GoFiber GF25C - הוט - IPv6

[Multi_Touch]

שבוע טוב לכולם,

אני מציע להזהר מאוד מהממשק CLI הזה כי המכשיר מלא בכל כך הרבה באגים שממש קל לעשות לו brick בלתי הפיך (כמעט).
לכמעט כל דבר יש דף בממשק שמבצע את הפעולות "שהיצרן התכוון", נגיעה ישירה בקרביים שלו עלולה להביא למצבים בלתי צפויים.

בתור התחלה, גם את השינוי שכתב @itfan דרך ה-CLI, ניתן לבצע בצורה "רשמית" יותר דרך ממשק ה-WEB בדרך הבאה:

1. נכנסים ל-https://192.168.1.1 (או http אם הסיב לא מחובר) ומתחברים עם המשתש admin והסיסמה שהיא המספר הסריאלי של המכשיר כפי שרשום על המדבקה.

2. נכנסים ישירות לדף https://192.168.1.1/ipv6_enabledisable.asp - הוא לא נגיש דרך התפריטים הרגילים. יש לשים לב להשתמש ב-http או https בדיוק כפי שנכנסתם לדף הלוגין בסעיף 1.

צילום מסך:
image.png

3. משנים את ההגדרה ל-disable (או enable אם רוצים להחזיר)

4. לוחצים על Apply Changes

אמורה להתקבל הודעה שהשינוי בוצע. ההגדרה הזו גם משנה באופן קצת בטיחותי יותר את V6_IPV6_ENABLE, ועושה עוד טיפה דברים כגון לכבות את dhcpdv6 ואת radvd (שזה מה ששולח את ההודעות RA הבעייתיות), תוך שינוי קונפיגורציה שיגרמו להם גם פחות להפריע בעתיד.

במידה וזה לא פותר את הבעיה (אולי ידרש גם reboot), יש פתרונות נוספים, שגם הם נגישים מדפים כאלה ואחרים דרך הממשק, שמאפשרים שינויים מעט יותר כירורגיים - כגון לשנות את קונפיגורציית radvd או להוסיף חוק חסימה להודעות ICMPv6 RA יוצאות... אבל כל דבר במועדו.

לצערי אין לי איך לבדוק מה היא הבעיה האמיתית כי אין לי חיבור הוט למוצר הזה, אבל נראה לי שנסתדר עם תמיכת הקהל פה

...

התכוונתי לבצע את זה, אבל עכשיו נכנסתי לבדוק וכעת יש IPv6 תקין (לא עשיתי שום שינוי מאז התגובה האחרונה, בגדול זה בהגדרות הראשוניות)
מעניין מה גרם לזה לעבוד...
במידה ולא יעבוד בעתיד, אנסה את השיטה הזו.
המון תודה על העזרה!

[itfan]

לכמעט כל דבר יש דף בממשק שמבצע את הפעולות "שהיצרן התכוון", נגיעה ישירה בקרביים שלו עלולה להביא למצבים בלתי צפויים.

...

אני מציע להיזהר מאוד משימוש בדפים נסתרים בממשק ה-web. יש הרבה עשרות כאלה ולרובם הגדול אין שום קשר למכשיר שעליו מדובר פה. יש בינהם דפים לקינפוג WiFi, לקינפוג ADSL, לקינפוג רשת סלולרית, לקינפוג samba, ועוד שפע של דברים שאין להם שום קשר למכשיר מסוג Bridge ONT בכלל או ל-GF25C בפרט. הדבר האחרון שאפשר להגיד על רובם זה "שהיצרן התכוון" שישתמשו בהם. הדפים שהיצרן באמת התכוון שישתמשו בהם במכשיר הספציפי שעליו מדובר פה (ושהשימוש בהם במכשיר הנ"ל אולי גם נבדק במידת מה ע"י היצרן) הם בדיוק אלה שיש אליהם קישורים גלויים בממשק ה-web. שימוש בדפים נסתרים יכול להיות נוח במספר מצומצם של מקרים, אבל באופן כללי, זה עלול להביא למצבים בלתי צפויים.

ועושה עוד טיפה דברים כגון לכבות את dhcpdv6 ואת radvd (שזה מה ששולח את ההודעות RA הבעייתיות), תוך שינוי קונפיגורציה שיגרמו להם גם פחות להפריע בעתיד.

...

על איזה עוד דברים ושינויי קונפיגורציה מדובר? ממה שאני מצליח לראות אצלי במכשיר, נראה שמה שאתה מציע עושה בדיוק את אותו שינוי קונפיגורציה שאני הצעתי לבצע בממשק אחר (אחרי reboot מתקבל אותו דבר).

[whatevernevermind]

אני מציע להיזהר מאוד משימוש בדפים נסתרים בממשק ה-web. יש הרבה עשרות כאלה ולרובם הגדול אין שום קשר למכשיר שעליו מדובר פה. יש בינהם דפים לקינפוג WiFi, לקינפוג ADSL, לקינפוג רשת סלולרית, לקינפוג samba, ועוד שפע של דברים שאין להם שום קשר למכשיר מסוג Bridge ONT בכלל או ל-GF25C בפרט. הדבר האחרון שאפשר להגיד על רובם זה "שהיצרן התכוון" שישתמשו בהם. הדפים שהיצרן באמת התכוון שישתמשו בהם במכשיר הספציפי שעליו מדובר פה (ושהשימוש בהם במכשיר הנ"ל אולי גם נבדק במידת מה ע"י היצרן) הם בדיוק אלה שיש אליהם קישורים גלויים בממשק ה-web. שימוש בדפים נסתרים יכול להיות נוח במספר מצומצם של מקרים, אבל באופן כללי, זה עלול להביא למצבים בלתי צפויים.



על איזה עוד דברים ושינויי קונפיגורציה מדובר? ממה שאני מצליח לראות אצלי במכשיר, נראה שמה שאתה מציע עושה בדיוק את אותו שינוי קונפיגורציה שאני הצעתי לבצע בממשק אחר (אחרי reboot מתקבל אותו דבר).

...

כשכתבתי "היצרן" התכוונתי ליצרן הSoC והSDK שהמוצר הזה בנוי עליו, כבר כתבתי בפורום עד כמה המוצר הזה הוא פלסטיק סביב לקיט ההדגמה של Realtek. יש עוד הרבה (מאוד מאוד) מוצרים עם אותו קוד בדיוק, בן מעל 20 שנה... רק שבדרך כלל נהוג שהיצרנים (של המארזים המלאים) מבצעים יותר שינויים ובדיקות מאשר במוצר הזה. הוא באמת מהגרועים שראיתי בהיבט הזה.

במקרה של הדף הספציפי - זו הדרך של הSDK לבצע את השינוי המבוקש הנ"ל. הדף הזה מבצע גם עריכה קבועה של radvd.conf שמשנה את AdvValidLifetime ואת AdvPreferredLifetime ל-0, מעדכן בכך את radvd, ואז סוגר של dhcpd6 ושל radvd. זה בגדול אומר שהמכשיר יודיע אקטיבית לכל הרשת שהוא כבר לא נתב IPv6 לפני שהוא סוגר את היכולת הזו - מה שלא מצריך reboot וגם לא מצריך ששאר הרכיבים ברשת ימתינו לסוף הlifetime כדי להבין שהוא כבר לא מנתב אותם.

אבל... רק שיש שם race condition קטן שבגללו הוא עלול לחסל את radvd עוד לפני שההודעה הזו מספיקה להשלח, ואז יהיה צורך להמתין יותר זמן (30 דקות או פחות), או לבצע reboot בכל זאת.

מעבר לזה הדף גם משתמש בשיטה אחרת לשינוי ערך הקונפיגורציה - ע"י שינוי ה-mib דרך המנגנון הסטנדרטי לכך.

והכי חשוב מבחינתי - לא עובר דרך ממשק CLI כלשהו...

אגב, אם כל מה שרוצים זה שינוי קוסמטי לקובץ הקונפיגורציה, שיעבוד מהreboot הבא, גם את זה אפשר דרך הממשק וללא שום דף נסתר - להוריד ("לגבות") את הקונפיגורציה, להסיר את הקידוד (המטופש ביותר), לערוך טקסטואלית מ1 ל0, לקודד בחזרה ולטעון למכשיר דרך הממשק. למעשה אפילו לא צריך להסיר את הקידוד

מקווה שזה עונה. נראה מה יקרה בעדכון התוכנה הבא...

[Jabberwock]

נראה מה יקרה בעדכון התוכנה הבא...

...

רק "שהסינים" לא יעלו על זה...

[rm1]

אגב, אם כל מה שרוצים זה שינוי קוסמטי לקובץ הקונפיגורציה, שיעבוד מהreboot הבא, גם את זה אפשר דרך הממשק וללא שום דף נסתר - להוריד ("לגבות") את הקונפיגורציה, להסיר את הקידוד (המטופש ביותר), לערוך טקסטואלית מ1 ל0, לקודד בחזרה ולטעון למכשיר דרך הממשק. למעשה אפילו לא צריך להסיר את הקידוד

...

יכול לפרט איך הורדת את הקידוד של קובץ הקונפיגורציה?

[itfan]

הדף הזה מבצע גם עריכה קבועה של radvd.conf שמשנה את AdvValidLifetime ואת AdvPreferredLifetime ל-0, מעדכן בכך את radvd, ואז סוגר של dhcpd6 ושל radvd.

...

אני לא רואה אצלי את השינויים האלה שעליהם אתה כותב. למיטב הבנתי, הקובץ radvd.conf שנמצא בשימוש radvd על המכשיר שלנו נראה בדיוק כך:

קוד: בחירת הכל

# cat /var/radvd.conf
interface br0
{
        AdvSendAdvert on;
        MaxRtrAdvInterval 600;
        MinRtrAdvInterval 198;
        AdvCurHopLimit 64;
        AdvDefaultLifetime 1800;
        AdvReachableTime 0;
        AdvRetransTimer 0;
        AdvLinkMTU 1492;
        AdvManagedFlag off;
        AdvOtherConfigFlag on;
};
#

והוא לא משתנה כלל כשמשנים את מצב ה-IPv6 בדף ה-ipv6_enabledisable.asp החביב עליך. מדובר על קובץ שנוצר באופן דינמי (או מתעדכן, אם הוא כבר קיים) עם ההפעלה של radvd. בשביל לבצע שינוי קבוע בערכי המשתנים שמופיעים בו צריך לשנות משתני קונפיגורציה מתאימים עם פקודות CLI כמו

קוד: בחירת הכל

 flash set V6_ADVDEFAULTLIFETIME 1700

למשל. (כנראה שאת הערכים של ארבעה מתוך עשרת המשתנים שמופיעים בקובץ הנ"ל ניתן גם לשנות מממשק ה-web; ספציפית, מהדף radvdconf.asp; לא ניסיתי.)

אני מנחש שהשינויים שעליהם כתבת הם אולי שינויים שהדף מנסה לבצע אבל לא באמת מצליח, מהטעם הפשוט שהוא כלל לא מותאם לקושחה שרצה בפועל על המכשיר שלנו (וזו בדיוק הבעיה הפוטנציאלית עם דפים נסתרים כאלה: אפריורית, אין שום סיבה להניח שהם תואמים למכשיר). כמובן שאחרי reboot כל זה לא משנה כי הדבר היחיד שמשתנה באופן קבוע בקונפיגורציה של המכשיר אחרי שינוי מצב ה-IPv6 בדף ה-ipv6_enabledisable.asp זה הערך של V6_IPV6_ENABLE. אם הוא 0 אז אחרי reboot אין שום radvd שפועל, הקובץ radvd.conf כלל לא קיים וכו’…

בקיצור, כנראה שמבחינת השינוי שמתבצע בפועל במכשיר, אחרי reboot, מה שאני הצעתי ומה שאתה הצעת זה בדיוק אותו הדבר. סביר להניח שלרוב האנשים מה שאתה הצעת קצת יותר נוח, אבל לטעמי, מה ש"קצת בטיחותי יותר" זה דווקא להשתמש ב-CLI.

אגב, אם כל מה שרוצים זה שינוי קוסמטי לקובץ הקונפיגורציה, שיעבוד מהreboot הבא, גם את זה אפשר דרך הממשק וללא שום דף נסתר - להוריד ("לגבות") את הקונפיגורציה, להסיר את הקידוד (המטופש ביותר), לערוך טקסטואלית מ1 ל0, לקודד בחזרה ולטעון למכשיר דרך הממשק. למעשה אפילו לא צריך להסיר את הקידוד

...

כל זה בשביל להימנע מפקודה אחת ב-CLI? נשמע לי כמו מקרה קצת חריג של CLI-phobia .

[Jabberwock]

בדקתי לפני reboot וגם אחרי reboot.
השיטה דרך הממשק עובדת בשני התרחישים.

[whatevernevermind]

יכול לפרט איך הורדת את הקידוד של קובץ הקונפיגורציה?

...

לקודד - להוסיף 1 מהערך של כל byte (מודולו 256). להסיר קידוד - להוריד 1.

זה משהו שנראה לי שגם אם תזרוק ל-ChatGPT הכי ישן, ותשאל אותו מה קרה לטקסט הזה, הוא יבין מה כתוב שם...

[whatevernevermind]

אני לא רואה אצלי את השינויים האלה שעליהם אתה כותב. למיטב הבנתי, הקובץ radvd.conf שנמצא בשימוש radvd על המכשיר שלנו נראה בדיוק כך:

קוד: בחירת הכל

# cat /var/radvd.conf
interface br0
{
        AdvSendAdvert on;
        MaxRtrAdvInterval 600;
        MinRtrAdvInterval 198;
        AdvCurHopLimit 64;
        AdvDefaultLifetime 1800;
        AdvReachableTime 0;
        AdvRetransTimer 0;
        AdvLinkMTU 1492;
        AdvManagedFlag off;
        AdvOtherConfigFlag on;
};
#

והוא לא משתנה כלל כשמשנים את מצב ה-IPv6 בדף ה-ipv6_enabledisable.asp החביב עליך. מדובר על קובץ שנוצר באופן דינמי (או מתעדכן, אם הוא כבר קיים) עם ההפעלה של radvd. בשביל לבצע שינוי קבוע בערכי המשתנים שמופיעים בו צריך לשנות משתני קונפיגורציה מתאימים עם פקודות CLI כמו

קוד: בחירת הכל

 flash set V6_ADVDEFAULTLIFETIME 1700

למשל. (כנראה שאת הערכים של ארבעה מתוך עשרת המשתנים שמופיעים בקובץ הנ"ל ניתן גם לשנות מממשק ה-web; ספציפית, מהדף radvdconf.asp; לא ניסיתי.)

אני מנחש שהשינויים שעליהם כתבת הם אולי שינויים שהדף מנסה לבצע אבל לא באמת מצליח, מהטעם הפשוט שהוא כלל לא מותאם לקושחה שרצה בפועל על המכשיר שלנו (וזו בדיוק הבעיה הפוטנציאלית עם דפים נסתרים כאלה: אפריורית, אין שום סיבה להניח שהם תואמים למכשיר). כמובן שאחרי reboot כל זה לא משנה כי הדבר היחיד שמשתנה באופן קבוע בקונפיגורציה של המכשיר אחרי שינוי מצב ה-IPv6 בדף ה-ipv6_enabledisable.asp זה הערך של V6_IPV6_ENABLE. אם הוא 0 אז אחרי reboot אין שום radvd שפועל, הקובץ radvd.conf כלל לא קיים וכו’…

בקיצור, כנראה שמבחינת השינוי שמתבצע בפועל במכשיר, אחרי reboot, מה שאני הצעתי ומה שאתה הצעת זה בדיוק אותו הדבר. סביר להניח שלרוב האנשים מה שאתה הצעת קצת יותר נוח, אבל לטעמי, מה ש"קצת בטיחותי יותר" זה דווקא להשתמש ב-CLI.



כל זה בשביל להימנע מפקודה אחת ב-CLI? נשמע לי כמו מקרה קצת חריג של CLI-phobia .

...

לגבי בטיחות - זו דעתי שאתה כבר מכיר, לאור הניסיון המוצר הזה ושכמותו מגיבים להמון המון שינויים בסביבתם ולהמון טריגרים. התגובות לאירועים שונים ומשונים (רשת, ספקית, סנסורים, אפילו זמן) הן לעיתים hardcoded במקומות לא צפויים ונבנים אחד על השני במשך הרבה שנים של patchים שכל מטרתם זה להוריד איזו תלונה של איזה לקוח - כולל של דראקו...

עם כל הבאגים של מוצרים ברמת מחיר זו, אני מעדיף תמיד לעבור במסלול הקוד הקצר ביותר, ושמופיע ומתועד בSDK. לכן הפתרון הראשון שהצעתי היה עם דף גלוי רגיל, ואח"כ אסקלציה לדף נסתר. הפתרון הבא בתור שהתכוונתי להציע אכן היה להשתמש בradvdconf.asp שלא רק שהוא נסתר אלא שגם יש בו div "מוסתר" בצד הדפדפן... בחלק המוסתר הראשון בעמוד הזה יש אופציה שמאפשרת לבטל לגמרי את השליחה של RA. מדובר רק בעוד 2 קליקים בדפדפן כדי לחשוף את החלק הזה בדף... וזה עדיין יותר טוב בעיני מלפתוח CLI.

אה, וזה היה סט צעדים לפתיחת ה-CLI, התחברות בפרוטוקול אחר, פקודה, ו-reboot אבל מי סופר. עכשיו אפשר לדבר גם על מה שבפנים ועל דברים כמו מה גודל הקופון שדראקו גוזרים על הלקוחות בתיווך מול יצרנית הפלסטיק הסינית...