Jump to content

ChaoticSerg

Forum Members
  • Posts

    78
  • Joined

  • Last visited

  • Days Won

    3

Posts posted by ChaoticSerg

  1.  

    4 часа назад, Le ecureuil сказал:

    Отключить dns-proxy или сделать dns-proxy override.

    Пока искал дальше, заметил, что и другие проброшенные порты используют маршрутизацию. Встает вопрос - можно как-то сделать что-бы внутренние сервера получали реальные адреса клиентов, а не адрес роутера?

  2. Добрый день.

    Возникла проблема при пробросе порта на внутренний сервер. Настроил проброс 53/udp на внутренний DNS сервер, на сервере ограничил рекурсию только для локальной сети.

    Но, судя по дампу, большинство запросов идет с Кинетика. Т. е. он подменяет своим внутренним адресом, адреса атакующих. 

    Кто может подсказать, как это исправить? А то на другом кинетике такого нет, но там и DHCP сервер не на нем. Специально обновлял до последней версии, сравнивал настройки, вроде все одинаково.

  3. Ну это я понял. Даже заглянул в файл патча и в файл, который он патчит. Даже понимаю что идет проверка не запущен ли zabbix под root.

    Но у меня нет исходных данных, почему в фале надо патчить. Т. е. я понимаю, что видимо под роутер файл должен быть немного другим,

    с чего решено, что должно быть именно так? Видимо для этого мне надо изучить все исходники, и тогда придет понимание, что надо поправить.

    Видимо сборка пакетов для Кинетиков, это задача не для всех и зря я изучал столько времени как все подготовить, раз в самом конце еще на

    несколько месяцев уйти с головой в изучение исходников.

  4. И снова здравствуйте.

    Решил обновится до версии 4.2. Собрал виртуалку, все поставил. В MakeFile zabbix поменял версию на 4.2.1.

    Но сначала была ошибка - не скачивался архив с zabbix 4.2.1. Скачал вручную, положил в каталог dl.

    Теперь при сборке получается:

    Applying ./patches/003-change-user-and-foreground.patch using plaintext:
    patching file src/libs/zbxnix/daemon.c
    Hunk #1 FAILED at 300.
    1 out of 1 hunk FAILED -- saving rejects to file src/libs/zbxnix/daemon.c.rej
    Patch failed!  Please fix ./patches/003-change-user-and-foreground.patch!
    make[2]: *** [/home/user/Entware/build_dir/target-mipsel_mips32r2_glibc-2.27/zabbix-4.2.1/.prepared_5928082eaee17de39b7852c526828f9a_6664517399ebbbc92a37c5bb081b5c53] Error 1
    make[2]: Leaving directory `/home/user/Entware/feeds/packages/admin/zabbix'
    time: package/feeds/packages/zabbix/compile#1.14#0.83#2.07
    make[1]: *** [package/feeds/packages/zabbix/compile] Error 2
    make[1]: Leaving directory `/home/user/Entware'
    make: *** [package/zabbix/compile] Ошибка 2

    Кто-то может помочь?

  5. Добрый день.

    Заметил странное поведение при переадресации. В качестве цели указывается имя сервера, на который надо переадресовывать.

    Но у одного сервера есть 2 IP адреса, один из которых из другой сети. И, порой, в правилах переадресации оказывается не тот IP,

    который нужен. Есть штатное решение, что бы мне не перезагружать роутер до получения нужного результата?

  6. Добрый день.

    Может кто-то уже делал похожую задачу и подскажет мне как более быстро и беспроблемно ее реализовать.

    Есть Extra 2 и флешка с настроенными функциями (Openssh OpenVPN и т. д.) Купили Ultra (первую, почему-то вторые везде пропали) и USB HDD.

    Надо все перенести. Можно ли это сделать удаленно? Например я прошу вставить новый hdd в старый роутер, все копирую с флешки, потом прошу

    поставить новый роутер, настроить на нем интернет и воткнуть новый hdd.

    Заранее спасибо.

  7. Добрый день.

    Прошу помощи в следующем вопросе:

    Подключился к Пчелайну и узнал, что его серверы все зоны, заканчивающиеся на local резольвят на 127.0.0.200. И теперь не могу подключится к рабочим серверам через OpenVPN по имени, например server.domen.local.

    На сервере OpenVPN стоит опция push "dhcp-option DOMAIN domen.local" Но на станице роутера у рабочего DNS поле домен пусто. Так-же пробовал у DNSmasq опцию server с указанием рабочего DNS сервера и рабочего домена.

    Но все равно не работает.

    Заранее спасибо.

  8. Новая версия. из основного - если у кого не 192.168.1.X, то должен сам скрипт определить и добавить в маршруты.

    #!/opt/bin/bash
    #OpenVPN road warrior installer for Entware-NG running on NDMS v.2. Please see http://keenopt.ru and http://forums.zyxmon.org
    #This script will let you setup your own VPN server in a few minutes, even if you haven't used OpenVPN before
    
    if [[ ! -e /dev/net/tun ]]; then
        echo "TUN/TAP is not available"
        exit 1
    fi
    
    newclient () {
        # Generates the custom client.ovpn
        cp /opt/etc/openvpn/client-common.txt ~/$1.ovpn
        echo "<ca>" >> ~/$1.ovpn
        cat /opt/etc/openvpn/easy-rsa/pki/ca.crt >> ~/$1.ovpn
        echo "</ca>" >> ~/$1.ovpn
        echo "<cert>" >> ~/$1.ovpn
        cat /opt/etc/openvpn/easy-rsa/pki/issued/$1.crt >> ~/$1.ovpn
        echo "</cert>" >> ~/$1.ovpn
        echo "<key>" >> ~/$1.ovpn
        cat /opt/etc/openvpn/easy-rsa/pki/private/$1.key >> ~/$1.ovpn
        echo "</key>" >> ~/$1.ovpn
        echo "key-direction 1" >> ~/$1.ovpn
        echo "<tls-auth>" >> ~/$1.ovpn
        cat ta.key >> ~/$1.ovpn
        echo "</tls-auth>" >> ~/$1.ovpn
    }
    
    echo "Test installed components"
    IO=$(opkg list-installed |grep openvpn)
    
    if [ -n "$IO" ]
    then
      echo "OpenVPN installed";
    else
      opkg install openvpn-openssl
    fi
    
    IO2=$(opkg list-installed |grep openssl-util)
    
    if [ -n "$IO2" ]
    then
      echo "openssl-util installed";
    else
      opkg install openssl-util
    fi
    
    IW=$(opkg list-installed |grep wget)
    
    if [ -n "$IW" ]
    then
      echo "wget installed";
    else
      opkg install wget
    fi
    
    II=$(opkg list-installed |grep iptables)
    
    if [ -n "$II" ]
    then
      echo "Iptables installed";
    else
      opkg install iptables
    fi
    
    echo "Getting your ip address....please wait."
    IP=$(wget -qO- ipv4.icanhazip.com)
    LOCALNET=$(ip a | grep -o -E '(192.168.[0-9]{1,3}\.)1')
    
    if [[ -e /opt/etc/openvpn/openvpn.conf ]]; then
        while :
        do
        clear
        echo "Looks like OpenVPN is already installed"
        echo ""
        echo "What do you want to do?"
        echo "   1) Add a cert for a new user"
        echo "   2) Revoke existing user cert"
        echo "   3) Exit"
        read -p "Select an option [1-3]: " option
        case $option in
            1)
            echo ""
            echo "Tell me a name for the client cert"
            echo "Please, use one word only, no special characters"
            read -p "Client name: " -e -i client CLIENT
            cd /opt/etc/openvpn/easy-rsa/
            ./easyrsa build-client-full $CLIENT nopass
            # Generates the custom client.ovpn
            newclient "$CLIENT"
            echo ""
            echo "Client $CLIENT added, certs available at ~/$CLIENT.ovpn"
            exit
            ;;
            2)
            # This option could be documented a bit better and maybe even be simplimplified
            # ...but what can I say, I want some sleep too
            NUMBEROFCLIENTS=$(tail -n +2 /opt/etc/openvpn/easy-rsa/pki/index.txt | grep -c "^V")
            if [[ "$NUMBEROFCLIENTS" = "0" ]]; then
            echo ""
            echo "You have no existing clients!"
            exit 5
            fi
            echo ""
            echo "Select the existing client certificate you want to revoke"
            tail -n +2 /opt/etc/openvpn/easy-rsa/pki/index.txt | grep "^V" | cut -d '=' -f 2
            if [[ "$NUMBEROFCLIENTS" = "1" ]]; then
            read -p "Select one client [1]: " CLIENTNUMBER
            else
            read -p "Select one client [1-$NUMBEROFCLIENTS]: " CLIENTNUMBER
            fi
            CLIENT=$(tail -n +2 /opt/etc/openvpn/easy-rsa/pki/index.txt | grep "^V" | cut -d '=' -f 2 | sed -n "$CLIENTNUMBER"p)
            cd /opt/etc/openvpn/easy-rsa/
            ./easyrsa --batch revoke $CLIENT
            ./easyrsa gen-crl
            rm -rf pki/reqs/$CLIENT.req
            rm -rf pki/private/$CLIENT.key
            rm -rf pki/issued/$CLIENT.crt
            # And restart
            /opt/etc/init.d/S20openvpn restart
    
            echo ""
            echo "Certificate for client $CLIENT revoked"
            exit
            ;;
            3) exit;;
        esac
        done
    else
        clear
        echo "Welcome to this quick OpenVPN \"road warrior\" installer"
        echo ""
        # OpenVPN setup and first user creation
        echo "I need to ask you a few questions before starting the setup"
        echo "You can leave the default options and just press enter if you are ok with them"
        echo ""
        echo "First I need to know the IPv4 address of the network interface you want OpenVPN"
        echo "listening to."
        read -p "IP address: " -e -i $IP IP
        echo ""
        echo "What protocol do you want for OpenVPN?"
        echo "1) UDP"
        echo "2) TCP"
        read -p "Protocol (1 or 2): " -e -i 1 PROTOCOL
        echo "What VPN NET do you want?"
        read -p "VPN network: " -e -i 10.8.0.0 VPN_NET
        echo "Add VPN IP to getaway?"
        echo "y or n"
        read -p "VPN GW? " -e -i no VPN_GW
        echo ""
        if [ "$PROTOCOL" = 2 ]; then
            PROTOCOL=tcp
        PORT=443
        else
            PROTOCOL=udp
        PORT=1194
        fi
        echo "What port do you want for OpenVPN?"
        read -p "Port: " -e -i $PORT PORT
        echo ""
        if ["$VPN_GW" = "y" ]; then
            echo "What DNS do you want to use with the VPN?"
            echo "   1) Current system resolvers"
            echo "   2) Yandex DNS"
            echo "   3) Google"
            read -p "DNS [1-3]: " -e -i 1 DNS
            echo ""
        fi
        echo "RSA key size 2048 or 1024 ?"
        echo "1) 2048"
        echo "2) 1024"
        read -p "RSA key size (1 or 2): " -e -i 1 RSA_KEY_SIZE
        echo ""
        if [ "$RSA_KEY_SIZE" = 2 ]; then
        RSA_KEY_SIZE=1024
        else
            RSA_KEY_SIZE=2048
        fi
        echo ""
        echo "Finally, tell me your name for the client cert"
        echo "Please, use one word only, no special characters"
        read -p "Client name: " -e -i client CLIENT
        echo ""
        echo "Okay, that was all I needed. We are ready to setup your OpenVPN server now"
        read -n1 -r -p "Press any key to continue..."
    
        # An old version of easy-rsa was available by default in some openvpn packages
        if [[ -d /opt/etc/openvpn/easy-rsa/ ]]; then
        mv /opt/etc/openvpn/easy-rsa/ /opt/etc/openvpn/easy-rsa-old/
        fi
        # Get easy-rsa
        wget --no-check-certificate -O ~/EasyRSA-3.0.4.tgz https://github.com/OpenVPN/easy-rsa/releases/download/v3.0.4/EasyRSA-3.0.4.tgz
        tar xzf ~/EasyRSA-3.0.4.tgz -C ~/
        mv ~/EasyRSA-3.0.4 /opt/etc/openvpn/easy-rsa/
        chown -R root:root /opt/etc/openvpn/easy-rsa/
        rm -rf ~/EasyRSA-3.0.4.tgz
        cd /opt/etc/openvpn/easy-rsa/
        if [ "$RSA_KEY_SIZE" = 1024 ]; then
        cp vars.example vars
        echo "set_var EASYRSA_KEY_SIZE 1024" >> vars
        fi
        # Create the PKI, set up the CA, the DH params and the server + client certificates
        ./easyrsa init-pki
        ./easyrsa --batch build-ca nopass
        ./easyrsa gen-dh
        ./easyrsa build-server-full server nopass
        ./easyrsa build-client-full $CLIENT nopass
        ./easyrsa gen-crl
        openvpn --genkey --secret ta.key
        echo "local $IP" > /opt/etc/openvpn/openvpn.conf
        echo "port $PORT" >> /opt/etc/openvpn/openvpn.conf
        echo "proto $PROTOCOL" >> /opt/etc/openvpn/openvpn.conf
        echo "dev tun" >> /opt/etc/openvpn/openvpn.conf
        echo "sndbuf 0" >> /opt/etc/openvpn/openvpn.conf
        echo "rcvbuf 0" >> /opt/etc/openvpn/openvpn.conf
        echo "topology subnet" >> /opt/etc/openvpn/openvpn.conf
        echo "server $VPN_NET 255.255.255.0" >> /opt/etc/openvpn/openvpn.conf
        echo "ifconfig-pool-persist ipp.txt" >> /opt/etc/openvpn/openvpn.conf
    
    
    
    if [ "$VPN_GW" = y ]; then
        echo "push \"redirect-gateway def1 bypass-dhcp\"" >> /opt/etc/openvpn/openvpn.conf
        # DNS
        case $DNS in
        1)
        # Obtain the resolvers from resolv.conf and use them for OpenVPN
        grep -v '#' /etc/resolv.conf | grep 'nameserver' | grep -E -o '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' | while read line; do
            echo "push \"dhcp-option DNS $line\"" >> /opt/etc/openvpn/openvpn.conf
        done
        ;;
        2)
        echo "push \"dhcp-option DNS 77.88.8.8\"" >> /opt/etc/openvpn/openvpn.conf
        echo "push \"dhcp-option DNS 77.88.8.1\"" >> /opt/etc/openvpn/openvpn.conf
        ;;
        3)
        echo "push \"dhcp-option DNS 8.8.8.8\"" >> /opt/etc/openvpn/openvpn.conf
        echo "push \"dhcp-option DNS 8.8.4.4\"" >> /opt/etc/openvpn/openvpn.conf
        ;;
        esac
    fi
        echo "keepalive 10 120" >> /opt/etc/openvpn/openvpn.conf
        echo "push \"route $LOCALNET 255.255.255.0\"" >> /opt/etc/openvpn/openvpn.conf
        echo "cipher AES-256-CBC" >> /opt/etc/openvpn/openvpn.conf
        echo "compress" >> /opt/etc/openvpn/openvpn.conf
        echo "status /opt/var/log/openvpn-status.log" >> /opt/etc/openvpn/openvpn.conf
        echo "log-append  /opt/var/log/openvpn.log" >> /opt/etc/openvpn/openvpn.conf
        echo "client-to-client" >> /opt/etc/openvpn/openvpn.conf
        echo "persist-key" >> /opt/etc/openvpn/openvpn.conf
        echo "persist-tun" >> /opt/etc/openvpn/openvpn.conf
        echo "verb 3" >> /opt/etc/openvpn/openvpn.conf
        echo "explicit-exit-notify 1" >> /opt/etc/openvpn/openvpn.conf
        echo "crl-verify /opt/etc/openvpn/easy-rsa/pki/crl.pem" >> /opt/etc/openvpn/openvpn.conf
    
        echo "<ca>" >> /opt/etc/openvpn/openvpn.conf
        cat pki/ca.crt  >> /opt/etc/openvpn/openvpn.conf
        echo "</ca>"  >> /opt/etc/openvpn/openvpn.conf
        echo "<cert>"  >> /opt/etc/openvpn/openvpn.conf
        cat pki/issued/server.crt  >> /opt/etc/openvpn/openvpn.conf
        echo "</cert>"  >> /opt/etc/openvpn/openvpn.conf
        echo "<key>"  >> /opt/etc/openvpn/openvpn.conf
        cat pki/private/server.key  >> /opt/etc/openvpn/openvpn.conf
        echo "</key>"  >> /opt/etc/openvpn/openvpn.conf
        echo "<dh>"  >> /opt/etc/openvpn/openvpn.conf
        cat pki/dh.pem  >> /opt/etc/openvpn/openvpn.conf
        echo "</dh>"  >> /opt/etc/openvpn/openvpn.conf
        echo "key-direction 0"  >> /opt/etc/openvpn/openvpn.conf
        echo "<tls-auth>" >> /opt/etc/openvpn/openvpn.conf
        cat ta.key  >> /opt/etc/openvpn/openvpn.conf
        echo "</tls-auth>"  >> /opt/etc/openvpn/openvpn.conf
    
        echo "#!/bin/sh
    
    [ \"\$table\" != \"filter\" ] && exit 0   # check the table name
    iptables -I INPUT -i tun0 -j ACCEPT
    iptables -I FORWARD -s $VPN_NET/24 -j ACCEPT
    iptables -I INPUT -p $PROTOCOL --dport $PORT -j ACCEPT
    iptables -A INPUT -i lo -j ACCEPT" >> /opt/etc/ndm/netfilter.d/052-openvpn-filter.sh
    
    chmod +x /opt/etc/ndm/netfilter.d/052-openvpn-filter.sh
    
    echo "#!/bin/sh
    
    [ \"\$table\" != \"nat\" ] && exit 0   # check the table name
    iptables -t nat -A POSTROUTING -s $VPN_NET/24 -j SNAT --to $IP" >> /opt/etc/ndm/netfilter.d/053-openvpn-nat.sh
    
    
    
    chmod +x /opt/etc/ndm/netfilter.d/053-openvpn-nat.sh
    
        echo "client" > /opt/etc/openvpn/client-common.txt
        echo "dev tun" >> /opt/etc/openvpn/client-common.txt
        echo "proto $PROTOCOL" >> /opt/etc/openvpn/client-common.txt
        echo "sndbuf 0" >> /opt/etc/openvpn/client-common.txt
        echo "rcvbuf 0" >> /opt/etc/openvpn/client-common.txt
        echo "remote $IP $PORT" >> /opt/etc/openvpn/client-common.txt
        echo "resolv-retry infinite" >> /opt/etc/openvpn/client-common.txt
        echo "nobind" >> /opt/etc/openvpn/client-common.txt
        echo "persist-key" >> /opt/etc/openvpn/client-common.txt
        echo "persist-tun" >> /opt/etc/openvpn/client-common.txt
        echo "remote-cert-tls server" >> /opt/etc/openvpn/client-common.txt
        echo "cipher AES-256-CBC" >> /opt/etc/openvpn/client-common.txt
        echo "compress" >> /opt/etc/openvpn/client-common.txt
        echo "verb 3" >> /opt/etc/openvpn/client-common.txt
    
    
        # Generates the custom client.ovpn
        newclient "$CLIENT"
        echo ""
        echo "Finished!"
        echo ""
        echo "Your client config is available at ~/$CLIENT.ovpn"
        echo "If you want to add more clients, you simply need to run this script another time!"
    fi

     

  9. А далее все как раньше или тоже менять?

    git clone https://github.com/Entware/Entware
    cd Entware
    echo "src-git keendev3x https://github.com/The-BB/keendev-3x.git" >> ./feeds.conf
    cp configs/mipsel-3.4.config .config
    make package/symlinks
    make menuconfig
    make tools/install
    make toolchain/install
    make target/compile

    В 4 стоке конфиг на 3.4 поменял, все верно?

  10. И снова здравствуйте.

    Сегодня настраивал новый роутер и эти пакеты не хотят ставится вот лог:

    bash-4.4# opkg install zabbix-proxy_3.4.7-1b_mipsel-3x.ipk
    Installing zabbix-proxy (3.2.7-2) to root...
    Downloading http://bin.entware.net/mipselsf-k3.4/zabbix-proxy_3.2.7-2_mipsel-3.4.ipk
    Configuring zabbix-proxy.
    bash-4.4# opkg install zabbix-proxy_3.4.7-1b_mipsel-3x.ipk
    Package zabbix-proxy version 3.4.7-1b has no valid architecture, ignoring.
    Package zabbix-proxy (3.2.7-2) installed in root is up to date.

    Вижу, первый раз он вместо указанного пакета, ставит из репозитория старую версию. А поверх не хочет ставить, говорит архитектура не та.

    Раньше ставил на такой-же Extra II.

    Это из-за объединения репозиториев?

  11. 1 час назад, Piligrimm сказал:

    sip.conf - копия с работающего астериска в этой же сети.

    Интересует минимальный набор устанавливаемых пакетов(именно устанавливаемых), чтоб было так - установил минимум запустил, если все работает то устанавливаем следующий и проверяем. И желательно порядок установки минимального набора (а то там зависимости всякие).

    Так может у старого в этом параметре его IP указан? Тут обычно говорят - конфиги в студию...

    У астериска, который собирается из исходников на обычном сервере, есть специальная команда для установки минимальных конфигурационных файлов. Так что я не вспомню минимум. Тем боле что я всегда при сборке добавляю необходимые мне пакеты.

    Совет - выключи автозагрузку модулей и смотри ошибки. Там тебе написано будет каких модулей не хватает.

  12. 11 час назад, Piligrimm сказал:

    Внешний интерфейс доступен, в терминале пинги на сервер идут. Все конфиги (sip, extensions) перенесены с работающего в этой же сети  Asterisk13.20. Портирую, так сказать, с фряхи на кинетик.

    А в sip.conf правильно указано externaddr?

    11 час назад, Piligrimm сказал:

    3. Вот тут подскажите, пожалуйста, как и в каком месте выключать автозагрузку? И какой набор минимальный (список  модулей)?

     modules.conf

    autoload=no

    а нужный набор зависит от используемых модулей.

     

  13. 3 часа назад, Piligrimm сказал:

    Unable to open key directory '/opt/share/asterisk/keys'

    Это видимо каталог ему не доступен. Создать или права проверить.

    3 часа назад, Piligrimm сказал:

    Unable to find a valid server address or name.

    Не может опознать внешний интерфейс, как я понимаю. Выставить ему вручную. 

    И вообще выключить автозагрузку модулей и прописать только минимум, потом добавлять.

  14. Добрый день.

    Благодаря неоценимой помощи TheBB, собрал zabbix версии 3.4.

    Теперь пытаюсь прикрутить TLS. В Makefile выставил у proxy и agentd в DEPPENDS +openssl-util

    Пересобрал, установил, но в логе по прежнему TLS NO.

    Вот пытаюсь собрать знания из этого форума и с официального zabbix.

    Там все просто, при конфигурации указать --with-openssl.

    А тут не хватает знаний. Кто может помочь?

    Заранее спасибо.

    zabbix-agentd_3.4.7-1a_mipsel-3x.ipk

    zabbix-proxy_3.4.7-1a_mipsel-3x.ipk

  15. В 19.03.2018 в 19:39, KorDen сказал:

    Подозреваю, возможности мониторить состояние хостов с точки зрения роутера. Скажем, банально измерять пинг/процент потерь до яндекса, или через прокси забирать данные по мониторингу локальных железок с офиса без использования туннелей.

    Но всё же это в сторону Entware, до тех пор пока в младших моделях флеш маленький и нет нормальной ФС для хранения настроек-сертификатов-etc, будет отчасти так же костыльно, как сейчас с конфигом OpenVPN

    Да, вопрос в мониторинге серверов за кинетиком, что-бы не пробрасывать кучу портов. А про младшие модели - так не ставить на них. И все зависит от количества серверов. А OpenVPN у меня в прошивке хорошо работает.

     

    Кстати пробовал собрать сам пакет zabbix 3.4 и заодно tls прикрутить, но оказалось не так все просто.

    Агент то и 3.2  подключается, хоть и без шифрования, а вот прокси нужно 3.4.

×
×
  • Create New...