मेरे घरेलू नेटवर्क में असुरक्षित उपकरणों को जोड़ना

Question

मेरे पास कुछ इंटरनेट से जुड़े उपकरण हैं जिन पर मुझे सुरक्षित होने का भरोसा नहीं है, लेकिन मैं वैसे भी (एक स्मार्ट टीवी और कुछ ऑफ-द-शेल्फ होम ऑटोमेशन डिवाइस) का उपयोग करना चाहूंगा। मैं उन्हें अपने कंप्यूटर के समान नेटवर्क पर नहीं चाहता।

मेरा वर्तमान समाधान मेरे केबल मॉडेम को एक स्विच में प्लग करना है और दो वायरलेस राउटर को स्विच से कनेक्ट करना है। मेरा कंप्यूटर पहले राउटर से जुड़ता है, बाकी सब दूसरे राउटर से जुड़ता है।

क्या यह मेरे कंप्यूटर को पूरी तरह से सब कुछ से अलग करने के लिए पर्याप्त है?

इसके अलावा, क्या एकल राउटर का उपयोग करने का एक सरल समाधान है जो प्रभावी रूप से एक ही काम करेगा? मेरे पास डीडी-WRT के साथ निम्नलिखित राउटर हैं :

• नेटगियर WNDR3700-v3

• लिंकसी WRT54G-v3

सभी डिवाइस (सुरक्षित और असुरक्षित) सुरक्षित रूप से नेटवर्क पर एक कंप्यूटर को छोड़कर, वायरलेस तरीके से कनेक्ट होते हैं।

Comments

आपके कंप्यूटर से पृथक्करण महान है, लेकिन आपके असुरक्षित स्मार्ट टीवी को आपके असुरक्षित वाईफाई टोस्टर से अलग करने का क्या? ;)

— ZX9

हम्म ... वैसे मेरे पास कई और पुराने राउटर हैं जो आसपास पड़े हुए हैं। मुझे आश्चर्य है कि मेरे आईएसपी मुझे कितने आईपी देंगे?

— क्रिस बी

reactiongifs.com/r/but-why.gif

— अलेक्जेंडर

Answer 1

हां, आपका समाधान भी ठीक है, लेकिन एक स्विचिंग हॉप बढ़ाएगा, साथ ही ओवरहेड को कॉन्फ़िगर करेगा, आप निम्न करके एक राउटर से इसे प्राप्त कर सकते हैं:

• दो वीएलएएन को कॉन्फ़िगर करें, विश्वसनीय होस्ट को एक वीएलएएन से कनेक्ट करें और दूसरे को सौंपे।
• गैर विश्वसनीय ट्रैफ़िक (इसके विपरीत) पर विश्वास न करने के लिए iptables कॉन्फ़िगर करें।

उम्मीद है की यह मदद करेगा!

Comments

मुझे लगता है कि मैं जानता हूं कि लैन पोर्ट का उपयोग करके कई वीएलएएन को ठीक से कैसे सेट किया जाए, लेकिन सब कुछ वाई-फाई के माध्यम से जुड़ा हुआ है। क्या एकल पहुंच बिंदु पर कई वीएलएएन में वाई-फाई ट्रैफ़िक को अलग करना संभव है?

— क्रिस बी

@ user1152285 हाँ, सभी आधुनिक आधुनिक WLAN डिवाइस कई वायरलेस नेटवर्क (एक ही चैनल पर) की मेजबानी करने में सक्षम हैं। क्या सॉफ्टवेयर अनुमति देता है यह अभी तक एक और सवाल है।

— डैनियल बी

मैं 100% निश्चित नहीं हूं, लेकिन dd-wrt आपको एक ही AP पर VLAN अलगाव के साथ कई SSID देने में सक्षम होना चाहिए । तो आप दो वर्चुअल वायरलेस इंटरफेस चलाएंगे, एक विश्वसनीय और एक अविश्वसनीय डिवाइस के लिए।

— सायबोगु

@ user1152285 हाँ मैंने खोजा, और पाया कि dd-wrt इसका समर्थन करता है। इसके अलावा लिंक मिला जो वर्चुअल इंटरफ़ेस को बदलने के लिए इंटरफ़ेस की मैपिंग दिखाता है। और आप वलन टैग भी जोड़ सकते हैं (शानदार! :))

— अनिरुद्ध मल्होत्रा

@ ZX9 से सहमत हैं। चूंकि पूछने वाले ने विशेष रूप से उल्लेख किया है कि उनके पास डीडी-डब्ल्यूआरटी है, इसलिए वीएलएएन, मल्टीपल एसएसआईडी, और ट्रैफिक सेग्रीगेशन को कॉन्फ़िगर करने के बारे में प्रलेखन के बहुत कम से कम कुछ लिंक बहुत मददगार होंगे।

— जे

Answer 2

यह पूरी तरह से संभव है, लेकिन मैं पहले कुछ चीजों को संबोधित करना चाहूंगा।

मेरा वर्तमान समाधान मेरे केबल मॉडेम को एक स्विच में प्लग करना है और दो वायरलेस राउटर को स्विच से कनेक्ट करना है। मेरा कंप्यूटर पहले राउटर से जुड़ता है, बाकी सब दूसरे राउटर से जुड़ता है।

यह दिलचस्प है कि दोनों राउटर में इंटरनेट का उपयोग तब होता है जब आपका केबल मॉडेम सिर्फ एक मॉडेम प्रतीत होता है। क्या आपका ISP NAT करता है? यदि नहीं, तो मैं स्विच को बाहर ले जाने की सलाह दूंगा (क्या यह वास्तव में एक स्विच है या NAT के लिए सक्षम स्विच है?), और अपने डीडी-WRT राउटर में से एक को गेटवे के रूप में रखें। आपका वर्तमान सेटअप जैसा कि यह है (यह जाने बिना कि किस पोर्ट को रूट किया गया था), या तो आईपी एड्रेस के टकराव हो सकते हैं, या कभी-कभी एक या दूसरे नेटवर्क पर कनेक्टिविटी के यादृच्छिक और छिटपुट नुकसान का अनुभव कर सकते हैं।

क्या एकल पहुंच बिंदु पर कई वीएलएएन में वाई-फाई ट्रैफ़िक को अलग करना संभव है?

हां, लेकिन यह थोड़ा सा काम करेगा और कुछ परीक्षण करेगा। मैं अतिथि नेटवर्क को अलग करने के लिए स्वयं समान सेटअप का उपयोग करता हूं। नीचे मैं जिस विधि का वर्णन करूंगा उसमें वीएलएएन शामिल नहीं है।

---

DD-WRT (दूसरों के बीच) एक ही AP पर कई SSIDs बनाने का समर्थन करता है। एक और पुल बनाने के लिए केवल एक चीज की जरूरत है, इसे एक अलग सबनेट पर असाइन करें, फिर बाकी मुख्य नेटवर्क से इसे फ़ायरवॉल करें।

जब से मैंने आखिरी बार इसे इस तरह से किया है, लेकिन इसे इस तरह से कहीं जाना चाहिए (कनेक्टिविटी खोने के लिए तैयार रहें)

1. एक पहुंच बिंदु का कॉन्फ़िगरेशन पृष्ठ खोलें
2. वायरलेस => मूल सेटिंग्स पर जाएं
3. वर्चुअल इंटरफेस के तहत Add [^ virtif] पर क्लिक करें
4. अपने नए IoT SSID एक नाम दें और छोड़ Network Configurationकरने के लिए Bridged, सक्षम AP Isolationके रूप में आप चाहते हैं
5. वायरलेस सुरक्षा टैब पर जाएं, अपने पासवर्ड सेट करें, और यदि संभव हो तो WPA2-Personal-AES से कम सुरक्षा मोड सेट करें [nW]
6. टैब सेटअप पर जाएं => नेटवर्किंग
7. ब्रिजिंग के तहत, जोड़ें पर क्लिक करें
8. अपने पुल को एक मनमाना नाम दें [^ brname], हो सकता है br1?
9. अपने पुल को एक आईपी एड्रेस दें जो आपके मुख्य नेटवर्क के समान सबनेट पर न हो [^ ipaddr]
10. (आपको इसे प्रदर्शित करने के लिए Save पर क्लिक करना होगा और फिर इसे दिखाने के लिए सेटिंग्स लागू करें) ब्रिज के लिए असाइन करें के तहत, जोड़ें पर क्लिक करें, फिर br1इंटरफ़ेस को असाइन करें wl.01या इसका इंटरफ़ेस नाम क्या दिया गया [^ virtif], सहेजें और लागू करें

11. एकाधिक डीएचसीपी सर्वर के तहत, जोड़ें पर क्लिक करें और इसे असाइन करें br1

12. प्रशासन => पर जाएं और इन्हें पेस्ट करें (आपको इंटरफ़ेस नामों को समायोजित करना पड़ सकता है) [^ note2]
    iptables -t nat -I POSTROUTING -o `get_wanface` -j MASQUERADE
iptables -I FORWARD -i br1 -m state --state NEW,RELATED -j ACCEPT
iptables -I FORWARD -i br1 -o br0 -j REJECT
    और सहेजें फ़ायरवॉल पर क्लिक करें

13. आप सब सेट होना चाहिए, मुझे लगता है

अधिक जानकारी के लिए, आप http://www.alexlaird.com/2013/03/dd-wrt-guest-wireless// पर एक नज़र डाल सकते हैं

इसके लिए एक चेतावनी यह है कि यह सेटअप केवल गेटवे राउटर / एपी के लिए प्रभावी है। यदि आप दूसरे राउटर के लिए एक ही सेटअप चाहते हैं, तो आपको VLAN का उपयोग करना होगा। सेटअप समान है, लेकिन यह थोड़ा अधिक शामिल है। यहाँ अंतर यह है कि आपको IoT SSID के लिए एक नया VLAN कॉन्फ़िगर करना होगा और कुछ रूटिंग नियमों को करना होगा।

[^ गुण]: पहला आमतौर पर भौतिक इंटरफ़ेस है और अक्सर इसे wl0 के रूप में लेबल किया जाता है। आपके वर्चुअल इंटरफेस (अगर मैं गलत नहीं हूं तो तीन तक) को wl0.1, wl0.2, और इसी तरह लेबल किया जाएगा।

[^ brname]: यह इंटरफ़ेस नाम होगा DD-WRT ब्रिज इंटरफ़ेस को देगा।

[^ ipaddr]: कहते हैं कि आपका मुख्य नेटवर्क 172.16.1.0/24 पर है, br1172.16.2.0/24 का पता दें ।

[^ nDS]: अगर आपके पास निनटेंडो डीएस है, तो आपको WEP का उपयोग करना होगा। वैकल्पिक रूप से, आप केवल एनडीएस के लिए एक और एसएसआईडी बना सकते हैं और br1सुविधा के लिए इसे भी पूरा किया है ।

[^ note1]: सेटिंग लागू करने के बाद इस बिंदु पर, IoT SSID से जुड़ने वाली कोई भी चीज़ अब एक अलग सबनेट को सौंपी जाएगी। हालांकि, दोनों उप-नक्षत्र अभी भी एक-दूसरे के साथ संवाद कर सकते हैं।

[^ नोट 2]: इस बिट को कुछ काम की आवश्यकता हो सकती है।

Comments

जानकारी के लिए धन्यवाद, जब मैं घर जाऊंगा तो मुझे इसके लिए अधिक गोता लगाना होगा। संदर्भ के लिए, यह निश्चित रूप से एक (डंब, नो नेटिंग) 4-पोर्ट स्विच का उपयोग कर रहा है। दोनों राउटर अपने WAN पोर्ट के माध्यम से स्विच से जुड़े होते हैं। राउटर पर डीएचसीपी रेंज अलग-अलग हैं, हालांकि वर्तमान सेटअप के साथ जो मायने नहीं रखना चाहिए। यह संभव है कि मैं अपने ISP

— क्रिस बी

यदि दोनों राउटर अपने WAN पोर्ट से जुड़े हैं, तो हाँ, यह बात नहीं होनी चाहिए। और हाँ, आपके ISP से दो अलग-अलग आईपी प्राप्त करना संभव है ( यदि आप बहुत भाग्यशाली हैं, तो मैं एक दूसरे IPv4 पते के लिए अभी क्या दूंगा ...)

— gjie

@ user1152285 अगर आप थोड़ी खोजबीन करें तो यह सचमुच बेहतर विकल्प हो सकता है! मैं नहीं जानता था कि ddwrt एपी अलगाव का उपयोग कर सकते हैं ... पहले यह कोशिश करो!

— ब्रायन सेराती

अद्यतन: मैंने अभी-अभी जाँच की है, और मेरे प्रत्येक राउटर का एक अलग सार्वजनिक आईपी है। ऐसा लगता है कि मेरा ISP मुझे

— क्रिस बी

@BryanCerrati एपी अलगाव समाधान का हिस्सा है, लेकिन पूरे जवाब नहीं। वायरलेस से वायरलेस क्लाइंट पर आपकी सुरक्षा करता है, लेकिन वायरलेस से वायर्ड करने में आपकी मदद नहीं करेगा।

— gjie

Answer 3

क्या यह मेरे कंप्यूटर को पूरी तरह से सब कुछ से अलग करने के लिए पर्याप्त है?

राउटर 1 से स्विच करने के लिए अपने कनेक्शन को मानते हुए, राउटर के WANपोर्ट का उपयोग कर रहा है और आप WAN और LAN को OpenWRT में साझा नहीं कर रहे हैं (जिसका अर्थ है कि आपने डिफ़ॉल्ट सेटिंग्स को नहीं बदला है और केबल बिछाने का काम किया है जब आप मॉडेम से सीधे कनेक्ट होते हैं) आप ज्यादातर ठीक हैं।

बेशक राउटर 2 पर आपके उपकरण किसी को भी ट्रैफ़िक भेज सकते हैं, जो अपने आप में एक समस्या हो सकती है (उपयोग के आंकड़े, कैमरा इमेज, माइक्रोफोन पर ध्वनि, WLAN के बारे में जानकारी, जीपीएस रिसीवर्स आदि उपकरणों के आधार पर)।

इसके अलावा, क्या एकल राउटर का उपयोग करने का एक सरल समाधान है जो प्रभावी रूप से एक ही काम करेगा? मेरे पास डीडी-WRT के साथ निम्नलिखित राउटर हैं:

आप अपने पोर्ट को अलग से कॉन्फ़िगर कर सकते हैं और खराब ट्रैफ़िक को अच्छे ट्रैफ़िक से अलग कर सकते हैं। आपका कीवर्ड होगा DMZ, इसमें बहुत सारे ट्यूटोरियल उपलब्ध हैं।

यदि आप अधिक जटिलता चाहते हैं, तो आप वीएलएएन को भी सक्षम कर सकते हैं, इस तरह आप राउटर के पीछे अतिरिक्त वीएलएएन-अवगत उपकरणों को रख सकते हैं और दोनों प्रकार के उपकरणों को उनसे कनेक्ट कर सकते हैं, अनिवार्य रूप से आपके पूरे घर को बना सकते हैं जैसे कि हर डिवाइस को सीधे प्लग किया गया था दोनों राउटरों में से एक का पोर्ट, भले ही आपके पास केवल एक ही राउटर हो और इसके पीछे 5 स्विच डेज़ी-जंजीर हो ... लेकिन ऐसा केवल तभी करें जब आपको त्रुटि की संभावना पर्याप्त हो और लाभ आपके केबल बिछाने पर निर्भर करता हो ( स्टार टोपोलॉजी का उपयोग करते समय लगभग कोई नहीं, रिंग टोपोलॉजी का उपयोग करते समय बहुत अच्छा)।

Comments

मुझे यह उल्लेख करना चाहिए कि लगभग सभी डिवाइस वाई-फाई पर राउटर से कनेक्ट होते हैं। यदि सभी डिवाइस एक ही एक्सेस पॉइंट से कनेक्ट हो रहे हैं, तो क्या उन्हें एक-दूसरे को देखने से रोकने का एक तरीका है (यह देखते हुए कि ये काफी मानक होम रूटर्स हैं)?

— क्रिस बी

OpenWRT आपको विभिन्न SSID और पासवर्ड के साथ अलग-अलग वायरलेस नेटवर्क बनाने में सक्षम बनाता है। फिर आप उन्हें स्विच किए गए नेटवर्क की तरह उपयोग कर सकते हैं (आपका टीवी आपके स्टीरियो को देखता है, लेकिन आपके पीसी को नहीं) या 802.1x और RADIUS के साथ VLANs का उपयोग करके अपने डिवाइसों को पूरी तरह से अलग कर सकता है (802.1x RADIUS का उपयोग करता है यह जांचने के लिए कि क्या डिवाइस की अनुमति है और असाइन करने के लिए यह अपने आप से या साझा VLAN के लिए)। OpenWRT के साथ, सबकुछ संभव है, लेकिन यह सब स्थापित करने के लिए एक PITA बन सकता है।

— 14:12 बजे user121391

802.1x सभी को हल करेगा ... को छोड़कर सभी डिवाइस वायरलेस हैं।

— बजे ब्रायन सेराती

@BryanCerrati: 802.1x वायरलेस के साथ भी काम करता है।

— बेन वोइगट

Answer 4

कुछ उपभोक्ता-ग्रेड वाई-फाई राउटर में एक "अतिथि मोड" होता है जो एक नेटवर्क होता है जो सामान्य नेटवर्क से अलग होता है।

आप अपने अविश्वसनीय उपकरणों को "अतिथि" एपी तक सीमित कर सकते हैं ।

ऐसा नहीं है कि हर राउटर में वह सुविधा विशेष रूप से सुरक्षित है।

यद्यपि लेख चेतावनी: कई वाई-फाई राउटर पर "अतिथि मोड" असुरक्षा के बारे में सुरक्षित बात नहीं करता है, जो प्रमुख दोष वे चर्चा करते हैं वह गोपनीयता है। यदि आप परवाह नहीं करते हैं कि आपका नेटवर्क-सक्षम टीवी निर्माता को यह बताने के लिए घर पर फोन कर रहा है कि आप क्या देख रहे हैं, तो कौन परवाह करता है कि पड़ोसी इसे देख रहे हैं।

Comments

नेटवर्किंग पार्लियामेंट में, यह डीएमजेड है।

— मोनिका

Answer 5

इसके अलावा, क्या एकल राउटर का उपयोग करने का एक सरल समाधान है जो प्रभावी रूप से एक ही काम करेगा? मेरे पास डीडी-WRT के साथ निम्नलिखित राउटर हैं:

अधिकांश होम वाईफाई राउटर आपको "अतिथि नेटवर्क" को कॉन्फ़िगर करने की अनुमति देते हैं। इस वायरलेस LAN को इंटरनेट से कनेक्ट करने की अनुमति है, लेकिन मुख्य वायर्ड या वायरलेस LAN पर डिवाइस से कनेक्ट करने की अनुमति नहीं है। इसलिए आप IoT डिवाइस को नेटवर्क पर रख सकते हैं, और वे आपके कंप्यूटर से समझौता नहीं कर पाएंगे।

Answer 6

दुर्भावनापूर्ण उपयोगकर्ताओं / उपकरणों को आपकी साझा फ़ाइलों या नेटवर्क उपकरणों तक पहुँचने से रोकने के लिए अपने सुरक्षित LAN से असुरक्षित उपकरणों को सुरक्षित रखने के लिए एक अलग नेटवर्क बनाना सबसे अच्छा तरीका होना चाहिए, यह Netest WDR3700v3 सुविधाओं का उपयोग करके GUEST नेटवर्क को सक्षम करके प्राप्त किया जा सकता है एक मजबूत और भिन्न पासवर्ड के साथ।

UPnP को अक्षम करें

एक वायरस, ट्रोजन हॉर्स, वर्म, या अन्य दुर्भावनापूर्ण प्रोग्राम जो आपके स्थानीय नेटवर्क पर एक कंप्यूटर को संक्रमित करने का प्रबंधन करता है, यूपीएनपी का उपयोग कर सकता है, ठीक उसी तरह जैसे कि वैध प्रोग्राम कर सकते हैं। जबकि एक राउटर सामान्य रूप से आने वाले कनेक्शन को अवरुद्ध करता है, कुछ दुर्भावनापूर्ण पहुंच को रोकते हुए, UPnP एक दुर्भावनापूर्ण प्रोग्राम को पूरी तरह से फ़ायरवॉल को बायपास करने की अनुमति दे सकता है। उदाहरण के लिए, एक ट्रोजन हॉर्स आपके कंप्यूटर पर एक रिमोट कंट्रोल प्रोग्राम स्थापित कर सकता है और आपके राउटर के फ़ायरवॉल में इसके लिए एक छेद खोल सकता है, जिससे इंटरनेट से आपके कंप्यूटर तक 24/7 पहुंच हो सकती है। यदि UPnP को अक्षम कर दिया गया था, तो प्रोग्राम पोर्ट को खोल नहीं सकता था - हालांकि यह फ़ायरवॉल को अन्य तरीकों से बाईपास कर सकता है और फोन होम कर सकता है

अपने राउटर के लिए वाईफ़ाई के माध्यम से रिमोट एक्सेस को अक्षम करें

अधिकांश राउटर एक "रिमोट एक्सेस" सुविधा प्रदान करते हैं जो आपको इस वेब इंटरफ़ेस को दुनिया में कहीं से भी एक्सेस करने की अनुमति देता है। यहां तक ​​कि अगर आप एक उपयोगकर्ता नाम और पासवर्ड सेट करते हैं, यदि आपके पास इस भेद्यता से प्रभावित डी-लिंक राउटर है, तो कोई भी बिना किसी क्रेडेंशियल के लॉग इन कर सकेगा। यदि आपके पास दूरस्थ पहुँच अक्षम है, तो आप अपने राउटर तक पहुँचने और इसके साथ छेड़छाड़ करने वाले लोगों से सुरक्षित रहेंगे।

जब तक आपको ज़रूरत न हो, असुरक्षित उपकरणों को कनेक्ट न करें।