Tag: WiFi

Opublikowane w

Cudy na kiju

Jakiś czas temu w Polsce operatorzy wyłączyli transmisję danych 3G, więc mój modem przestał działać. Przestał więc też działać router GSM na Linuksie zbudowany w oparciu o niego i Raspberry Pi. Na dokładkę chwilę wcześniej padł hub USB zasilający RPi lub zasilacz od niego. Znaczy: trzeba coś zmienić.

Zasadniczo opcje były dwie. Pierwsza, to kupno jakiegoś modemu z obsługą 4G, może używanego i reanimacja istniejącego setupu. No i coś z zasilaniem by trzeba pomyśleć, bo wersja, gdzie modem jest wpięty bezpośrednio w port USB RPi działa, ale nie mieści się w pudełku.

Inna sprawa, że dotychczasowy setup składał się z routera WiFi, switcha niezarządzalnego, i RPi robiącego za router. Kwestia zaszłości historycznych i ewolucji moich routerów, a właściwie systemów robiących przy okazji za router. Bo wiadomo, że miło jest mieć system z Linuksem, jednak w praktyce dawno przestałem z niego korzystać, a cały setup choć niekrytyczny i w zasadzie mało używany, ma wiele elementów ruchomych, które potrafiły sprawiać problemy w najmniej odpowiednich momentach. Oczywiście bohatersko rozwiązywałem wszystkie problemy i nawet była z tego jakaś frajda, ale… po co?

I tu pojawia się opcja druga, czyli kupno routera WiFi, do którego można zapakować kartę SIM. Takie rozwiązanie pozwala wyeliminować stary router WiFi oraz switch. Raspberry Pi staje się opcjonalne, tzn. mógłbym je podłączyć jeśli zechcę używać tego systemu, ale dostęp do internetu jest od niego niezależny. Dodatkowo mógłbym zasilać tylko router – switch i RPi nie są potrzebne. Niby tylko parę W[1], ale switch jest stary, z ciężkim, transformatorowym(?) zasilaczem.

Postanowiłem rozpoznać dostępne opcje i okazało się, że cenowo też nie wychodzi najgorzej, biorąc pod uwagę, że musiałbym kupić modem 4G i jakiś hub USB. W ten sposób, po zapłaceniu 126 zł na Allegro stałem się posiadaczem nowego, tytułowego routera Cudy LT400.

Opakowanie jest dość spore – zdjęcia paczki można zobaczyć w jednym z poprzednich wpisów o opakowaniach. Router wygląda dość typowo, posiada aż cztery, przymocowane na stałe, anteny.

Wady:

  • nietypowe zasilanie 12 V, 1 A
  • brak osobnego portu WAN – łącznie są 4 porty w tym jeden „podwójnego zastosowania”
  • brak możliwości instalacji OpenWrt
  • brak wsparcia dla WiFi 5GHz
  • anteny przymocowane na stałe
  • porty 10/100 Mbps

Jak widać wad całkiem sporo, ale… nie mają większego znaczenia. WiFi 2,4 GHz było poprzednio i wystarczało. Porty 100 Mbps niczego nie zmieniają – stary switch miał tak samo. Zresztą nie kopiuję pomiędzy komputerami większych ilości danych, a wąskim gardłem pozostaje dostęp do internetu przez sieć LTE.

Sprawdziłem, co jest w środku i okazuje się, że:

Linux version 4.4.140 (jenkins@release_server) (gcc version 5.4.0 (LEDE GCC 5.4.0 2.4.15) ) #0 Tue Dec 9 13:06:22 2025

HW: LT400 V2.1  |  FW: 2.4.23-20251209-211127

Czyli mimo braku wsparcia dla OpenWrt, właśnie na nim jest oparty firmware routera. Mam nadzieję, że będzie aktualizowany. A może i pojawi się wsparcie OpenWrt? Choć nie liczę zbytnio na to – zapewne będzie problem z niewolnym firmware modemu LTE.

Jeśli chodzi o zalety, sam sprzęt posiada całkiem sporo funkcji:

  • klient i serwer VPN (wiele protokołów, m.in. openvpn, wireguard)
  • klient DDNS, wsparcie wielu providerów
  • filtrowanie IP i domen (statyczne)
  • wsparcie dla IPv6
  • prosta konfiguracja – w zasadzie wystarczy włożyć kartę SIM i skonfigurować hasła

Są dla mnie równie wirtualne, jak wady. Liczy się tylko stabilność i bezawaryjność, a jak z tym będzie, okaże się za jakiś czas… Niemniej, klient i serwer VPN mnie zaskoczyły – zupełnie się nie spodziewałem. Interfejs przejrzysty, opcje proste. Pewnie zasługa LuCI.

UPDATE: Router jest po krótkim, kilkudniowym chrzcie bojowym. W takim okresie mogę stwierdzić, że jest stabilnie – po prostu działa. Dość mocno świecą niebieskie LEDy. Może być to zaleta. Gdyby komuś przeszkadzało to marker lub taśma klejąca załatwią sprawę.

[1] 2,2 W sam poprzedni router, switch pewnie podobnie, lub więcej. RPi na pewno ponad 3W.

Opublikowane w

Debrick routera Tenda W311R+

W ramach pewnego projektu, o którym może usłyszycie wkrótce, kupiłem za jakieś śmieszne pieniądze rzędu 20 zł router Tenda W311R+. Miał nieco stary firmware, więc postanowiłem zaktualizować. Nie wszystko poszło dobrze i skończyło się tzw. cegłą. Na szczęście znalazłem opis, jak zrobić debrick routera Tenda W311R+.

Sytuacja jest nieco zabawna, więc opiszę jak doszło do sceglenia. Otóż producent routerów Tenda ma niefajną tendencję do paru rzeczy nie ułatwiających znalezienia właściwego oprogramowania. Po pierwsze, produkują routery o bardzo podobnych nazwach. Po drugie, oprogramowanie do zupełnie różnych modeli potrafi mieć tę sam numer wersji. Po trzecie, w ramach jednego modelu routera istnieją różne wersje hardware. Dopiski w informacji o oprogramowaniu w stylu to oprogramowanie wymaga wersji sprzętu 3.0 są normą. No i na koniec wspomniana Tenda W311R+ to sprzęt sprzed dekady, więc nie do końca wszystko jest dostępne, a strony działają czy przekierowują, nazwijmy to, różnie.

W każdym razie podłączyłem się do routera kabelkiem i zmieniłem firmware V5.07.15_en_02 na znaleziony V5.07.47_en_02. Flashowanie przebiegło poprawnie, router się zrestartował. Ku mojemu zdziwieniu, po restarcie okazało się, że mocno zmieniła się szata graficzna. Jeszcze bardziej zdziwiłem się, gdy spostrzegłem, że wersja sprzętu zmieniła się z 1.0 na 3.0. Ups! Niemniej sprzęt działał. Tzn. ethernet działał. WiFi nie bardzo. Szybko poszukałem innego oprogramowania, wgrałem i…

No teraz to dopiero się pomyliłem. Router po restarcie nie wstał. Dioda się zapalała, ale żadnej odpowiedzi. Odłączanie zasilania i reset oczywiście nie pomogły. Cegła jak się patrzy.

Skoro sprzęt jest zepsuty i bardziej zepsuty nie będzie, to należy go oczywiście rozebrać i poszukać złącza JTAG. Niestety, po otwarciu obudowy okazało się, że nie tylko nie ma JTAG, ale nawet niczego co by go przypominało od biedy. Bebechy wyglądają solidnie, ale minimalistycznie.

Filmy YouTube

Zacząłem szukać w internecie czy jest gdzieś opisane, jak zrobić debrick routera Tenda W311R+ i nie wyglądało to dobrze. Opisu nie znalazłem ani jednego. Za to znalazłem dwa interesujące filmy na YouTube, które z tytułu się zgadzały. Obejrzałem pierwszy z nich. Niestety nie był po angielsku. I działy się tam dantejskie sceny. Autor bowiem zwiera śrubokrętem nóżki chipa podczas włączania, co rzekomo powoduje uruchomienie trybu serwisowego chipsetu Broadcom. Dokładniej Broadcom – CFE miniWeb Server. Rozumiecie, nie dedykowana zworka, nie oznaczone miejsce na płytce drukowanej, tylko weź śrubokręt i zewrzyj odpowiednie nóżki chipa. Oczywiście chip nie jest czytelnie opisany.

Znalazłem też drugi film, tym razem z niezbyt zrozumiałym angielskim. Przedstawiał dokładnie tę samą procedurę. Ponieważ – jak wspomniałem – router był zepsuty, więc stwierdziłem, że w najgorszym razie będą jeszcze iskry[1], dymek i nieprzyjemny zapach – mówi się trudno.

Zlokalizowałem chip, upewniłem się, że powinny to być te dwie nóżki i zacząłem nierówną walkę. Ponieważ oba filmy są niezbyt zrozumiałe i niezbyt czytelne. Jakość wideo też pozostawia sporo do życzenia, dodatkowo autorzy uznali za niezbędne zmniejszenie pola widzenia przez zamieszczenie podglądu ekranu komputera. Opiszę więc w formie tekstowej, co trzeba zrobić, żeby wprowadzić router w tryb serwisowy. Nie jestem pewien, czy działa za każdym razem – próbowałem wielokrotnie i w końcu się udało. Postaram się więc jak najdokładniej opisać, co wydaje mi się, że zrobiłem, nim zadziałało. Ani za efekty ani żadne szkody wynikłe z zastosowania poniższego sposobu nie odpowiadam. W moim przypadku debrick routera W311R+ zakończył się powodzeniem.

Instrukcja

  • odłącz zasilanie od routera
  • podłącz kabel ethernet do portu LAN położonemu najbliżej gniazda zasilania[2]
  • ustaw statyczny adres IP 192.168.1.2/24 na komputerze
  • uruchom na komputerze ping na adres 192.168.1.1[3]
  • naciśnij i trzymaj przycisk reset
  • podłącz zasilanie, cały czas trzymając reset
  • zewrzyj odpowiednie, dolne skrajne wewnętrzne, nóżki chipa (zaznaczone czerwoną kropką i strzałką na screenshocie poniżej) i trzymaj zwarte
  • zwolnij przycisk reset
  • po chwili ponownie zewrzyj na chwilę nóżki chipa
  • jeśli router uruchomił się w trybie serwisowym, adres 192.168.1.1 zacznie odpowiadać na ping
  • wejdź przeglądarką na http://192.168.1.1, z poziomu WWW, gdzie możesz wgrać prawidłowe oprogramowanie
Wnętrze routera Tenda W311R+ z zaznaczonym miejscem zwarcia w celu uruchomienia trybu serwisowego
Wnętrze routera Tenda W311R+ z zaznaczonym miejscem zwarcia Źródło: fot. włąsna

Najśmieszniejsze w tym wszystkim jest to, że jeden z filmów jest sprzed roku. Drugi sprzed dwóch lat. Sam sprzęt jest sprzed dekady i z różnych względów niekoniecznie polecam korzystanie z niego w 2023. Uważni czytelnicy pamiętają być może wpis o routerze Pentagram Cerberus P6361, bo pod taką marką także były sprzedawane produkty Tenda w Polsce.

Póki co router zreanimowany do firmware bez WiFi. Szukam właściwego firmware dla niego…

[1] No dobra, bądźmy poważni. Przy tak niskich napięciach raczej na iskry szans nie ma.
[2] Nie wiem czy jest to konieczne, teoretycznie porty powinny być takie same. Niemniej nie zaszkodzi, a na pewno zadziałało mi właśnie w tym porcie.
[3] Taki adres będzie miał router w trybie serwisowym

Opublikowane w

Publiczne Wi-Fi a bezpieczeństwo

Wczoraj ukazał się artykuł o tym, czy korzystanie z publicznego Wi-Fi jest bezpieczne. Uważam, że prezentowane tam podejście jest dość optymistyczne. Nie uważam obcych sieci za tak bezpiecznie, jak pisze autor. Wszystko zależy od tego, czego się obawiamy. I naszego poziomu paranoi.

Na pewno podłączanie do sieci Wi-Fi, jeśli zakładamy złe zamiary jej właściciela lub innych użytkowników jest bezpieczniejsze, niż podłączanie kablem ethernetowym. Ot, nikt nie poda wysokiego napięcia na kablu i nie spali nam urządzenia. No ale żarty na bok.

Publiczne Wi-Fi – zagrożenia

Podłączając się do cudzej lub publicznej sieci ujawniamy informacje o swoim urządzeniu i systemie. Np. syngatury urządzenia typu adres MAC czy hostname. W pewnych przypadkach dane te mogą zostać wykorzystane do… powiedzmy przypisania nam pewnych działań. Ale to bardziej naruszenie prywatności niż realny atak. Pójdźmy dalej.

Podłączając się do sieci eksponujemy nasze urządzenie na bezpośrednie połączenia. OK, jeśli ktoś ma firewall lub nie udostępnia żadnych usług innym komputerom w sieci lokalnej, to problemu nie ma. Ale już udostępnienie zasobu chronionego prostym hasłem z laptopa w sieci domowej, gdzie bezpośredni dostęp miały tylko nasze urządzenia może okazać się zgubne. W naszej sieci przed atakami z internetu mógł chronić router (NAT).

Nie taki HTTPS wspaniały

Wspomniany w artykule HSTS ma dwie wady. Po pierwsze, adopcja. Zwyczajnie nie wszystkie strony z niego korzystają. Żeby daleko nie szukać, tamten artykuł zamieszczony jest na stronie bez HSTS. I pewnie ktoś przytomnie zauważy, że przecież to tylko blog, a nie bank. To polecam samodzielne sprawdzenie, czy, ew. które polskie banki korzystają z HSTS na stronach. O HSTS z preload litościwie nie wspominam.

Po drugie, jest to mechanizm TOFU. Tzn. nie zapewnia bezpieczeństwa przy pierwszym połączeniu. Owszem, przeglądarka w kolejnych połączeniach do strony, przez zwykle długi okres ważności, będzie już korzystać z HTTPS. Ale jeśli jest to nowa strona lub otwierana w nowej przeglądarce to HSTS nic nie daje.

Dodatkowo autor wspomina o powszechnych przekierowaniach HTTP -> HTTPS. Tylko niestety taki mechanizm nie zapewnia bezpieczeństwa. OK, może je podnosić w szczególnym przypadku, jeśli jest stosowany łącznie z HSTS. Bez tego raczej zapewnia złudzenie bezpieczeństwa. Bowiem jeśli pierwszy request jest wykonywany po HTTP, to nadal DNS spoofing jest groźny. Atakujący może dowolnie rozwiązać nazwę domeny do której próbujemy się połączyć. Np. na swój serwer. I tam wykonać przekierowanie HTTP. Redirect (301) może być na cokolwiek. Także na domenę z poprawnym HTTPS. Tyle, że niekoniecznie tę, na którą chcieliśmy się połączyć. Tylko np. na domenę homograficzną, albo domenę o zbliżonej nazwie. Ot, choćby wchodząc na http://mojbank.pl możemy skończyć na https://mojbark.pl, o wyglądzie identycznym jak https://mojbank.pl. I z poprawnym certyfikatem HTTPS i „kłódeczką”.

No i ostatecznie nawet połączenie HTTPS z poprawnym hostem nie gwarantuje jeszcze, że jest w pełni bezpiecznie. W niektórych przypadkach, na które użytkownik nie ma wpływu, nadal możliwe mogą ataki na HTTPS. OK, w przeciwieństwie do DNS spoofingu są trudniejsze do wykonania.

Jak korzystać bezpieczniej z publicznych Wi-Fi?

Czy to znaczy, że zupełnie nie zgadzam się z autorem? Niekoniecznie. Zgadzam się, że jest o wiele bezpieczniej, niż kiedyś. Generalnie jeśli ktoś naprawdę musi skorzystać z Wi-Fi i miałbym dać tylko jedną radę to byłoby to: włącz DoH w przeglądarce i wpisuj adresy w pasku adresu przeglądarki „z palca”, korzystając z podpowiedzi. No wiem, to w zasadzie dwie rady. Ale przyjmijmy, że jedna, tylko złożona.

Czemu tak? DoH zapewni nam odporność na DNS spoofing, a dodatkowo da bonus w postaci podwyższenia prywatności. Potencjalny podsłuchujący nie dostanie adresów odwiedzanych stron „na tacy” w postaci nieszyfrowanych zapytań DNS. W części przypadków w ogóle nie będzie w stanie ustalić z jakim serwisem się łączymy.

Wpisywanie domen w pasku adresu, z wykorzystaniem podpowiedzi uchroni przed kliknięciem w podobną domenę i zwiększy szansę na wykorzystanie protokołu HTTPS już od pierwszego requestu.