Vlákno názorů k článku
Servery HP s iLO 4 napadeny ransomware
od kuřbuřt - Čus, mohl by někdo prosím poradit jak a...
-
T4r4n1s (neregistrovaný)
Typicky:
router UPC - nenechávat výchozí login/heslo (změnit co jde na něco bezpečného). Změnit název bezdrátové sítě. Nastavit WPA2/AES, pokud má nastavení BCP38, tak zaškrtnout.
TP-Link - zmenit výchozí login/password, Změnit název bezdrátové sítě. Nastavit WPA2/AES. Na všech zařízeních (pokud to umožní) nastavil lokální firewall ve stylu ven vše, dovniř jen vyžádané. Jako DNS resolvery používat ty od CZ.NIC https://www.nic.cz/odvr/, nebo dvojici 1.1.1.1 a 9.9.9.9 .
Jo, a všechno pravidelně aktualizovat, včetne firmwaru routerů. -
FíkZlatý podporovatelje taky starý UPC modem bez routeru jen s jedním LAN výstupem a výstupem na telefon
-
peci1Stříbrný podporovatelTyhle modemy typicky mivaji malo der (4), nebo maji diry jen 100 Mbps. Ja mam doma VDSL modem od Vodafone, tam jsem vypnul wifi, prepnul ho do "modem-only" modu a PPP komunikaci ridi az muj vlastni Gbit router. Clovek se tim zbavi toho dvojiteho NATovani, takze by to teoreticky melo pomoct latenci.
-
peci1Stříbrný podporovatel
Taky moznost, ale na switchi si clovek nepusti VPN server nebo k nemu nepripoji disk... Takze tech duvodu, proc z krabicky od operatora pouzivat co nejmin, je relativne dost. Jeste jsem nebyl u operatora, kterej by cloveku dal modem, na kterym bezi *WRT nebo nejakej schopnejsi OS, a dodaval pravidelne aktualizace. To uz si ty sluzby radsi pustim na necem, co mam pod kontrolou.
-
kuřbuřt (neregistrovaný)
Tak to mám odjakživa, vždy modem od providera, za ním router a domáci gigabit síť.
A UPC navíc nedůvěřuju, domnívám se (ale můžu se mýlit), že na ty modemy/routry nějak lezou a dokážou je zvenku spravovat, "updatovat" a například zapínat tu jejich "free" wifi...
Navíc příští měsíc měním providera, a ten má v základu jen modem, tak se to hodí.Jinak díky za nápady...
Buřt -
Petr M (neregistrovaný)
No já jedu na tři LAN v základu:
1) Normální LANka
2) LANka pro hosty (WiFi), která může jenom ven (po VLAN společně s LAN1 o APček, LAN1 má skrytý SSID a whitelist)
3) LANka pro "chytrý chvostoviny" jako je tiskárna. Ta má zákaz ven a je dostupná jenom z 1)Hodil bych to normálně do LAN3, zvenku se na to nikdo nedostane, ven to nic nenabonzuje a z domácí sítě / VPN se na to klidně dostaneš. A útočník by se napřed musel dostat do LAN, pak se tam zmocnit nějaké mašiny v ní, zjistit existenci další LAN a z napadenýho stroje teprve útočit. Hodně práce, nestandarní situace (zvlášť pokud nenajde v síti Widle) a malá šance na úspěch, pokud jsi jenom náhodný cíl, takže to nejspíš odpíská.
No a proti zašifrování se celkem hodí offline záloha, pro DDoS jsou zařízení v LAN3 nepoužitelný. Takže tak.
-
Jenda (neregistrovaný)
> UPC modem nema nejakou funkci kterou potrebujete?
Ano, například tam nejde přidat ručně routa. Firewall ve webovém klikátku je taky oproti iptables dost omezený. Atd.
> Takto mate dva NATY za sebou
Nemusí mít, na některých modemech od UPC jde natování vypnout - dostaneš tak tu jednu IPv4 adresu přímo za něj.
-
brk (neregistrovaný)
UPC routery jsou strašné sračky. Nikdy dřív jsem se nesetkal s routrem, kde by nešlo v DHCP serveru nastavit rezervace na základě MAC adres a to včetně těch nejlevnějších WiFi routrů za 350Kč.
V tom krámu od UPC jsem to nenašel. Prvně jsem si myslel, že to je maskované nějakým šíleným překladem do češtiny, ale když jsem i po prolézání fór našel akorát doporučení typu nastavit dobu zápůjčky na maximum, nastavit adresu v koncovém zařízení staticky, pak přepnout na DHCP a ono to bude snad přidělovat tu dříve statickou, než se to resetne/UPC to flashne, tak jsem pochopil, že to tam fakt není.
-
j (neregistrovaný)
Mozna proto, ze narozdil od tebe neni blazen, veskerej HW dodanej ISP je pricipielne nebezpecnej a nezabezpecitelnej. A predevsim s tim ty nemuzes udelat vubec nic, a tvuj uzasnej ISP ti vidi do tvy interni site a muze si pak delat co chce - trebas si sosat tvoje Pcko z tvyho HDD.
Kazda aspon trochu normalni krabice se da nastavit do rezimu bridge, a to nemluve o tom, ze jak vidno vis kulovy, protoze NATy na koncovym zarizeni uz dneska nejdou v mode, dostanes CGNAT.
-
j (neregistrovaný)
Prave to SN ktery potrebujes na tu full licenci si muzes najit u soudruhu, ktery to ILO do netu zapojeny maji ... ;D
https://ocdnix.wordpress.com/2013/02/27/hp-ilo-authorization-nah/
-
Lol Phirae (neregistrovaný)
Zabezpečit proti čemu? Přístupu zvenčí? Viz diskuse výše. Nebo zevnitř? V tom případě potřebuješ něco, co zvládá VLAN, ten TPLink to asi nebude. Tyhle věci se standardně dávají na vlastní VLAN, tzn. žádný přístup z WiFi tam rozhodně nebude a z LAN taky ne, přístup tam bude z přesně vymezených switch portů na nějaké VLAN určené pro management.
Jako na doma bych tu věc standardně vůbec nezapojoval s tím, že až to bude potřeba, tak to připojím a po zásahu zase odpojím.
-
Jenda (neregistrovaný)
> V tom případě potřebuješ něco, co zvládá VLAN, ten TPLink to asi nebude.
Právě že tyhle vylevněné routery to kupodivu často mají - výrobce totiž zjistil, že SoC s jednou síťovkou + integrovaný switch s VLAN je levnější než SoC se dvěma síťovkami. Ale samozřejmě na to není klikátko v originálním firmware.
-
Jenda (neregistrovaný)
Na TP-Linku nainstalovat OpenVPN (určitě tam máš OpenWRT, protože defaultní firmware je beznadějný jak funkčností tak bezpečností), do sítě lézt přes ni.
