NuxBSD: Free Infos

Linux

Placer toutes les caméras dans un sous-réseau derrière un routeur et filtrer avec des ACL les sorties de celles-ci vers pour les empêcher de renvoyer des informations vers certaines adresses IP.

• Matériels & réseau
  • 8 caméras IP dans un sous-réseau 192.168.3.0/28
  • 1 réseau 192.168.0.0/24
  • 1 sous-réseau 192.168.3.0/28
  • 1 routeur Cisco C870
    • emplois des ACL Extended
    • Wan: 192.168.0.54/24
    • Vlan1 : 192.168.3.0/28
      • mask: 255.255.255.240
      • réseau: 192.168.3.0
      • ip exploitable: 192.168.3.1 - 192.168.3.14
      • ip broadcast: 192.168.3.15

echo 1 > /proc/sys/net/ipv4/ip_forward         on place la machine en gateway
arpspoof -i eno1 -t 192.168.0.1 192.168.0.118  on intercepte les trames de la gateway vers la victime
arpspoof -i eno1 -t 192.168.0.118 192.168.0.1  on intercepte les trames de la victime vers la gateway

Après avoir constaté que les caméras renvoyaient des infos sur le réseaux j'ai décidé de les mettre dans un sous-réseaux derrière un routeur Cisco et d'y appliquer des access-list.

Outils utilisés: arpsoof et wireshark

route -n
Table de routage IP du noyau
Destination     Passerelle      Genmask         Indic Metric Ref    Use Iface
0.0.0.0         192.168.0.1   0.0.0.0           UG    100    0        0 eno1
192.168.0.0     0.0.0.0         255.255.255.0   U     100    0        0 eno1

route add -net 192.168.3.0/28 gw 192.168.0.54

route -n
Table de routage IP du noyau
Destination     Passerelle      Genmask         Indic Metric Ref    Use Iface
0.0.0.0         192.168.0.1   0.0.0.0           UG    100    0        0 eno1
192.168.0.0     0.0.0.0         255.255.255.0   U     100    0        0 eno1
192.168.3.0     192.168.0.54    255.255.255.240 UG    0      0        0 eno1

Adresse IP de destination 	192.168.3.0
Masque de sous-réseau IP 	255.255.255.240
Adresse IP de la passerelle 	192.168.0.54
Métrique                        2

1. Connexion à Minicom avec un câble USB - Console sur /dev/ttyUSB0
2. Envoyer un signal Break avec Minicom Signal Break
   

CTRL+a f

TO MAKE A PASSWORD RECOVEY YOU MUST BE DIRECTLY CONSOLED TO THE ROUTER.
POWERCYCLE THE ROUTER AND ENTER THE BREAK SEQUENCE

?CTRL+BREAK or CTRL+BREAK+F6?
?Power cycle the router, and press the space bar for 15 sec?.
YOU WILL BE IN ROMMON MODE:
rommon 1>confreg 0x2142
rommon 2>reset (if no reset powercycle the router)
YOU WILL BE ASKED TO GET IN THE CONFIGURATION MODE, TYPE NO
Enter in the configuration mode? N
press return go get started
Router>enable (It won?t ask for password, if it does go back to step 1)
Router#show start
HIGHLIGHT EVERYTHING AND MAKE A COPY OF THE CONFIGURATION INTO A NOTEPAD (this is very
important, it?s to do a backup of your configuration, just to have it in case something goes wrong)
Router#copy start run
(destination file run: press enter)
Router#
Router#config t
Router(config)#no enable secret
Router(config)#no enable password
Router(config)#line vty 0 4
Router(config-line)#no login
Router(config-line)#no password
Router(config-line)# exit
Router(config)#line con 0
Router(config-line)#no login
Router(config-line)#no password
Router(config-line)# exit
Router(config)#config-register 0x2102
Router(config)#exit
Router#write mem
Router#show ver **** (make sure that the config register is set to 0x2102)
Router#reload
Confirm with reload? Y

Pour sauver la configuration en .txt ou envoyer une configuration .txt vers le routeur, il faut passer par un serveur tftp

hostname CuBiTuS

banner motd #Bienvenue sur CuBiTuS!#

enable secret 0 a

username username aiko password 0 a

service password-encryption

interface fastEthernet 0
no shutdown
exit

interface fastEthernet 1
no shutdown
exit

interface fastEthernet 2
no shutdown
exit

interface fastEthernet 3
no shutdown
exit

interface fastEthernet 4
no shutdown
exit

CuBiTuS#conf t
CuBiTuS(config)#interface FastEthernet4
CuBiTuS(config-if)#ip address 192.168.0.54 255.255.255.0
CuBiTuS(config-if)#no shutdown

(Attention, les ports 0 à 3 sont dans le VLAN 1 par défaut, on pourrait mettre une adresse ip différentes pour chaque port mais pour cela il faudrait rajouter plus de vlan.
Par défaut les port 0 à 3 sont des ports de couches 2 )

CuBiTuS#vlan database
CuBiTuS(vlan)#
CuBiTuS(vlan)#vlan 1
CuBiTuS(config-if)#no shutdown

CuBiTuS#sh run
interface Vlan1
 no ip address

CuBiTuS#conf t
CuBiTuS(config)#interface vlan 1
CuBiTuS(config-if)#ip address 192.168.3.14 255.255.255.240
CuBiTuS(config-if)#no shutdown

ip route 0.0.0.0 0.0.0.0 192.168.0.1

ping 192.168.3.14
PING 192.168.3.14 (192.168.3.14) 56(84) bytes of data.
64 bytes from 192.168.3.1: icmp_seq=1 ttl=255 time=0.888 ms
64 bytes from 192.168.3.1: icmp_seq=2 ttl=255 time=0.720 ms

ping 192.168.3.6 (Spy6)
PING 192.168.3.6 (192.168.3.6) 56(84) bytes of data.
64 bytes from 192.168.3.6: icmp_seq=1 ttl=63 time=1.09 ms
64 bytes from 192.168.3.6: icmp_seq=2 ttl=63 time=0.806 ms

ip name-server 208.67.222.222
ip name-server 208.67.220.220

ping www.google.be

Translating "www.google.be"...domain server (208.67.222.222) [OK]

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.217.168.195, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 16/20/24 ms

CuBiTuS(config)#clock timezone cet 1
CuBiTuS(config)#ntp server be.pool.ntp.org
CuBiTuS(config)#clock summer-time CET recurring last sunday march 03:00 last sunday october 02:00 60
CuBiTuS#show ntp status
CuBiTuS#show clock detail

CuBiTuS#show ntp associations

      address         ref clock     st  when  poll reach  delay  offset    disp
*~162.159.200.1    10.78.8.138       3    52    64  377     8.2  -80.54    17.6
 * master (synced), # master (unsynced), + selected, - candidate, ~ configured

ip ssh version 2
ip domain-name home.lan (obligé pour la création de la clé rsa)
crypto key generate rsa

The name for the keys will be: AsTeRiX.home.lan
Choose the size of the key modulus in the range of 360 to 2048 for your
  General Purpose Keys. Choosing a key modulus greater than 512 may take
  a few minutes.

How many bits in the modulus [512]: 1024
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]

Lorsque je veux me connecter à partir d'une machine Linux en ssh j'ai un message d'erreur me disant que le protocole ssh est trop vieux, donc plus pris en charge

CuBiTuS#sh ip route
Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route

Gateway of last resort is 192.168.0.1 to network 0.0.0.0

R    192.168.0.0/24 [120/1] via 192.168.0.1, 00:00:29, FastEthernet4
C    192.168.0.0/24 is directly connected, FastEthernet4
     192.168.3.0/28 is subnetted, 1 subnets
C       192.168.3.0 is directly connected, Vlan1
R*   0.0.0.0/0 [120/1] via 192.168.0.1, 00:00:29, FastEthernet4

Widcard Mask

192.168.3.0/28 -> 0.0.0.15

ACL

CuBiTuS(config)#ip access-list extended camera
access-list 101 deny tcp any host 195.211.189.152 eq 80
access-list 101 deny tcp any host 131.186.113.70 eq 80
access-list 101 deny tcp any host 139.162.76.28 eq 13540
access-list 101 deny tcp any host 114.115.164.163 eq 19877
access-list 101 deny tcp any host 64.22.110.186 eq 8090
access-list 101 deny tcp any host 10.83.236.159 eq 80
access-list 101 deny tcp any host 101.200.139.133 eq 48501
access-list 101 deny tcp any host 101.200.139.133 eq 1900
access-list 101 deny tcp any host 62.210.99.35 eq 28622

access-list 101 deny udp any host 111.48.67.18 eq 36200
access-list 101 deny udp any host 111.48.67.23 eq 36200
access-list 101 deny udp any host 139.9.248.245 eq 36200
access-list 101 deny udp any host 139.162.76.28 eq 36200
access-list 101 deny udp any host 139.162.76.28 eq 50000
access-list 101 deny udp any host 119.97.172.146 eq 50000
access-list 101 deny udp any host 119.97.172.179 eq 50000
access-list 101 deny udp any host 211.91.165.150 eq 50000
access-list 101 deny udp any host 211.91.165.157 eq 50000
access-list 101 deny udp any host 62.210.99.35 eq 28678
access-list 101 deny udp any host 239.255.255.250 eq 3702

access-list 101 permit ip any any

Pour TEST
#########
 deny tcp 0.0.0.0 255.255.255.240 range 59262 59263 any
 deny tcp 0.0.0.0 255.255.255.240 eq 57124 any
 deny tcp 0.0.0.0 255.255.255.240 eq 55465 any
 deny tcp 0.0.0.0 255.255.255.240 eq 54553 any
 deny tcp 0.0.0.0 255.255.255.240 eq 53739 any
 deny tcp 0.0.0.0 255.255.255.240 eq 53704 any
 deny tcp 0.0.0.0 255.255.255.240 eq 53619 any
 deny tcp 0.0.0.0 255.255.255.240 eq 52516 any
 deny tcp 0.0.0.0 255.255.255.240 eq 40371 any
 deny tcp 0.0.0.0 255.255.255.240 eq 39607 any
 deny tcp 0.0.0.0 255.255.255.240 eq 36634 any
 deny tcp 0.0.0.0 255.255.255.240 eq 35498 any
 deny tcp 0.0.0.0 255.255.255.240 eq 29785 any
 deny tcp 0.0.0.0 255.255.255.240 range 2048 5500 any
 deny udp 0.0.0.0 255.255.255.240 any

Compris dans un range
 deny   tcp 0.0.0.0 255.255.255.240 eq 5353 any
 deny   tcp 0.0.0.0 255.255.255.240 eq 3702 any

CuBiTuS(config)#interface Fastethernet 4
CuBiTuS(config-if)#ip access-group camera out

CuBiTuS#sh run interface Fastethernet 4
Building configuration...

Current configuration : 99 bytes
!
interface Fastethernet 4
 ip address 192.168.3.14 255.255.255.240
 ip access-group camera out
end

show access-lists workingACL

Linux