חסימת גישה ישירה למודם

HenB · שליחה #1 04/12/2017 8:19

שלום,
רציתי לדעת האם יש אפשרות לחסימת גישה לאינטרנט ברמת המודם.
כלומר, כמו שאפשר לשים סיסמא ל-WIFI,
האם ישנה אפשרות לשים סיסמא למודם עצמו, שכל מי שמתחבר אליו אפילו בצורה ישירה עם כבל,
יתבקש להזין סיסמא בכדי להשתמש באינטרנט.

אני מבהיר, חסימה ברמת המודם עצמו, לא על מחשב ספציפי בלבד.

תודה מראש

mp3lll · שליחה #2 04/12/2017 10:21

בסתם ראוטר לא.

NegativeIQ · שליחה #3 04/12/2017 11:03

@HenB
לא אפשרי עם קושחת יצרן וכנראה גם לא עם DD-WRT. עם LEDE אמור להיות אפשרי ברוב (אבל לא כל) דגמי הנתבים, אבל די מסובך לביצוע.

שליחה #4 04/12/2017 19:53

אתה יכול לבטל בראוטר את ה DHCP ולתת כתובת רשת לא נפוצה כמו 172.10.10.000 ושער רשת גם לא נפוץ כמו 172.10.10.172 ולהגדיר בכל המכשירים הקבועים וכך מי ששיתחבר יצטרך להתאמץ כדי להגדיר זאת אצלו, יצטרף לעבוד קצת עם סניפר אך זה עדיין יותר טוב מאשר לחסום ברמת ה MAC שנפוצה בראוטרים

פתרון אחר מאובטח מאוד אך טיפה מסובך זה אם הראוטר שלך מאפשר להשתמש ב RADIUS ולהריץ שרת רדיוס ברשת (נדרשת התקנה על שרת חיצוני כמו מחשב\רסברי\AP תומך וכו') וכך לכל משתמש רשת יש יוזר וסיסמא.

אישית אני מיישם RADIUS המון גם באבטחת WIFI (אין סיסמא לכולם אלא לכל אחד יש שם משתמש וסיסמא יחודיים לו)

mrgadgets · שליחה #5 04/12/2017 20:24

+1 על הRADIUS.
זה כנראה הפתרון שהכי קרוב למה שאתה מחפש.

NegativeIQ · שליחה #6 06/12/2017 14:11

DanielHava כתב:אתה יכול לבטל בראוטר את ה DHCP ולתת כתובת רשת לא נפוצה כמו 172.10.10.000 ושער רשת גם לא נפוץ כמו 172.10.10.172 ולהגדיר בכל המכשירים הקבועים וכך מי ששיתחבר יצטרך להתאמץ כדי להגדיר זאת אצלו, יצטרף לעבוד קצת עם סניפר אך זה עדיין יותר טוב מאשר לחסום ברמת ה MAC שנפוצה בראוטרים

פתרון אחר מאובטח מאוד אך טיפה מסובך זה אם הראוטר שלך מאפשר להשתמש ב RADIUS ולהריץ שרת רדיוס ברשת (נדרשת התקנה על שרת חיצוני כמו מחשב\רסברי\AP תומך וכו') וכך לכל משתמש רשת יש יוזר וסיסמא.

אישית אני מיישם RADIUS המון גם באבטחת WIFI (אין סיסמא לכולם אלא לכל אחד יש שם משתמש וסיסמא יחודיים לו)
...

הוא מחפש פתרון גם ל-Wired, לא רק לאלחוטי.
אז כן, RADIUS הוא חובה אבל לא מספיק - לא ראיתי אף נתב ביתי שבקושחת היצרן יש אפשרות לבצע אימות RADIUS בחיבור קווי. אני מניח שאפשר לעשות את זה עם LEDE ע"י הפעלת hostapd על ה-interface הקווי אבל התיעוד מאוד חסר. יהיה צריך לעשות שם קצת ניסוי וטעיה.

sys_admin · שליחה #7 07/12/2017 8:26

@NegativeIQ
·
הפתרון המדובר, הוא מבין הסיבות העיקריות שבגללן משתמשים בקושחות צד שלישי בכלל, וב LEDE במיוחד. וזה גם דבר בסיסי ביותר, פשוט למימוש ברשת ביתית והדבר הראשון שמגדירים בנתב ביתי לצורך אבטחה של רשת או לצורך של שימוש של האורחים ברשת נפרדת. שרת RADIUS כשלעצמו, הוא לא מספיק לזה, אבל הוא הרכיב המרכזי של הפתרון. המנגנון שמבצע את העבודה של זיהוי משתמש בגישה לאינטרנט מרשת כזו מכונה בשם captive portal , והוא לא מצריך הגדרות מיוחדות או התקנה של תוכנה כלשהיא בצד הלקוח ופועל גם ברשת אלחוטית וגם ברשת קווית. פיתרון זה, בנוסף גם נותן אפשרות של שליטה על רוחב פס ועל נפח תעבורה פר כל לקוח לפי שם משתמש שלו, דבר שמונע מצב שלקוח אחד גוזל את כל הרוחב פס של כל הרשת ( דבר שבמיוחד אקטואלי ואקוטי בישראל עם הרוחבי פס המגוחכים שזמינים כאן ללקוחות הביתיים).
כמובן שהמנגנון לזיהוי המשתמשים הוא שרת RADIUS, שהוא שרת שמשמש ברשת ביתית לדברים רבים, כמו גם הצפנה של רשת אלחוטית וגם בקרת גישה לרשת קווית ואבטחה של ממשק ניהול בציוד רשת. במיחוד שהיום גם מתגים לשימוש ברשת ביתית תומכים בפרוטוקול זה וגם כל ההתקני רשת, כמו מדפסות ומצלמות אבטחה ביתיות גם תומכות בפרוטוקול 802.1x
.
כל הדברים האלה, הם לא משהוא חדש, אלה שזה מנגנוני רשת הכי בסיסיים שזמינים ובשימוש כבר יותר מעשור, גם ברשתות ביתיות.

שליחה #8 08/12/2017 0:08

NegativeIQ כתב:
...
...
הוא מחפש פתרון גם ל-Wired, לא רק לאלחוטי.
אז כן, RADIUS הוא חובה אבל לא מספיק - לא ראיתי אף נתב ביתי שבקושחת היצרן יש אפשרות לבצע אימות RADIUS בחיבור קווי. אני מניח שאפשר לעשות את זה עם LEDE ע"י הפעלת hostapd על ה-interface הקווי אבל התיעוד מאוד חסר. יהיה צריך לעשות שם קצת ניסוי וטעיה.

פתרון רדיוס מספק גם אימון לחיבור קווי, זה תלוי אם בנתב או בסויטש ואפשר גם לבצע זאת על פורטים מסויימים, נכון לרוב אין את זה לציוד ביתי כי הדרישה הזו מהמשתמש היא גם לא נפוצה למשתמשים הביתיים, יש את זה ברוב הציודי SMB, אפילו בזולים שעולים פחות מאיזה ראוטר חללית מתוצרת TP וכו.

captive portal לרשת קוית יצריך גם כן שרת מאמת או ישנם ציודים ממש ספציפיים שיודעים לבצע זאת על LAN ללא מאמת חיצוני, לדעתי יהיה יותר קל לאתר אותם מאשר רדיוס, אלא אם כן מישהו יכול להמליץ לו על ציוד ספציפי שאתה מכיר שעושה זאת
...

·

cobraf · שליחה #9 14/12/2017 12:10

אם למישהו יש גישה פיזית למכשיר הוא יוכל בקלות לאפס אותו להגדרות יצרן ולגשת לממשק ניהול,אז כל ההצעות פה נחמדות אבל לא יעזרו יותר מידי

sys_admin · שליחה #10 14/12/2017 12:33

cobraf כתב:אם למישהו יש גישה פיזית למכשיר הוא יוכל בקלות לאפס אותו להגדרות יצרן ולגשת לממשק ניהול,אז כל ההצעות פה נחמדות אבל לא יעזרו יותר מידי
...

·

צריכים להבין, שאם מוחקים את הנתב למצב של הגדרות יצרן, כל מה שמקבלים זה מכשיר שלא מחובר לאינטרנט או מכשיר שההגדרות רשת הקודמות שלו כבר לא קיימות יותר וכל מה שזה נותן, זה רק לחבל בתקשורת תקינה, אבל לא לעקוף את המיגבלות המוגדרות לאינטרנט או לעקוף את המגבלות של גישה למשאבי רשת מקומית, אם הוגדרו לפני זה מנגנונים שדובר עליהם מקודם. אחרי זה גם לשחזר את ההגדרות הקיימות לוקח לא יותר מכמה שניות, אם בוצע גיבוי פשוט, שזה הדבר הראשון שמבצעים בסיום של הההגדרות של ציוד תקשורת.
וחוץ מזה, אם רוצים להגן על גישה פיזית לנתב, קיימים לזה פתרונות פשוטים, שבשימוש יום יומי נרחב מזה עשורים רבים.

cobraf · שליחה #11 14/12/2017 12:40

כן צריך להבין שאם מישהו מנסה להשיג גישה,סיסמא לא תמנע זאת ממנו במיוחד אם יש לו גישה פיזית לציוד

תאוריות זה נחמד אבל אם מדברים על אבטחה ברגע שיש גישה פיזית היא לא באמת קיימת

sys_admin · שליחה #12 14/12/2017 12:44

cobraf כתב:כן צריך להבין שאם מישהו מנסה להשיג גישה,סיסמא לא תמנע זאת ממנו במיוחד אם יש לו גישה פיזית לציוד

תאוריות זה נחמד אבל אם מדברים על אבטחה ברגע שיש גישה פיזית היא לא באמת קיימת
...

·

בתגובה הקודמת כבר הסברתי למה זה לא אפשרי, כך שחבל יהיה לחזור על ההסבר שנתתי לפני רגע. כמובן שגם לא מדובר על שם תיאוריות, אלה על דברים הכי פשוטים ויום יומיים שבשימוש מזה שנים רבות, גם בציוד ברמה הביתית ולשימוש הביתי.