Домашний роутер: «Полностью ломай! Ломай меня полностью!»

Чтобы отправить комментарий — войдите.
  • CTE6EJIb
    20 апр 14
    сколько таких шлюзо-рутеров не пользовал, все они меня подводили. Ранние шлюзы вообще глюкавые были. Те, что нынче продаются демонстрируют глюки лишь под серьёзной нагрузкой, например, сразу пара пользователей торренты качает, тогда либо прекращают открываются некоторые веб-странички или вовсе виснет.

    Скорость маршрутизации никогда не соответствует скоростям на интерфейсах: сейчас уже вовсю гигабитные интерфейсы втыкают, да и ви-фи уже за 100Мбит/с перешагнула, а скорость маршрутизации до 100Мбит/с не везде доросла.

    В общем, я отказался от них. Поставил вместо них комп, накатил туда FreeBSD. Честно сказать, разобраться было значительно сложнее, чем в готовом шлюзо-рутере, но, в итоге, разобрался и теперь радуюсь. Зависал у меня такой комп лишь когда на мат.плате конденсатор вспучило.
    Ответить
    • H
      но есть один ньюанс... в небольших системах, как правило, pci, и можно поставить и 10 гигабит, только вот шина больше 500 мегабит не пропустит. Поэтому гигабит там только для галочки.

      а pci-е в SOC по-моему ставить не спешать. Или я ошибаюсь?
      Ответить
      • CTE6EJIb
        pci это 32 битная шина, работающая на частоте 33МГц. Значит, за один герц она передаёт 32 бита, а за одну секунду 32 * 33 000 000 бит = 1 056 000 000 бит, это 125Мбайт (в секунду) или же 1007 Мбит (в секунду). У меня на шине pci висит 4 сетевых карты, получается на каждую по 250 Мбит/с...вполне достаточно, учитывая, что они у меня 100Мбитные.
        Ответить
        • H
          максимальное число пакетов на фаст эзернете — ~150kpps, на маршрутизацию одного пакета требуется (есть такое мнение) около 2000 тактов процессора.

          150k * 2k * 4 интерфейса = тактовая частота ~1,2 ггц. С учетом прочих расходов — 1,5 ггц.

          Для бсд взлетит (только надо незабывать что сеть, в отличии от шины, дуплескная, т.е. 200 мегабит по шине, запас всего 20%), а вот для говнороутера с его 400-мегабитным MIPSом — нивзлетит. Вернее взлетит, но низэнько-низэнько, вставая раком при любой более-менее серьезной нагрузке.

          поэтому там чаще все, например что-то типа RTL 8181 или аналогичных, только пара fast ethernet'ов. Ибо больше он просто не пережует.
          Ответить
          • CTE6EJIb
            2000 тактов, это для какого процессора? у них у всех разные конвееры.

            интернет канал у меня лишь на один интерфейс приходит, так что на 4 умножать незачем. В реале загрузка проца (PIII 800) не составляет даже трети.
            Ответить
            • H
              В реале у тебя и все интерфейсы не забиты под 100%.

              вообще — для любого девайса маршрутизирующего или коммутирующего, надо смотреть не на цифры около интерфейсов, а на paket per seconds.

              Как показывает практика — далеко не все многомега/гигабитные девайсы реально могут заявленное прокачать. Причем даже pps зачастую указаны для каких-то конкретных условий, типа полного отсутствия ACL и закешированности получателей.

              Давным-давно, в одной далекой галактике... короче беседовал я с людьми, которые циски через порт наизнанку выворачивают и имеют доступ к соответствующей документации. Для младших моделей маршрутизаторов на моторолах общего назначения называлось около 1000 операций процессора на маршрутизацию одного пакета. Без acl, без nat, без прочих причиндал, для программного на базе третьего пня с общегражданской осью — 2-3 тысячи, но вот убей не помню — команд или тактов?

              опять же — без acl, без nat, без netflow, просто тупо перебрасывание пакетиков.

              В реальности, конечно, максимального возможного числа пакетов на интерфейсе получить можнт разве что специальным флудом, что несколько снижает нагрузку на маршрутизацию.
              Ответить
    • H
      Зависит от начинки роутера и глючности прошивки. У дешевых слабая начинка и недоработанная прошивка.

      Торренты MS режет изменив в SP2 значение полуоткрытых сессий TCP (Half-open limit fix).

      Существуют готовые дистрибутивы с Web интерфейсом (на базе linux/freebsd) для создания роутеров. Большинство современных WiFi роутеров используют linux подобную платформу.
      Ответить
      • CTE6EJIb
        увы, начинка роутера напрямую влияет на его скорость на WAN интерфейсе. Но я не встречал роутеров с какими-то выдающимися процессорами внутри. Что там сейчас массово устанавливают? 250Мгц? В моём линксисе был 130МГц. При проверке скорости на WAN интерфейсе он передавал около 30Мбит/с....а может и меньше даже..точно уже не помню.
        Ответить
    • lomicus
      CTE6EJIb

      по работе настраиваю и обслуживаю роутеры частных лиц. Массово. Разных.

      1) комп вместо роутера это как на таке ездить на работу можно но ... не актуально.

      2)роутеры ОЧЕНЬ разные — версия прошивки, версия роутера, не говоря уже о модели и производителе. чёрт ногу сломи

      3) На разных сетя требуются разные настройки — и сооьветсвенно одни и теже роутеры под разными провайдерами работают по разному. Добавте факт что у всех мною обнюханых провайдеров родного городжа есть косяки в плане работы сети... под конкретного провайдера приходится советовать конкретную модель с конкретной прошивкой

      4)процент брака у роутеров зашкаливает. Причём к старшим моделям это относится даже больше чем к дешовым.

      5) Почти всегда можно найти дешовый роутер для своих целей и конкретного провайдера, и будет он работать как надо — и 50 мегадит держать на WAN и от торентов ему не будет икаться... фокус в том что даже не все работники самого провайдера могут быть в курсе о том что же это за чудо бепроблемная железка, а даже зная могут не сказать например потому что официально роутер не входит в список потдерживоемых и рекомендуемых провайдером (а в списке могут быть отдельные модели которые вообще не имеют опций в настройке позволяющих использовать его на данном провайдере. менеджеры рулят ага)
      Ответить
      • CTE6EJIb
        про существование надёжных роутеров спорить не стану. Я их видел не много....наверное, всего около одного десятка. Но те, с которыми я работал, именно работал, а не просто настраивал — меня подводили. Скорость на WAN интерфейсе они все режут. А я до недавнего времени сидел на провайдере, который по тестам обеспечивал мне скорость доступа в инет со скоростью 90-100Мбит/с....я когда узнал, удивился — они заявляли скорость скромнее.
        Ответить
      • vedmed
        lomicus 24 апр 14
        Про отдельный комп для роутера ...

        У меня на работе роутером служит _виртуальный_ линукс.

        Мощи хостового Core i7 вполне хватает — возможностей настройки файрвола — на вообще любые прихоти
        Ответить
    • E
      CTE6EJIb 20 апр 14
      *Зависал у меня такой комп лишь когда на мат.плате конденсатор вспучило.

      А чё, вспух от возмущения!
      Ответить
    • K
      Болтун
      Ответить
    • F
      Если критична скорость маршрутизации — покупайте соответствующее железо. Причем заявленная производителем скорость — это, обычно максимальная скорость передачи между соседними портами. А у вас на роутере скорее всего включено несколько правил файервола, включено шифрование, и скорее всего из-за этого и проблемы под нагрузкой появляются.
      Ответить
  • lombrozo2604
    20 апр 14
    У друзей был комп, подключенный к интернету шнурком, купили айпад, спросили, как подключить к вайфаю, я начал долго объяснять про роутеры, домашнюю сеть и т.д., выслушав меня они сказали, да фигня, вон мы включили вафлю, вот поймали какую-то сеть "Вася" ( условно конечно) без пароля, вроде нормальный доступ, а ты роутер, роутер)))
    Ответить
    • H
      По условиям безопасности недопустимо.
      Ответить
      • lombrozo2604
        да понятно ж, просто забавно таки.

        Кстати интересно, у меня в локальной сети со всеми там WPA2, привязкой макадресов, сложными паролями, скрытим SSID и т.д. вдруг фигак-с и появился в сети совершенно непонятный DIR 630 делинковский. Поменял все пароли, опять обнаруживает. Моего сознания понять откуда и что не хватило, айтишники с фирмы посмотрели настройки сети, сказали, что фигня какая-то, но все у тебя правильно и хорошо. Через день исчез. WTF???
        Ответить
    • H
      Ну да. А Вася там сидит и собирает пароли, номера кредиток и все такое. :)
      Ответить
    • 1
      Ну не надо было друзьям так сложно всё объяснять. Они заморачиваться не захотели. Пусть поставят на "комп со шнурком" какой нибудь mhotspot или др. виртуальный роутер, залочат и в путь..
      Ответить
  • redroot2
    20 апр 14
    Кинул по квартире локалку на основе витой пары — может я и ретроград, но сплю спокойно...
    Ответить
    • pikalov
      олдфаг..... но нужно следить за тенденциями, иначе останетесь за бортом...
      Ответить
      • F
        Именно. Выковыривай витуху, и разводи оптикой ;-)
        Ответить
    • lomicus
      и подключил к нему игровую станцию, телек, сотовый, 2 ноутбукаи планшет .. ага...
      Ответить
      • Gentleman
        да и подключил к нему, станционарный комп, ноутбук, планшет ( по переходнику минкроусб-ЛАН),телевизор и медио хранилище... Инога телефон samsung через тот же переходник подключаю если что скачать надо.. скорость чумовая. И проблем нет :)
        Ответить
  • S
    20 апр 14
    Поменять пароль в настройках раутера + WPA2 и этого вполне достаточно!
    Ответить
    • F
      Закрыть админку с WAN порта — не у всех закрыто по дефолту. Вообще удивили советы в стиле — скрывайте SSID. Странно, что про фильтрацию по ARP ничего не написали. Тем более что сейчас к компу доступ получить проще, нежели к роутеру.
      Ответить
  • BitCoin
    20 апр 14
    Хорошая статья. Для особо продвинутых можно работать по кабелю от роутера, без Wi-Fi. Большинство роутеров могут раздавать )))
    Ответить
  • S
    20 апр 14
    Банальным перебором... Ухуесть! 8 знаков подобрать перебором с скоростью 3 попытки в секунду (обычные роутеры быстрее не сработают, а дорогие могут настраиваться на количество неудачных попыток и блочить маки) понадобится лет 7 непрерывного перебора. Удаче!

    Это из чего состоит Ваш дом, если вы за 3 этажа ловите вафлю??? Картон? Тут через 2 двери в туалете уже слабо ловит! Ещё есть такая фигня как мощность принимающего устройства. Вы можете хоть 20ти ватный вайфай поставить на розетку, телефон от этого отправлять на него сигналы сильнее не станет, так что залейтесь солпями — от мощности сигнала в гараже своим инетом пользоваться не получится.

    Статья для газеты сельскаяжизнь, не более.
    Ответить
    • H
      в момент хэндшейка точка посылает некоторые данные A, клиент их возвращает преобразованныеми B. т.е. имеем преобразование f(A , key ) = B

      после чего, зная А, B и f, пытаемся подобрать key.

      точка доступа в процессе перебора не участвует.
      Ответить
      • lomicus
        прще говоря не тыкаем пасс в роутер а анализиуем передоваемые данные и пытаемся их вскрыть методом подбора. 3-4 дня и простой пороль впа2 вскрыт
        Ответить
      • S
        На хабре были статьи про сенсационные взломы вафли. Всё свелось к сенсационному пину из 4 символов. Взломать 4 чуть проще чем 8. Перехват и расшифровка трафика вещь занятная, но не все имеют у себя дома спец оборудование ФСБ или АНБ...

        zwe

        По брутфорсу. На мощьный комп имеет смысл только если на нём пароль брутить. В случае с точкой доступа скорость задаёт самый медленный верблюд — сама точка доступа, в которые по каким-то причинам не ставят 8ми ядерные и7 с экстрим разгоном...
        Ответить
        • H
          Ичсо раз.

          Есть известная функция f(key,A).

          Значение этой функции B для параметра A получены путем ловли беспроводного трафика. key подбирается перебором. Точка доступа в процессе не участвует.

          Участвует 8-ми ядерный и7 с разгоном. Хотя GPU видяхи в качестве тупой числомолотилки дернет и7 как мастер спорта физкультурника.

          Для справки: GTX260 "щелкает" md5 со скоростью ~550 млн хэшей в секунду. Одно ядро Q6600 на частоте 2,4ггц — 45 млн хэшей в секунду. А GТХ 260 далеко не самый мощный GPU, ATI 4850 считает почти 900 млн хэшей в секунду.
          Ответить
        • Z
          sanedom 20 апр 14
          Вы как-то невнимательно прочитали мое сообщение.

          Точка доступа какой бы процессор не имела всё равно ограничена скоростью передачи среды Wi-Fi и самим протоколом WPS
          Ответить
    • Z
      sanedom 20 апр 14
      Спасибо! Удача на 8 знаках наступит допустимо быстро.

      Атака на WPS, если без локаутов — в пределах суток.

      Атака по хорошим словарям — в пределах суток.

      Брутфорс на 8 символов — в пределах месяца на более-менее современном компьютере
      Ответить
      • R
        zwe 20 апр 14
        Атака по WPS при знание что и ка в пределах 15-25 секунд ) 3 года за интернет платят мои соседи Тема WiFiSlax или BT5 )
        Ответить
        • Z
          Rackot 20 апр 14
          Если Вы знаете PIN -то да, несколько секунд. Только это уже не атака, а штатное использование
          Ответить
      • F
        zwe 20 апр 14
        Угу. Специально оставил хонейпот для мониторинга. Пока (~1.5 года) никто не ломал — штук 20 попыток явно руками — и усё.
        Ответить
  • yu444
    20 апр 14
    нафига это? буд-то народ гуляет и ищет, у кого там не закрытый вайфай и простенький пароль
    Ответить
    • al4606
      yu444 20 апр 14
      Для параноиков. Сменить пароль админки и поставить пароль на фафлю более чем достаточно.
      Ответить
    • al4606
      yu444 20 апр 14
      Хотя хватит и пароля на вафлю, все равно не подключаться к сети.
      Ответить
      • C
        al4606 20 апр 14
        Ненене!!!

        Есть вирусня, которая лезет на незапароленный роутер(или стандартный админ админ) через ваш комп или через бук на вафле и меняет ДНСы на нужные, в итоге популярные соцсети и ещё пара сайтов вам говорит, что-нибудь типа "вас ломанули", "введите пароль", и т.д. лишь бы заставить вас на фэйковой странице ввести ещё раз логин-пасс, хотя в адресной строке написан именно тот сайт, на который вы хотели залезть, а не на фэйк злоумышленников.

        Многие догадываются, что попадают на фэйковую страницу, начинают чистить комп(ы), даже всё форматнув и переустановив, всё равно попадают на фэйковые страницы, т.к. на компе вируса нет, а настройки коробки остались как прежде... Вот такие дела...

        Поэтому пустой или стандартный пасс на коробке нужно обязательно менять!
        Ответить
    • fire1985
      yu444 20 апр 14
      так народ реально гуляет и ищет халявный инет.

      сам видел: школьники из соседней школы ввалились во двор нашей многоэтажки и своими мобилами ловили вай-фай из квартир. судя по довольному гомону — нашли таки незапароленный — сидели потом в беседке пару часов в инете вероятно через него.

      другое дело что пользовать халявный инет и залезть в чужой комп это разные вещи, но ...
      Ответить
      • al4606
        fire1985 20 апр 14
        Для того чтобы такого не было достаточно установить пароль доступа к вафле.
        Ответить
      • yu444
        fire1985 20 апр 14
        Мне бы и не жалко было пусть сидят себе в моем вайфае, сейчас такие скорости да и безлимит что по скорости даже не заметно, лиж бы в самом роутере чего-нибуть не наизменяли
        Ответить
  • E
    20 апр 14
    недавно прошился прошивкой от олега, через несколько дней пошла какая то реклама на странице вконтакте. И ссылки, перейдя по которым, мне сообщалось , что мой диск С весь в вирусах....правда у меня Linux Mint стоит, в итоге после долгих проверок всех виндовых и не виндовых устройств в сети, оказалось, что на роутере был добавлен левый DNS, который и творил эту хрень.....вот так вот оказывается бывает
    Ответить
    • veh
      egoruh 20 апр 14
      Не реклама — существуют прошивки Padavana. Супер!
      Ответить
    • E
      egoruh 20 апр 14
      лису левую запустил
      Ответить
  • G
    20 апр 14
    Много слов. Для домашнего роутера — wpa2 с нормальным паролем, ограничений по мак-адресам и обновлений прошивки вполне достаточно. А остальное о чём? Скрытый SSID, малый уровень сигнала, шарить ресурсы с паролем — бред. Зачем тогда вообще роутер, если на каждом шагу пароли вводить и в соседнюю комнату бояться выйти, чтобы связь не пропала.

    А для не домашнего роутера это всё детский лепет, не думаю что это стоит читать админам.
    Ответить
    • Z
      goste 20 апр 14
      MAC-доступ — тоже детский лепет. Ваш валидный MAC прекрасно виден и спуфится на раз-два.

      Только доставляет его прописывать каждому устройству.
      Ответить
  • StupidManiac
    20 апр 14
    Объясните мне, зачем отключать WPS, если для его "срабатывания" нужен физический контакт с устройством?
    Ответить
    • W
      не обязательно, многие устройства поддерживают WPS c pin кодом
      Ответить
      • al4606
        А пинг год транслируется прямо в открытую?
        Ответить
        • Z
          al4606 20 апр 14
          Транслируется открыто, но вряд ли Вы уловите такой момент :-)
          Ответить
full image