[Linux] Embedded systeem

[Xandrios]

Hoi

Wegens de limitaties van standaard wireless AccessPoints, hebben we besloten om voor het opzetten van een wifi netwerk 'zelfgemaakte' AP's te gebruiken. Een kleine Embedded PC, met linux dus.

Als platform gaan we dit gebruiken, en op dit moment wordt er een testbordje verscheept. Zal halverwege volgende week dus al binnen zijn verwacht ik
http://www.pcengines.ch/wrap.htm

Dit is een 266 mhz CPU, 64MB ram en 128MB disk (Compact flash). Voor het wireless deel zijn er twee miniPCI sloten aanwezig, waarvoor heel goedkoop wireless lucent 802.11b modules voor te krijgen zijn.

Maargoed, op dit geheel komt dus linux te draaien. Laat ik er meteen maar bijzeggen, dat ik vrij weinig ervaring heb met linux, vandaar dat ik dit topic ook hier start
Als distibutie dacht ik aan Monkey. Deze is lekker klein (30MB) en heeft ondersteuning voor netwerking. Ik heb echter verder geen enkel idee of dit bruikbaar is. Kan iemand daar iets zinnigs over vertellen?

Een aantal dingen zullen minimaal moeten gaan werken:

• Hij moet veilig zijn voor hacking etc. Is een firewall op zo'n kleine distro noodzakelijk? Zoja, welke is klein, en afdoende?

• Hij zal de 2 miniPCI wireless kaartjes moeten kunnen aanspreken, en kunnen routen tussen de Eth poorten.

• Een webserver (met php) is eigenlijk ook nodig. Dan is een webbased control panel in elkaar te zetten, wat eigenlijk wel leuk is Ik neem aan dat apache in dit geval niet bruikbaar is (Veel te groot...) ?

• Het aansturen van het wireless deel zal waarschijnlijk via HostAP gebeuren. Maar het schijnt dat deze software niet altijd met elke kaart (chipset) in AccessPoint mode kan werken. Zijn er mischien nog alternatieven ? (Ik heb ze niet kunnen vinden helaas )

• Er zal een koppeling moeten komen naar een RADIUS database. Zowel voor de access control, als voor de shaping software. Hoe gaat dit in zijn werk, wat kan ik verwachten van zoiets?

• Per MAC-adres zal het mogelijk moeten zijn om het verkeer te 'shapen', als in: Maximale upload en download beperken, maar het liefst ook de mogelijk om op poort te shapen.
Er is echt vreselijk veel te vinden op dit gebied, van de meest luxe pakketten, tot slecht gedocumenteerde commandline progjes. Het grote probleem is dat het klein moet zijn, en niet al te veel geheugen vreten (er is maar 64Mb aanwezig!).
Ik las over een vrij standaard device, welke in bijna elke kernel is ingebakken: Traffic Shaper (EXPERIMENTAL) (/usr/sbin/shapecfg). Zou het makkelijk zijn om deze ook in een kleine distributie (waar hij standaard niet in zit) in te bakken? En zou het mogelijk zijn om hem via een Radius database te 'bedienen' ?

Ik weet dat dit erg veel vragen zijn, en dat ze waarschijnlijk lang niet allemaal beantwoord kunnen worden. Maar ik zou het erg waarderen als je me toch uit de brand kunt helpen op de punten waar je wat vanaf weet

Thnx

[Verwijderd]

Building a wireless access point on linux. .

Artikeltje van een tijdje terug. Niet zelf doorgelezen, maar misschien leuk voor jullie om eens door te lezen. .

[cutter]

mmm, dit is volgens mij wel waar je in de toekomst naar toe gaat.

Steeds meer losse sytandalone apparaten die draadloos met elkaar communiceren. De asus g500 is daar een beetje een voorbeeld van. Wireless accesspoint waar je via usb een harddisk aan kunt koppelen en die vervolgens als FTP server gebruiken. Laten we dit de eerste generatie noemen. Die dingen zijn vrij dom, FTP kan files server en niet echt veel meer. Wat jij wil doen is veel interessanter. Je gaat een redelijk profi webserver opzetten in een heel erg makkelijk te bedienen omgeving. Je hangt je apparaat aan je adsl access punt en je hebt gelijk een router, firewall en webserver. Nu is dat nogal beperkt, maar in de toekomst zal je achter een synchrone dsl verbinding wel redelijk goede upstream snelheden hebben.

[moto-moi]

Cutebritney schreef op 20 August 2003 @ 02:19:
Dit is een 266 mhz CPU, 64MB ram en 128MB disk (Compact flash). Voor het wireless deel zijn er twee miniPCI sloten aanwezig, waarvoor heel goedkoop wireless lucent 802.11b modules voor te krijgen zijn.

Ik ken miniPCI eigenlijk niet.. Maar als dat gewoon voor de software hetzelfde werkt, dus geen aparte drivers nodig heeft, ondersteund linux het vast.
Die kaartjes die je noemt (Die tegenwoordig door Orinoco worden gemaakt ) worden ook gewoon ondersteund.

Als distibutie dacht ik aan Monkey. Deze is lekker klein (30MB) en heeft ondersteuning voor netwerking. Ik heb echter verder geen enkel idee of dit bruikbaar is. Kan iemand daar iets zinnigs over vertellen?

Zo te zien is die site voor het laatst in 1997 geupdate ofzo
Verder gebruiken ze kernel 2.0.30, da's oud, erg oud, veel bugs zitten er dus in de kernel, sterker nog : Dat ding is zo rootable als ik weet niet wat.. niet aan beginnen dus.
Je moet op zoek naar een distro die nog actief wordt ondersteund, al is het maar voor bugfixes e.d.

Een aantal dingen zullen minimaal moeten gaan werken:
• Hij moet veilig zijn voor hacking etc. Is een firewall op zo'n kleine distro noodzakelijk? Zoja, welke is klein, en afdoende?

Firewall is altijd noodzakelijk IMO. Zeker als je zoiets als wireless wilt gaan doen. Ik heb gelukkig het voordeel dat m'n adsl-modem als firewall kan spelen, dus ik hoef zelf weinig in te stellen

• Hij zal de 2 miniPCI wireless kaartjes moeten kunnen aanspreken, en kunnen routen tussen de Eth poorten.

Elke recente distro(Met een 2.4.X kernel, met oog op die wireless kaartjes) kan dat.

• Een webserver (met php) is eigenlijk ook nodig. Dan is een webbased control panel in elkaar te zetten, wat eigenlijk wel leuk is Ik neem aan dat apache in dit geval niet bruikbaar is (Veel te groot...) ?

Ach, apache zal hier +/- 2 MB inpikken, incl php e.d.
Maar er zijn genoeg andere webservers te vinden, ik zie hier, in Debian, in ieder geval de volgenden staan : Boa, httpd, roxen, thttpd etc.
[quote]

• Er zal een koppeling moeten komen naar een RADIUS database. Zowel voor de access control, als voor de shaping software. Hoe gaat dit in zijn werk, wat kan ik verwachten van zoiets?

http://www.gnu.org/software/radius/radius.html

• Per MAC-adres zal het mogelijk moeten zijn om het verkeer te 'shapen', als in: Maximale upload en download beperken, maar het liefst ook de mogelijk om op poort te shapen.
Er is echt vreselijk veel te vinden op dit gebied, van de meest luxe pakketten, tot slecht gedocumenteerde commandline progjes. Het grote probleem is dat het klein moet zijn, en niet al te veel geheugen vreten (er is maar 64Mb aanwezig!).
Ik las over een vrij standaard device, welke in bijna elke kernel is ingebakken: Traffic Shaper (EXPERIMENTAL) (/usr/sbin/shapecfg). Zou het makkelijk zijn om deze ook in een kleine distributie (waar hij standaard niet in zit) in te bakken? En zou het mogelijk zijn om hem via een Radius database te 'bedienen' ?

Als er bij die kleine distro van je plek een compiler zit, en de sources, dan is dat makkelijk er zelf in de bakken. Maar bij echte router distro's zal zo'n module er meestal wel inzitten..
Over die 64 MB geheugen zou ik me niet te druk maken, mijn router heeft ook maar 64 MB geheugen, maar doet mysql, php, mail, etc. etc., en dat doet hij lachend, zonder ooit te swappen.

Ik weet dat dit erg veel vragen zijn, en dat ze waarschijnlijk lang niet allemaal beantwoord kunnen worden. Maar ik zou het erg waarderen als je me toch uit de brand kunt helpen op de punten waar je wat vanaf weet

NP

Ennuh, als je een goed ondersteunde, stabiele distro zoekt, dan kan ik je van harte Debian testing (aka sarge) aanraden..

[Verwijderd]

Ohja, nog iets. Ter voorkoming van "wardriving" (beter bekend als "een stel idioten die zonder authenticatie op je onbeveiligde draadloze netwerk gaan zitten spelen") moet je natuurlijk wel een known MAC list hebben. Dus alleen bekende MAC adressen (NICs) mogen zich op het apparaat (AP) aanmelden.

En als variant op moto-moi's Debian raad ik natuurlijk RedHat aan. . (Nee, geen distrowar hier, dat doen we wel een keer in een ander topic. ).

[edit]
Trouwens, kan in kernel 2.4.x iptables niet traffic shapen? Er it toch een limit functie in iptables? Of dropt ie gewoon alles wat over die limit heen gaat? .

[ Voor 26% gewijzigd door Verwijderd op 20-08-2003 09:59 ]

[Wilke]

Cutebritney schreef op 20 August 2003 @ 02:19:
Maargoed, op dit geheel komt dus linux te draaien. Laat ik er meteen maar bijzeggen, dat ik vrij weinig ervaring heb met linux, vandaar dat ik dit topic ook hier start

Ik zou het installeren van Linux op een embedded systeempje, terwijl je er vrijwel geen ervaring mee hebt, willen vergelijken met van de duikplank in het diepe springen terwijl je niet kunt zwemmen. In een leeg zwembed.

De kans dat dit je gemakkelijk af zal gaan is in ieder geval erg klein. Op zich lijkt het nog een redelijk normaal PCtje, maar ik weet niet precies wat voor embedded hardware er allemaal bij zit, en het ligt voor de hand dat dit niet allemaal automatisch gedetecteerd zal worden, omdat het ws. geen 'doorsnee' PC hardware is. Je moet het om te beginnen al op een Compact Flash kaart installeren, dus dat gaat vast niet werken via CDtje booten en installeren met die hap.

Hij moet veilig zijn voor hacking etc. Is een firewall op zo'n kleine distro noodzakelijk? Zoja, welke is klein, en afdoende?

"Veilig zijn voor hacking" is een breed begrip. Zoals Beelzebubu al aangeeft, je zult inderdaad moeten zorgen dat alleen geauthoriseerde WLAN kaarten zich kunnen aanmelden. Daarnaast wil je waarschijnlijk bepaalde poorten al of niet forwarden, of juist sluiten naar buiten toe. Een firewall is altijd, hoe dan ook, noodzakelijk. Aan je vraagstelling zie ik dat je nog niet veel met Linux hebt gewerkt, - er is in Linux niet zoiets als een 'firewall progje', zoals je er voor Windows een handvol hebt - met behulp van iptables (zit standaard bij de meeste distro's) stel je zelf je firewall in. Daar bestaan natuurlijk standaard scripts voor, waarvan je hier een aantal kunt vinden. Of je er rechtstreeks zo een kunt gebruiken is nogal de vraag.

Hij zal de 2 miniPCI wireless kaartjes moeten kunnen aanspreken, en kunnen routen tussen de Eth poorten.

Als het eerste lukt, lukt het tweede ook. Het eerste gaat lukken, want Linux heeft support voor de National DP83816 netwerkkaart die er in zit ("National Semiconductor DP8381x series PCI Ethernet support"). Dus dat is iig goed!

Ik las over een vrij standaard device, welke in bijna elke kernel is ingebakken: Traffic Shaper (EXPERIMENTAL) (/usr/sbin/shapecfg). Zou het makkelijk zijn om deze ook in een kleine distributie (waar hij standaard niet in zit) in te bakken? En zou het mogelijk zijn om hem via een Radius database te 'bedienen' ?

In de Linux 2.4 Advanced Routing HOWTO staat o.a. ook wel iets over Traffic Shaping. De iproute2 tooltjes zijn erg klein (enkele KB's), ik heb ze al eens op een diskette geinstalleerd gehad (simpele trafficshaper voor een kabelmodem). Het kan dus zeker, maar dit is bepaald niet eenvoudig, en gaat een hoop uitzoekwerk kosten, en zeker als je het via een raddb wilt bedienen (hoe dat in z'n werk gaat is me sowieso niet helemaal duidelijk, ik weet niet of er al progs/scripts bestaan die dat 'by default' kunnen?)

Nou, dat wordt in ieder geval geen eenvoudig project, maar toch succes ermee in ieder geval

Oh btw - lijkt me niets mis met dit topic voor in NOS, en er zitten hier meer mensen die iets weten van Linux dan mensen die regelmatig A61 lezen! Zo eng zijn wij in NOS toch niet?

A61 >> NOS dus.

[ Voor 10% gewijzigd door Wilke op 20-08-2003 12:52 ]

[igmar]

moto-moi schreef op 20 August 2003 @ 08:41:
Ik ken miniPCI eigenlijk niet..

Een nieuwe interface voor kaarten in laptops, CardBus is alleen voor het OS PCI (tenminste, de OS layer in Linux). http://www.pcisig.com/home voor specs ed over MiniPCI

Zo te zien is die site voor het laatst in 1997 geupdate ofzo
Verder gebruiken ze kernel 2.0.30, da's oud, erg oud, veel bugs zitten er dus in de kernel, sterker nog : Dat ding is zo rootable als ik weet niet wat.. niet aan beginnen dus.
Je moet op zoek naar een distro die nog actief wordt ondersteund, al is het maar voor bugfixes e.d.

Adamantix is een leuke nieuw. Niet echt voor dedicated zaken. Wij zijn hier intern zelf maar aan het distribben gegaan, aangezien niks op de markt precies aan mijn wensen voldoet. Kost een aardige berg tijd, maar dan heb je ook wat.

http://www.gnu.org/software/radius/radius.html

Radius ? Client of server, da's een aanzienlijk verschil. De server is gewoon een daemon, de client een PAM module of losse patch.

Als er bij die kleine distro van je plek een compiler zit, en de sources, dan is dat makkelijk er zelf in de bakken. Maar bij echte router distro's zal zo'n module er meestal wel inzitten..
Over die 64 MB geheugen zou ik me niet te druk maken, mijn router heeft ook maar 64 MB geheugen, maar doet mysql, php, mail, etc. etc., en dat doet hij lachend, zonder ooit te swappen.

Idd, die 64 is amper een probleem, tenzij je tomcat oid gaat draaien

[ Voor 10% gewijzigd door igmar op 21-08-2003 08:37 . Reden: corrigeren miniPCI BS ]

[Wilke]

Idd, Apache kan prima als je voldoende ruimte op de flashcard hebt om het te installeren. Je kunt sowieso het aantal processen/threads beperken tot hooguit 5 (if that). Je zult toch slechts sporadisch iets veranderen via die webinterface, en al zeker niet met verschillende mensen tegelijk.

Het is dan bv. wel belangrijk dat je poort 80 van buiten af firewalled.

[Verwijderd]

Ik zou voor miniPCI kaartje gaan met een Intersil Prism wireless chip erop, volgens mij heeft orinoco geen Intersil Prism chip, maar een Hermes chip, vandaar hermesap itt hostap, maar dit weet ik niet zeker...

Als firewall kun je gewoon iptables gebruiken, en voor traffic shaping tc.

Als webserver kun je misschien beter een andere httpd nemen in combinatie met CGI scripting die je gewoon als root op je LAN interface laat luisteren, je kan het geheel dan veel compacter houden. Ligt natuurlijk hoeveel schijf/flashruimte je tot je beschikking hebt

Als mini distro kan ik je leaf.sf.net aanbevelen, dit is een erg kleine distro met eventueel ulibc (gestripte versie van glibc) en hostap_pci drivers er al bij, het gaat dan specifiek om deze:

Bering ulibc:
http://leaf.sourceforge.n...rpage&menu=910&page_id=36

Bering libc:
http://leaf.sourceforge.n...rpage&menu=904&page_id=21

Met de normale hostap_pci driver ben je al accesspoint als je met de wireless tools een essid en eventueel een wepkey instelt. Als je koppeling wil met RADIUS dinkies kun je de hostapd (daemon) gebruiken om dat voor elkaar te krijgen. Ik heb geen ervaring met hostapd dus dat wordt vast veel man pages doorlezen

[Xandrios]

Dank voor de replies so far

Verwijderd schreef op 20 August 2003 @ 07:39:
Building a wireless access point on linux. .

Artikeltje van een tijdje terug. Niet zelf doorgelezen, maar misschien leuk voor jullie om eens door te lezen. .

Werkelijk, een perfecte link
Hieruit komt ook een heel bruikbare distro zo te zien: Pebble Linux. Hierop is hetvolgende al installed:

Based on Debian GNU/Linux 3.0r1 (Woody)
Linux Kernel 2.4.20 - with IPv6 modules
HostAP - 0.0.2 and utils
bridge-tools
djbdns caching dns server
elvis (tiny vi)
nano (tiny pico)
gnupg
iptables 1.2.6a
lynx
wget
lsof
host (DNS lookups)
lilo
NoCatAuth, running as non-root user, post 0.81 nighthly
ntpdate
openSSH server 3.4p1
openSSL 0.9.6c patched
pcmcia-cs (kernel module pcmcia)
Perl 5.6.1
ppp
pppoe
rsync
tcpdump
ISC dhcpd and dhclient
zebra 0.92a-5 (BGP, OSPF Routing Daemon)

Het handige hieraan is, dat hij standaard in read-only werkt. Daardoor is het mogelijk hem gewoon 'hard' te rebooten, zonder dat hij daarvan last ondervind

moto-moi schreef op 20 August 2003 @ 08:41:
[...]

Ik ken miniPCI eigenlijk niet.. Maar als dat gewoon voor de software hetzelfde werkt, dus geen aparte drivers nodig heeft, ondersteund linux het vast.
Die kaartjes die je noemt (Die tegenwoordig door Orinoco worden gemaakt ) worden ook gewoon ondersteund.

MiniPCI wordt vooral gebruikt in laptops, en is geen PCMCIA of cardbus.

En die gaan dan hier in:

Ach, apache zal hier +/- 2 MB inpikken, incl php e.d.
Maar er zijn genoeg andere webservers te vinden, ik zie hier, in Debian, in ieder geval de volgenden staan : Boa, httpd, roxen, thttpd etc.

Das mooi, apache ken ik, laten we dat dan maar gebruiken
(Ik dacht dat het wel wat groter was, maar nooit zo goed op gelet eigenlijk)

Als er bij die kleine distro van je plek een compiler zit, en de sources, dan is dat makkelijk er zelf in de bakken. Maar bij echte router distro's zal zo'n module er meestal wel inzitten..

Kun jij aan bovenstaande lijst zien of dat zo is?

Verwijderd schreef op 20 augustus 2003 @ 09:56:
Ohja, nog iets. Ter voorkoming van "wardriving" (beter bekend als "een stel idioten die zonder authenticatie op je onbeveiligde draadloze netwerk gaan zitten spelen") moet je natuurlijk wel een known MAC list hebben. Dus alleen bekende MAC adressen (NICs) mogen zich op het apparaat (AP) aanmelden.

We moeten nog even gaan kijken hoe we het gaan doen. Het is de bedoeling dat het een publieke hotspot wordt, maar er moet wel worden ingelogged.
Er zijn 2 mogelijkheden:

• Als het lukt om verkeer tussen de clients te disabelen (Clients met een private IP), dan mag iedereen connecten. Authenticatie gaat dan gebeuren via een VPN sessie, zoals Mxstream dat ook doet.
• Lukt bovenstaande niet, dan zal de authenticatie (en inderdaad ook MAC auth.) via RADIUS moeten gaan lopen.

Wilke schreef op 20 August 2003 @ 12:32:
[...]


Ik zou het installeren van Linux op een embedded systeempje, terwijl je er vrijwel geen ervaring mee hebt, willen vergelijken met van de duikplank in het diepe springen terwijl je niet kunt zwemmen. In een leeg zwembed.

De kans dat dit je gemakkelijk af zal gaan is in ieder geval erg klein. Op zich lijkt het nog een redelijk normaal PCtje, maar ik weet niet precies wat voor embedded hardware er allemaal bij zit, en het ligt voor de hand dat dit niet allemaal automatisch gedetecteerd zal worden, omdat het ws. geen 'doorsnee' PC hardware is. Je moet het om te beginnen al op een Compact Flash kaart installeren, dus dat gaat vast niet werken via CDtje booten en installeren met die hap.

Hmm, dat is minder, maar eigenlijk wel een beetje te verwachten.
Als ik bovenstaande readme van pebble linux lees, is dat eigenlijk wel simpel. Het ziet er in ieder geval simpel uit. Wat denk jij, is dit voor een beginner een beetje te doen?

"Veilig zijn voor hacking" is een breed begrip. Zoals Beelzebubu al aangeeft, je zult inderdaad moeten zorgen dat alleen geauthoriseerde WLAN kaarten zich kunnen aanmelden. Daarnaast wil je waarschijnlijk bepaalde poorten al of niet forwarden, of juist sluiten naar buiten toe. Een firewall is altijd, hoe dan ook, noodzakelijk. Aan je vraagstelling zie ik dat je nog niet veel met Linux hebt gewerkt, - er is in Linux niet zoiets als een 'firewall progje', zoals je er voor Windows een handvol hebt - met behulp van iptables (zit standaard bij de meeste distro's) stel je zelf je firewall in. Daar bestaan natuurlijk standaard scripts voor, waarvan je hier een aantal kunt vinden. Of je er rechtstreeks zo een kunt gebruiken is nogal de vraag.

zie ook bovenstaand. Als het lukt verkeer tussen de clients te disabelen, dan zal het geen probleem zijn als jan en alleman zich aanmeld
Als dit lukt, zal er inderdaad gerouted worden met interne IP's. Er zal dan maar 1 IP 'openbaar] hoeven te zijn, namelijk die van de VPN server. Hiervandaan krijgt de client dan een publiek IP, met internet access.
Mocht het niet lukken, dan zullen er direct publieke IP's worden uitgedeeld. Dan zal hij verder als bridge moeten werken, en alleen firewallen om zijn eigen managment te beveiligen.
Maar met IPtables is zo te zien dat allemaal wel te doen

In de Linux 2.4 Advanced Routing HOWTO staat o.a. ook wel iets over Traffic Shaping. De iproute2 tooltjes zijn erg klein (enkele KB's), ik heb ze al eens op een diskette geinstalleerd gehad (simpele trafficshaper voor een kabelmodem). Het kan dus zeker, maar dit is bepaald niet eenvoudig, en gaat een hoop uitzoekwerk kosten, en zeker als je het via een raddb wilt bedienen (hoe dat in z'n werk gaat is me sowieso niet helemaal duidelijk, ik weet niet of er al progs/scripts bestaan die dat 'by default' kunnen?)

Dat ga ik nog even doorlezen, thnx voor de link

Radius ? Client of server, da's een aanzienlijk verschil. De server is gewoon een daemon, de client een PAM module of losse patch.

Het gaat inderdaad om de Client. Weet jij hoe ik me dit moet voostellen, en hoe je bijvoorbeeld een event kunt sturen naar een Radius database, via accounting ?

Ik zou voor miniPCI kaartje gaan met een Intersil Prism wireless chip erop, volgens mij heeft orinoco geen Intersil Prism chip, maar een Hermes chip, vandaar hermesap itt hostap, maar dit weet ik niet zeker...

Ik kan voor heel weinig (rond de 25 euro per stuk!) kaartjes van Dell krijgen. Deze worden ook in bijv. toshiba laptops gebruikt.
Nadeel is dat ik nog niet precies weet welke chipset er gebruikt wordt.
Het zal dan dus inderdaad OF hostAP OF HermesAP worden, waarbij hostAP de voorkeur heeft. HermesAP kende ik niet (en ja, ik had wel flink gezocht), dus blijkbaar wordt het niet zo veel gebruikt.

Met de normale hostap_pci driver ben je al accesspoint als je met de wireless tools een essid en eventueel een wepkey instelt. Als je koppeling wil met RADIUS dinkies kun je de hostapd (daemon) gebruiken om dat voor elkaar te krijgen. Ik heb geen ervaring met hostapd dus dat wordt vast veel man pages doorlezen

Klinkt goed, maar:

This is a Linux driver for wireless LAN cards based on Intersil's Prism2 chipset. The driver supports a so called Host AP mode, i.e., it takes care of IEEE 802.11 management functions in the host computer and acts as an access point.

Betekend dit dat hij de werking van HostAP zal overnemen? Of werken ze samen?

thnx wederom

[Verwijderd]

Ik weet dat FreeBSD op deze bordjes alleen draait met een aantal hacks.
Problemen met de bootloader, ik weer niet of linux hierop juist werkt.
Zie http://wleiden.webweaving...e-config/other/pcengines/
Het probleem met dit bordje is dat pxe-boot niet ondersteunt wordt,
En dat er op flash op een andere computer ontwikkeld moet worden.

Verder zitten er aan het ontwikkelen nog een paar haken en ogen,

Er zit geen toetsenbord/beeldscherm aan; er moet dus via de seriele console gewerkt worden.

Verder kan ik je ssh aanraden; Dan kan je altijd via ethernet/wi-fi inloggen op je bordje.

[Verwijderd]

http://hostap.epitest.fi/...D&content-type=text/plain
(hostAP readme)

code:

Usage: prism2_param <interface> <parameter> [value]

Wrapper for setting hostap_{cs,plx,pci}.o parameters using iwpriv and
prism2_param ioctl. This wrapper converts the given text parameter
(see list below) to corresponding prism2_param ioctl() value and uses
iwpriv to set the given value.

    hostapd: hostapd mode configuration
        0 = use kernel driver for IEEE 802.11 management
        1 = use user space daemon, hostapd, for IEEE 802.11 management

Je kan de hostap_pci driver dus in een bepaalde mode zetten zodat de management functies worden overgelaten aan de hostapd daemon, voor zover ik die readme begrijp

[deadinspace]

Cutebritney schreef op 20 August 2003 @ 02:19:
Hij moet veilig zijn voor hacking etc. Is een firewall op zo'n kleine distro noodzakelijk? Zoja, welke is klein, en afdoende?

In fel contrast met een aantal vorige posters: een firewall is absoluut niet nodig.

Wat ben je van plan? Ik neem aan dat enkele services (ssh, http) op beide NICs beschikbaar moeten zijn, en dat er verder geen enkele service beschikbaar moeten zijn. Dan draai je dus een SSH- en een HTTP-server, en de overige dingen installeer je niet eens. Ik zie in de verste verte niet in waarom daarvoor een firewall noodzakelijk is.

Los daarvan kan het geen kwaad om (mits er plaats op de flashcard over is) de netfilter modules en iptables op het systeem te zetten, dat kan handig zijn (om bv bepaalde lamers te blokkeren ofzo).

Hij zal de 2 miniPCI wireless kaartjes moeten kunnen aanspreken, en kunnen routen tussen de Eth poorten.

MiniPCI is volledig software compatible met gewone PCI. Ik heb een MiniPCI Ethernet kaart in mijn laptop, en daar kwam ik dus puur en alleen achter door hem open te schroeven

Maar eh... Moet hij routen of bridgen? Dat zijn twee hele verschillende dingen.

Een webserver (met php) is eigenlijk ook nodig. Dan is een webbased control panel in elkaar te zetten, wat eigenlijk wel leuk is Ik neem aan dat apache in dit geval niet bruikbaar is (Veel te groot...) ?

Er zijn veel kleinere en lichtere webservers, maar veel daarvan kunnen alleen static HTML serven...

Verwijderd schreef op 20 August 2003 @ 09:56:
Ohja, nog iets. Ter voorkoming van "wardriving" (beter bekend als "een stel idioten die zonder authenticatie op je onbeveiligde draadloze netwerk gaan zitten spelen") moet je natuurlijk wel een known MAC list hebben. Dus alleen bekende MAC adressen (NICs) mogen zich op het apparaat (AP) aanmelden.

Huh? "beveiliging" op Macadres-basis?

1. Wat is er mis met ESSID + WEP?
2. Weet je hoe belachelijk makkelijk het is Mac adressen te sniffen en spoofen?

[xychix]

deadinspace schreef op 22 August 2003 @ 10:23:
[...]

In fel contrast met een aantal vorige posters: een firewall is absoluut niet nodig.

Wat ben je van plan? Ik neem aan dat enkele services (ssh, http) op beide NICs beschikbaar moeten zijn, en dat er verder geen enkele service beschikbaar moeten zijn. Dan draai je dus een SSH- en een HTTP-server, en de overige dingen installeer je niet eens. Ik zie in de verste verte niet in waarom daarvoor een firewall noodzakelijk is.

Los daarvan kan het geen kwaad om (mits er plaats op de flashcard over is) de netfilter modules en iptables op het systeem te zetten, dat kan handig zijn (om bv bepaalde lamers te blokkeren ofzo).

I don't agree. Maar alleen roepen heeft ook geen zin.
ik zou wel een firewall installeren.
en er dan voor zorgen dat alle verkeer vanaf de hotspot naar buiten (dus van processen vanaf de bak zelf) geblokkeerd worden. zo zal een evt hacker die het userid van de webserver heeft bemachigt nog niets kunnen downloaden naar de bak om weer mee verder te klooien.

Een firewall maakt hacken niet onmogelijk maar wel moeilijker! dus WEL doen.. maar pas als alles werkt. en als iets eens niet lijkt te werken mbt. het netwerk, zet dan eerst de firewall ff stil.. vaak sit het daarin!


doet pebble linux ook apt-get ?????
http://www.nycwireless.net/pebble/pebble.README
JA dat doet hij!

ik ga ook eens met deze distro aan het stoeien!

[ Voor 7% gewijzigd door xychix op 22-08-2003 10:45 ]

[XKB]

Is het trouwens niet makkelijker en/of goedkoper om een epia bordje te gebruiken? Verder vroeg ik me af waar je goedkoop als particulier deze embedded pctjes kan kopen, liefst in Nederland.

[deadinspace]

xychix schreef op 22 August 2003 @ 10:39:
en er dan voor zorgen dat alle verkeer vanaf de hotspot naar buiten (dus van processen vanaf de bak zelf) geblokkeerd worden. zo zal een evt hacker die het userid van de webserver heeft bemachigt nog niets kunnen downloaden naar de bak om weer mee verder te klooien.

1. Hoe wil hij überhaupt iets downen op een RO fs?
2. Hoe moet apache dan nog requests gaan afhandelen (daarvoor moet ie wel packets kunnen sturen namelijk)?

Een firewall maakt hacken niet onmogelijk

Cracken, niet hacken he

[TrailBlazer]

hee heb het artikel so far met veel interesse gelezen alleen wat ik me afvraag hoe gata de initial install op de flash disk. Ga je met een flash writer aan de gang bootbale via ethernet. Ik heb het nog niet kunnen vinden in ieder geval

[xychix]

Cracken, niet hacken he

sorry, hoe kan ik me tot zulke onoverkomelijke taalfouten verlagen!
maartoch.. het binnendringen en vervolgens netjes melden valt toch echt wel onder hacken hoor greyhat hacking

[Xandrios]

Verwijderd schreef op 21 August 2003 @ 00:20:
Ik weet dat FreeBSD op deze bordjes alleen draait met een aantal hacks.
Problemen met de bootloader, ik weer niet of linux hierop juist werkt.
Zie http://wleiden.webweaving...e-config/other/pcengines/
Het probleem met dit bordje is dat pxe-boot niet ondersteunt wordt,
En dat er op flash op een andere computer ontwikkeld moet worden.

Verder zitten er aan het ontwikkelen nog een paar haken en ogen,

Hmm, dat is wel wat lastig. Dat wordt dan inderdaad eerst even testen...

Verwijderd schreef op 21 August 2003 @ 11:20:
(hostAP readme)
[...]
Je kan de hostap_pci driver dus in een bepaalde mode zetten zodat de management functies worden overgelaten aan de hostapd daemon, voor zover ik die readme begrijp

Das heel mooi
Minder mooi is, dat de miniPCI kaartjes toch een Hermes chipset gebruiken. Ik zal dus HermesAP moeten gebruiken ipv HostAP

Tenzij...het wel werkt met HostAP. Maar ik meende dat hij dan alleen in Ad-HOC mode kon werken. Iemand een idee of het dan ook mogelijk is om voor elke klant een AD-HOC verbinding op te zetten?
(Onder windows kun je er maar 1 tegelijk opzetten...)

deadinspace schreef op 22 August 2003 @ 10:23:
[...]

In fel contrast met een aantal vorige posters: een firewall is absoluut niet nodig.

Wat ben je van plan? Ik neem aan dat enkele services (ssh, http) op beide NICs beschikbaar moeten zijn, en dat er verder geen enkele service beschikbaar moeten zijn. Dan draai je dus een SSH- en een HTTP-server, en de overige dingen installeer je niet eens. Ik zie in de verste verte niet in waarom daarvoor een firewall noodzakelijk is.

Los daarvan kan het geen kwaad om (mits er plaats op de flashcard over is) de netfilter modules en iptables op het systeem te zetten, dat kan handig zijn (om bv bepaalde lamers te blokkeren ofzo).

[...]

MiniPCI is volledig software compatible met gewone PCI. Ik heb een MiniPCI Ethernet kaart in mijn laptop, en daar kwam ik dus puur en alleen achter door hem open te schroeven

Maar eh... Moet hij routen of bridgen? Dat zijn twee hele verschillende dingen.

[...]

Er zijn veel kleinere en lichtere webservers, maar veel daarvan kunnen alleen static HTML serven...

Opzich hoeft alleen SSH en HTTP voor de webinterface beschikbaar te zijn

Router / bridgen: Dat ligt eraan. Als het mogelijk is om het verkeer tussen de clients te blokkeren, routing nodig. Is dat niet mogelijk, dan zullen we moeten bridgen.
Wat heb je extra nodig om een bridge te kunnen maken?

Qua webserver: Die zal voor de webinterface in princiepe alleen static html hoeven te serveren. Maar aangezien de webinterface wel de config-files moet kunnen aanpassen, is PHP denk ik toch wel nodig...

XKB schreef op 22 August 2003 @ 11:03:
Is het trouwens niet makkelijker en/of goedkoper om een epia bordje te gebruiken? Verder vroeg ik me af waar je goedkoop als particulier deze embedded pctjes kan kopen, liefst in Nederland.

Epia bordjes zijn vrij groot, en ze hebben een ATX voeding nodig. Vooral dat laatste is lastig, want dan kun je geen PoE doen.
Het is met een Epia ook vrij moeilijk om (2?) PCMCIA / miniPCI jaartjes te gebruiken waarschijnlijk.

In nederland zijn ze nog niet te krijgen, maar veel zal het niet uitmaken: De verzendkosten zijn maar 5 euro

Helaas zijn dit nog Alpha bordjes. Binnen een maand krijgen ze ook de beta versies, en in wat grotere oplages. Dan kun je ze waarschijnlijk gewoon bestellen

TrailBlazer schreef op 22 August 2003 @ 11:38:
hee heb het artikel so far met veel interesse gelezen alleen wat ik me afvraag hoe gata de initial install op de flash disk. Ga je met een flash writer aan de gang bootbale via ethernet. Ik heb het nog niet kunnen vinden in ieder geval

Als het goed is, kun je hem vanaf een werkend linuxsysteem installeren op een flashdisk. Deze disk prik je daarna over in het bordje, en hij kan ervan booten

Als hij geboot is, is hij dan direct benaderbaar via SSH

[Verwijderd]

deadinspace schreef op 22 August 2003 @ 10:23:
Huh? "beveiliging" op Macadres-basis?

1. Wat is er mis met ESSID + WEP?
2. Weet je hoe belachelijk makkelijk het is Mac adressen te sniffen en spoofen?

Spoofen, ja. Sniffen, nee. . Het idee is dat je uberhaupt geen netwerkverkeer met de AP krijgt als je mac adres daar niet in geregistreerd staat. Uiteraard is het afsniffen van het netwerk daarmee automatisch onmogelijk. .

[u_nix_we_all]

Verwijderd schreef op 22 August 2003 @ 14:47:
[...]


Spoofen, ja. Sniffen, nee. . Het idee is dat je uberhaupt geen netwerkverkeer met de AP krijgt als je mac adres daar niet in geregistreerd staat. Uiteraard is het afsniffen van het netwerk daarmee automatisch onmogelijk. .

Je hebt het hier over draadloos , dus ALLES is te sniffen, en met
name de WEP key is daarmee (als je tijd genoeg hebt) te vinden.

WEP is dus niet waterdicht , en MAC adressen zijn te spoofen.
Daarom is het nodig alle dataverkeer nogmaals te beveiligen mbv IPsec bijvoorbeeld. Alleen dan ben je veilig.

[Verwijderd]

Cutebritney schreef op 22 August 2003 @ 13:00:
[...]

Tenzij...het wel werkt met HostAP. Maar ik meende dat hij dan alleen in Ad-HOC mode kon werken. Iemand een idee of het dan ook mogelijk is om voor elke klant een AD-HOC verbinding op te zetten?
(Onder windows kun je er maar 1 tegelijk opzetten...)

In ad-hoc mode kun je met z'n 3'en of maximaal 4'en in 1 'netwerk' zitten, meer is niet mogelijk

[...]


Opzich hoeft alleen SSH en HTTP voor de webinterface beschikbaar te zijn

Router / bridgen: Dat ligt eraan. Als het mogelijk is om het verkeer tussen de clients te blokkeren, routing nodig. Is dat niet mogelijk, dan zullen we moeten bridgen.
Wat heb je extra nodig om een bridge te kunnen maken?

Je kan bijvoorbeeld met openvpn een VPN bouwen, sinds kort is er ook een (beta) windows client je krijgt dan virtuele tunnel devices waarbij je dus wel lekker kan gaan firewallen. met IPsec is dat misschien ook wel mogelijk, ik vind IPsec te moeilijk en te onhandig met NAT dus nog nooit verder gekeken dan een eenvoudige freeswan setup.

Qua webserver: Die zal voor de webinterface in princiepe alleen static html hoeven te serveren. Maar aangezien de webinterface wel de config-files moet kunnen aanpassen, is PHP denk ik toch wel nodig...

httpd + cgi scripting, heb je geen PHP nodig, denk dat dat te veel van 't goeie is en voor CGI scripts kun je gewoon bash script pakken of eventueel perl

[Skinkie]

linux met advanced networking hoeft niet groter te zijn dan 2 mb, maar als je 128mb aan flash hebt zie ik niet echt de noodzaak in om de boel klein te houden


offtopic: is hier geen inkoop actie voor te houden?

[ Voor 16% gewijzigd door Skinkie op 23-08-2003 03:08 ]

[TrailBlazer]

Hee cutebritney gebeurt hier nog wat mee

[Verwijderd]

Neem eens een kijkje op www.mikrotik.com. kost wat maar dan heb je ook wat werkt perfect op die borden en ook atheros 5Ghz wordt ondersteund, werkt perfect

Heb hier een 5 Ghz link met draaien en diverse 2.4 Ghz linken

[nzyme]

offtopic:
damn, zit ik dit best wel interessante topic te lezen... blijkt het van vorig jaar te zijn hoezow kick

[Xandrios]

Ok, kleine update:

We hebben enkele WRAP bordjes van PCEngines ontvangen, en via een standaard debian bak de flashkaartjes beschreven. Dit is een gewone debian installatie geworden uiteindelijk, welke zo ver mogelijk gestript is. Totaal was zo'n 80MB - inclusief routing / bridging / firewall / wireless mogelijkheden & drivers.
Inderdaad bleek dat het bordje geen keybord-chip heeft, wat betekend dat bij het starten van het OS, hij eerst enkele minuten loopt te flippen via de console. Dit was op te lossen door uit de source de keybord-check te verwijderen.

Tja, veel verder is het ook nog niet gekomen eigenlijk. Het draait, routing doet ie prima...en hij gooit echt de totale 100mbit vol als het moet. En vlans werken, wat ook erg interessant is als hij voor wireless gebruikt gaat worden