[OpenWRT] Ervaringen & Discussie

[Compizfox]

jantje112 schreef op vrijdag 17 juli 2015 @ 18:47:
[...]


Ik stel het in via de webinterface. Denk dat ik toch een simpele denkfout maak met het instellen. (doe ik het wel bij de juiste plek?)

Het mooie aan OpenWRT (en specifiek UCI) is dat de webinterface de configfile (in /etc/config/) aanpast Je kunt dus dngen in de webinterface aanpassen en, en de wijzigingen zie je dan weer terug in /etc/config/.

Even de d-link resetten en wil je dan een dump van een blanco /etc/config/network, want zodra ik het zo instel dat het niet werkt, dan kan ik er niet meer bij..

Het liefst eigenlijk een dump van die file nadat je het opgeslagen (maar niet toegepast) hebt.

[jantje112]

Ik heb vast screenshots gemaakt, allicht kun je aangeven of ik het op de juiste plek invul

Ik heb nu een nieuwe install van open-wrt gedaan en nog niets geconfigureerd. Als ik de netwerkkabel inplug en mijn laptop connect dan krijg ik onderstaande op het eerste scherm

https://www.dropbox.com/s...opname%20%281%29.png?dl=0
Ik heb deze 2 interfaces beschikbaar. Bij de groene verander ik de instellingen. (edit) ook de andere ingesteld en eth1 nu op 192.168.2.2 gezet. Het internetverkeer loopt nu dus door die poort maar de webinterface zit nog op 192.168.1.1

https://www.dropbox.com/s...opname%20%282%29.png?dl=0
Hier heb ik mijn aanpassingen gedaan. Dus gateway op 192.168.2.254 en IP adres op 192.168.2.1 DNS 8.8.8.8 en ook 192.168.2.254 geprobeerd.

DHCP heb ik iets naar onderen uitgezet in bovenstaande config.

https://www.dropbox.com/s...opname%20%283%29.png?dl=0

[Voor 9% gewijzigd door jantje112 op 17-07-2015 20:49]

[Compizfox]

Je moet die WAN-interface weggooien zodat je maar één enkele interface overhoudt. Dan moet je de kabel die naar de router gaat dus ook in een LAN-poort prikken, of de switch-config zo aanpassen dat ook de WAN-poort bij de LAN-interface opkomt.

[Borromini]

Maurits van Baerle schreef op vrijdag 17 juli 2015 @ 13:17:
OpenWRT 15.05 (Chaos Calmer) RC3 is uit.

[...]

Te downloaden op: http://downloads.openwrt.org/chaos_calmer/15.05-rc3/

Iemand die me de SVN-revisie kan geven? Als je zelf je builds draait dan kom je dat niet te weten...

Bedankt

[vanaalten]

Compizfox schreef op vrijdag 17 juli 2015 @ 22:19:
Je moet die WAN-interface weggooien zodat je maar één enkele interface overhoudt. Dan moet je de kabel die naar de router gaat dus ook in een LAN-poort prikken, of de switch-config zo aanpassen dat ook de WAN-poort bij de LAN-interface opkomt.

Volgens de parallel lopende postings van jantje112 heeft de Dlink die hij gebruikt enkel een WAN-poort, Dus dan zal het aanpassen van de switch-config, WAN-poort bij de LAN-interface, de oplossing kunnen zijn.

Even nieuwsgierig: hoe doe je dat ongeveer? Niet dat ik het nu nodig heb, maar dat soort kennis kan zomaar ooit nuttig zijn.

Edit: denk dat ik het al gevonden heb. Kan per merk/type weer anders zijn, maar in deze wiki-pagina staan wat voorbeelden, geloof ik?

[Voor 11% gewijzigd door vanaalten op 18-07-2015 08:39. Reden: Toevoegen van mogelijke WAN-LAN oplossing]

[Borromini]

Klopt, zo werkt het.

[Compizfox]

Als hij alleen de WAN-poort gebruikt (en de LAN-poorten verder niet nodig heeft), dan kan hij natuurlijk ook gewoon de LAN-config met rust laten en de WAN-interface aanpassen (in plaats van de LAN-interface, wat hij hiervoor probeerde)

En hoe je dat doet? Bij routers die één NIC en een managed switch hebben (het merendeel, heb ik begrepen) kun je de switch-config zo aanpassen dat alle poorten op hetzelfde VLAN naar de NIC worden doorgegeven. Bij routers die een aparte NIC hebben voor de WAN-poort kun je de LAN-NIC en de WAN-NIC bridgen.

[Voor 40% gewijzigd door Compizfox op 18-07-2015 11:44]

[jantje112]

Bedankt voor jullie input, ondertussen heb ik de router weer "verloren" op het netwerk, dus ik ga nog een keer opnieuw beginnen.

Ik had nu zoals hierboven de suggestie stond 1 van de 2 weggehaald en instellingen gedaan, maar dat werkte nog niet. Nu kijken hoe ik de enkele ethernetaansluiting als wan/lan kan instellen.

[Compizfox]

Heb je ondertussen al de /etc/config/network voor mij? Eventueel kan ik hem wel voor je aanpassen en dan zet jij mijn aangepaste versie weer terug.

[jantje112]

Compizfox schreef op zaterdag 18 juli 2015 @ 18:08:
Heb je ondertussen al de /etc/config/network voor mij? Eventueel kan ik hem wel voor je aanpassen en dan zet jij mijn aangepaste versie weer terug.

Dat is een heel tof aanbod! Ik moet de komende dagen " wandelen " in Nijmegen, maar als je aanbod dan nog geldig is, dan zou ik er graag gebruik van maken!

[Compizfox]

Natuurlijk, het is een kleine moeite.

[KhaZ]

OpenWRT en DD-WRT ondersteunen geen Hardware NAT, als mijn verbinding met Ziggo echter maar 120Mbit is, maakt dit niet uit toch? Of wordt Hardware NAT ook ergens anders voor gebruikt?

Ik twijfel om over te stappen naar alternatieve firmware, omdat Hardware NAT niet ondersteund wordt.

[Jeru]

Ik heb een beetje hulp nodig met het instellen van mijn Tp-link 1043ND V2 in combinatie met Tweak glasvezel.
Het doel voor mij is om direct de TP link aan te kunnen sluiten op de Genexis NTU en daarmee de standaard Zyxel te vervangen ik gebruik geen TV. Ik heb inmiddels Openwrt weten te installeren en begrijp de basis en heb een config gevonden die voor die persoon werkt. Maar op het moment dat ik die bij mij instel werkt het niet. Hebben jullie een idee waardoor dat kan komen? Ik heb de config direct gecopy paste:

CurlyMo schreef op woensdag 12 november 2014 @ 15:44:

Ga even naar het bericht voor de complete quote, is een beetje lang om hier zo even neer te dumpen.

Daarnaast geeft Tweak deze info:
https://blog.tweak.nl/har...gebruik-eigen-apparatuur/

Thanks alvast!

[Voor 8% gewijzigd door Jeru op 20-07-2015 09:22]

[Compizfox]

Heb je hier wat aan? https://tuxplace.nl/tutor...met-tweak-groen-glasvezel

[Jeru]

Compizfox schreef op maandag 20 juli 2015 @ 10:04:
Heb je hier wat aan? https://tuxplace.nl/tutor...met-tweak-groen-glasvezel

Gedeeltelijk, alleen die poorten komen niet overeen met wat er bij mij staat in de router.
Daardoor weet ik niet precies hoe ik die moet aanpassen.

bij mij staat er dit:

code:

config interface 'wan'
    option ifname 'eth0'
    option proto 'dhcp'

config interface 'wan6'
    option ifname 'eth0'
    option proto 'dhcpv6'

config switch
    option name 'switch0'
    option reset '1'
    option enable_vlan '1'

config switch_vlan
    option device 'switch0'
    option vlan '1'
    option ports '0 1 2 3 4'

config switch_vlan
    option device 'switch0'
    option vlan '2'
    option ports '5 6'

[Voor 38% gewijzigd door Jeru op 20-07-2015 10:29]

[Koldur]

KhaZ schreef op maandag 20 juli 2015 @ 08:37:
OpenWRT en DD-WRT ondersteunen geen Hardware NAT, als mijn verbinding met Ziggo echter maar 120Mbit is, maakt dit niet uit toch? Of wordt Hardware NAT ook ergens anders voor gebruikt?

Ik twijfel om over te stappen naar alternatieve firmware, omdat Hardware NAT niet ondersteund wordt.

Ik draai al jaren OpenWRT zodat ik dat apparaat kan gebruiken als NAS, Bittorrent client, VPN server en zelfs als router met een Ziggo 120 Mbit abbo op het moment. Je hebt gelijk dat je dan niet tegen limieten van software NAT zal lopen, dat zal gewoon goed moeten gaan allemaal, dat is ten minste mijn praktijk ervaring en ik doe er echt veel mee.

[KhaZ]

Koldur schreef op maandag 20 juli 2015 @ 10:53:
[...]


Ik draai al jaren OpenWRT zodat ik dat apparaat kan gebruiken als NAS, Bittorrent client, VPN server en zelfs als router met een Ziggo 120 Mbit abbo op het moment. Je hebt gelijk dat je dan niet tegen limieten van software NAT zal lopen, dat zal gewoon goed moeten gaan allemaal, dat is ten minste mijn praktijk ervaring en ik doe er echt veel mee.

[Jeru]

Heb het uiteindelijk net werkend gekregen door bij mij poort 5 en 6 te taggen en door de rest hetzelfde te doen. Ik haal nu ongeveer 300mbit, is dit ongeveer de max die de 1043ND haalt via de wan poort?

[Compizfox]

Omdat mijn tweede (USB) radio niet goed werkte, heb ik geprobeerd om twee interfaces (één STA, één AP) te draaien onder één radio. Tot mijn verbazing werkt het ook nog (de wiki geeft aan dat het niet kan met mac80211)

Het nadeel is natuurlijk wel dat je vast zit aan één frequentie en mode.

[Voor 14% gewijzigd door Compizfox op 20-07-2015 22:34]

[Dennis]

Koldur schreef op maandag 20 juli 2015 @ 10:53:
Ik draai al jaren OpenWRT zodat ik dat apparaat kan gebruiken als NAS, Bittorrent client, VPN server en zelfs als router met een Ziggo 120 Mbit abbo op het moment. Je hebt gelijk dat je dan niet tegen limieten van software NAT zal lopen, dat zal gewoon goed moeten gaan allemaal, dat is ten minste mijn praktijk ervaring en ik doe er echt veel mee.

Het verschilt natuurlijk ook nog wel welke router je gebruikt. Met een Netgear WNDR3700v2 haal ik in ieder geval ook met gemak mijn 120Mbps.

[MsG]

Voorheen als ik met routers, switches e.d. liep te stoeien installeerde ik altijd DD-WRT. Dit pakket werkte altijd mooi en zag er goed uit met veel opties. Omdat dat op den duur wel een beetje saai wordt, en je zo niet meer echt bijleert maar besloten om op 1 van de 2 accesspoints (gewone routers met DHCP uit) OpenWRT te zetten ipv DD-WRT. Dit is net afgerond.

Het is eventjes wennen. OpenWRT komt iets technischer op me over, met meer moeilijke termen. Maar het package-systeem ga ik even induiken. Ik kreeg bij de netwerkinstellingen geen opties voor DHCP forwarding, iets wat ik in DD-WRT wel had. Ik heb nu gewoon maar DHCP uit staan. Het lijkt hetzelfde effect te hebben.

[Dennis]

Als je DHCP uitzet, worden DHCP pakketjes gewoon geforward door de functionaliteit van de switch .

[MsG]

Wat doet het expliciete dhcp forwarding dan? Of is dat compleet ergens anders voor bedoeld.

[Koldur]

MsG schreef op vrijdag 24 juli 2015 @ 09:08:
Wat doet het expliciete dhcp forwarding dan? Of is dat compleet ergens anders voor bedoeld.

Dat zorgt ervoor dat de DHCP server voorrang geeft aan de andere DHCP server in het netwerk. Als je dus de DHCP server uit zet waar je forwarding aan zou zetten, dan is het effect hetzelfde.

[Voor 66% gewijzigd door Koldur op 24-07-2015 09:20]

[matty___]

Heb op mijn 1043nd router nu 15.05rc3 draaien met een ipv6 via rd6. Bij de speedtest haal ik met gemak 113mb (glas) op ipv4 maar ipv6 blijft steken op ca 50mb.

Iemand met dezelfde ervaring?

[Maurits van Baerle]

matty___ schreef op zaterdag 25 juli 2015 @ 12:32:
Heb op mijn 1043nd router nu 15.05rc3 draaien met een ipv6 via rd6. Bij de speedtest haal ik met gemak 113mb (glas) op ipv4 maar ipv6 blijft steken op ca 50mb.

Iemand met dezelfde ervaring?

Kun je computer eens rechtstreeks op je modem aansluiten en dan nog eens testen? Dan kun je zien of het aan OpenWRT ligt of je ISP/Computer.

Het zou best kunnen dat er ergens een firewall ICMPv6 pakketjes blokkeert. Als je die pakketjes blokkeert dan zou je dat in je snelheid kunnen merken omdat ICMPv6 gebruikt wordt om de verbinding te optimaliseren. Standaard zou OpenWRT goed moeten staan maar ik zou dus eerst kijken of het überhaupt aan OpenWRT ligt en niet aan iets anders.

[matty___]

Maurits van Baerle schreef op zondag 26 juli 2015 @ 19:11:
[...]

Kun je computer eens rechtstreeks op je modem aansluiten en dan nog eens testen? Dan kun je zien of het aan OpenWRT ligt of je ISP/Computer.

Het zou best kunnen dat er ergens een firewall ICMPv6 pakketjes blokkeert. Als je die pakketjes blokkeert dan zou je dat in je snelheid kunnen merken omdat ICMPv6 gebruikt wordt om de verbinding te optimaliseren. Standaard zou OpenWRT goed moeten staan maar ik zou dus eerst kijken of het überhaupt aan OpenWRT ligt en niet aan iets anders.

Met een sitecom router zonder openwrt was het geen probleem.

Kan ik makkelijk de openwrt firewall uitzetten voor ipv6?

[Mijzelf]

matty___ schreef op maandag 27 juli 2015 @ 08:36:
Kan ik makkelijk de openwrt firewall uitzetten voor ipv6?

ip6tables -F

Flusht alle rules, daarmee effectief de firewall uitzettend.

Bedenk wel dat daarmee al je ipv6 apparatuur bereikbaar wordt van buitenaf.

[Maurits van Baerle]

Maak wel even aantekeningen hoe de IPv6 firewall regels nu staan voordat je er wijzigingen aan gaat maken. Het is niet zo simpel als alleen een simpele DENY op al het inkomend verkeer.

[matty___]

Mijzelf schreef op maandag 27 juli 2015 @ 09:52:
[...]

ip6tables -F

Flusht alle rules, daarmee effectief de firewall uitzettend.

Bedenk wel dat daarmee al je ipv6 apparatuur bereikbaar wordt van buitenaf.

Neem aan dat dit enkel tijdelijk is en na reboot weer hersteld is?

Maurits van Baerle schreef op maandag 27 juli 2015 @ 10:40:
Maak wel even aantekeningen hoe de IPv6 firewall regels nu staan voordat je er wijzigingen aan gaat maken. Het is niet zo simpel als alleen een simpele DENY op al het inkomend verkeer.

Die zitten nogal complex in elkaar. Als het echt aan de FW ligt moet ik hier toch een keer in duiken

[Mijzelf]

matty___ schreef op maandag 27 juli 2015 @ 11:03:
[...]

Neem aan dat dit enkel tijdelijk is en na reboot weer hersteld is?

Ja. Een 'firewall restart' in System->Startup voldoet ook al.

(Je kunt trouwens ook de firewall stoppen in dat menu, alleen heb je dan ook geen NAT en port-forwards meer. Weet niet of je die nodig hebt bij je tests)

[albino71]

Compizfox schreef op maandag 29 juni 2015 @ 15:58:
[...]

Jup, dat kan.

Heb inmiddels de spullen in huis, maar ik kan nog niet direct een tutorial vinden voor mijn situatie en kan wel een duwtje in de goede richting gebruiken.

Situatie:
Genexis FTU (poort 1 = internet, poort 2 = IPTV)
TP Link 1043 v1 router met openWRT
TP Link 105E managed switch

Wat ik ga/wil doen:
Genexis poort 1 (internet) -> Wan poort router
Genexis poort 2 (IPTV) -> Lan poort 1 router (deze als wan 2 instellen??)

Router lan 3 (vlan1 + vlan2) -> Switch poort 1
Switch poort 2 (vlan 1) -> PC
Switch poort 3 (vlan 2) -> Amino

Volgens mij moet dat zo kunnen, maar ik weet even niet waar ik beginnen moet....

[Compizfox]

Volgens mij is de opzet die je nu hebt al heel aardig. Waar zit je precies vast?

Standaard staat op de switch van je router al ingesteld dat op de WAN-poort untagged VLAN 2, en op de LAN-poorten untagged VLAN 1, binnenkomt. De switch geeft beide VLANs tagged door aan de NIC, wat resulteert in twee virtuele interfaces (eth0.1 en eth0.2).

Stel dus nog even een andere poort in op untagged VLAN 3. Het niet nodig om hem tagged door te geven aan de NIC want je hoeft er toch niet op de routen.

Nu stel je in dat zowel VLAN 1 (dit is je normale LAN) én VLAN 3 tagged over een derde poort gaan. Deze poort gebruik je om je switch te verbinden met je router. Ook op de switch moet je natuurlijk instellen dat op de poort die je gebruikt om hem met de router verbinden, VLAN 1 en 3 tagged binnenkomen.

Dan kun je op de andere switch instellen dat op bepaalde poorten (je noemt zelf al poort 2 en 3) de VLANs untagged worden doorgegeven.

[Voor 16% gewijzigd door Compizfox op 03-08-2015 01:01]

[albino71]

Bedankt, ik ga er binnenkort op deze manier mee stoeien en koppel even terug.

edit: Ben er niet uitgekomen.

Kan ik wel Glas FTU - OpenWRT - Switch - Device als opstelling gebruiken?

Of moet het Glas FTU - OpenWRT - Switch - Switch - Device zijn?

Ik snap in jouw verhaal de vlan 3 niet trouwens....

Er zijn toch maar 2 vlans?

[Voor 62% gewijzigd door albino71 op 09-08-2015 22:59]

[Auredium]

Zelf afgelopen week OpwenWRT op een TP-Link TL-WR1043ND gezet en ik ben er weg van tot nu toe. Ik heb nog een hoop dingen die ik wil doen zo ben ik gisteravond begonnen met het toekennen van vaste IPv4 adressen aan MAC-adressen. Eindelijk een vast IP adres voor mijn TV en Blueray.

Ik moet wel nog even kijken waarop ik met Putty niet de router kan benaderen ondanks het uitzetten van de firewall. Maar dat komt vast goed.

[Dennis]

Auredium schreef op vrijdag 14 augustus 2015 @ 10:26:
Zelf afgelopen week OpwenWRT op een TP-Link TL-WR1043ND gezet en ik ben er weg van tot nu toe. Ik heb nog een hoop dingen die ik wil doen zo ben ik gisteravond begonnen met het toekennen van vaste IPv4 adressen aan MAC-adressen. Eindelijk een vast IP adres voor mijn TV en Blueray.

Ik moet wel nog even kijken waarop ik met Putty niet de router kan benaderen ondanks het uitzetten van de firewall. Maar dat komt vast goed.

Standaard kun je van elk LAN de router benaderen via Putty. Daar hoef je de firewall niet voor uit te zetten. Of wil je hem van buitenaf benaderen?

[RutgerM]

Auredium schreef op vrijdag 14 augustus 2015 @ 10:26:
Zelf afgelopen week OpwenWRT op een TP-Link TL-WR1043ND gezet en ik ben er weg van tot nu toe. Ik heb nog een hoop dingen die ik wil doen zo ben ik gisteravond begonnen met het toekennen van vaste IPv4 adressen aan MAC-adressen. Eindelijk een vast IP adres voor mijn TV en Blueray.

Ik moet wel nog even kijken waarop ik met Putty niet de router kan benaderen ondanks het uitzetten van de firewall. Maar dat komt vast goed.

SSH moet je aanzetten in de GUI, staat standaard niet aan.

[Auredium]

Standaard kun je van elk LAN de router benaderen via Putty. Daar hoef je de firewall niet voor uit te zetten. Of wil je hem van buitenaf benaderen?

Nope gewoon vanuit het netwerk.

SSH moet je aanzetten in de GUI, staat standaard niet aan.

Dat zal em zijn.
* Auredium heeft al heel, heel lang geen putty meer gebruikt. Nostalgie.

[Dennis]

RutgerM schreef op vrijdag 14 augustus 2015 @ 11:25:
SSH moet je aanzetten in de GUI, staat standaard niet aan.

Dat is niet zo. Als je bij het installeren van OpenWRT een wachtwoord instelt voor de toegang tot de interface dan wordt Telnet uitgeschakeld en SSH direct ingeschakeld.

http://wiki.openwrt.org/doc/howto/firstlogin

• please choose a secure password, (consult e.g password strength)
• after you set a password the telnet daemon will be disabled, type exit into the prompt
• without reboot, SSH is now available; so is HTTPS if the WebUI (LuCI) is installed with it's TLS-modules

[Voor 34% gewijzigd door Dennis op 14-08-2015 11:33]

[Auredium]

Dennis schreef op vrijdag 14 augustus 2015 @ 11:31:
[...]

Dat is niet zo. Als je bij het installeren van OpenWRT een wachtwoord instelt voor de toegang tot de interface dan wordt Telnet uitgeschakeld en SSH direct ingeschakeld.

http://wiki.openwrt.org/doc/howto/firstlogin


[...]

Ik heb putty telnet en putty geprobeerd zonder succes. Voor de info; ik heb Barrier Breaker en een v2.1 versie van de TP-LInk 1043 welke ik gewoon via de interface in de Lan kan benaderen. Putty geeft geen inlog en hangt op een zwarte cursor welke uiteindelijk een netwerk connectie error terug werpt na een minuutje.

Nu probeer ik het via Windows. Maar ik zal dit weekend eens via 1 van mijn Linux bakken erin te SSH-en om te zien of dat wel lukt. Daarmee kan ik dan iig bepalen of het een routersetting of een Windows ding is.

[Voor 13% gewijzigd door Auredium op 14-08-2015 11:44]

[RutgerM]

Dennis schreef op vrijdag 14 augustus 2015 @ 11:31:
[...]

Dat is niet zo. Als je bij het installeren van OpenWRT een wachtwoord instelt voor de toegang tot de interface dan wordt Telnet uitgeschakeld en SSH direct ingeschakeld.

http://wiki.openwrt.org/doc/howto/firstlogin


[...]

Zoals je weet doen de meeste dat niet direct

Trouwens stond op 15 bij mij geen enkele interface geselect... dus het werkte sowieso niet.

[Voor 10% gewijzigd door RutgerM op 14-08-2015 12:00]

[Dennis]

RutgerM schreef op vrijdag 14 augustus 2015 @ 11:58:
Zoals je weet doen de meeste dat niet direct

Ik denk dat mensen die OpenWRT gebruiken dat juist wel doen. Plus dat je anders elke keer waarschuwingen krijgt en überhaupt geen wachtwoord hebt ingesteld.

[RutgerM]

Dennis schreef op vrijdag 14 augustus 2015 @ 11:59:
[...]

Ik denk dat mensen die OpenWRT gebruiken dat juist wel doen. Plus dat je anders elke keer waarschuwingen krijgt en überhaupt geen wachtwoord hebt ingesteld.

Nou die waarschuwingen vallen wel mee hoor.

Ik draai redelijk wat van deze routers en tijdens het instellen vul ik geen WW in gezien ik toch zelf per kabel geconnect ben en nagenoeg alles via Luci doe.

Tevens wil je geen SSH enable op je wifi

[Dennis]

RutgerM schreef op vrijdag 14 augustus 2015 @ 12:01:
Ik draai redelijk wat van deze routers en tijdens het instellen vul ik geen WW in gezien ik toch zelf per kabel geconnect ben en nagenoeg alles via Luci doe.

Ik heb er ook zes maar het eerste wat ik altijd doe is een wachtwoord instellen, zodat ik het onveilige Telnet niet nodig heb.

Tevens wil je geen SSH enable op je wifi

Waarom niet?

[RutgerM]

Dennis schreef op vrijdag 14 augustus 2015 @ 12:03:
[...]

Ik heb er ook zes maar het eerste wat ik altijd doe is een wachtwoord instellen, zodat ik het onveilige Telnet niet nodig heb.

Onveilig, Onveilig... als man in the middle ja, en wat nog onveiliger is... is je Router/WAP/Firewall instellen zoals jij doet in een productie netwerk it seems.

[...]

Waarom niet?

Je beheerders interface wil je niet op je publieke lan hebben, period.

[Dennis]

RutgerM schreef op vrijdag 14 augustus 2015 @ 12:10:
Je beheerders interface wil je niet op je publieke lan hebben, period.

Daar ben ik het eigenlijk wel mee eens . Mijn nieuwe switch heeft een eigen management VLAN en dat moet straks ook op mijn router komen.

Heb jij ook meerdere devices en route je het verkeer ook via je trunk?

[RutgerM]

Dennis schreef op vrijdag 14 augustus 2015 @ 12:20:
[...]

Daar ben ik het eigenlijk wel mee eens . Mijn nieuwe switch heeft een eigen management VLAN en dat moet straks ook op mijn router komen.

Heb jij ook meerdere devices en route je het verkeer ook via je trunk?

Je kunt zelf een management vlan creeeren en je poort waar JOUW pc op zit trunken met die vlan.

Je router doet de rest qua tagging.

Als je echt een losse poort hebt voor je management netwerk dan kan het wellicht handig zijn te untaggen en je default ID de management vlan ID geven op die poorten.

Wat je zegt doe je opzich goed, je moet routeren en firewallen. Het lijkt HumpieDumpie maar het is de manier om het te doen.

Onthou een ding heel goed, mensen die van de daken schreeuwen dat je het NIET goed doet weten zelf vaak de helft nog niet eens.

Waarom ik zeg dat je je management interface los wil hebben, tagged of niet, is puur omdat ik dat bij voorbaat al deed en er later duidelijk profijt van had met firewalling, etc vanuit mijn gehele netwerk

Ik praat hier over een newerk met +/- 12 switches op 200m2, dus dan snap je wellicht het complexe geval

Volgende stap, of het beste is direct... ACL's

Succes!

[Dennis]

RutgerM schreef op vrijdag 14 augustus 2015 @ 12:36:
Je kunt zelf een management vlan creeeren en je poort waar JOUW pc op zit trunken met die vlan.

Dat weet ik, ik heb al meerdere VLAN voor een secure en niet-secure netwerk. Maar mijn eigen pc trunken? Ik kan maar één VLAN untagged doorgeven lijkt mij. De meeste NIC's die op moederborden zitten ondersteunen überhaupt geen tagging dacht ik (in Windows 7).

Als je echt een losse poort hebt voor je management netwerk dan kan het wellicht handig zijn te untaggen en je default ID de management vlan ID geven op die poorten.

Dat is wat ik bedoelde en waar ik aan dacht.

...

Volgende stap, of het beste is direct... ACL's

Succes!

Ik weet ook wel dat ik het goed doe. Ik heb al meerdere VLANs en veilig en onveilig verkeer gescheiden. Bovendien is mijn SSH uitsluitend te gebruiken met RSA keys. Via Wi-Fi is hij toegankelijk, maar mijn Wi-Fi is op basis van EAP-TLS met certificaten, dus denk dat ik redelijk veilig ben .

Overigens een van de redenen voor mijn nieuwe switch is dat hij 802.3x ondersteunt dus binnenkort gaan ook mijn wired devices authenticatie meesturen om op het secure netwerk te mogen.

[RutgerM]

Trunken was wellicht niet het goede woord, eigenlijk doe je dat wel een beetje maar je routeert gewoon VlanX naar VlanY en firewalled.

Je router is echt key hier.

Wat je goed in de gaten moet houden is dat je efficient routeert. Soms kun je niet anders dan een extra kabeltje leggen tussen je devices om overig verkeer niet in de weg te zitten op een "trunk".

Wat betreft je beveiliging, ik vind die certificaten enigzins BULL. Zaken welke goed beveiligd zijn hoefr je niet extra te beveiligen, het maakt het alleen maar meer complex wanneer je zaken moet updaten, zeker met meerdere gebruikers. Refreshen van wachtwoorden, goede DNS lookups en alles over VPN heb je vaak meer aan.

SSH wil je niet publiek hebben om floods van verkeer en scriptkiddies tegen te gaan, gewoon omdat ze dan verder gaan irriteren. En wanneer root/SSH login uit staat op een machine maakt het eigenlijk geen snars uit, moeten ze nog sudo rechten hebben willen ze wat kunnen.

[borft]

we gaan lichtelijk off-topic hier, maar ik ben juist wel een fan van het zogenaamde onion model, waarbij je je beveiliging gelaagd opzet. Dus op de netwerklaag beveilig je met bv VLAN's, op de IP laag zorg je dat alleen de juiste ip's erin mogen, en op de applicatie laag zorg je voor fatsoenlijke authenticatie, en dan gebruik ik bij ssh liever certificaten dan een lullig wachtwoordje

[Dennis]

Mee eens borft. Overigens is die certificaten voor Wi-Fi wel degelijk nuttig. Het is eigenlijk zelfs de enige methode om te garanderen dat je eigen mobiele devices veilig van Wi-Fi gebruik kunnen maken.

Als je WPA2 gebruikt kan iemand anders jouw accesspoint dupliceren, daar kun je vrij weinig tegen ondernemen (behalve Wi-Fi altijd uitzetten).

[Compizfox]

albino71 schreef op maandag 03 augustus 2015 @ 01:00:
Bedankt, ik ga er binnenkort op deze manier mee stoeien en koppel even terug.

edit: Ben er niet uitgekomen.

Kan ik wel Glas FTU - OpenWRT - Switch - Device als opstelling gebruiken?

Of moet het Glas FTU - OpenWRT - Switch - Switch - Device zijn?

Ik snap in jouw verhaal de vlan 3 niet trouwens....

Er zijn toch maar 2 vlans?

Je had me even moeten quoten, dan had ik je bericht wat eerder gezien

Er zit een interne switch in de OpenWRT-router, dus in de praktijk zijn de twee opstellingen aan elkaar gelijk.

VLAN 1 is je LAN. VLAN 2 is je WAN. (tot zover is dit al bij default zo). Je moet nu een derde VLAN aanmaken voor je IPTV.

---

RutgerM schreef op vrijdag 14 augustus 2015 @ 12:10:
[...]

Onveilig, Onveilig... als man in the middle ja, en wat nog onveiliger is... is je Router/WAP/Firewall instellen zoals jij doet in een productie netwerk it seems.

Onveilig? Jij gebruikt geen WPA2?

---

Dennis schreef op vrijdag 14 augustus 2015 @ 13:17:
Als je WPA2 gebruikt kan iemand anders jouw accesspoint dupliceren, daar kun je vrij weinig tegen ondernemen (behalve Wi-Fi altijd uitzetten).

Hardnekkig misverstand weer. Ook met WPA-PSK is dat niet mogelijk, omdat ook WPA-PSK mutual authentication biedt. Als jij dus een rogue AP opzet met dezelfde SSID als die van je 'slachtoffer', dan gaan de devices van je slachtoffer niet ineens met jouw AP verbinden, omdat jij de PSK niet kent. Die devices krijgen dan netjes een authentication error.

---

Oh, en wat betreft certificaten voor SSH: dat is echt een must, zeker als je je SSH naar buiten open hebt staan. Als je SSH vanaf buiten toegankelijk hebt en je staat login met een wachtwoord toe, heb je binnen de kortste keren honderden Chinezen die jouw server lopen te brute-forcen.

Als je password login uitzet doen de meesten niet eens meer de moeite om het te proberen, is mijn ervaring.

[Voor 48% gewijzigd door Compizfox op 14-08-2015 14:31]

[Dennis]

Compizfox schreef op vrijdag 14 augustus 2015 @ 14:23:
Hardnekkig misverstand weer. Ook met WPA-PSK is dat niet mogelijk, omdat ook WPA-PSK mutual authentication biedt. Als jij dus een rogue AP opzet met dezelfde SSID als die van je 'slachtoffer', dan gaan de devices van je slachtoffer niet ineens met jouw AP verbinden, omdat jij de PSK niet kent. Die devices krijgen dan netjes een authentication error.

Hoe kan het dan dat ik meerdere routers heb met dezelfde SSID en dat als ik ooit met een apparaat op het ene netwerk ben aangemeld hij het ook automatisch doet op de andere netwerken?

Oh, en wat betreft certificaten voor SSH: dat is echt een must, zeker als je je SSH naar buiten open hebt staan. Als je SSH vanaf buiten toegankelijk hebt en je staat login met een wachtwoord toe, heb je binnen de kortste keren honderden Chinezen die jouw server lopen te brute-forcen.

Als je password login uitzet doen de meesten niet eens meer de moeite om het te proberen, is mijn ervaring.

Inderdaad. Beetje hetzelfde als TLS met OpenVPN.

[Compizfox]

Dennis schreef op vrijdag 14 augustus 2015 @ 14:33:
[...]

Hoe kan het dan dat ik meerdere routers heb met dezelfde SSID en dat als ik ooit met een apparaat op het ene netwerk ben aangemeld hij het ook automatisch doet op de andere netwerken?

Omdat je op al die APs dezelfde PSK instelt. Dat kan, omdat jij de PSK weet. Een kwaadwillende kan dit niet omdat die jouw PSK niet weet.

[Voor 16% gewijzigd door Compizfox op 14-08-2015 14:35]

[Dennis]

Compizfox schreef op vrijdag 14 augustus 2015 @ 14:35:
Omdat je op al die APs dezelfde PSK instelt. Dat kan, omdat jij de PSK weet. Een kwaadwillende kan dit niet omdat die jouw PSK niet weet.

Was even zoeken, maar ik heb toch gelijk .

http://www.flukenetworks....-stop-honeypot-ap-attacks

Neemt niet weg dat ik niet wist wat jij zei, maar met de 'Evil Twin methode' kun je wel degelijk WPA2-personal kraken. Het is inderdaad niet zo makkelijk als dat ik dacht, maar niet onmogelijk. Als het wachtwoord complex genoeg is kun je hem zelfs nooit achterhalen, maar als dat niet het geval is kun je ook hier weer rainbow tables gebruiken.

WPA2-enterprise, mits voorzien van de juiste instellingen zoals EAP-TLS én al je devices die de nodige checks doen (CN van server certificaat controleren) is de enige 100% garantie dat je veilig bent. Hier moet je natuurlijk wel bij aantekenen dat als je mobile device maar één trusted open netwerk ('WiFi in de trein' anyone ) heeft je al je moeite voor niets hebt gedaan.

.

[Compizfox]

Dennis schreef op vrijdag 14 augustus 2015 @ 15:13:
[...]

Was even zoeken, maar ik heb toch gelijk .

http://www.flukenetworks....-stop-honeypot-ap-attacks

Neemt niet weg dat ik niet wist wat jij zei, maar met de 'Evil Twin methode' kun je wel degelijk WPA2-personal kraken. Het is inderdaad niet zo makkelijk als dat ik dacht, maar niet onmogelijk. Als het wachtwoord complex genoeg is kun je hem zelfs nooit achterhalen, maar als dat niet het geval is kun je ook hier weer rainbow tables gebruiken.

WPA2-enterprise, mits voorzien van de juiste instellingen zoals EAP-TLS én al je devices die de nodige checks doen (CN van server certificaat controleren) is de enige 100% garantie dat je veilig bent.

Niet helemaal mee eens. Met een voldoende sterke PSK is het dermate moeilijk te kraken dat je gerust "vrijwel onmogelijk" kunt zeggen. Op dezelfde manier is zelfs EAP-TLS niet 100% veilig, al zal het natuurlijk nóg moeilijker zijn om een 2048-bit RSA key te cracken dan je gemiddelde PSK.

Het grote voordeel van EAP is natuurlijk wel dat niet alle users dezelfde secret hebben; elke users heeft zijn eigen credentials of certificaten. Vooral met netwerken met veel gebruikers (zoals bij bedrijven) is dat een voordeel, omdat anders honderden mensen dezelfde PSK in handen hebben, waardoor het in feite geen 'secret' meer is.

Hier moet je natuurlijk wel bij aantekenen dat als je mobile device maar één trusted open netwerk ('WiFi in de trein' anyone ) heeft je al je moeite voor niets hebt gedaan.

.

Helemaal correct. Daarom vind ik open netwerken ook zo belachelijk.

[RutgerM]

Compizfox schreef op vrijdag 14 augustus 2015 @ 14:23:
[...]


[...]

Onveilig? Jij gebruikt geen WPA2?

---

[...]

Ik had het over Telnet, waar zie jij mij over WPA(2) praten ?

Telnet is niet onveilig zolang er maar niemand tussen zit die luistert

borft schreef op vrijdag 14 augustus 2015 @ 13:05:
we gaan lichtelijk off-topic hier, maar ik ben juist wel een fan van het zogenaamde onion model, waarbij je je beveiliging gelaagd opzet. Dus op de netwerklaag beveilig je met bv VLAN's, op de IP laag zorg je dat alleen de juiste ip's erin mogen, en op de applicatie laag zorg je voor fatsoenlijke authenticatie, en dan gebruik ik bij ssh liever certificaten dan een lullig wachtwoordje

Gewoon SSH over VPN, klaar en een SPOS welke je hoeft te updaten qua certificaat.

[Compizfox]

RutgerM schreef op vrijdag 14 augustus 2015 @ 15:58:
[...]
Ik had het over Telnet, waar zie jij mij over WPA(2) praten ?

Telnet is niet onveilig zolang er maar niemand tussen zit die luistert

Oh sorry, las inderdaad verkeerd. Ik dacht dat je reageerde op een andere quote

[...]
Gewoon SSH over VPN, klaar en een SPOS welke je hoeft te updaten qua certificaat.

Mja, elke keer een VPN-verbinding moeten opzetten om bij SSH te kunnen is nogal onhandig. (zeker als je wel eens bij je server moet vanaf je telefoon of iets dergelijks) Bovendien zie ik het nut niet in; SSH met een certificaat is even veilig.

[RutgerM]

Compizfox schreef op vrijdag 14 augustus 2015 @ 16:15:
[...]

Oh sorry, las inderdaad verkeerd. Ik dacht dat je reageerde op een andere quote

[...]

Mja, elke keer een VPN-verbinding moeten opzetten om bij SSH te kunnen is nogal onhandig. (zeker als je wel eens bij je server moet vanaf je telefoon of iets dergelijks) Bovendien zie ik het nut niet in; SSH met een certificaat is even veilig.

Het voordeel is dat je direct op je netwerk zit, met SSH ook wel maar SSH is meestal management, dus ik zit liever intern.

Sterker, mijn imap is niet eens benaderbaar zonder VPN

[Compizfox]

RutgerM schreef op vrijdag 14 augustus 2015 @ 16:22:
[...]
Het voordeel is dat je direct op je netwerk zit, met SSH ook wel maar SSH is meestal management, dus ik zit liever intern.

Sterker, mijn imap is niet eens benaderbaar zonder VPN

Ik vind het nogal omslachtig om dat soort dingen te beveiligen via VPN, zeker gezien ook IMAP prima over TLS kan (wat je even sterke beveiliging geeft). Mijn IMAP is dus ook niet benaderbaar zonder TLS

[Voor 5% gewijzigd door Compizfox op 14-08-2015 16:31]

[RutgerM]

Compizfox schreef op vrijdag 14 augustus 2015 @ 16:30:
[...]

Ik vind het nogal omslachtig om dat soort dingen te beveiligen via VPN, zeker gezien ook IMAP prima over TLS kan (wat je even sterke beveiliging geeft). Mijn IMAP is dus ook niet benaderbaar zonder TLS

Strikt genomen is het wel benaderbaar, maar niet authenticeerbaar.

Is niet zo omslachtig hoor, even connecten via openVPN, evenueel bij het inloggen van mijn WS + fingerprint... it's all that simple

[Compizfox]

RutgerM schreef op vrijdag 14 augustus 2015 @ 16:36:
[...]
Strikt genomen is het wel benaderbaar, maar niet authenticeerbaar.

Oja, je hebt gelijk ja

Zelfde geldt voor m'n SMTP: uiteraard wel benaderbaar, maar een AUTH vóór een STARTTLS is niet toegestaan

[RutgerM]

Compizfox schreef op vrijdag 14 augustus 2015 @ 16:44:
[...]

Oja, je hebt gelijk ja

Zelfde geldt voor m'n SMTP: uiteraard wel benaderbaar, maar een AUTH vóór een STARTTLS is niet toegestaan

StartTLS is gewoon een certificaat wat jouw server aanbiedt, geen client/server variant als in VPN

[Compizfox]

RutgerM schreef op vrijdag 14 augustus 2015 @ 16:59:
[...]


StartTLS is gewoon een certificaat wat jouw server aanbiedt, geen client/server variant als in VPN

Dat snap ik. Je bedoelt dat bij VPN ook de client wordt geauthenticeerd met een certificaat. Bij STARTTLS wordt inderdaad enkel de server geauthenticeerd (client authentication gaat via een wachtwoord).

[RutgerM]

Compizfox schreef op vrijdag 14 augustus 2015 @ 17:13:
[...]

Dat snap ik. Je bedoelt dat bij VPN ook de client wordt geauthenticeerd met een certificaat. Bij STARTTLS wordt inderdaad enkel de server geauthenticeerd (client authentication gaat via een wachtwoord).

Yep.

[ThinkPad]

Heeft iemand ervaring met het opzetten van DNSSEC-validatie op een OpenWRT router? Ik heb twee tests gedaan http://dnssec-failed.org en http://dnssectest.sidn.nl maar beide falen. Dit terwijl de DNS-servers die ik gebruik (OpenNIC) volgens mij wel DNSSEC-validatie doen. De router forward het niet op de juiste manier waardoor het nu alsnog niks doet voor mij.

Dit schijnt te komen doordat 'dnsmasq' in OpenWRT geen validatie doet. Je schijnt 'unbound' te moeten installeren zodat die dnsmasq kan vervangen/meehelpen. Iemand hier ervaring mee?
Wil graag m'n home setup wat veiliger maken, maar ik ben nogal een n00b met dit soort dingen. Iets meer begrijpbare taal/handleiding zou handig zijn

Is dit een goede methode: http://www.cambus.net/dns...outer-level-with-openwrt/ ?
Hier: http://falstaff.agner.ch/...enwrt-15-05-chaos-calmer/ zeggen ze dat je 'dnsmasq-full' kunt installeren zodat je DNSSEC door dnsmasq kunt laten doen.
Ik zit nog op Barrier Breaker 14.07. Misschien eerst maar eens upgraden naar 15.05 aangezien rc3 al uit is en ze in die tweede handleiding ook 15.05 gebruiken.

[Voor 80% gewijzigd door ThinkPad op 19-08-2015 11:50]

[Maurits van Baerle]

ThinkPadd schreef op woensdag 19 augustus 2015 @ 11:48:
Heeft iemand ervaring met het opzetten van DNSSEC-validatie op een OpenWRT router? [..]

Ja, ik ben ermee aan het experimenteren geweest aan de hand van deze handleiding en die falstaff pagina die jij ook hebt gevonden. Het is op zich heel simpel om te implementeren. Dnsmasq vervangen door dnsmasq-full en ergens een 0 in een 1 veranderen. Uiteraard had ik ook alleen maar OpenNIC servers die DNSSEC ondersteunen ingesteld.

Op zich werkte het bij mij in zoverre dat ik inderdaad antwoorden op DNSSEC requests op mijn clients terugkreeg. Een DNS record van een site inclusief die key dus. De test sites gaven overwegend goede resultaten:
http://dnssectest.sidnlabs.nl/test.php
http://www.dnssec-failed.org (als je DNSSEC goed werkt zou deze pagina niet moeten werken)
http://test.dnssec-or-not.net
http://dnssec.vs.uni-due.de

Helaas ging er toch nog iets mis in de verificatie zodat sommige sites (mogelijk alle sites die daadwerkelijk DNSSEC keys in hun DNS record hebben staan) niet leken te bestaan. Ze leken gewoon simpelweg niet te bestaan als domein.

Toen ben ik gaan duiken in de discussie rond DNSSEC op OpenWRT en kwam er achter dat er inderdaad niet rekening werd gehouden met de volgorde waarin de controle plaatsvindt, er zijn meerdere opties en ze ondersteunden er maar één (zeg ik zo even uit m'n hoofd) en dat dat inmiddels gefixt moet zijn. Er staat in de changelog voor 15.05 dan ook "Improved support for DNSSEC" en ik neem aan dat dat die fix is.

Ik kan me zelf nu even niet veroorloven om een release candidate van 15.05 te installeren in een productieomgeving maar ik heb goede hoop dat het is opgelost in 15.05. Zodra de final uit is ga ik het weer proberen.

[Voor 5% gewijzigd door Maurits van Baerle op 19-08-2015 12:18]

[ThinkPad]

Maurits van Baerle schreef op woensdag 19 augustus 2015 @ 12:11:
[...]
Ja, ik ben ermee aan het experimenteren geweest
[...]

Thanks!

Conclusie is dus dat ik het met 15.05 rc3 gewoon aan de gang moet kunnen krijgen, waarbij alle sites nog gewoon normaal laden en de sites die DNSSEC ondersteunen dit dan ook correct doorgeven aan m'n clients?

[Maurits van Baerle]

ThinkPadd schreef op woensdag 19 augustus 2015 @ 12:20:
[...]

Thanks!

Conclusie is dus dat ik het met 15.05 rc3 gewoon aan de gang moet kunnen krijgen, waarbij alle sites nog gewoon normaal laden en de sites die DNSSEC ondersteunen dit dan ook correct doorgeven aan m'n clients?

Nou ja, ik weet natuurlijk niet zeker of het in 15.05 nu allemaal gefixt is aangezien ik dat zelf nog niet heb getest. Maar, ik heb inderdaad goede hoop dat het gefixt is. Het probleem is in ieder geval erkend, patches toegepast en die lijken nu in 15.05 te zitten.

Als jij je het kunt veroorloven zou ik inderdaad die 15.05 rc3 installeren, dnsmasq verwijderen en dnsmasq-full installeren en ergens in een config file DNSSEC + validatie aanzetten (volgens mij zijn dat nog steeds twee aparte instellingen. Zonder validatie wordt het geloof ik wel opgevraagd maar niet daadwerkelijk gecontroleerd). Je kunt het dan testen met die test-sites en verder natuurlijk met een commando als dig +dnssec sidn.nl op een client (in ieder geval op OS X en Linux, op Windows zal het wel een NSLookup achtig commando zijn). Volgens mij testte ik het met sidn.nl, xs4all.nl en alkmaar.nl die het allemaal deden. Je ziet gewoon een hoop extra data in een DNS record staan, dat zijn de keys.

Wat op zich wel handig is is even ergens een VPN achter de hand hebben liggen. Als het halve internet dan ineens niet werkt omdat je een foutje in de DNSSEC instelling hebt gemaakt kun je in ieder geval nog steeds tutorials bereiken door even een VPN aan te zetten. Die gebruiken hun eigen DNS servers. Ik heb zelf ZenMate als Firefox plugin zodat ik met één knop het probleem kon omzeilen. Alleen bij het troubleshooten goed opletten wanneer hij uit en aan staat. Daar ging ik wel eens de mist in

[Voor 18% gewijzigd door Maurits van Baerle op 19-08-2015 12:33]

[ThinkPad]

OK, dan ga ik er binnenkort wel even mee aan de slag. Het is voor m'n thuisnetwerk, dus niet mission-critical gelukkig (zijn er uberhaupt bedrijven die OpenWRT gebruiken voor hun core network ? ).

Heb een OpenVPN lijntje naar m'n ouders als ik bij hun NAS moet, dus dat is ook geen probleem. Hardcoded op IP-adres dus zelfs zonder DNS werkt die nog.

Zal mij hier wel melden als het gelukt is of als ik tegen problemen aanloop

[Voor 12% gewijzigd door ThinkPad op 19-08-2015 12:44]

[Maurits van Baerle]

Top, ik hoor graag of het gelukt is!

Edit: ik bedenk me net dat ik wel eens heb gelezen dat Android de Google DNS servers hardcoded heeft staan en zo de DNS instellingen op je eigen netwerk omzeilt. Let dus op dat je niet teveel conclusies trekt uit dat het werkt op een Android toestel op je netwerk. Je kunt het het beste op zoveel mogelijk diverse clients testen (plus powercycle op je router en DHCP renew op je clients) voor je je definitieve conclusies trekt.

[Voor 85% gewijzigd door Maurits van Baerle op 19-08-2015 12:55]

[Dennis]

ThinkPadd schreef op woensdag 19 augustus 2015 @ 11:48:
Heeft iemand ervaring met het opzetten van DNSSEC-validatie op een OpenWRT router?

Ik ben bezig met implementatie van DNSSEC voor alles (incl. forward & reverse) in mijn eigen netwerk met OpenWRT. Zal waarschijnlijk ook pas volledig klaar zijn met CC, maar ik gebruik trouwens wel Bind ipv DNSMasq.

[CAPSLOCK2000]

ThinkPadd schreef op woensdag 19 augustus 2015 @ 11:48:
Heeft iemand ervaring met het opzetten van DNSSEC-validatie op een OpenWRT router? Ik heb twee tests gedaan http://dnssec-failed.org en http://dnssectest.sidn.nl maar beide falen. Dit terwijl de DNS-servers die ik gebruik (OpenNIC) volgens mij wel DNSSEC-validatie doen. De router forward het niet op de juiste manier waardoor het nu alsnog niks doet voor mij.

Die OpenNIC-servers hebben er niks mee te maken want jouw verbinding met die servers is nog steeds kwetsbaar. Je moet de DNSSEC-validatie op jouw resolver doen. Idealiter zou iedere computer het zelf lokaal doen, tenzij je op een of andere manier de communicatie met je DNS-resolver kan beveiligen.

Dit schijnt te komen doordat 'dnsmasq' in OpenWRT geen validatie doet. Je schijnt 'unbound' te moeten installeren zodat die dnsmasq kan vervangen/meehelpen. Iemand hier ervaring mee?
Wil graag m'n home setup wat veiliger maken, maar ik ben nogal een n00b met dit soort dingen. Iets meer begrijpbare taal/handleiding zou handig zijn

Van OpenWRT heb ik geen kaas gegeten maar Unbound met dnssec is op zich super simpel, bij nieuwere versies werkt het out-of-the-box. Die handleiding die je linkt ziet er prima uit.

[edklavertje]

Is er een hele simpele handleiding om DNS servers aan te passen op router netgear WNDR3700 open wrt ? Ik word hor en dol van de Ziggo storingen.

Laat maar; zelf uitgedokterd en aangepast naar google dns servers

[Voor 19% gewijzigd door edklavertje op 20-08-2015 21:08]

[Koldur]

edklavertje schreef op donderdag 20 augustus 2015 @ 21:01:
Is er een hele simpele handleiding om DNS servers aan te passen op router netgear WNDR3700 open wrt ? Ik word hor en dol van de Ziggo storingen.

Laat maar; zelf uitgedokterd en aangepast naar google dns servers

Het is erg simpel inderdaad, het beste kan je het in /etc/config/dhcp aanpassen of toevoegen zoals hier:

list server 'x.x.x.x'
list server 'x.x.x.x'

Je kan vrijwel oneindig servers toevoegen

[ThinkPad]

Maurits van Baerle schreef op woensdag 19 augustus 2015 @ 12:41:
Top, ik hoor graag of het gelukt is!

[...]

Net even bezig geweest (eerst geupdate naar 15.05 via sysupgrade bin) en de tutorial hier: http://falstaff.agner.ch/...enwrt-15-05-chaos-calmer/ gevolgd.

dnsmasq vervangen door dnsmasq-full en de opties daarna nog uitgevoerd. De optie

uci set dhcp.@dnsmasq[0].dnsseccheckunsigned=1

had ik ook uitgevoerd, maar daarna werkt DNS in z'n algemeen niet meer, nu.nl kon ik bijv. niet meer laden. Die dus weer uitgezet, zo

uci set dhcp.@dnsmasq[0].dnsseccheckunsigned=0

toch?

Met de Google DNS (blegh!) lijkt het te werken, maar de 3 OpenNIC servers die ik gebruik ondersteunen volgens mij helemaal geen DNSSEC? Zou jij/iemand dat kunnen verifieren? Omdat je zegt dat jij wel DNSSEC had met OpenNIC?

Ik gebruik deze drie:
95.85.9.86
31.220.43.191
151.236.29.92

Staat ook niet aangeven op de lijst met servers overigens.
Net even een paar getest en met 144.76.133.38 krijg ik wel een output met RRSIG erin terug op m'n laptop. Maarja dat is een server in DE, voor de resolvesnelheid gebruik ik liever eentje in NL. En ook omdat er bij dat IP op de wiki niet vermeld wordt of die logging opslaat ja/nee.

Weet alleen niet wat ik nu met dat stukje

There is one problem thought: If an attacker forges an answer and removes its DNSSEC records, dnsmasq silently accepts them.

aan moet. Omdat het de eerste keer m'n internet sloopte. Of komt dat omdat ik OpenNIC nog ingesteld had staan, die geen DNSSEC doet blijkbaar?

Al met al lijkt het nu dus te werken, maar ik hoor graag of alles zo klopt. Zo'n Linux expert ben ik namelijk niet

P.S. 'dig' onder Windows lukt ook prima: http://www.danesparza.net...ig-dns-tool-on-windows-7/

[Voor 31% gewijzigd door ThinkPad op 23-08-2015 16:10]

[Sendy]

Dat laatste stukje geeft alleen maar aan dat je resolver (dnsmasq) niet ultiem veilig is omdat je blijkbaar niet kan instellen dat er dnsseq records vereist zijn. Een aanval is bijv. de dnsseq records tegenhouden.

edit:

En edklavertje, ik snap dat je soms dol wordt van de Nederlandse taal, vaak zelfs hoorndol, maar je kan niet hor worden.

[Maurits van Baerle]

ThinkPadd schreef op zondag 23 augustus 2015 @ 16:01:
[...]
Met de Google DNS (blegh!) lijkt het te werken, maar de 3 OpenNIC servers die ik gebruik ondersteunen volgens mij helemaal geen DNSSEC? Zou jij/iemand dat kunnen verifieren? Omdat je zegt dat jij wel DNSSEC had met OpenNIC?
[...]

Ik heb destijds alles teruggedraaid dus kan die servers nu even niet testen. Het is ook alweer een paar maanden geleden dus moet alle tips uit m'n hoofd doen.

Ik ben zelf niet zo bezig met waar m'n DNS servers staan, zolang het maar binnen de EU is. Ik heb dus ook gewoon naar feitelijke snelheid gekeken en niet of ze in hetzelfde land stonden. Uiteindelijk heb ik deze drie OpenNIC servers gekozen, onder andere omdat ze DNSSEC ondersteunden:

87.98.175.85
5.9.49.12
109.69.8.34

Maar goed, aangezien ik in London woon gaat mijn verkeer via de London-IX en niet de AMS-IX dus mijn route en snelheid zal anders zijn dan de jouwe. Verder ben ik er niet zo van overtuigd dat het zoveel zal uitmaken. Het zal voornamelijk om de eerste keer gaan dat een domein moet worden opgevraagd, daarna zal het een tijd in de cache van OpenWRT op je router zitten.

[Voor 9% gewijzigd door Maurits van Baerle op 23-08-2015 19:56]

[ThinkPad]

Maar dan heb je gewoon een aantal servers echt zelf getest of ze DNSSEC doen? Omdat het op de site/wiki niet wordt aangegeven... Zal de 3 die jij noemt eens proberen binnenkort.
Heb nu DNS.Watch in gebruik, Duitse partij. Zelfde idee als OpenNIC volgens mij. Beide servers doen DNSSEC. Het schijnt gerund te worden door iemand die bij een hostingbedrijf werkt. Logging is uitgeschakeld.

Ik zal er binnenkort nog een aantal even benchmarken ('namebench' tooltje) er zijn nog wel meer van dit soort initiatieven: https://github.com/nylira/prism-break/issues/1150

Om het even ontopic af te sluiten: DNSSEC lijkt dus op 15.05 met dnsmasq vervangen door 'dnsmasq-full' prima te functioneren.

[Maurits van Baerle]

ThinkPadd schreef op zondag 23 augustus 2015 @ 22:15:
Maar dan heb je gewoon een aantal servers echt zelf getest of ze DNSSEC doen? Omdat het op de site/wiki niet wordt aangegeven...

Inderdaad, een lijst gemaakt met alle OpenNIC servers binnen de EU. Die toen één voor één gaan testen of ze reageren op DNSSEC verzoeken. Dat leverde me toen een kleiner lijstje op die ik vervolgens op snelheid ben gaan testen. De snelste drie zijn mijn DNS servers geworden.

Om het even ontopic af te sluiten: DNSSEC lijkt dus op 15.05 met dnsmasq vervangen door 'dnsmasq-full' prima te functioneren.

Goed om te horen, dank voor de update! Hoe doet jouw opstelling het bij al die verschillende DNSSEC testen?

[ThinkPad]

Maurits van Baerle schreef op zondag 23 augustus 2015 @ 23:57:
[...]

Inderdaad, een lijst gemaakt met alle OpenNIC servers binnen de EU. Die toen één voor één gaan testen of ze reageren op DNSSEC verzoeken. Dat leverde me toen een kleiner lijstje op die ik vervolgens op snelheid ben gaan testen. De snelste drie zijn mijn DNS servers geworden.

[...]

Goed om te horen, dank voor de update! Hoe doet jouw opstelling het bij al die verschillende DNSSEC testen?

OK, zal eens kijken dan.

[...]
De test sites gaven overwegend goede resultaten:

1. http://dnssectest.sidnlabs.nl/test.php
2. http://www.dnssec-failed.org (als je DNSSEC goed werkt zou deze pagina niet moeten werken)
3. http://test.dnssec-or-not.net
4. http://dnssec.vs.uni-due.de

[...]

Nu met DNS.Watch zijn de resultaten als volgt:
1: Groen vinkje
2: Pagina kan niet geladen worden, zoals het hoort
3: Site is in onderhoud
4: Duimpje omhoog

Dit getest op zowel laptop als Android smartphone. Lijkt dus goed te werken nu.

[Borromini]

ThinkPad, heb je uiteindelijk ook nog unbound geïnstalleerd?

Het is me niet helemaal duidelijk of ik met de standaard dnsmasq op OpenWrt 15.05 + unbound voldoende heb voor DNSSEC. Nu heb ik een image met dnsmasq-full aan boord, en als ik dig naar de juiste resolver wijs met het IP krijg ik de 'ad'-vlag te zien, maar het zit me evenmin lekker om dat met de Google-servers te doen.

Als standaard dnsmasq + unbound werkt dan kan ik het misschien op modellen met minder flash (TL-WR841N) ook implementeren. Zou heel interessant zijn.

[ThinkPad]

Borromini schreef op woensdag 26 augustus 2015 @ 21:55:
ThinkPad, heb je uiteindelijk ook nog unbound geïnstalleerd?

Het is me niet helemaal duidelijk of ik met de standaard dnsmasq op OpenWrt 15.05 + unbound voldoende heb voor DNSSEC. Nu heb ik een image met dnsmasq-full aan boord, en als ik dig naar de juiste resolver wijs met het IP krijg ik de 'ad'-vlag te zien, maar het zit me evenmin lekker om dat met de Google-servers te doen.

Als standaard dnsmasq + unbound werkt dan kan ik het misschien op modellen met minder flash (TL-WR841N) ook implementeren. Zou heel interessant zijn.

Nope, ik ben een n00b dus ben voor het 'braaf handleidinkje' volgen gegaan

I.p.v. Google zou je ook DNS.Watch kunnen pakken, die doet ook DNSSEC. Maar is vanwege locatie (DE) wel wat trager, beste is om zelf ff te benchen met 'namebench' met wat DNS-servers. Al is het lastig te vinden welke er DNSSEC ondersteunen, staat er niet altijd bij (op OpenNIC bijv.).

[Borromini]

OK Ik had er inderdaad al wat van OpenNIC getest, maar tot zover geen enkele die DNSSEC ondersteunt. Zal binnenkort es graven dan .

[analog_]

Ik ken niet zoveel van OpenWRT maar DNSmasq doet toch prima dnssec? http://www.thekelleys.org.uk/dnsmasq/docs/dnsmasq-man.html Desnoods compile je zelf een versie .oO

[Borromini]

Zoals ik eerder zei: de versie die OpenWrt standaard gebruikt ondersetunt geen DNSSEC .

Ik rol m'n eigen images met OpenWrt, da's een eitje. Evengoed, even cross-compilen is niet zo simpel, neem aan dat je dat weet .

[ThinkPad]

Borromini schreef op woensdag 26 augustus 2015 @ 22:03:
OK Ik had er inderdaad al wat van OpenNIC getest, maar voor zover geen enkele die DNSSEC ondersteunt. Zal binnenkort es graven dan .

Ze zijn er wel:
Maurits van Baerle in "Het grote OpenWRT topic"
Maurits van Baerle in "Het grote OpenWRT topic"

Maarja beste is dus om even te benchen, want de één kan een stuk langzamer zijn dan de andere. Ik gebruik voor nu DNS.Watch, werkt opzich ook prima lijkt het. Maar wil nog even benchen met een aantal OpenNIC servers. Maar wat ik al wel heb gezien is dat er volgens mij geen enkele in NL is die DNSSEC doet

Qua resolvetijd is het dan toch wel lastig. Google DNS doet 5-8ms, DNS.Watch al richting de 20-25 dacht ik. Toch een behoorlijk verschil

[Voor 8% gewijzigd door ThinkPad op 26-08-2015 22:12]

[Borromini]

Ja dat begint inderdaad al wat op te lopen... Ben benieuwd, ga er binnenkort naar kijken.

[Maurits van Baerle]

analog_ schreef op woensdag 26 augustus 2015 @ 22:07:
Ik ken niet zoveel van OpenWRT maar DNSmasq doet toch prima dnssec? http://www.thekelleys.org.uk/dnsmasq/docs/dnsmasq-man.html Desnoods compile je zelf een versie .oO

OpenWRT gebruikt een vrij uitgeklede versie van DNSmasq om ruimte te besparen. Maar je kunt dus heel makkelijk DNSmasq verwijderen en DNSmasq-full installeren. Die staat standaard onder 'Available packages' en dan doet OpenWRT ineens wel DNSSEC.

Wat OpenNIC servers met DNSSEC betreft. Ik heb gewoon een lijst gemaakt met servers die ik wilde proberen (binnen de EU, geen logging etc.) en die één voor één op DNSSEC ondersteuning getest. Dat is in een paar minuten gepiept. Je zou het eventueel nog kunnen scripten maar het risico bestaat dat je langer doet over het maken van het script dan het handmatig testen. De lijst die toen overbleef heb ik getest op snelheid en de drie snelste gekozen.

[Prolution]

Ik heb nu al weer enige tijd 15.05-rc3 draaien op m'n WDR3600 en het bevalt me eigenlijk wel goed, heb voorheen ook vaak gebruik gemaakt van OpenWRT op oa de 1043ND & WDR3600 maar naar verloop van tijd werd ik alle Wifi gerelateerde problemen helemaal zat. Wifi lijkt in in ieder geval een stuk beter te functioneren dan dat ik voorheen van OpenWRT gewend was. En m'n router functioneert nu ook mooi als Oscam cardserver

Alleen vanochtend kon ik helaas opeens geen verbinding krijgen via Wifi, de SSID was nog wel in de lucht. Even het 'wifi' commando uitgevoerd in SSH en alles werkte weer prima. Is het bij OpenWRT nu altijd nog nodig om zo'n dergelijke wifi reset cronjob te draaien iedere dag?

[MarcoC]

Ik draai Barrier Breaker 14.07 probleemloos op mijn WDR3600. Werkelijk waar nog nooit een reset of wat dan ook nodig gehad in 9 maanden tijd. Always works.

[Prolution]

MarcoC schreef op vrijdag 28 augustus 2015 @ 15:20:
Ik draai Barrier Breaker 14.07 probleemloos op mijn WDR3600. Werkelijk waar nog nooit een reset of wat dan ook nodig gehad in 9 maanden tijd. Always works.

Interessant, ik weet nog wel dat 14.07 qua Wifi bij mij totaal brak werkte toen heb ik maar weer de factory firmware van TP-Link er op gezet en de Wifi was weer stabiel & bruikbaar. Misschien dat de gebruikte Wifi devices zorgen de onstabiele situatie...

[Borromini]

Voor de geïnteresseerden, voor zover ik heb kunnen uitvissen kan unbound naast dnsmasq draaien (moet je wel DNS-functionaliteit in dnsmasq uitzetten). Unbound heeft libopenssl nodig dus weinig kans dat je het op 4 MB flash devices kan draaien zonder dat je agressief gaat zitten strippen (ik heb voor OpenSSL bv. ook IPv6-ondersteuning eruit moeten gooien eerder).

[Maurits van Baerle]

Ik ken unbound als een vrij serieuze DNS server. Wat heb je er in de praktijk aan om unbound op OpenWRT te draaien?

[Dennis]

Ik vraag me ook af wat het voordeel is. Je hebt in ieder geval geen lokale DNS meer, omdat hij uitsluitend als validating, recursive en caching resolver kan worden gebruikt.

[Compizfox]

Volgens mij ging het om DNSSEC-validatie, zie vorige 2 pagina's

[Maurits van Baerle]

Jawel, maar DNSSEC kan al met dnsmasq-full...

[Dennis]

En met bind .

[Borromini]

Compizfox schreef op vrijdag 28 augustus 2015 @ 20:04:
Volgens mij ging het om DNSSEC-validatie, zie vorige 2 pagina's

Inderdaad Ik heb me wat gedocumenteerd en bepaalde dingen gaan vlotter met unbound, of niet met dnsmasq-full.

[Maurits van Baerle]

OpenWRT 15.05 (Chaos Calmer) is uit.

The OpenWrt developers are proud to announce the final release of OpenWrt Chaos Calmer.

_______ ________ __
| |.-----.-----.-----.| | | |.----.| |_
| - || _ | -__| || | | || _|| _|
|_______|| __|_____|__|__||________||__| |____|
|__| W I R E L E S S F R E E D O M
-----------------------------------------------------
CHAOS CALMER (15.05)
-----------------------------------------------------
* 1 1/2 oz Gin Shake with a glassful
* 1/4 oz Triple Sec of broken ice and pour
* 3/4 oz Lime Juice unstrained into a goblet.
* 1 1/2 oz Orange Juice
* 1 tsp. Grenadine Syrup
-----------------------------------------------------

-----------------------------------------------------
https://downloads.openwrt.org/chaos_calmer/15.05/

** Highlights since Barrier Breaker **

* Linux kernel updated to version 3.18
* Improved Security Features
- Rewritten package signing architecture based on ed25519
- Added support for jails
- Added support for hardened builds
* Improved Networking Support
- Added or improved support for lots of 3G/4G modems (MBIM, QMI, NCM, ...)
- Added support for 464XLAT (CLAT) [RFC 6877 + RFC 7050]
- Netfilter performance enhancements (conntrack route cache)
- Improved support for self-managing networks [draft-ietf-homenet-hncp]
- Better multi-core support for the network stack
- Improved support for MAP-E, MAP-T and LW4over6 IPv4 transitioning technologies
[draft-ietf-softwire-map, -map-t, -map-dhcp, -lw4over6]
- Improved network auto-setup capable of detecting and bootstrapping IPv4-only,
6rd, Dual-Stack, IPv6-only, DS-Lite, LW4over6, MAP-E, MAP-T, 464XLAT
and combinations without explicit configuration [based on RFC 7084]
- Added support for Smart Queue Management (SQM) QoS, AQM and Traffic Shaping
- Improved support for DNSSEC
* Platform and Driver Support
- Added support for feeds of externally maintained targets
- New mt7621 subtarget for Mediatek 11ac SoC
- New mt76 mac80211 based wifi driver for MTK 11ac cores.
- New mwlwifi mac80211 based wifi driver for the Marvell 88W8864
- New bcm53xx target for Broadcom ARM BCM47xx/53xx devices
- New mxs target for Freescale i.MX23/28 family and various boards
- New sunxi target for AllWinner A10/A13/A20 family and various boards
- brcm2708: support for Raspberry Pi 2
- brcm63xx: support for BCM6318 and BCM63268 family
- brcm63xx: improved fallback sprom support with bcma support

https://openwrt.org/

Goed om te weten:

If you're doing a sysupgrade, please note you will likely end up with
outdated opkg.conf. This may stop you from installing modules and may
cause unexpected problems when installing normal packages, like:
https://dev.openwrt.org/ticket/19882
https://dev.openwrt.org/ticket/20439

To fix this please execute manually:
cp /rom/etc/opkg.conf /etc/opkg.conf

This problem is caused because 15.05 (and release candidates as well)
preserve(s) opkg.conf. This was fixed for the next release in r46491:
https://dev.openwrt.org/changeset/46491

Bron: https://lists.openwrt.org...015-September/035773.html

[Voor 10% gewijzigd door Maurits van Baerle op 11-09-2015 14:20]