Zadné vrátka do routera?! (D-Link DSL-2641R)

[Dan.]

Začnem rovno odvolávkou na jedno fórum, dúfam, že je to v rámci pravidiel: http://www.abclinuxu.cz/blog/minimal/20 ... 1r/diskuse.

Hneď na začiatok musím povedať, že názov témy bolo ťažké vybrať, lebo v podstate by sa ich hodilo viacej:
* T-Com nechávajúci si zadné vrátka do routerov užívateľov (a tak im teoreticky narušuje samotnú ochranu...)
* flashovanie firmware routera D-Link DSL-2641R
* vzdialená správa a narušovanie ochrany
* prehľad o pripojených užívateľoch

Všetky otázky sa týkajú routera D-Link DSL-2641R a problematiky s ním spojenou, no poväčšinou pôjde o všeobecne platné problémy. Pripájam aj screeny, na ktoré sa budem odvolávať. Tiež musím dodať, že nie som expert na siete (som priemerný, mierne pokročilý užívateľ), aby som si vyhradil územie a aby ste mali predstavu, v akej terminológii sa pohybovať. Ďakujem za pochopenie.

1. T-Com obmedzuje užívateľov tým, že nedovoľuje prihlásiť sa do routera ako admin. Vynútil som si to tak, že som nainštaloval klienta Telnet a nastavil som si rozpätie IP adries. Tak som sa úspešne prihlásil ako admin. Odomklo sa mi !konečne! všetko potrebné (ako napríklad blokovanie/povoľovanie mac adries a mnoho mnoho ďalších "drobností"). Prvý problém vyriešený.

2. flash firmware... aktuálny firmware 2641RSKV105 sa dá preflashovať na novší, ktorý som našiel tu: ftp://ftp.dlink.cz/dsl/dsl-2641r/driver_software/, problém je, že mi ho nenaflashuje. Vypíše mi chybu, nešpecifikovanú, no keď nabehnem do denníka, uvidím tam, že mi ho nevzalo, lebo je priveľký... pritom má 16kB, rovnako ako záloha aktuálneho, ktorú si môžem vytvoriť (resp. sú to dva súbory, EU_1-09.ras - 1 391 kB a tcrom.dat - 16 kB)...

3. vzdialená správa - ak je toto zapnuté, môže sa mi do routeru dostať niekto cez internet, teda nemusí byť napriamo napojený k routeru. Vypol som to. Ak mi o tom viete povedať viacej, budem len vďačný. Ešte mám otázku, neodrežem si prístup, ak vypnem všetko okrem Telnetu a Http? Tu by ste mi prosím mohli pomôcť trocha sa zorientovať. (viď obrázok "vzdialená správa")

4. musím sa priznať, že pôvodné podozrenie vo mne vyvolalo zbežné zhliadnutie tejto tabuľky pripojených užívateľov (viď obrázok "užívatelia", PENTAGON je názov mojej domácej siete, no cez wifi už nikto pripojený nie je a navyše neviem nijako zvoliť refresh + Lan užívatelia nie sú zobrazení... a prečo je tam ten druhý klient - teda aj v prípade, že sa to ešte nerefreshlo - proste netuším, ten názov mi absolútne nič nehovorí...)

5. ako by som mohol zistiť, či sa mi do routeru niekto "nenabúral" a nevyužíval môj net?

To je zrejme zatiaľ všetko. Ospravedlňujem sa za chaotickosť, no písal som to ako prišlo... Navyše nemám v niektorých veciach sám jasno, no priebežne by som odpísal, čo som možno zabudol a podobne.

Ďakujem všetkým za akúkoľvek pomoc.

Dan.

[Patko19]

s tym RT2561_2 to je len neplnohodnotna featura routra (dalsi nazov bssid niekde v configu, ale nieje aktivovana)
ten firmware v routry je urcite pozliepany z niecoho ineho.
ide o to ze niektore wifi zariadenia dokazu vysielat na viacerych nazvoch sieti.
neni su to dalsie fyzicke hw zariadania. MAC adresa je ta ista ale len sa zmeni bssid.
ked uz mas to telnet rozhranie tak si mozes prisposobit router svojim potrebam, ktore su neni vo web rozhrani.

[galen]

...
1. T-Com obmedzuje užívateľov tým, že nedovoľuje prihlásiť sa do routera ako admin. Vynútil som si to tak, že som nainštaloval klienta Telnet a nastavil som si rozpätie IP adries. Tak som sa úspešne prihlásil ako admin. Odomklo sa mi !konečne! všetko potrebné (ako napríklad blokovanie/povoľovanie mac adries a mnoho mnoho ďalších "drobností"). Prvý problém vyriešený.

neviem ako v tvojom pripade, ale v mojom pripade je koncove zariadenie T-Comu, nieje moje, teda aj ked sa pokazi, je to problem T-comu, nie moj
Mozem byt rad, ze mam aspon nejake konfiguracne pristupy do cudzieho zariadenia.

2. flash firmware... aktuálny firmware 2641RSKV105 sa dá preflashovať na novší, ktorý som našiel tu: ftp://ftp.dlink.cz/dsl/dsl-2641r/driver_software/, problém je, že mi ho nenaflashuje. Vypíše mi chybu, nešpecifikovanú, no keď nabehnem do denníka, uvidím tam, že mi ho nevzalo, lebo je priveľký... pritom má 16kB, rovnako ako záloha aktuálneho, ktorú si môžem vytvoriť (resp. sú to dva súbory, EU_1-09.ras - 1 391 kB a tcrom.dat - 16 kB)...

Flash firmwaru je priame porusenie zaruky, pokial niesi zrovna techink/servisne stredisko, ktore na to ma licenciu. O tom, ze na webe najdes FW, ktory tam chodi, o tom sa bavit nemusime. Stale je vsak otazka: to zariadenie je tvoje? alebo nicis zariadenie t-comu?

3. vzdialená správa - ak je toto zapnuté, môže sa mi do routeru dostať niekto cez internet, teda nemusí byť napriamo napojený k routeru. Vypol som to. Ak mi o tom viete povedať viacej, budem len vďačný. Ešte mám otázku, neodrežem si prístup, ak vypnem všetko okrem Telnetu a Http? Tu by ste mi prosím mohli pomôcť trocha sa zorientovať. (viď obrázok "vzdialená správa")

ano, maju to povolene. 98% slovenska su blbe trubky, a ak sa nieco dokazi, servisny technik musi mat nejaku moznost sa na dialku prihlasit do zariadenia a opravit to. presne preto to tam maju aktivovane
tu by mali byt k dispozicii iba rozhrania, cez ktore sa vies dostat na router, bezne prave telnet (ano nieje sifrovany), a http (ktore uz vie aj sifrovanie).

4. musím sa priznať, že pôvodné podozrenie vo mne vyvolalo zbežné zhliadnutie tejto tabuľky pripojených užívateľov (viď obrázok "užívatelia", PENTAGON je názov mojej domácej siete, no cez wifi už nikto pripojený nie je a navyše neviem nijako zvoliť refresh + Lan užívatelia nie sú zobrazení... a prečo je tam ten druhý klient - teda aj v prípade, že sa to ešte nerefreshlo - proste netuším, ten názov mi absolútne nič nehovorí...)

zoznam macadries je z pohladu LAN, nie WAN

5. ako by som mohol zistiť, či sa mi do routeru niekto "nenabúral" a nevyužíval môj net?

asi nijak, neviem o tom, ze by henten router mal moznost nastavenia "paranoia" logovania

...

[Dan.]

Patko19, vďaka za odpoveď.

galen: ok, v podstate vravíš, že robím chybu, keď si to chcem spravovať ako admin a vypínam prístup na diaľku. Chápem, čo tým chceš povedať. A odporúčaš mi spraviť reset (fyzický?) routera, aby sa rozsah IP adries, ktorý som zmenil nastavil späť na východiskovú hodnotu (predpokladám, že reset ten rozsah a vlastne celý router vynuluje a nastaví defaultné hodnoty)? Potom sa môžem prihlásiť ako user/user a nemám sa zaujímať o nič viac? Nerobí práve takýto prístup z 98% Slovenska blbé trúbky? Je až také nehorázne pýtať sa na tieto veci (vychádzajúc z povahy a formulácii tvojich odpovedí)?
(bez urážky)

[Toman]

- ja som si vsimol ze T-Com Routre Vigor (2600/2700) defaultne otvoreny telnet....
- treba si zmenit heslo z "admin" na nieco vlastne...

T.

[Patko19]

toman a vsimol si si aj to ze ked si zmenis heslo cez web rozhranie na svoje tak cez telnet sa tam dostanes este cez admina ?
to je parada.

[galen]

Patko19, vďaka za odpoveď.

galen: ok, v podstate vravíš, že robím chybu, keď si to chcem spravovať ako admin a vypínam prístup na diaľku. Chápem, čo tým chceš povedať. A odporúčaš mi spraviť reset (fyzický?) routera, aby sa rozsah IP adries, ktorý som zmenil nastavil späť na východiskovú hodnotu (predpokladám, že reset ten rozsah a vlastne celý router vynuluje a nastaví defaultné hodnoty)? Potom sa môžem prihlásiť ako user/user a nemám sa zaujímať o nič viac? Nerobí práve takýto prístup z 98% Slovenska blbé trúbky? Je až také nehorázne pýtať sa na tieto veci (vychádzajúc z povahy a formulácii tvojich odpovedí)?
(bez urážky)

nie, asi sa nechapeme ...
1) skontroluj si zmluvu, ci to zariadenie, ktore chces spravovat je tvoje.
ak je tvoje, potom si samozrejme rob s nim, co uznas za vhodne, a odignoruj moje pripomienky
(alebo bezne prides k ovladacej skrinke na semafory, a presetujes ich tak, aby mal zelenu tvoj smer ?)

2) co sa tyka resetu, akonahle si prevalil firmware, reset ti nepomoze. musel by si vratit povodny t-com firmware.

3) IPcky si mozes menit aj ako user, na to nepotrebujes admin pristup. takze konfiguracia IPciek je v praxi bezne pristupna smrtelnikom, a mozes si s nimi robit co len uznas za vhodne.

4) heslo uzivatelovi user si tiez mozes zmenit, od toho si ho dostal

5) cokolvek pristupne cez usera si mozes zmenit, od toho je tam ten user

[Dan.]

Prvé, čo chcem spraviť, je zabrániť streľbe protiargumentov odboku. Preto sa celkom logicky, rozumne a hlavne jednoducho pokúsim osvetliť nasledovné:

nie, asi sa nechapeme ...

Áno, nerozumieme si. Ale dostaneme sa k tomu.

1) skontroluj si zmluvu, ci to zariadenie, ktore chces spravovat je tvoje.
ak je tvoje, potom si samozrejme rob s nim, co uznas za vhodne, a odignoruj moje pripomienky
(alebo bezne prides k ovladacej skrinke na semafory, a presetujes ich tak, aby mal zelenu tvoj smer ?)

Ten príklad so semaforom má šmrnc, nemôžem poprieť, ale je to presne príklad tak trocha pribrzdeného protiargumentu. Ja som pochopil, čo si vravel v poste predtým, zariadenie patrí T-Comu. Podstata však spočíva v tom, že keď sa prihlásim ako user, mám mimoriadne osekané možnosti. To je to podstatné.

2) co sa tyka resetu, akonahle si prevalil firmware, reset ti nepomoze. musel by si vratit povodny t-com firmware.

Nuž, firmware som "neprevalil", aby som použil tvoj žargón. Ak si všimneš môj pôvodný post, išlo o to, že som sa pokúsil, no nešlo to.

3) IPcky si mozes menit aj ako user, na to nepotrebujes admin pristup. takze konfiguracia IPciek je v praxi bezne pristupna smrtelnikom, a mozes si s nimi robit co len uznas za vhodne.

Ak si si nevšimol (ak som to napísal nezrozumiteľne ja, tak sa ospravedlňujem!), zmenil som rozsah IP adries, ktoré definujú prístup k routeru admina! Aby som ti to ozrejmil:
telnet 192.168.1.1
pass: admin
potom príkaz: sys setwebiprange admin 192.168.1.2 192.168.1.254 (toto je to podstatné!)
Violá! Verím, že teraz si pochopil, aký rozsah IP adries som zmenil. S ostatnými IP-čkami, o ktorých hovoríš ty, si robím čo len chcem odjakživa.

4) heslo uzivatelovi user si tiez mozes zmenit, od toho si ho dostal

5) cokolvek pristupne cez usera si mozes zmenit, od toho je tam ten user

Toto je vhodné spojiť. "user/user" som použil ako nadsádzku, čo si mohol z kontextu celkom jasne postrehnúť. Prirodzene nie som až taký hlúpy, ako by si bol povedal. "Čokoľvek prístupné cez usera si môžem meniť." - toto si dúfam myslel sarkasticky.

[galen]

mam pocit ze sa nechapeme ...
skusim polopatisticky:
v com mas problem?

ze si k cudziemu zariadeniu (ktore mas doma zapozicane) nedostal plny pristup?

[Dan.]

Áno, dalo by sa povedať. A po druhé, vyplývajúce z prvého, že nemám manuálnu kontrolu nad klientmi - neviem ich konfigurovať na základe MAC adries (ako jeden z príkladov, len nerozumiem, prečo je aj toto blokované, proste je to užitočná vec, ktorú by som očakával v normálnych nastaveniach). Jediné, čo si viem urobiť ako user, je konfigurácia portov, v podstate tam nič viacej nie je...

Každopádne, priznávam si chybu, nemám sa čo hrabať v admine, ak ten router patrí T-Comu. Preto ťa chcem poprosiť o radu, ako ho resetnúť do pôvodných továrenských nastavení? Teda tak, aby sa vynuloval aj pôvodný rozsah IP adries (ktorými sa dá dostať do adminu, aby som bol presný) a zmeny, ktoré som urobil v admine? Nieže by som to nevedel nastaviť naspäť, no ten ip range neviem aký bol pôvodne...

[Dan.]

Ok, router vyresetovaný na továrenské nastavenia a do adminu sa nepchám. Niečo som sa naučil, aj keď som akosi nedostal na všetko odpovede...

V každom prípade vám všetkým ďakujem za odozvu a poprosím LOCK.

[mirjak]

galen: neviem, kde na to chodis, ale podla mna T-Com ten router "D-Link DSL-2641R" k Magio Internetu PREDAVA, t.j. hned po zaplateni je uzivatelovym majetkom a moze s s nim robit co chce.

Zmenit si heslo uzivatela Admin je prva vec, co by mal co i len trochu skuseny uzivatel urobit. Mnozstvo uzitocnych nastaveni sa da robit len pod Admin uctom.

[newmi]

cvakol si ho? Tak je tvoj! jedine, ze by si si ho od T-comu prenajimal.

[galen]

galen: neviem, kde na to chodis, ale podla mna T-Com ten router "D-Link DSL-2641R" k Magio Internetu PREDAVA, t.j. hned po zaplateni je uzivatelovym majetkom a moze s s nim robit co chce.

Zmenit si heslo uzivatela Admin je prva vec, co by mal co i len trochu skuseny uzivatel urobit. Mnozstvo uzitocnych nastaveni sa da robit len pod Admin uctom.

preto som vravel, neh si skontroluje zmluvu, ci je ten router jeho, alebo t-komunistov

ak ma na zmluve/fakture obycajny depozit za modem, tka je modem t-comu
ak tam ma (ci uz zvyhodnenu, alebo normalnu) cenu routra, ako nakup, tak samozrejme, je router jeho

[Dan.]

Áno, zariadenie je moje. Ale nemal som ani najmenšiu chuť s galenom ďalej diskutovať. Všimnite si jeho odpovede. Formulované nie za účelom akejkoľvek rady, všetko sú to nezmyselné poznámky, ktoré nevedú nikam.

Galen, "Nech žije T-COM", to by si si mal dať do podpisu.