żewġ fażijiet. L-ewwel, il-port jinfetaħ b'Virtual Server (NAT), u mbagħad jiġi ffiltrat b'Access Control. ibbażat fuq gruppi IP u tipi ta' servizzi.

Fażi 1 – Server Virtwali: mur fuq Avvanzat → NAT → Server Virtwali u joħloq entrata għall-interfaċċja WAN korrispondenti. Ikkonfigura l-port estern 22 u indikah lejn l-indirizz IP intern tas-server (pereżempju, 192.168.0.2:22)Issejvja r-regola biex iżżidha mal-lista. Jekk il-każ tiegħek juża port differenti (eż., biddilt SSH għal 2222), aġġusta l-valur kif xieraq.

Fażi 2 – Tip ta’ Servizz: daħħal Preferenzi → Tip ta' Servizz, oħloq servizz ġdid imsejjaħ, pereżempju, SSH, agħżel TCP jew TCP/UDP u ddefinixxi l-port tad-destinazzjoni 22 (il-medda tal-port tas-sors tista' tkun 0–65535). Dan is-saff jippermettilek tirreferi għall-port b'mod nadif fl-ACL.

Fażi 3 – Grupp IP: mur fuq Preferenzi → Grupp IP → Indirizz IP u żid entrati kemm għas-sors permess (eż. l-IP pubbliku tiegħek jew firxa, bl-isem "Access_Client") kif ukoll għar-riżorsa tad-destinazzjoni (eż. "SSH_Server" bl-IP intern tas-server). Imbagħad assoċja kull indirizz mal-Grupp IP korrispondenti tiegħu fl-istess menu.

Fażi 4 – Kontroll tal-aċċess: ġewwa Firewall → Kontroll tal-Aċċess Oħloq żewġ regoli. 1) Regola ta' Ħalli: Politika ta' permess, servizz "SSH" li għadu kif ġie definit, Sors = grupp IP "Access_Client" u destinazzjoni = "SSH_Server"Agħtiha l-ID 1. 2) Regola tal-Imblukkar: Imblokka l-politika b' sors = IPGROUP_ANY u destinazzjoni = “SSH_Server” (jew kif applikabbli) bl-ID 2. B'dan il-mod, l-IP jew il-firxa fdata biss se tgħaddi min-NAT għall-SSH tiegħek; il-bqija se tiġi mblukkata.

L-ordni tal-evalwazzjoni hija vitali. IDs aktar baxxi jieħdu prijoritàGħalhekk, ir-regola Allow trid tiġi qabel (ID aktar baxx) ir-regola Block. Wara li tapplika l-bidliet, tkun tista' tikkonnettja mal-indirizz IP WAN tar-router fuq il-port definit mill-indirizz IP permess, iżda l-konnessjonijiet minn sorsi oħra se jiġu mblukkati.

Noti dwar il-mudell/firmware: L-interfaċċja tista' tvarja bejn il-hardware u l-verżjonijiet. TL-R600VPN jeħtieġ ħardwer v4 biex ikopri ċerti funzjonijietU fuq sistemi differenti, il-menus jistgħu jiġu rilokati. Anke hekk, il-fluss huwa l-istess: tip ta' servizz → gruppi IP → ACL b'Allow u Block. Tinsiex ħlief u applika biex ir-regoli jidħlu fis-seħħ.

Verifika rakkomandata: Mill-indirizz IP awtorizzat, ipprova ssh usuario@IP_WAN u tivverifika l-aċċess. Minn indirizz IP ieħor, il-port għandu jsir inaċċessibbli. (konnessjoni li ma tasalx jew li tiġi miċħuda, idealment mingħajr banner biex tevita li jingħataw ħjiel).

ACL b'Omada Controller: Listi, Stati, u Xenarji ta' Eżempju

Jekk timmaniġġja l-gateways TP-Link b'Omada Controller, il-loġika hija simili iżda b'aktar għażliet viżwali. Oħloq gruppi (IP jew portijiet), iddefinixxi l-ACLs tal-gateway, u organizza r-regoli li tippermetti l-minimu assolut u tiċħad kull ħaġa oħra.

Listi u gruppi: fi Settings → Profili → Gruppi Tista' toħloq gruppi IP (subnets jew hosts, bħal 192.168.0.32/27 jew 192.168.30.100/32) u wkoll gruppi ta' portijiet (pereżempju, HTTP 80 u DNS 53). Dawn il-gruppi jissimplifikaw regoli kumplessi billi terġa' tuża l-oġġetti.

ACL tal-Gateway: mixgħul Konfigurazzjoni → Sigurtà tan-Netwerk → ACL Żid regoli bid-direzzjoni LAN→WAN, LAN→LAN jew WAN→LAN skont dak li trid tipproteġi. Il-politika għal kull regola tista' tkun Ħalli jew Ċaħda. u l-ordni tiddetermina r-riżultat attwali. Immarka "Ippermetti" biex tattivahom. Xi verżjonijiet jippermettulek tħalli r-regoli ppreparati u diżattivati.

Każijiet utli (adattabbli għal SSH): ippermetti biss servizzi speċifiċi u imblokka l-bqija (eż., Ippermetti DNS u HTTP u mbagħad Ċħad Kollox). Għal whitelists tal-maniġment, oħloq Ħalli minn IPs Fdati għall-"Paġna tal-Amministrazzjoni tal-Gateway" u mbagħad ċaħda ġenerali min-netwerks l-oħra. Jekk il-firmware tiegħek għandu dik l-għażla. BidirezzjonaliTista' tiġġenera r-regola inversa awtomatikament.

Status tal-konnessjoni: L-ACLs jistgħu jkunu stateful. It-tipi komuni huma Ġodda, Stabbiliti, Relatati, u Invalidi"Ġdid" jieħu ħsieb l-ewwel pakkett (eż., SYN fit-TCP), "Stabbilit" jieħu ħsieb it-traffiku bidirezzjonali li ltqajt miegħu qabel, "Relatat" jieħu ħsieb konnessjonijiet dipendenti (bħal kanali tad-dejta FTP), u "Invalidu" jieħu ħsieb traffiku anomalu. Ġeneralment huwa aħjar li żżomm is-settings default sakemm ma teħtieġx granularità żejda.

VLAN u segmentazzjoni: Appoġġ għar-routers Omada u SMB xenarji unidirezzjonali u bidirezzjonali bejn VLANsTista' timblokka Marketing→R&D iżda tippermetti R&D→Marketing, jew timblokka ż-żewġ direzzjonijiet u xorta tawtorizza amministratur speċifiku. Id-direzzjoni LAN→LAN fl-ACL tintuża biex tikkontrolla t-traffiku bejn is-subnets interni.

Metodi u rinforzi addizzjonali: TCP Wrappers, iptables, MikroTik u firewall klassiku

Minbarra l-ACLs tar-router, hemm saffi oħra li għandhom jiġu applikati, speċjalment jekk id-destinazzjoni SSH hija server Linux wara r-router. TCP Wrappers jippermetti l-iffiltrar skont l-IP permezz ta' hosts.allow u hosts.deny fuq servizzi kompatibbli (inkluż OpenSSH f'ħafna konfigurazzjonijiet tradizzjonali).

Fajls ta' kontroll: jekk ma jeżistux, oħloqhom b' sudo touch /etc/hosts.{allow,deny}. L-aħjar prattika: ċaħdet kollox f'hosts.deny u jippermettih espliċitament f'hosts.allow. Pereżempju: f' /etc/hosts.deny pon sshd: ALL u /etc/hosts.allow żid sshd: 203.0.113.10, 198.51.100.0/24Għalhekk, dawk l-IPs biss ikunu jistgħu jilħqu d-daemon SSH tas-server.

Iptables apposta: Jekk ir-router jew is-server tiegħek jippermetti dan, żid regoli li jaċċettaw biss SSH minn sorsi speċifiċi. Regola tipika tkun: -I INPUT -s 203.0.113.10 -p tcp --dport 22 -j ACCEPT segwit minn politika DROP awtomatika jew regola li timblokka l-bqija. Fuq routers b'tab ta' Regoli tad-dwana Tista' tinjetta dawn il-linji u tapplikahom b'"Save & Apply".

L-aħjar prattiki f'MikroTik (applikabbli bħala gwida ġenerali): ibdel il-portijiet default jekk fattibbli, iddiżattiva t-Telnet (uża SSH biss), uża passwords b'saħħithom jew, aħjar minn hekk, awtentikazzjoni taċ-ċavettaLimita l-aċċess permezz tal-indirizz IP billi tuża l-firewall, attiva 2FA jekk l-apparat jappoġġjah, u żomm il-firmware/RouterOS aġġornat. Iddiżattiva l-aċċess għall-WAN jekk m'għandekx bżonnuJimmonitorja t-tentattivi li fallew u, jekk meħtieġ, japplika limiti għar-rata ta' konnessjoni biex irażżan l-attakki ta' forza bruta.

Interfaċċa TP-Link Classic (Firmware Anzjan): Idħol fil-pannell billi tuża l-indirizz IP tal-LAN (default 192.168.1.1) u l-kredenzjali tal-admin/admin, imbagħad mur fuq Sigurtà → FirewallIppermetti l-filtru tal-IP u agħżel li pakketti mhux speċifikati jsegwu l-politika mixtieqa. Imbagħad, fi Iffiltrar tal-Indirizz IP, agħfas "Żid ġdid" u ddefinixxi liema IPs jistgħu jew ma jistgħux jużaw il-port tas-servizz fuq il-WAN (għal SSH, 22/tcp). Issejvja kull pass. Dan jippermettilek tapplika ċaħda ġenerali u toħloq eċċezzjonijiet biex tippermetti biss IPs fdati.

Imblokka IPs speċifiċi b'rotot statiċi

F'xi każijiet ikun utli li timblokka l-ħruġ lejn IPs speċifiċi biex ittejjeb l-istabbiltà ma' ċerti servizzi (bħall-istreaming). Mod wieħed kif tagħmel dan fuq diversi apparati TP-Link huwa permezz ta' routing statiku., u joħolqu rotot /32 li jevitaw li jilħqu dawk id-destinazzjonijiet jew jidderieġuhom b'tali mod li ma jiġux ikkunsmati mir-rotta awtomatika (l-appoġġ ivarja skont il-firmware).

Mudelli riċenti: mur fit-tab Avvanzat → Netwerk → Rottaġġ Avvanzat → Rottaġġ Statiku u agħfas "+ Żid". Daħħal "Destinazzjoni tan-Netwerk" bl-indirizz IP li trid timblokka, "Maskra tas-Subnet" 255.255.255.255, "Gateway Default" il-gateway tal-LAN (tipikament 192.168.0.1) u "Interfaċċja" l-LAN. Agħżel "Ħalli din l-entrata" u salvaIrrepeti għal kull indirizz IP fil-mira skont is-servizz li trid tikkontrolla.

Firmwares eqdem: mur fuq Rottaġġ avvanzat → Lista ta' rottaġġ statiku, agħfas "Żid ġdid" u imla l-istess oqsma. Attiva l-istatus tar-rotta u ssalvaIkkonsulta l-appoġġ tas-servizz tiegħek biex issir taf liema IPs għandek tittratta, għax dawn jistgħu jinbidlu.

Verifika: Iftaħ terminal jew prompt tal-kmand u ittestja b' ping 8.8.8.8 (jew l-IP tad-destinazzjoni li mblukkajt). Jekk tara "Timeout" jew "Destination host unreachable"L-imblukkar qed jaħdem. Jekk le, irrevedi l-passi u erġa' ibda r-router biex it-tabelli kollha jidħlu fis-seħħ.

Verifika, ittestjar, u riżoluzzjoni ta' inċidenti

Biex tivverifika li l-whitelist SSH tiegħek qed taħdem, ipprova uża indirizz IP awtorizzat. ssh usuario@IP_WAN -p 22 (jew il-port li tuża) u ikkonferma l-aċċess. Minn indirizz IP mhux awtorizzat, il-port m'għandux joffri servizz.. L-Istati Uniti nmap -p 22 IP_WAN biex tivverifika l-kundizzjoni sħuna.

Jekk xi ħaġa mhix qed tirrispondi kif suppost, iċċekkja l-prijorità tal-ACL. Ir-regoli jiġu pproċessati sekwenzjalment, u dawk bl-inqas ID jirbħu.Ċaħda 'l fuq mill-Allow tiegħek tinvalida l-whitelist. Iċċekkja wkoll li t-"Tip ta' Servizz" jindika l-port korrett u li l-"Gruppi IP" tiegħek fihom il-firxiet xierqa.

Fil-każ ta' mġiba suspettuża (telf ta' konnettività wara ftit żmien, regoli li jinbidlu waħedhom, traffiku tal-LAN li jonqos), ikkunsidra taġġorna l-firmwareIddiżattiva s-servizzi li ma tużax (amministrazzjoni remota tal-web/Telnet/SSH), ibdel il-kredenzjali, iċċekkja l-ikklonjar tal-MAC jekk applikabbli, u fl-aħħar mill-aħħar, Irrestawra għas-settings tal-fabbrika u kkonfigura mill-ġdid b'settings minimi u whitelist stretta.

Noti dwar kompatibilità, mudelli, u disponibbiltà

Id-disponibbiltà tal-karatteristiċi (ACLs stateful, profili, whitelists, editjar tal-PVID fuq il-portijiet, eċċ.) Jista' jiddependi fuq il-mudell u l-verżjoni tal-ħardwerF'xi apparati, bħat-TL-R600VPN, ċerti kapaċitajiet huma disponibbli biss mill-verżjoni 4 'il quddiem. L-interfaċċji tal-utent jinbidlu wkoll, iżda l-proċess bażiku huwa l-istess: imblukkar awtomatikament, iddefinixxi s-servizzi u l-gruppi, ippermetti minn IPs speċifiċi u imblokka l-bqija.

Fl-ekosistema TP-Link, hemm ħafna apparati involuti fin-netwerks tal-intrapriżi. Il-mudelli ċċitati fid-dokumentazzjoni jinkludu T1600G-18TS, T1500G-10PS, TL-SG2216, T2600G-52TS, T2600G-28TS, TL-SG2210P, T2500-28TC, T2700G-28TQ, T2500G-105TS, SG41FTL- T2600G-28MPS, T1500G-10MPS, SG2210P, S4500-8G, T1500-28TC, T1700X-16TS, T1600G-28TS, TL-SL3452, TL-SG3216, T3700-28TC, T3700X-16TS, T1600G-28TS, TL-SL3452, TL-SG3216, T3700-28TC T1700G-28TQ, T1500-28PCT, T2600G-18TS, T1600G-28PS, T2500G-10MPS, Festa FS310GP, T1600G-52MPS, T1600G-52PS, TL-SL2428, T1600G-52TS, T3700G-28TQ, T1500G-8T, T1700X-28TQfost oħrajn. Żomm f'moħħok li L-offerta tvarja skont ir-reġjun. u xi wħud jistgħu ma jkunux disponibbli fl-inħawi tiegħek.

Biex tibqa' aġġornat, żur il-paġna ta' appoġġ tal-prodott tiegħek, agħżel il-verżjoni korretta tal-ħardwer, u ċċekkja noti tal-firmware u speċifikazzjonijiet tekniċi bl-aħħar titjib. Kultant l-aġġornamenti jespandu jew jirfinaw il-karatteristiċi tal-firewall, tal-ACL, jew tal-ġestjoni remota.

Agħlaq il- SSH Għall-IPs kollha ħlief dawk speċifiċi, l-organizzazzjoni xierqa tal-ACLs u l-fehim ta' liema mekkaniżmu jikkontrolla kull ħaġa tevita sorpriżi spjaċevoli. B'politika ta' ċaħda awtomatika, whitelists preċiżi, u verifika regolariIr-router TP-Link tiegħek u s-servizzi warajh se jkunu protetti ħafna aħjar mingħajr ma jkollok bżonnhom mingħajr ma tirrinunzja għall-ġestjoni.

Artiklu relatat:

TP-Link qed tiffaċċja fallimenti kritiċi fir-routers tal-intrapriżi u pressjoni regolatorja dejjem tikber

Christian garcia

Passjonat mit-teknoloġija sa minn meta kien żgħir. Inħobb inkun aġġornat fis-settur u, fuq kollox, nikkomunikah. Huwa għalhekk li ilni għal ħafna snin issa ddedikat għall-komunikazzjoni fuq teknoloġija u websajts tal-logħob tal-vidjo. Tista' ssibni nikteb dwar Android, Windows, MacOS, iOS, Nintendo jew kwalunkwe suġġett ieħor relatat li jiġi f'moħħi.