WireGuard VPN



Dobrý den,zkouším zprovoznit VPN podle tohoto návodu [https://www.zive.cz/clanky/jak-si-vytvorit-vl...](https://www.zive.cz/clanky/jak-si-vytvorit-vlastni-bezpecne-vpn-zkusili-jsme-slibny-open-source-wireguard/sc-3-a-197115/default.aspx) A zasekl jsem se u bodu kdy mám vložit následující kod [Interface]Address = 10.100.100.1/24SaveConfig = truePrivateKey =ListenPort = 51820PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADEPostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE[Peer]PublicKey =AllowedIPs = 10.100.100.2/32Mohl bych se zeptat jak mám tento soubor uložit ? Pro ovládání VPS používám Putty Děkuji.
jak to myslíš uložit? stačí být přihlášen jako root, upravit zmíněny soubor a následně uložit
<p>protokol je zapsán do <a href="https://help.ubuntu.com/community/linuxlogfiles#system\_logging\_daemon\_.28syslogd.29"><code>/var/log/syslog</code></a> .<br> otevřete terminál gnome a proveďte <code>sudo tail -f /var/log/syslog</code><br> toto bude sledovat soubor (tiskne na terminál nové zprávy protokolu).<br> nyní se pokuste připojit k vpn, zprávy se poté začnou zobrazovat v terminálu.<br> po dokončení protokolu stačí kliknout na ctrl + c a ukončit ocas.</p><p>do protokolu lze přidat značky otevřením jiného terminálu a provedením něčeho takového:<br> <code>logger "............... starting vpn... "</code></p> <p>to záleží na tom, zda máte obavy z odsouzení, nebo vyřizování pravděpodobné příčiny (v usa).</p><p>předpokládejme, že jste doma. spustíte vpn a připojíte se k poskytovateli vpn mimo lokalitu. pokud sleduji odchozí provoz (z vašeho domu), vím, že jste se právě připojili k určité ip adrese a že ip adresa je poskytovatel vpn. všechno uvnitř užitečného zatížení paketu je šifrováno.</p><p>poté se rozhodnete, když budete doma, zkontrolovat svůj e-mail. stává se, že sleduji odchozí provoz od poskytovatele vpn (který není šifrovaný). zaznamenávám to vše pomocí odfrknutí a spustím wireshark proti výstupu. vidím spojení s vaší e-mailovou adresou a napsaný e-mail. to může být chráněno ssl, pokud je to webmail. pokud se jedná o běžný e-mail, je to pravděpodobně prostý text. pokud to není prostý text, mohu se pokusit zachytit ho v přijímači. e-mail nemá žádný právní význam (tj. nepoužíváte jej k plánování něčeho nezákonného). všiml jsem si však skutečnosti, že zaměňujete použití jejich, tam a tam jsou. všimnu si také několika idiomů, které chcete použít.</p><p>během sledování odchozího provozu vidím, že váš účet psal několik e-mailů. zaznamenávám vzory překlepů a další postavy řeči. sbírám je po dobu jednoho měsíce nebo dvou.</p><p>potom jsem vložil položky, které si všimnu, do wireshark. přidávám několik věcí, o kterých je vám známo. pokaždé, když dojde k překlepu nebo použití idiomu (který používáte) najdete v obsahu jakéhokoli paketu, který vychází z vpn služby, kterou používáte, vidím to.</p><p>za další měsíc nebo dva mám spoustu datových bodů. některé jsou weby, na které jste šli, jiné ne. první věc, kterou udělám, je odstranění všech datových bodů, které opustily poskytovatele služeb vpn, když jste nebyli online (tj. neviděl jsem vás online z domova, nezapomeňte, že jsem začal sledováním tohoto připojení).</p><p>pak se podívám na zbývající provoz a uvidím, jestli mám nějaké body clusteru. spousta opakujících se témat. stejný předmět přes over. porovnávám to s vaším nešifrovaným provozem a vaším e-mailem.</p><p>neaplikoval jsem dostatek filtrů, abych tě izoloval od hluku (lidé, kteří používají stejné idiomy/pravopisné chyby jako ty), ale měl bych dobrý důvod pro pravděpodobnou příčinu. pokud mám dostatek referenčních bodů, je to jako otisk prstu.</p><p>v podstatě aplikuji bayesovskou analýzu na korpus práce, abych uvedl něco o pravděpodobnosti, že věřím, že příkladem bude člen souboru vytvořeného mým podezřelým. sbírka děl, která bych srovnávala, pochází z jakékoli práce, za kterou podezřelý veřejně uznal, že za ni odpovídá. tato analýza je dobře známa (a existuje i celá statistika stackexchange webu).</p><p>nechám tě odpovědět, s čím bych v tuto chvíli přišel?</p> Našel jsem důvod. GPGee má volbu „--encrypt\_to\_self“ a je ve výchozím nastavení povolena. Takže pokud by někdo chtěl udělat z příkazového řádku by měl napsat něco takového



```
gpg -e user_to_encrypt --encrypt-to your_user filename

``` <pre><code>sudo apt update sudo apt install ssh sudo ufw allow 22 # if you have ufw running, but it doesn't hurt to run. </code></pre><p>to je velmi minimum. umožňuje neomezený počet neúspěšných pokusů o heslo na známém portu. přímé přihlášení root je zakázáno (po přihlášení se stále můžete <code>su</code> a <code>sudo</code>). pokud je vaše uživatelské jméno a heslo hádatelné a internet vidí server, někdo <em> se nakonec </em> vnikne.</p><p>nemohu to dostatečně zdůraznit: <strong> <em> je třeba zatvrdit výchozí nastavení. </em> </strong> pro pravděpodobnost, že budou napadeni, ale <a href="https://thepcspy.com/read/making-ssh-secure/">prošel jsem několika návrhy na svém blog</a> . alespoň bych navrhl:</p><ul> <li>přihlášení pomocí klíčů. zakázat přihlášení heslem.</li> <li>přesuňte jej z portu 22. použijte něco šíleného v rozsahu 20000-60000.</li> <li>použijte <code>fail2ban</code> zakazovat lidem, kteří to najdou, a pokusit se to přenést.</li> </ul><p>zabere vám to méně než 10 minut a oni vás vezmou z 1/10000 šance, že se dostanou do pravděpodobnosti tak malé, že na světě není dost papíru, aby mohl napsat její zlomek. vše za předpokladu, že jste opatrní s vaším klíčem, má vlastní přístupové fráze a vy nebudete trubat vaše pověření po celé síti.</p><p>pokud jde o přístup k tomuto serveru ssh z internetu, můžete čelit překážkám v místní síti. pokud je počítač za routerem nat (např. většina domácích sítí) bez přímého příchozího přístupu z internetu, možná budete muset podívat na <a href="https://portforward.com/">přesměrování portů</a> . samozřejmě, pokud nepotřebujete přístup mimo síť, přeskočení tohoto kroku zajistí zabezpečení sítě.</p> Zkuste toto místo pro klíče přidání GPG:



```
gpg --keyserver pgp.mit.edu --recv-keys F758CE318D77295D
gpg --export --armor F758CE318D77295D | sudo apt-key add -

``` <p>použijte příkaz <a href="http://pkgs.org/centos-6/epel-i386/sshpass-1.05-1.el6.i686.rpm.html"><code>sshpass</code></a> k odeslání souboru </p><blockquote> <p>vytvoření prostředí -&gt; spuštění skriptu shell na vzdáleném počítači pomocí ssh -&gt; post build script</p> </blockquote><p>ukázkový příkaz:</p><pre><code>sshpass -p "password" scp path/of/file &lt;new\_server\_ip&gt;:/path/of/file </code></pre><p>toto vynechá heslo prompt for <code>scp</code> a poskytne heslo <code>scp</code>.</p> <p>způsob, jak přejít přes brány firewall: dotaz přes typický port (80):<br> <code>sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv 7f0ceb10</code><br> dalším problémem může být síťový proxy server. pokud se potřebujete připojit k internetu přes proxy, exportovat nastavení proxy serveru do bash konfigurace - přidejte řádek s vaší proxy adresou (av případě potřeby: uživatelské jméno/heslo - bez toho, aby to bylo jen <code>http://proxyserver:port</code>): <br> <code>export http\_proxy=http://username:password@proxyserver:port/</code><br> na konci souboru <code>/etc/bash.bashrc</code><br></p> Dobry den, pripojte se na svuj wifi router a zmente ho tam. Bohuzel neuvadite, jaky router mate. Normalne se tam pripojuje pres IP adresu, kterou zadate do prohlizece. IP adresu zjistite tak, ze zjistite vychozi branu pripojeni wifi (default gateway). To muzete udelat bud sim, ze si otevrete site a nechate si zobrazit podrobnosti wifi adapteru, nebo bres prikazovy radek. Do spustit dejte CMD - ipconfig <p>buď <code>rpm -q httpd</code> nebo <code>/usr/sbin/httpd -v</code> měl by pracovat.</p> <p>takže díky @yasirarsanukaev za čas, který vložil, jsem našel řešení, které funguje, ale které nemůžu vysvětlit.</p><p>riffing on <code>local\_listener</code> pomyslel jsem si, že jsem četl <a href="https://dba.stackexchange.com/a/13003/21110">tato další odpověď</a> , kde se uvádí:</p><blockquote> <p>databáze používá parametr local\_listener k identifikaci posluchače, s nímž by se měl zaregistrovat. ve výchozím nastavení je null, což je podle dokumentace ekvivalentní názvu hostitele: 1521.</p> </blockquote><p>snažil jsem se tedy ping svým vlastním hostitelským jménem a nemohl - vypadá to jako nějaký problém s ipv6 a přijímá obecnou zprávu o selhání.</p><p>z této odpovědi jsem tedy vzal radu</p><pre><code>sql&gt; alter system set local\_listener='(address=(protocol=tcp)(host=localhost)(port=1521))' scope=both; sql&gt; alter system register; </code></pre><p>a nyní to funguje, pravděpodobně proto, že dokáže vyřešit odkaz localhost, kde selhal při řešení skutečného názvu hostitele.</p>