Newsgroup: it.comp.reti.wireless
Titolo: domanda su sicurezza router

Salve a tutti,
ho collegato un DVR al mio router (un TP-LINK wireless) per monitorare a 
distanza casa mia e le varie telecamere collegate.
Ora quindi loggandomi da remoto all'IP pubblico del router e alla porta 
del server associato al DVR posso vedere quel che riprendono le 
telecamere ecc.ecc.
Ma vengo al problema:
Il server del DVR mi risponde ogni volta che digito l'IP e la porta 7777 
ma ho notato che se digito il medesimo IP con la porta 80 mi appare la 
schermata di login e configurazione router! Ahia ho pensato... anche se 
chiede di autenticarsi con un brute force ci entreranno prima o poi... 
possibile che non si possa evitare che compaia sta schermata?
E giro quindi la domanda ai più esperti del NG: esiste la possibilità (e 
se si dove devo mettere mani nelle impostazioni del router) affinché la 
schermata di amministrazione non sia raggiungibile da remoto???
Grazie infinite.
 
Francesco


ciao non ho il tuo router ma di solito la funzione di remote management 
dovrebbe essere disattivata. ad ogni modo dovresti controllare all'interno 
del pannello di configurazione e cercare l'opzione relativa e, 
semplicemente, disabilitarla.
 
saluti.
 
--
   .''`.  | ~<[ alessio ~ (dr_mortimer) ]>~
  : :'  : |
  `. `'`  | Get Debian: 
http://www.debian.org/distrib/
 
    `-    | The Onion Router: 
https://torproject.org/
 

Ciao, ho fatto come hai suggerito e ti ringrazio per la dritta.
Nel mio router il remote management corrisponde alla sezione ACL (access 
control). L'ho abilitato e ora infatti il pannello non è più visibile da 
remoto ma...purtroppo nemmeno da locale! Che IP dovevo escludere??? Mi 
indicava anche opzione WAN e LAN. Ho selezionato solo WAN ma da locale 
la gestione del router è irraggiungibile.
Come faccio per rivedere in corrispondenza del 192.168.1.1 il pannello 
router?
Una volta risolto che IP devo inserire per vederlo solo in locale?
Grazie mille.
 
Francesco.


 Grazie mille.
 
Il contrario :)
Devi lasciare abilitata la sola gestione da LAN. Tu sei in LAN, il resto 
del mondo e WAN.
Se usi le ACL scritte a mano, va inserito come IP autorizzato 
"127.0.0.1" oppure localhost e per sicurezza ci metti pure l'IP che di 
solito assegna il router (se è fisso).
Di norma sui router semplici si indica cosa includere, non il contrario.
A sto punto ti conviene resettarlo a impostazioni di fabbrica, immagino 
ci sarà qualche pulsante da premere all'accensione.
 
Gabriele
 

Ciao Gabriele,
ho provato a fare come dici ma il problema è l'IP, il 127.0.0.1 non me 
lo accetta.
Alternative?
 
Ti ringrazio.


 schermata di amministrazione non sia raggiungibile da remoto???
 
se non trovi la casella da spuntare per disattivare l'accesso 
amministrativo dalla porta wan, potresti provare a reindirizzare la 
porta 80 vero un ip inesistente.
 
Adriano

 telecamere ecc.ecc.
il problema è qui, evidentemente hai messo l'ip del NVR in dmz e quindi 
passa qualsiasi cosa da internet verso l'NVR.
 
NON devi agire sui settaggi del NVR ma sul router, devi far passare SOLO 
le porte che ti interessano e non anche la 80.
 
Va quindi eliminato da DMZ e gestito attraverso i settaggi del tuo 
router (virtual server???) che tu chiami TP-link wireless... e di cui la 
mia palla di vetro non riesce a capir nulla (scherzo, ma se non dai info 
migliori...)

 porte che ti interessano e non anche la 80.
 
correggimi se sbaglio: in questo caso, la porta 80 continuerebbe a 
rispondere, permettendo l'accesso all'interfaccia web di configurazione 
del router; che e' cio' che V for Vasetto vorrebbe evitare.
Imho, la soluzione corretta sarebbe di disattivare l'accesso alla 
configurazione del router dalla wan. Solitamente e' una voce di 
configurazione presente; talvolta si puo' anche impostare l'uso 
dell'https o anche cambiare la porta standard.
In alternativa, si potrebbe reindirizzare la porta 80 su un ip della 
lan non utilizzato, in modo da rendere irraggiungibile la 
configurazione del router dall'esterno.
 
Adriano

 del router; che e' cio' che V for Vasetto vorrebbe evitare.
  si ok, si parla del *router* io pensavo al DVR....

Allora ragazzi, questo è il link al manuale del router (modello TP Link 
TD-W8961ND):
 
http://www.tp-link.it/Resources/document/TD-W8961ND_V3.0_User_Guide_IT.pdf
 
 
a pagine 54 c'è esattamente la schermata per cui chiedo aiuto.
Nel router del pc dal quale vi scrivo ho attivato ACL, attivato la 
regola n.1 e messo come indirizzo IP sicuro un range di IP remoti 
abbastanza stretto e difficile da assegnare (della serie è difficile che 
corrispondano a IP di malintenzionati). Come applicazione ho settato ALL 
e interfaccia ho selezionato solo WAN.
Una volta salvato tutto il mio router è inaccessibile digitando 192.168.1.1
Per fortuna quindi neanche da remoto lo è digitando l'IP pubblico con 
porta 80 (che era quella di default del pannello amministrativo del 
router), mentre il DVR (su altra porta) mi si vede a distanza.
In sostanza la cosa mi va bene così, ma purtroppo ora il router non 
riesco più a vederlo per configurarlo e insomma vorrei sapere da voi 
come rifare le cose con cognizione e non a ca... come ho fatto io.
Grazie ancora tante per la pazienza nel rispondermi.


Il 10/02/2014, V for vasetto ha detto :
 
Il manuale del tuo, forse perche' ho avuto una giornataccia al lavoro 
mi sembra particolarmente caotico.
In particolare, riguardo la configurazione ACL di cui parlavi, mi 
sembra corretto quello che hai fatto. Salvo che non mi e' chiaro cosa 
significhi, alla voce applicazione, "selezionare l'applicazione di 
gestione influenzata dalla regola acl". Oltre All che altre voci ci 
sono?
Mi viene in mente che una volta attivato ACL, di default il router non 
sia piu' raggiungibile da nessuno, e le varie regole siano le 
eccezioni.
Quindi hai solo creato l'eccezione per raggiungerlo dalla wan (da 
alcuni ip) mentre la lan rimane tagliata fuori. In questo caso dovresti 
aggiungere una seconda regola per la lan. Anzi: se fosse giusta questa 
interpretazione, metterei prima la regola della lan, e come seconda 
quella della wan. Perche' non vorrei che mettendo prima la regola della 
wan, appena la inserisci ti chiudi fuori (a meno che tu non stia 
lavorando dalla wan, ovviamente)
 
Per il dvr:
attiva il nat. Io farei con il virtual server (ip singolo)
alla voce applicazione dovresti trovare varie regole gia' fatte (per 
applicazioni standard) e la possibilita' di crearne di nuove (vedi a 
pag. 40); chiami questa regola "dvr" e stabilisci che la porta 
utilizzata dal dvr (porta iniziale = a porta finale) venga inviata 
all'ip locale (privato) del dvr.
Il protocollo suppongo sia tcp, se metti all intende sia tcp che udp.
 
 
Adriano

 mentre la lan rimane tagliata fuori.
appunto, e basterebbe attivare solo la LAN con ip 0.0.0.0, in questo 
modo solo un pc nella LAN potrebbe accedervi, come, sembra, chiesto 
dal''OP...
 
rimane la curiosità di capire quale meccanismo si è seguito per definire 
solo WAN, quando è chiaro nel manuale che attivando le ACL si deve 
definirle altrimenti non si accede più.... come in effetti accade :)

 altrimenti non si accede più.... come in effetti accade :)
 
mi pare che volesse accedere anche dalla wan, ma da un ristretto range 
di ip. Probabilmente, se provasse nella situazione attuale da uno di 
quegli indirizzi esterni, potrebbe accedere
 
 
Adriano

Ragazzi siete grandi. Ho risolto tutto seguendo i vostri consigli!
Ho resettato il router e impostato secondo le vostre indicazioni, ora si 
vede il pannello del router solo da locale e funge tutto!
A proposito, è normale che per poter vedere il dvr da remoto ho dovuto 
inserire l'IP locale del dvr oltre che nel virtual server (indicando le 
porte) ma anche nel campo DMZ (demilitarized zone)?
Grazie ancora.

---
Questa e-mail è priva di virus e malware perché è attiva la protezione avast! Antivirus.
http://www.avast.com
 
 

 porte) ma anche nel campo DMZ (demilitarized zone)?
 
probabilmente si (ma non ho mai provato). in DMZ ci puoi mettere 
diversi
dispositivi e in qualche modo devi pur indicarglieli
 
 
Adriano


no, o l'uno o l'altro, prob non è configurato correttamente il virtual 
server....