ตอนที่6: การติดตั้ง Wireless Interface (VDO Tutorial)
ห่างหายไปนานกับบทความ VDO สอนการใช้งาน วันนี้ขอนำเสนอ การติดตั้ง Wireless Interface เพิ่มจาก pfSense Box เพื่อแยก Subnet ออกจาก LAN Subnet พร้อมทั้งระบบ FreeRADIUS Authentication พูดง่ายๆ ก็คือการทำ WiFi Hotspot นั่นเอง
สามารถนำไปประยุกต์ใช้งานกับองค์กร และ Internet Apartment ได้สบายบรือออ..
หัวข้อการบรรยาย
- Introduction
- การติดตั้ง Wireless Interface
- กำหนด Firewall Rules
- กำหนด DHCP Server สำหรับ Wireless Interface
- ติดตั้ง Captive Portal
- freeRADIUS Configuration
.
ปรับปรุงเพิ่มเติม
การเชื่อมต่อ Wireless ที่ LAN Subnet และใช้บริการ Squid + Captive Portal ปัญหาที่พบก็คือ Client สามารถ Bypass Captive Portal Authentication ได้ง่ายๆ ด้วยการกำหนด Proxy Setting ที่ IE หรือ Firefox
การเชื่อมต่อตามวิธีดังที่กล่าวมานี้ (ตามวีดีโอสอน) สามารถแก้ไขปัญหา Bypass Captive Portal Authentication ได้ เนื่องจาก Squid Proxy นั้นอยู่ต่าง Subnet กัน
ตัวอย่างตาม Diagram จะพบว่า LAN Subnet 192.168.10.0/24, ส่วน WiFi Subnet 192.168.3.0/24
เพื่อทำให้ Firewall มีประสิทธภาพมากขึ้น ควรแก้ไข WiFi Rules เพิ่มเติมดังนี้
WiFi Rule Summary
WiFi Rule Details
คำอธิบาย : อนุญาตให้ WiFi Subnet สามารถ Trffice ไปยัง Internet ได้ ยกเว้น LAN Subnet
โหลดไฟล์คุณภาพสูง หรือดูวีดีโออื่นๆ คลิกที่นี่
ขอบคุณครับ
ขอถามหน่อยนะครับ
Authentication แบบ Local กับ Freradius หากเราไม่มี Radius ตัวอื่น มันมีผลแตกต่างกันป่าวครับ
ดูเหมือนว่า Authen แบบ Local จะใช้ของ Squid ดังนั้นจะทำ Transparent ไมไ่ด้เราต้องไปกำหนด proxy server ip ที่เครื่องลูกข่ายเอาเอง
แต่หากเป็น Freeradius ทำ tranparent proxy ได้และสามารถใช้ Free radius กับ Server อื่นได้อีกเช่นกัน
ดังนั้นใช้ Free radius จึงลดความยุ่งยากในการใช้งานของเครื่องลูกข่าย
ไม่ทราบว่าผมเข้าใจถูกต้องหรือเปล่าครับ
ยังไงก็ขอขอบคุณสำหรับบทความดีๆ อีกครั้งนะครับ
ปล. มีบทความสำหรับทำ logrotate ของ squid ให้ได้ 90 วันตรงตามพรบ บ้างป่าวครับ
noktualek@gmail.com
Local user ในที่นี้เป็นของ Captive Portal ครับ ฉะนั้นจึงสามารถใช้ Transparent proxy ได้
การใช้ Free RADIUS หรือ RADIUS Server อื่นๆ เช่น Active Directory ของ Windows Server ก็เพื่อเพิ่มความยืดหยุ่นในการใช้งาน และระดับความปลอภัยผ่าน radius protocol นั่นเอง
ส่วนการเก็บ Logs 90 วันตาม พรบ. คอมพิวเตอร์ลองสำรวจในบทความ Squid Proxy + Light Squid ดูนะครับ
มีเรื่องสอบถามนะครับ ปกติแล้วเนตเวิร์คที่มี Radius ตามที่พักอาศัยต่างๆ สัญญาณ SSID ของ Access Poin ก็จะไม่มีการเข้ารหัสไว้ เพื่อไม่มีความซ้ำซ้อนในการกรอกรหัสผ่าน
หาก authentication ผ่าน radius เรียบร้อยแล้ว package ต่างๆ ที่วิ่งกันระหว่างเครื่องลูกข่ายกับ อุปกรณ์ Access point ตรงนี้มีความปลอดภัยมากน้อยเพียงใดครับ
เพราะเข้าใจว่าเมื่อก่อนเราใช้ Wep key ก็จะถูกเข้ารหัสไว้ทำให้ต้องเสียเวลาในการแกะข้อมูล
แต่พอมี Radius เข้ามา radius เข้ามาขั้นตอนการใส่ user name password ตรงนั้นคงปลอดภัยไม่มีใครสามารถแกะดู password ได้ง่ายๆ เพราะคุยกันระหว่าง Client—Access Point— Radius แต่เมื่อ Authentication ผ่านแล้ว Client ++++++++Access Point—–Client/Server
ช่วงเครื่องหมาย ++++++++ จะมีใครเห็นข้อมูลมั๊ยครับ Radius จะเข้ามาช่วยอีกหรือเปล่า
แต่ที่แน่ๆ Authentication บน Squid ผมว่าน่าจะปลอดภัยน้อยกว่า Radius
ถามเพื่อให้เกิดความรู้นะครับ ใครเคยเห็นบทความดีๆ เอามาแปะให้อ่านบ้างนะครับ
ขอขอบคุณเจ้าของเวปที่เผยแพร่ผลงานโดยไม่ได้หวังผลตอบแทน
ขอคุณสำหรับข้อมูลที่มีประโยชน์นะครับ ที่อธิบายมาทั้งหมดถูกต้องครับ การแกะรอย WEP / WPA / WPA2 (ที่เรียกว่า มาตรฐาน Wireless Security) ทำได้ง่ายกว่าแกะรอย RADIUS Authentication ซะอีก
ผู้ชำนาญการสามารถทำได้ภายใน 3-5 นาที (อันนี้อ่านมาครับ ทำไม่เป็นนะ) ยิ่ง package มากยิ่งง่ายสบายอุรา
เมื่อ login ผ่านแล้ว ทั้งแบบ WEP – WAP etc. หรือ RADIUS Authentication ก็ตามที (ช่วงเครื่องหมาย ++++++++ นั่นแหละครับ) หลังจากนั้นก็ตัวใครตัวมันล่ะทีนี้
ดังนั้นความรับผิดชอบจึงตกไปอยู่กับ Firewall & System Logs อย่างน้อยก็รู้ และสามารถใช้เป็นข้อมูลในการติดตามผู้กระทำผิดครับ
จึงได้มี พรบ. คอมพิวเตอร์ 2550 ดังนี้แล
ศึกษาเพิ่มเติม Wireless Security
http://thaicert.nectec.or.th/paper/wireless.php
มาเสนอเกี่ยวกับพรบ นะครับ ตอนนี้เราสามารถหาหลักฐานการกระทำผิดของการเข้าเยี่ยมชมเวไปไซต์ได้จาก
var/squid/log/access.log อันนี้จะชี้ว่า ip ไหนออกเวปอะไร ต้องดัดแปลงนิดหนึ่งเพื่อแสดงวันที่ของ unix เป็น วันที่ธรรมดามีวิธีสอนในเนตครับ
/var/log/radius.log ตรงนี้สามารถเช็คได้ว่า วันที่เกิดเหตุ ip ที่เกิดขึ้นจาก access.log มีชื่อ user อะไรเป็นคนใช้ และ MAC อะไร
ถือว่าเยี่ยมเลยครับ สามารถระบุตัวตนผู้กระทำผิดได้
ตอนนี้หาคำสั่งเพื่อ rotatelog ให้ครบ 90 วันครับว่าจะสั่งให้ rotate access.log กับ radius.log ได้อย่างไร
ใครมีคำแนะนำแนะนำด้วยนะครับ
noktualek@gmail.com
ปล. ไปเช็คใน squid light ไม่ได้ละเอียดแบบนี้นะครับ
เกิดปัญหาแล้วครับ… !!
หากความต้องการของระบบเราคือ
1. Authentication ด้วย Hot spot และใช้ Free radius
2. ใช้ Squid proxy และใช้งานแบบ Transparent (ที่ใช้แบบนี้เพราะไม่ต้องยุ่งยากในการไปเซทที่เครื่องลูกข่าย
เกิดข้อดีคือ
1. ใช้ง่ายครับจะใช้เนตทุกอย่างทุก Authentication ก่อน จะ ping ออกไปข้างนอกก็ไม่ได้ ออกเนตไม่ไ้ด้ครับ
–แต่เจอจุดบกพร่องตัวใหญ่—
ลองใส่ proxy ip ใน IE Firefox MSN ดูครับ เท่านั้นแหระออกเนตได้โดยไม่ต้องมี username password เลย
ผมไม่แน่ใจการทำงานจะเป็นแบบนี้หรือเปล่า
All service จะออกไปข้างนอก จะ default ไปยัง IP hot sport : Port จึงโดนถาม User name กับ Password หากใ่ช่ก็ออกไปใช้งานได้
แต่เจอวิธีนี้
All service ออกไปข้างนอก บังคับไป Ip proxy : port ซึ่งเรา set เป็น transparent ไม่มีถาม password ให้ซ้ำซ่อน จึงวิ่งออกไปข้างนอกสบาย ปร๋อ…
แก้กันไงดีครับ
ปล.
หาก Authen ด้วย squid อีกทีแล้วจะทำ hotspot ไว้ทำไม (จริงหรือเปล่าครับ)
อ่านเจอในกระทู้ทำ iptables ให้ drop port ของ proxy ดังนั้นจะแอบใช้ proxy ออกเนตไม่ได้ สงสัยว่าทำแบบนั้น service proxy คงต้องปิดตัวเพราะใช้ไม่ได้ อันนี้ผมเข้าใจถูกหรือผิดอะครับ
ืnoktualek@gmail.com
pfsense กำหมด Captive Portal กำหมด user name ได้
Transparant ได้เลย
Report ใช้ Lightsquid
มี LDAP ด้วย
ผมว่าขาดอย่างเดียวแหละ ยังเปลียน IP เป็นชื่อ user ที่ให้ใน Captive Protal -> user name ไม่ได้
ผมถือว่าตัวนี้สุดยอดแหละ
ขอแนะนำด้วยครับ
ขอแน่ะนำเรื่อง block web ต่าง ๆ ด้วยนะครับ
จุดบกพร่องที่ว่านี้ วิธีแก้ก็คงต้อง drop และ return port ที่ iptable ล่ะครับ เพื่อป้องกันการ bypass โดยที่ไม่ต้อง Authentication
หลักการก็คือ เมื่อ user กำหนด proxy เอง และออกเน็ตได้เลยโดยผ่าน port 80 ดังนั้นเราจะต้องทำการ dport 80 และ redirect to port 3128 เพื่อให้มีการ Authen ก่อนแล้วค่อยเล่นเน็ตได้
วิธีการดังกล่าวไม่น่าส่งผลกับ Proxy Service แต่อย่างใด เพราะ Linux ค่ายอื่นๆ ก็ทำแบบเดียวกันนี้
สำหรับ FreeBSD + pfSense อาจมีข้อแตกต่างอยู่บ้าง เบื้องต้นยังหา firewall iptable ไม่เจอเลย ไม่รู้เก็บอยู่ที่ไหน
ระหว่างนี้ก็ใช้วิธีแบบละอ่อนไปก่อน นั่นก็คือเปลี่ยน proxy port เป็นหมายเลขอื่นที่ยากต่อการคาดเดา
ช่วยกันนะครับ ปัญหาจะได้รับการแก้ไข
.
#IPTABLE SCRIPT for Squid proxy
$IPTABLES -t nat -F
$IPTABLES -t nat -A PREROUTING -i tun0 -p tcp -m tcp --dport 3128 --syn -j DROP
$IPTABLES -t nat -A PREROUTING -i tun0 -p tcp -m tcp -d 192.168.10.0/24 --dport 80 -j RETURN
$IPTABLES -t nat -A PREROUTING -i tun0 -p tcp --dport 80 -j REDIRECT --to-ports 3128
$IPTABLES -t nat -A PREROUTING -i tun0 -p udp --dport 80 -j REDIRECT --to-ports 3128
K.Chatri การ Block อย่างง่ายลองใช้ Squid Proxy ดูครับ ถ้าต้องการให้ได้ประสิทธิภาพสูงต้องติดตั้ง Package Squid Gard เพิ่มละครับ
วิธีการติดตั้งและใช้งาน
http://files.pfsense.org/tutorials/squidguard/squidGuardQuick.htm
ผมแปลกใจทำไมเครื่องผมไม่มีคำสั่ง iptables นะครับ
จะลอง iptables -L ก็ไม่ได้
ส่วนที่บอกว่าให้ใช้ port อื่นที่เดายาก ผมมองว่า user บางท่านไปเอาโปรแกรม scan port มาใช้ ก็จะหาเจออีกนะครับว่าเปิด port ไหนไว้บ้าง
ขอถามหน่อยครับคำสั่ง
#IPTABLE SCRIPT for Squid proxy
$IPTABLES -t nat -F
$IPTABLES -t nat -A PREROUTING -i tun0 -p tcp -m tcp –dport 3128 –syn -j DROP
$IPTABLES -t nat -A PREROUTING -i tun0 -p tcp -m tcp -d 192.168.10.0/24 –dport 80 -j RETURN
$IPTABLES -t nat -A PREROUTING -i tun0 -p tcp –dport 80 -j REDIRECT –to-ports 3128
$IPTABLES -t nat -A PREROUTING -i tun0 -p udp –dport 80 -j REDIRECT –to-ports 3128
สามารถทำงานได้กับ pfsense version ไหนครับ
แล้วพอจะทราบความหมายแต่ละบรรทัดหรือไม่ เพราะจะได้ช่วยกันเขียนคำสั่งให้ครอบคลุมมากขึ้น
เช่น user เอาไปใส่ใน msn ซึ่ง วิ่ง port อื่นจะทำอย่างไร รวมถึงพวกโปรแกรม free proxy อะไรทำนองนี้นะครับ
noktualek@gmail.com
พอดีพึ่งไปเจอกระทู้นี้มา อันนี้น่าจะใกล้เคียงความเป็นจริวงกว่า เพราะมีคนถามประเด็นนี้เหมือนกัน
http://forum.pfsense.org/index.php/topic,13490.0.html
ใช่ครับมีคนเจอปัญหาเหมือนกัน แต่ยังไม่มีวิธีแก้ไข ใช่ป่าวครับ
สวัสดี ทีมงานละอ่อน ครับ ผมมีข้อสงสัยเกี่ยวกับการทำ WiFi HotSpots ครับ
1.การ Authen ต้องผ่านทางการ์ดแลน ที่เป็น Opt1..เท่านั้นเหรอครับ(หากเอาไปวางไว้่ที่ Internal Network ได้หรือเปล่าครับ)
2.หากต้องการติดตั้ง Ap 10 ตัว เพื่อให้สัญญาณไปได้ทั่วทิศ ต้องต่อจาก Ap ตัวที่1 เท่านั้นเหรอครับ ที่ Internal Network ได้หรือเปล่าครับ
3.หากต้องการทำเป็น Load Balancer ต้องกำหนดอะไรเพิ่มเติืมบ้างครับ
ขอบคุณเพื่อนๆทุกท่านครับ
ตามปกติแล้วจะต่อ Wireless ไว้ที่ LAN Subnet ก็ไม่ผิดแต่อย่างใด แต่ที่ต้องทำแบบนี้ก็เพื่อระบบความปลอดภัยขององค์กรที่ต้องการแชร์ให้ลูกค้าใช้ Internet ผ่าน Internet Gateway ของเรา แต่ป้องกันไม่ให้อยู่ใน LAN Subnet เดียวกันเท่านั้นเอง (คำอธิบายตาม VDO)
ตาม Diagram จะเห็นว่ามี Wireless ต่ออยู่ทั้ง 2 Subnet
ถ้าต้องการเพิ่ม Wireless ก็นำ Switch มาติดตั้งเพิ่มแค่นั้นเองครับ, หรือถ้า Wireless ตัวที่ 1 มี LAN 2 ports จะต่อจากตรงนี้ เพื่อขยายไปยังตัวอื่นๆ อีกก็ย่อมได้, หรือจะทำ Roaming + Repeating ขึ้นอยู่กับสถานที่ครับ
การทำ loadbalance ถ้าออกแบบตาม Diagram นี้ก็ต้องเพิ่ม LAN Card อีก 1 ใบสำหรับ WAN2, หรือยกเลิก WiFi (OPT1) เพื่อทำเป็น WAN2 แล้วนำ Wireless มาเชื่อมต่อกับ LAN Subnet แทน (ปัญหาของการต่อ Wirless ที่ LAN Subnet ตามรายละเอียดด้านบน)
ขึ้นอยู่กับการออกแบบครับ ว่าต้องการนำไปใช้งานลักษณะไหน
pfsense ใช้โปรแกรมอะไรทำ Firewall ครับ เพราะลอง IPTABLES ไม่สามารถใช้งานได้
อันนี้ก็ไม่ทราบเหมือนกันคับ ลองดูในกระทู้ pfsense เองมีการแก้ไข code แปลกๆ ไม่คุ้นเหมือนกัน เล่นเอางงไปเลย
ตอนนี้ถ้าจะใช้ Wireless ก็คงต้องใช้วิธีตามที่ผมได้แก้ไขเพิ่มเติมไว้ด้านบนนั่นแหละครับ ป้องกันการ bypass proxy setting ได้แน่นอน, แต่ถ้า Wireless อยู่ที่ LAN Subnet ก็ยังคงมีปัญหาอย่างที่ K.noktualek ว่ามานั่นแหละ
กระทู้ pfsense ที่ผมไปถามไว้ก็ตอบไว้สั่นมากๆ ไม่มี Guide line สักนิดเลย
pfsense ใช้ base on FreebSD
ดังนั้น program firewall ที่ใช้จะใช้ในอีกตละกูลหนึ่งครับไม่ใช่ iptables บน linux
ชื่อโปรแกรมน่าจะเป็น ipfw
การทำงานนั้นเคยได้ยินจากผู้รู้ว่า ทำงานสูลี ไล่เลี่ยกันกับ iptables หรืออาจจะดีกว่าในบางแง่ ใครมีเอกสารดีๆ ให้อ่านก็ post แนะนำกันได้นะครับ
สวัสดีครับ
เราสามารถ Set pFsense + freeRadius ดังรูปด้านล่างได้หรือเปล่าครับ ถ้าไม่ได้มีวิธีไหนบ้างครับ สอบถามผู้รู้หน่อยครับ เราสามารถ Set pFsense + freeRadius ดังรูปด้านล่างได้หรือเปล่าครับ ถ้าไม่ได้มีวิธีไหนบ้างครับ
Network Diagram
Tajang007
Pfsense โดยปกติแล้วมันตอ้งติดตั้ง Lan card 2 ใบครับ และตัวมันเองก็เป็น Firewall อยู่แล้ว
แต่ตั้งการ์ด lan 1 ใบ ยังไม่เคยลอง
แต่หากมองดูภาพที่ทำลักษณะนี้คือให้ตรวจสอบการเข้าเชื่อมต่อกับ network โดยต้องไป เซตค่า ที่ Access Pont ให้ไปตรวจสอบตัวตนก่อน แทนระบบเดิมที่ใช้ WEP WPA ใช่หรือเปล่าครับ ทำแบบนี้ดูแล้วค่อนข้างจะปลอดภัยดี
หากผมมีเวลาก็อยากจะทดลองเช่นกันครับ
รอท่านผู้เชียวชาญ ตอบหละกันนะครับ ^_^
ดูตาม Diagram แล้ว ตามหลักการมีความเป็นไปได้ครับ, สมมติว่า Firewall ทำหน้าที่เป็น User Authentication แล้วกำหนดให้ Authen ผ่าน RADIUS นั่นก็คือชี้ไปยัง IP Address ของ Radius Server (pfsense + radius)
วิธีที่สอง (นิยมทำกัน) ติดตั้ง Linux หรือ Windows Server xxxx เพื่อทำหน้าที่เป็น RADIUS Server แทนเครื่อง pfSense + RADIUS
เทคนิคการ Hacker ทำอย่างไร
เทคนิคการ Hacker ทำอย่างไร? คำถามค่อนข้างกว้างมากนะครับ ที่นี่คงไม่ได้สอนวิธีการ Hacker แต่เห็นมีหนังสือขายเยอะแยะเลยนะครับ ทั้งภาษาไทยและอังกฤษ เบื้องต้นน่าจะศึกษาจากสื่อเหล่านั้นก่อนละกัน