🏗️ 👨🏿‍🔬 🥒 सार्वजनिक आईपी की अनुपस्थिति में स्मार्ट घर तक सुरक्षित पहुंच (भाग 1) 🛩️ 📹 🏁

परिचय

एक विशिष्ट शीर्षक चुनना मुश्किल है जो अर्थ को दर्शाता है, इसलिए मैं तुरंत उस कार्य का वर्णन करूंगा जो मैंने खुद के लिए निर्धारित किया था।

एक "स्मार्ट होम" है। मेरे मामले में, यह ioBroker के साथ एक फैनलेस होम सर्वर है, हालांकि यह महत्वपूर्ण नहीं है। घरेलू सामान के अलावा, मैं बाहर से सेंसर को हुक करना चाहता हूं (उदाहरण के लिए, एक दूरस्थ ग्रीनहाउस से ईएसपी 32 पर)। मैंने इसे mqtt के माध्यम से करने का फैसला किया। इंटरनेट से इंटरफ़ेस तक पहुंच।

सामान्य बात है। लेकिन बारीकियां हैं:

प्रदाता के पास मुझे सार्वजनिक आईपी पता देने का कोई तरीका नहीं है। और कोई अन्य प्रदाता नहीं हैं।
मुझे विशिष्ट क्लाउड सेवाओं के लिए बाध्य करना पसंद नहीं है। एक बाहरी सेवा भी बंद हो सकती है (जैसा कि हाल ही में gbridge ने एक अधिसूचना भेजी थी)। और बस विफलता के मामले में यह स्पष्ट नहीं है कि क्या करना है। मैं अपना खुद का पसंद करता हूं, जिसे हस्तांतरित किया जा सकता है, अगर कुछ होता है तो थोड़ा रक्त से फिर से तैयार करें।
सुरक्षा महत्वपूर्ण है। व्यामोह नहीं है, लेकिन इंटरनेट पर ioBroker डाल रहा है, विशेष रूप से यह देखते हुए कि कई सेवाएं प्रदर्शित हैं (फ़्लोट ...)। सच में नहीं।

आगे मैं तुरंत परिणाम नहीं दिखाना चाहता, लेकिन प्रक्रिया। यह कैसे चला गया, विशलिस्ट को कैसे बदल दिया गया, निर्णय बदल गए। यह संभव है कि कुछ बिंदुओं को अधिक सही ढंग से / कुशलता से हल किया जा सके (मैं एक सिस्टम एडमिनिस्ट्रेटर नहीं हूं, डेवलपर नहीं)। या हो सकता है कि कोई इसे दूर तक नहीं ले जाएगा और एक अंतरिम समाधान का लाभ उठाएगा, उदाहरण के लिए, मैं अपने लिए सुरक्षित या सुविधाजनक नहीं पाया। वास्तव में, इस भाग में जो वर्णन किया गया है वह काफी काम करने वाला विकल्प है, लेकिन मेरे लिए यह "मध्यवर्ती" है।

Mqtt के लिए सार्वजनिक पता

घर पर, राउटर पर सार्वजनिक आईपी चमकता नहीं है (मैं निश्चित के बारे में बात नहीं कर रहा हूं, यह रंजक और एनालॉग्स के माध्यम से हल किया जा सकता है), अर्थात्, प्रदाता 10.x.x.x देता है, विकल्प के बिना। तो, आपको एक छोटे वीपीएस को किराए पर लेने की जरूरत है, और इसके माध्यम से एक प्रोब्रोस बनाएं।

सबसे आसान तरीका ssh के माध्यम से सुरंग है। होम सर्वर पर (मैं इसे iob.xxx.xx कहूंगा) मैं निष्पादित करता हूं:

ssh -N -T -R pub.xxx.xx:1883:127.0.0.1:1883 a@iob.xxx.xx

बाहरी सर्वर pub.xxx.xx के पोर्ट 1883 से कनेक्ट करना, वास्तव में आप खुद को अपने घर के आईओबी पर खोजते हैं: 1883 mqtt (मच्छर) कंटेनर के साथ चल रहा है।

स्वाभाविक रूप से, यह आवश्यक है कि यह स्वचालित रूप से शुरू हो, एक विफलता के बाद कनेक्शन बहाल हो जाता है। इसलिए, मैंने इसे सेवा के रूप में डिजाइन करते हुए, ऑटोसॉश का उपयोग किया।

/etc/systemd/system/ssh_mqtt.service:

[Unit]
Description=SSH Tunnel mqtt
After=network.target

[Service]
Environment="AUTOSSH_GATETIME=0"
ExecStart=autossh -M 0 -o "ServerAliveInterval 30" -o "ServerAliveCountMax 3" -NR pub.xxx.xx:1883:127.0.0.1:1883 -i /home/a/.ssh/id_rsa a@pub.xxx.xx

[Install]
WantedBy=multi-user.target

सभी प्रकार के systemctl इनेबल / रिस्टार्ट, इत्यादि। मैं वर्णन नहीं करूंगा।

दुर्भाग्य से, ऑटोसह के बावजूद, मुझे लगातार फ्रीज द्वारा प्रेतवाधित किया गया था। इसलिए मैंने फैसला किया कि संस्थाओं का उत्पादन करने और सामान्य ssh पर बसने की कोई आवश्यकता नहीं है:

/etc/systemd/system/ssh_mqtt.service:

[Unit]
Description=SSH Tunnel mqtt
After=network.target

[Service]
Restart=always
RestartSec=20
User=anri
ExecStart=/bin/ssh -N -T -R pub.xxx.xx:1883:127.0.0.1:1883 -i /home/a/.ssh/id_rsa a@pub.xxx.xx

[Install]
WantedBy=multi-user.target

बाद में, वैसे, यह पता चला कि यह प्रदाता इतना तिरछा है। खैर, या 45 रूबल / महीने के लिए सबसे सस्ती दर इतनी कुटिलता से उसके लिए काम करती है। सत्र समय-समय पर लटका रहता है, तब भी जब यह केवल ssh (MobaXterm) के माध्यम से जुड़ा होता है। इसलिए अंत में मैंने खुद को दूसरे (55 रूबल / महीने) से वीपीएस का आदेश दिया, और फ्रीज के साथ समस्याएं गायब हो गईं।

वैसे, मैंने अपने लिए चुना जहां न केवल कीमत के आधार पर वीपीएस लेना है, बल्कि पिंग (10-20%) को भी ध्यान में रखना चाहिए।

सामान्य तौर पर, यह विकल्प काफी सामान्य है, विशेष रूप से यह देखते हुए कि बाद में मैंने टीएलएस के माध्यम से 8883 को पोर्ट करने के लिए विशेष रूप से इंटरनेट कनेक्शन बनाया। उन। मच्छर के लिए पासवर्ड एन्क्रिप्ट किया गया था।

इसके बाद क्लाइंट सर्टिफिकेट अनिवार्य कर दिया। उन। सबसे पहले, टीएलएस स्तर पर, आपको एक क्लाइंट प्रमाण पत्र प्रस्तुत करना होगा, और फिर मच्छर में निर्दिष्ट पासवर्ड नाम के साथ लॉग इन करना होगा। उन। पासवर्ड खोज चरण में पहुंचना इतना आसान नहीं है।
तदनुसार, पहले मैंने LetsEncrypt से सर्वर प्रमाणपत्र का उपयोग किया, फिर, क्लाइंट प्रमाणपत्र की आवश्यकता के कारण, मैंने स्व-हस्ताक्षर पर स्विच किया।

चूंकि इस प्रक्रिया में मैंने ESP32 के लिए सॉफ्टवेयर पर भी काम किया था, मैंने देखा (या बस सोचा था, मुझे अब याद नहीं है) कि जब वीपीएन कनेक्शन के साथ समस्याएं हैं, तो बैटरी बहुत तेजी से खपत होगी। सामान्य ऑपरेशन के दौरान, चक्र: उठो, सेंसर को बिजली लागू करें, वाईफाई से कनेक्ट करें, mqtt सर्वर के साथ एक कनेक्शन स्थापित करें, सेंसर रीडिंग पढ़ें जैसे वे तैयार हैं, mqtt में स्थानांतरित करें, सेंसर से बिजली बंद करें, 10 मिनट के लिए गहरी नींद में जाएं।

आम तौर पर, इस तरह के चक्र में लगभग 4 सेकंड लगते हैं। 1.5-2 सेकंड - वाईफाई से कनेक्शन, टीएलएस पर mqtt में संक्रमण के कारण एक अतिरिक्त दूसरा। यह आपको 4 सेकंड के लिए सूट करता है, सभी समान, सेंसर को जागने के लिए समय की आवश्यकता होती है। लेकिन अगर वीपीएन नीचे चला गया (यह स्पष्ट रूप से दिखाई दे रहा था जब ऑटोशॉ गिर गया), तो मुझे क्या करना चाहिए? बेशक, मैंने सेट किया ताकि 20 सेकंड के बाद सिस्टम वैसे भी सो जाए। लेकिन 4 के बजाय 20 सेकंड बहुत ध्यान देने योग्य है।

सामान्य तौर पर, मैंने फैसला किया कि mqtt सर्वर को बाहरी VPS पर रखना बेहतर है। अब जब सब कुछ एक घड़ी की तरह काम करता है, तो मुझे यकीन नहीं है कि यह आवश्यक है। लेकिन मुझे इसे वापस लाने में कोई समझदारी नहीं है।

विज़ के लिए सार्वजनिक पता

विज़ ioBroker में एक लोकप्रिय विज़ुअलाइज़ेशन सिस्टम है। आप परेशान नहीं कर सकते, और इसे खुद को https पर कॉन्फ़िगर कर सकते हैं और इसी तरह पोर्ट को आगे बढ़ा सकते हैं। इसके अलावा, वह आवेदन स्तर पर पासवर्ड मांग सकती है।

लेकिन वह शांत नहीं है। विशेष रूप से यह देखते हुए कि काम के लिए यह अतिरिक्त सेवाओं को जोड़ता है। कहते हैं, मैं फ़्लोट में ग्राफ़ खींचता हूं, अपेक्षाकृत बोल रहा हूं, मैं vis.xxx.xx : 8082 / vis / index.html से जुड़ता हूं , लेकिन अंदर vis.xxx.xxx ग्राफ़ के लिंक हैं : 8082 / flot / index.html। कुछ बिंदु पर, यह पता चला कि / विज़ से कनेक्ट करते समय, एक पासवर्ड पूछा जाता है, और ग्राफ़ इंटरफ़ेस बिना पासवर्ड के पहुंच योग्य है।

कुछ क्षणों में यह आम तौर पर अजीब था - मैं विज़ पर अधिकृत था, मैं ग्राफ़ देखता हूं, लेकिन नीचे दाईं ओर एक पारभासी "सर्वर से कोई संबंध नहीं" खिड़की है। इसे छिपाने के लिए इस css ब्लॉक के लिए फिर से लिखें। लेकिन, जैसे ही मैंने उसी स्क्रीन पर ग्राफ़ के बीच स्विच करने के लिए फ़्रेम का उपयोग करना शुरू किया, यह पता चला कि फ्रेम में डिस्प्ले पर मेरा ओवरलैप काम नहीं करता था। (जैसा कि बाद में पता चला, ऐसा होना चाहिए)। मैं प्राधिकरण बंद कर देता हूं - सब कुछ ठीक है, कोई शपथ नहीं।

इसलिए मैंने रिवर्स प्रॉक्सी मोड में नेग्नेक्स को बढ़ाने के लिए उसी बाहरी सर्वर पर निर्णय लिया। और उस पर पहले से ही प्राधिकरण बना लें।

ब्राउज़र से यह काम किया। लेकिन प्ले मार्केट से देशी एप्लिकेशन iobroker.vis इस तरह लॉग इन नहीं कर सका। और मैं इसका इस्तेमाल करना चाहता था। हालाँकि यह वास्तव में विंडो में एक ब्राउज़र है, लेकिन इसमें कई अच्छे फीचर हैं। मान लीजिए कि स्केल (ऊर्ध्वाधर मोड में 93%) सेट है, और छवि फिट बैठता है। भिन्न स्क्रीन रिज़ॉल्यूशन वाले किसी अन्य डिवाइस पर, आप बस गुणांक का चयन करते हैं, और यह बात है। और ब्राउज़र में आपको हर बार समायोजित करने की आवश्यकता है ...

ठीक है, मुझे लगता है। मैं पासवर्ड के बजाय URL में एक मुश्किल कोड जोड़ूंगा। टाइप करें vis.xxx.xx : 8082 / <लंबा अनुक्रम> /vis/index.html। अक्सर ऐसी ट्रिक का इस्तेमाल किया जाता है।

लगभग अर्जित किया। लेकिन ग्लिट्स के साथ, खुदाई से पता चला कि यह वेब एप्लिकेशन सही ढंग से नहीं लिखा गया था। इसके अंदर कई लिंक रिश्तेदार नहीं हैं, लेकिन जड़ से।

ठीक है, मुझे कई लिंक मिले, मैंने उनके लिए लिखा था, वे कहते हैं, अगर रेफरल में ऐसा कोड है, फिर भी भरोसा है, यूआरएल को फिर से लिखें, आदि। लेकिन वे धीरे-धीरे प्रकाश में आए। इसलिए मैंने फैसला किया कि यह कुटिल है, गलत है, और एक अलग दृष्टिकोण की आवश्यकता है।

वीपीएन

मैंने थोड़ी पहुंच सार्वभौमिकता का त्याग करने का फैसला किया। मुझे अपने लैपटॉप, स्मार्टफोन से एक्सेस करने दें। लेकिन इंटरनेट कैफे से अन्य लोगों के उपकरणों के लिए, मैं आवश्यक नहीं हूं। फिर आप एक छोटा क्लाइंट रख सकते हैं जो वीपीएन इंस्टॉल करेगा। और इसके अंदर, न तो एसएसएल और न ही प्राधिकरण की आवश्यकता है। और उसी समय आपको लिंक को फिर से करने की आवश्यकता नहीं है।

मेरे लिए सबसे सरल तरीका ज़ेरोटियर था। मेरे ओएस (विंडोज, एंड्रॉइड, लिनक्स) के लिए क्लाइंट हैं। और कर्ता में भी तैयार हैं। हाँ। मैं डॉकटर में सब कुछ चलाता हूं, इसके बारे में बाद में।

आप ग्राहक को स्थापित करते हैं, अपने नेटवर्क के लिए एक अद्वितीय कोड दर्ज करते हैं, फिर my.zerotier.com पर वेब इंटरफ़ेस में इसकी पुष्टि करते हैं, यदि आवश्यक हो, तो अपने निजी निजी नेटवर्क (एक ला 10.20.30.0) से स्थैतिक पता सेट करें, और यह बात है। सभी जुड़े हुए ग्राहक एक दूसरे को देखते हैं।

मुझे केवल एक चीज़ से निपटना था "क्लाइंट शुरू किए बिना आपके घर के वाईफाई में डिवाइस से रिमोट सर्वर से कैसे कनेक्ट किया जाए।" वैसे, मेरा होम सर्वर पहले से ही एक क्लाइंट है, भले ही वह खुद को रूट करता हो। यह पता चला कि सब कुछ सरल है। होम नेटवर्क 192.168.x.0 को प्रबंधित रूट अनुभाग में my.zerotier.com पर पंजीकृत किया जाना चाहिए, मेरे प्रवेश द्वार के रूप में निर्दिष्ट, निश्चित रूप से, यह मेरा होम सर्वर है। ठीक है, वाईफाई नेटवर्क में, तदनुसार रूट कॉन्फ़िगर करें (वाईफाई राउटर, स्टेटिक्स 10.20.30.0 होम सर्वर पर)।

Zerotier क्लाइंट को कनेक्ट करते समय, आप एक अलग DNS सर्वर निर्दिष्ट कर सकते हैं। उन। मैंने क्लाइंट को कनेक्ट किया, और डोमेन नाम एक सार्वजनिक पते पर नहीं, बल्कि एक निजी पते पर हल होता है, क्योंकि DNS अब होम सर्वर को इंगित करता है, जहां Zerotier निजी नेटवर्क से व्यक्तिगत आईपी रिकॉर्ड के लिए dnsmasq हथेली।

यहां तक कि ज़ेरोटियर कनेक्शन के लिए एक मार्ग के प्रभावी विकल्प से प्रसन्न था। अगर मैं होम वाईफाई में एक Zerotier क्लाइंट को सक्रिय करता हूं, तो होम कंप्यूटर को पिंग करता हूं (इसका IP पता Zerotier द्वारा जारी किया गया है) मिलिसेकंड का एक ही जोड़ा है जो बिना क्लाइंट (सिर्फ वाईफाई के जरिए) है। उन। क्लाउड से कनेक्ट करना केवल पहले क्षण में है। आगे ट्रैफिक एक्सचेंज सीधे क्लाउड के माध्यम से नहीं, बल्कि बाहर किया जाता है। यदि आप स्थापित करते हैं, उदाहरण के लिए, वीपीएस पर ओपनवीपीएन, वही ट्रैफ़िक क्लाइंट से वीपीएस तक चला, और फिर उसी वाईफाई नेटवर्क पर होम सर्वर पर वापस आ गया।

सिद्धांत रूप में, आपके चंद्रमा सर्वरों को लगाने के लिए एक चिप भी है। लगभग इंटरनेट से कटे हुए नेटवर्क में, इस सारी अर्थव्यवस्था को तैनात किया जाना है।

इसका परिणाम क्या है?

ईएसपी 32 वीपीएस पर तैनात mqtt सर्वर को अपना डेटा भेजता है। टीएलएस से अधिक, ग्राहक प्रमाणपत्र की आवश्यकता है।

Zerotier के माध्यम से एक वीपीएन होम सर्वर के साथ स्थापित किया गया है। Sonoff rfBridge इस होम सर्वर के माध्यम से VPS से TPSota फर्मवेयर के साथ संचार करता है। टीएलएस को क्लाइंट प्रमाणपत्र के साथ सेट करने का कोई तरीका नहीं है, इसलिए सामान्य MQTT को 1883 के लिए कॉन्फ़िगर किया गया है। वैसे भी, घर के सर्वर Zerotier का उपयोग करके इस ट्रैफ़िक को एन्क्रिप्ट करेंगे।

खैर, मैं सीधे होम नेटवर्क से और इंटरनेट से Zerotier क्लाइंट को सक्रिय करके विज़न से जोड़ता हूं। आप इसे बिल्कुल भी बंद नहीं कर सकते, यह भी काम करता है। लेकिन केवल कभी-कभी मुझे अन्य वीपीएन क्लाइंट्स की आवश्यकता होती है (उदाहरण के लिए, "ILV-निषिद्ध")। एक स्मार्टफोन पर दो वीपीएन तुरंत दोस्त नहीं बन गए, लेकिन मुझे समझ नहीं आया।

सब कुछ बहुत सरल है। लेकिन कीड़ा ने आत्मा को निगल लिया। हालांकि मेरे पास परमाणु रिएक्टर नहीं है, लेकिन अचानक? एक मामला था जब उन्होंने टीमव्यूअर (एक कंपनी, विशेष रूप से क्लाइंट सॉफ़्टवेयर नहीं) को तोड़ दिया, और उनके माध्यम से कई खातों तक पहुंच प्राप्त की। और सामान्य तौर पर, मैंने शुरुआत में ही लिखा था कि मैं हर चीज से प्यार करता हूं।
इसलिए अगला कदम, मैंने ज़ीरोटियर से ओपनवीपीएन पर स्विच किया। सब कुछ मेरे हाथ में है।

केवल "एलियन" प्रदाता का VPS है। खैर, मैं विशेष रूप से डॉकटर कंटेनरों में सब कुछ तुरंत लॉन्च करने में सक्षम होने के लिए लॉन्च कर रहा हूं।
अगर मुझे पता होता कि मुझे OpenVPN से कितना निपटना पड़ता, तो शायद मैं नहीं। निष्पक्षता में - कंटेनर की वजह से मुख्य समस्याएं ठीक थीं।

निष्कर्ष

अगले लेख में मैं OpenVPN और मेरी स्थितियों में कॉन्फ़िगरेशन सुविधाओं (कंटेनर, होम नेटवर्क से अन्य उपकरणों को रूट करना) के बारे में बात करूंगा। अधिक कॉन्फ़िगरेशन, तकनीकी विवरण और कठिनाइयां होंगी। लेकिन तुरंत इसके बिना दूसरा भाग लिखना शुरू नहीं किया। यह स्पष्ट नहीं होगा कि इस तरह के विकृतियाँ क्यों आवश्यक हैं।

और बस के मामले में, उन लोगों के लिए एक प्रश्न जो जानते हैं: हालांकि मेरे पास एक वीपीएस और एक छोटी सी (512 एमबी रैम) है, इसका उपयोग 1% से कम है। docker आँकड़े:

और मुझे यह सब कुछ Google क्लाउड रन, अमेज़ॅन फ़ारगेट या कुछ इसी तरह के कंटेनर की तरह लॉन्च करने का विचार मिला। Ansible के माध्यम से सभी प्रकार के fail2ban के साथ एक सर्वर को तैनात करना कोई समस्या नहीं है। डॉकटर भी स्थापित करें। लेकिन क्यों, अगर आपको इसके संसाधनों का केवल एक छोटा सा हिस्सा चाहिए?

हालाँकि, मेरी गणना के अनुसार, वही Fargate मुझे कई गुना अधिक खर्च करेगा।

शायद मुझे कुछ समझ नहीं आया? इसलिए पोर्ट होम को अग्रेषित करने के लिए विशुद्ध रूप से एक छोटा कंटेनर रखना दिलचस्प होगा, न कि पूरे वीपीएस के लिए। ऐसा कुछ भी नहीं है?