Streamovanie zo SOLO 4K na Formuler 4 Turbo a VPN

[vlado222]

V mojom predchádzajúcom príspevku (http://www.ab-forum.info/viewtopic.php?f=344&t=70511) som uviedol postup streamovania zo vzdialeného satelitného prijímača do PC.
V tomto príspevku popisujem skúsenosti zo streamovania zo vzdialeného satelitného prijímača (SOLO 4K) do lokálneho satelitného prijímača (Formuler 4 Turbo), ktorý nemôže byť pripojený (z technických príčin) na parabolu.
Pre tento účel som použil plugin Remote Channel Stream Converter.
Pri riešení prepojenia oboch prijímačov som kládol dôraz aj na bezpečnosť internetového spojenia oboch prijímačov systémom VPN.
Som povďačný autorom @zilizila, @ClasicRock, @gusto1, @Ivan P., @emilsat, @dufog3, @mjozef, @barancek, @efendy55 za príspevky, ktoré mi boli vodítkom pri zvládnutí streamovania pomocou pluginu Remote Channel Stream Converter,
a tiež autorom @ctiforum a @vlastvs499 za cenné rady pre zvládnutie zabezpečenia internetového spojenia.
Privítam vaše skúsenosti, pripomienky a rady k danej téme.

EDIT:
Na základe diskusie ešte dodávam dôležité upozornenie:
Zabezpečenie spojenia prijímačov systémom VPN - PPTP je zraniteľné a napadnuteľné. Je nevyhnutné ho zabezpečiť systémom VPN - OpenVPN !!! V tomto zmysle je potrebné použiť pri nastavení routrov namiesto PPTP bezpečnejší OpenVPN !!

[dreteam]

ked uz pptp, tak by som na firewally povolil len pristup z urcitej (tych) adries, inac sa to moze stat peknou dierkou do celej siete, lepsie riesenie je Openvpn server na routry a Openvpn klient na prijimaci

_https://www.ivpn.net/pptp-vs-l2tp-vs-openvpn
_https://www.howtogeek.com/211329/which-is-the-b ... -vs.-sstp/

[11chloe]

No vidíš a na OpenPLi fóru nedoporučovali openvpn klienta na příjimači protože je to tunel do sítě a koncové zařízení nemá ani základní zabezpečení v podobě uživatelských účtů. Všechno je přístupné přes root a takový box je další hrozbou. I přesto openvpn najdeš ve všech image běžně k instalaci. Podobně ani firewall nebude na boxu něco na co by se měl někdo spoléhat.
Na OpenPLi fóru bylo řečeno že je vhodnější tunel mezi routery s podporou firewalu.

[vlado222]

Ahojte chalani,
pre zvýšenie bezpečnosti mám nastavený aj firewall.
Na margo ochrany sieťovej prevádzky sa aj na tomto fóre už popísalo na mraky príspevkov.
Písalo sa o tom, že došlo k prelomeniu ochrany PPTP, takisto sa písalo aj o prelomení ochrany WPA2 – Personal, WPA2-PSK. Dokonca aj názory na bezpečnosť OpenVPN klient na prijímači sú rôzne. Mne ten OpenVPN klient na prijímači s Open ATV 6.0 nefunguje, ktovie, či to neodstavili aj kvôli problémom s bezpečnosťou... Aj preto som to riešil na úrovni routrov.
Ináč, boli tu na fóre aj príspevky, kde užívateľ má ochranu siete urobenú „iba“ cez Port Forwarding a prevádzkuje vonkajšie pripojenie už roky bez „újmy na zdraví“.
Bolo by poučné a zaujímavé vedieť, či sa už niekomu niekedy stalo, že mu prelomili ochranu VPN-PPTP, alebo VPN-OpenVPN (pri prevádzke dvoch satelitných prijímačov cez pripojenie vonkajšou internetovou sieťou), s akým nastavením, za akých okolností a s akým dopadom.
Uvítal by som príspevky z praxe na túto tému, konkrétne a reálne prípady, nielen v rovine teórie. Aby sme sa poučili a vyvodili z toho nejaké závery a prijali opatrenia.
Moje súčasné nastavenie sa „uvarilo“ len pred pár dňami a nemal som čas testovať a skúšať aj ďalšie možnosti.
Ale určite si ho nájdem a nastavím na routri aj Open VPN, aby som porovnal rozdiely v stabilite a rýchlosti pripojenia...
A dúfam, že o žiadnom prelomení ochrany môjho nastavenia nebudem musieť nikdy do tohto fóra písať.

P.S.
Pre zaujímavosť, prikladám článok o prelomení WPA2-PSK: http://www.dsl.sk/article.php?article=20327

[dlhe_pole]

Ahojte chalani,
pre zvýšenie bezpečnosti mám nastavený aj firewall.
Na margo ochrany sieťovej prevádzky sa aj na tomto fóre už popísalo na mraky príspevkov.
Písalo sa o tom, že došlo k prelomeniu ochrany PPTP, takisto sa písalo aj o prelomení ochrany WPA2 – Personal, WPA2-PSK. Dokonca aj názory na bezpečnosť OpenVPN klient na prijímači sú rôzne. Mne ten OpenVPN klient na prijímači s Open ATV 6.0 nefunguje, ktovie, či to neodstavili aj kvôli problémom s bezpečnosťou... Aj preto som to riešil na úrovni routrov.
Ináč, boli tu na fóre aj príspevky, kde užívateľ má ochranu siete urobenú „iba“ cez Port Forwarding a prevádzkuje vonkajšie pripojenie už roky bez „újmy na zdraví“.
Bolo by poučné a zaujímavé vedieť, či sa už niekomu niekedy stalo, že mu prelomili ochranu VPN-PPTP, alebo VPN-OpenVPN (pri prevádzke dvoch satelitných prijímačov cez pripojenie vonkajšou internetovou sieťou), s akým nastavením, za akých okolností a s akým dopadom.
Uvítal by som príspevky z praxe na túto tému, konkrétne a reálne prípady, nielen v rovine teórie. Aby sme sa poučili a vyvodili z toho nejaké závery a prijali opatrenia.
Moje súčasné nastavenie sa „uvarilo“ len pred pár dňami a nemal som čas testovať a skúšať aj ďalšie možnosti.
Ale určite si ho nájdem a nastavím na routri aj Open VPN, aby som porovnal rozdiely v stabilite a rýchlosti pripojenia...
A dúfam, že o žiadnom prelomení ochrany môjho nastavenia nebudem musieť nikdy do tohto fóra písať.

P.S.
Pre zaujímavosť, prikladám článok o prelomení WPA2-PSK: http://www.dsl.sk/article.php?article=20327

moc to prezivas.. openvpn chodi jak na open-pli, tak na inych image, chce to len pochopit princip.

BTW: pouzivat na tp-linku offic firmware je ciste barbarstvo

[dreteam]

No vidíš a na OpenPLi fóru nedoporučovali openvpn klienta na příjimači protože je to tunel do sítě

no, podla mojich vedomosti, toto bolo myslene na rezim servera v prijimaci (binarny subor je ten isty pre rezim servera aj rezim klienta, spravanie urcuje len konfiguracny subor), ked je prijimac v rezime klienta, tak na routry (v sieti prijimaca) nie je otvoreny ziadny port a prijimac nie je nijako vystaveny do internetu, nie je potrebne aktivovat ani firewall na prijimaci, jediny sposob ako sa utocnik moze dostat na prijimac je len haknut VPN server alebo mu podstrcit falosny VPN server, co su veci ktore sa netykaju prijimaca
druha moznost, obist prijimace a VPN nastavit na urovni routrov moze byt dobra, ale v tom pripade pouzit pptp protokol sa mi zda nebezpecne, nakolko ta lokalna siet kde je otvoreny port na routry, je vystavena dost velkemu nebezpeciu otvoreniu celej lokalnej siete do internetu ...
a to do toho nie je zahrnuty protokol IPv6, ktory, bez nejakych nastaveni, transparentne prechadza cez routre IPv4, a prijimac tak moze byt vystaveny do internetu na IPv6 adrese (pokial poskytovatel internetu podporuje IPv6)

@vlado222
pozor, aktivuj si ten firewall na prichodzie spojenia len s konkretnej ipecky klienta, nasledujuce odkazy by mohli sposobit odhalenie tvojich pristupovych udajov na pptp spojenie

_https://samsclass.info/124/proj14/p10-pptp.htm
_https://tools.kali.org/password-attacks/thc-pptp-bruter
_https://worldhack3r.wordpress.com/2012/11/29/hacking-pptp-vpn-with-backtrack/

[gusto1]

No vidíš a na OpenPLi fóru nedoporučovali openvpn klienta na příjimači protože je to tunel do sítě a koncové zařízení nemá ani základní zabezpečení v podobě uživatelských účtů. Všechno je přístupné přes root a takový box je další hrozbou. I přesto openvpn najdeš ve všech image běžně k instalaci. Podobně ani firewall nebude na boxu něco na co by se měl někdo spoléhat.
Na OpenPLi fóru bylo řečeno že je vhodnější tunel mezi routery s podporou firewalu.

Ale predsa root je zaheslovany a pristup do boxov je len v ramci openvpn a v lan si tam nikto ani neprdne pokial nema kluce a certifikaty (tie su len na servery a u klientov).

[11chloe]

Nechci nikoho odrazovat. Jenom jsem chtěl poznamenat , že vývojáři maj pochybnost jestli tyhle síťové nástroje opravdu do boxu patří. Je na každém jestli je používá.

VPN - OpenPLi Wiki

Settopbox

Although you can install OpenVPN on your Enigma2 box it is not to be recommended. You should use a router for that (WiFi router or NAS) or a custom router firmware which are basically new operating systems you can flash onto your router, replacing the router’s standard operating system with something new. DD-WRT is a popular one, and OpenWrt will also work well. So use something that's being updated regularly and has a large community, as safety is much higher when you have the latest security updates.

[dlhe_pole]

Nechci nikoho odrazovat. Jenom jsem chtěl poznamenat , že vývojáři maj pochybnost jestli tyhle síťové nástroje opravdu do boxu patří. Je na každém jestli je používá.

VPN - OpenPLi Wiki

Settopbox

Although you can install OpenVPN on your Enigma2 box it is not to be recommended. You should use a router for that (WiFi router or NAS) or a custom router firmware which are basically new operating systems you can flash onto your router, replacing the router’s standard operating system with something new. DD-WRT is a popular one, and OpenWrt will also work well. So use something that's being updated regularly and has a large community, as safety is much higher when you have the latest security updates.

tak tak.. preto ta moja poznamka o barbarstve s original fw na tplinku.. z neho urobit openvpn server a vsetko ostatne co treba len klientov

[11chloe]

I openvpn mělo v minulosti bezpečnostní díru. Vůbec bych nerozlišoval server a klient. Pokud se bezpečnostní hrozba objeví tak tohle nebude vůbec rozhodující.
Ono je nakonec jedno jestli to openvpn nastavíte v boxu a nebo na routeru.

[dlhe_pole]

I openvpn mělo v minulosti bezpečnostní díru. Vůbec bych nerozlišoval server a klient. Pokud se bezpečnostní hrozba objeví tak tohle nebude vůbec rozhodující.
Ono je nakonec jedno jestli to openvpn nastavíte v boxu a nebo na routeru.

no praveze neni.. na routry vo firewalle si nastavis napriklad len pristup z tej alebo tej openvpn adresy a tak isto na ktory port moze .. kdezto box ziaden firewall nema - teda nepocitam chaby pokus o firewall v starych open pli images

[11chloe]

Nevím jak přesně funguje openvpn abych mohl argumentovat proč je právě klient na neaktuálním systému hrozbou. Chápu to tak že openvpn je tunel mezi routerem (server) a boxem (klient) . Pak ten tunel prochází routerem na straně boxu a tím není do bezpečnosti ten router zapojen a právě ten by mohl být dalším bezpečnostním prvkem. Je to jen teorie jak si vysvětlit to doporučení od OpenPLi, kdy dělat tunel přímo do vnitřní sítě je z hlediska bezpečnosti horší řešení a navíc kdy klient jede na neaktualizovaném , případně zastaralém os.
Můžete si například zjistit jak aktuální verze openvpn je na straně klienta a která se používá v dnešní době jako bezpečná.

Ono je nakonec jedno jestli to openvpn nastavíte v boxu a nebo na routeru.

Touhle větou jsem myslel jen to, že práce na konfiguraci klienta bude podobná jak u boxu tak u routeru. Tak proč nejít tou bezpečnější cestou a nedávat klienta přímo na router.

[gusto1]

OpenVPN mi bezi na normalnom x86_64 servery. Tam si pomocou easy_rsa (vid dnes eID a RSA kluce) vygeneroval kluce a CA.
Kedze iptables mi moc nesla, tak som si povolil, len porty ktore potrebujem pomocou ufw (21,22,1194, a pod ...).
Klientom som rozdal

Kód: Vybrat vše

ca ca.crt
cert client.crt
key client.key
client.conf  

a hotovo. Este na servery v configu si mozem nastavit ci sa klienti maju vidiet, alebo nemaju (client to client).
Urcite by som nerobil openvpn server na boxe (ale ako klient preco nie)

[dlhe_pole]

OpenVPN mi bezi na normalnom x86_64 servery. Tam si pomocou easy_rsa (vid dnes eID a RSA kluce) vygeneroval kluce a CA.
Kedze iptables mi moc nesla, tak som si povolil, len porty ktore potrebujem pomocou ufw (21,22,1194, a pod ...).
Klientom som rozdal

Kód: Vybrat vše

ca ca.crt
cert client.crt
key client.key
client.conf  

a hotovo. Este na servery v configu si mozem nastavit ci sa klienti maju vidiet, alebo nemaju (client to client).
Urcite by som nerobil openvpn server na boxe (ale ako klient preco nie)

tie porty 21 a 22 davas vsetkym klientom ? to je sialenstvo.. taky fw ma aj svoje wiki a v nom sa dozvies ako si povolit pristup len pre urcitu ipcku

[dreteam]

I openvpn mělo v minulosti bezpečnostní díru. Vůbec bych nerozlišoval server a klient. Pokud se bezpečnostní hrozba objeví tak tohle nebude vůbec rozhodující.
Ono je nakonec jedno jestli to openvpn nastavíte v boxu a nebo na routeru.

no, tak s týmto sa dá len nesúhlasiť

- každý softvér môže mať nejakú chybu, bezpečnostnú dieru, rozdiel je že pri open source riešení je oprava pomerne rýchla a dokumentovaná, chyba bola v knižnici libssl ktorú používal openvpn a umožňovala sa dostať k certifikátom. Protokoly PPTP, IPSEC, sú od Microsoftu a tam okrem zastaralosti, to s tou opravou nemusí byť také horúce, napr. na webe sú návody ako haknúť PPTP

- existuje veľa komerčných openvpn serverov, tvoje tvrdenie by znamenalo, že keď je server dobre zabezpečený a aktualizovaný - tak zle nakonfigurovaný a zastaralý klient je bezpečnostná hrozba pre server - toto neplatí - ináč by boli všetky Openvpn servery v krátkom čase nefunkčné. To znamená - pokiaľ je na servery aktuálna knižnica libssl a na klientovi neaktuálna, tak z pohľadu bezpečnosti to nič neznamená, verzie libssl sú spätne kompatibilné

- je potrebné rozlišovať medzi serverom a klientom, predmetom útoku z internetu môže byť len server, z toho vyplýva že inštalácia klienta na prijímač je bezpečná, pravidlá šifrovanej komunikácie a certifikáty určuje server

- inštalácia klienta na router vs. prijímač, vpn spojenie medzi routrami sa používa väčšinou na prepojenie dvoch sietí, v podnikoch a pobočkách, kde potrebujeme sprístupniť služby pre viacerých lokálnych klientov (počítače), pre streamovanie jedného prijímača je to trochu overkill,

- takže vzhľadom na bezpečnostné riziká by som do návodu uvedeného v prvom príspevku uviedol, toto riešenie neberie primárne ohľad na bezpečnosť a jeho použitie je na vlastné riziko ....

[gusto1]

OpenVPN mi bezi na normalnom x86_64 servery. Tam si pomocou easy_rsa (vid dnes eID a RSA kluce) vygeneroval kluce a CA.
Kedze iptables mi moc nesla, tak som si povolil, len porty ktore potrebujem pomocou ufw (21,22,1194, a pod ...).
Klientom som rozdal

Kód: Vybrat vše

ca ca.crt
cert client.crt
key client.key
client.conf  

a hotovo. Este na servery v configu si mozem nastavit ci sa klienti maju vidiet, alebo nemaju (client to client).
Urcite by som nerobil openvpn server na boxe (ale ako klient preco nie)

tie porty 21 a 22 davas vsetkym klientom ? to je sialenstvo.. taky fw ma aj svoje wiki a v nom sa dozvies ako si povolit pristup len pre urcitu ipcku

Ja ti to poviem takto: (fyzicky) klienti nemaju ponatia o tom, ze tam nejake openvpn bezi. Oni ani nevedia, ze tam je nejaky terminal a ze sa tam da prihlasit. Ovpn som spravil len na pristup k boxom aby som ich mohol bezpecne, vzdialene manazovat. Cez ufw som povolil len konkretnej IP pristup na dane porty.

[11chloe]

- inštalácia klienta na router vs. prijímač, vpn spojenie medzi routrami sa používa väčšinou na prepojenie dvoch sietí, v podnikoch a pobočkách, kde potrebujeme sprístupniť služby pre viacerých lokálnych klientov (počítače), pre streamovanie jedného prijímača je to trochu overkill,

Pak mi není jasné že u openvpn je to overkill, ale u té jeho konfigurace už ne. Vždyť v tom návodu to vpn přesně takhle používá.

Pokud je útok možný jen na server tak pak je divné že OpenPLi team openvpn na enigmě nedoporučuje. Proč tam rovnou nenapíšou že je to nebezpečné jenom v případě konfigurace jako server ?

[dreteam]

Pokud je útok možný jen na server tak pak je divné že OpenPLi team openvpn na enigmě nedoporučuje. Proč tam rovnou nenapíšou že je to nebezpečné jenom v případě konfigurace jako server ?

my friend, niekedy sa oplatí čítať aj medzi riadkami,
V starej Wiki ten návod bol, ako prešli na Openpli 6, tak to prekopali a toto tam ostalo, ako sme si mohli všimnúť - tak Openpli team trochu kontroverzne pri defaultnej inštalácii zapol len basic Menu, a ak chce človek niečo poriadne nastaviť tak sa musí prepnúť do Expert menu, snažia sa to spraviť viac blbuvzdorné, a s tým podľa mňa súvisí tá krátka stránka o VPN.
Keď ide človek na fórum a dá vyhľadať "openvpn", tak sa dostane viac do problematiky, o tom že Openvpn je de facto štandard a jediný použiteľný klient na prijímači, asi nie je pochýb
niekoľko citátov od Pli member členov teamu
WanWizard - moderátor fóra, člen core teamu

There is an effort on the way to make an OpenVPN plugin for the box, but that won't be ready for a while.

We don't advocate using the STB as an OpenVPN server, as it is not a security device. You don't convert your fridge into a router either. We do understand there are valid use-cases to want the OpenVPN client on your box (I use it myself with transcoding and the fallback tuner when I want to watch TV when I'm abroad).

Until that is ready, then you either have to wait if you are not familiar with Linux and/or OpenVPN, or do it yourself if you are familiar. It is not doable to take someone by the hand and lead them through a manual install, as there are a lot of configuration options that are specific to your personal situation.

_https://forums.openpli.org/topic/47352-trying-to-build-a-vpn-connection/?hl=openvpn#entry648792

Some other devices, like for example a Synology NAS, can provide OpenVPN server functionality.

And offcourse, if your router has other options (perferrably IPSec, only if all else fails PPTP), you can also use these. Most desktop OS makes supports these VPN's out of the box.

_https://forums.openpli.org/topic/44563-port-forwarding-web-if-how-to-password-protect-streams/?hl=openvpn

And I don't use the fallback tuner over the internet, I have an OpenVPN client on my box that connects to my Synology at home, and access the fallback through the VPN tunnel. Nothing wide open.

_https://forums.openpli.org/topic/49937-channelsimporter/page-2?hl=openvpn#entry697919

nakoniec chlapík ktorý na prijímači spravil aj server, čo nie je doporučené neskúseným užívateľom, dajú sa stade odkukať konfiguráky...
_https://forums.openpli.org/topic/47406-build-a-server-vpn-with-openvpn-create-certificate-files-configure-client-side/

[11chloe]

Jak už jsem psal. Nikoho neodrazuju a klidně si to používejte. V tom wiki je to ale takhle napsané a ten důvod může být i to že mezi samotnými vývojáři nemusí být úplná shoda. Navíc pokud si projdeš fórum tak najdeš i diskuzi na téma "open source".

... rozdiel je že pri open source riešení je oprava pomerne rýchla a dokumentovaná

Tohle nemusí u OpenPLi platit protože kromě open source vrstvy je tam i vrstva od výrobce a ta je neveřejná. Tady pak vývoj vždy naráží na to že se jedno přizpůsobuje druhému. Nemůžeš čekat bezpečnostní aktualizaci pokud to neni možné a může to souviset i s aktualizací od výrobce.
Box je primárně satelitní příjímač a tam je jiná priorita než u routeru. Pak to doporučení chápu jako logické.
Když se kouknu na libssl tak v OpenPLi 4 je už nepodporovaná verze. Neříkám že není bezpečná , ale na aktualizovaném routeru budeš mít novější a v OpenPLi 6 taky. Nadruhou stranu OpenPLi 6 pořád trpí neduhy na některých boxech a důvodem může být právě vrstva od výrobce.
Podobně se dá najít diskuze kolem openvpn kdy někdo požaduje verzi 2.4.0 která je údajně výkonem někde jinde než ty staré. Záleží pak na tom kde vezmeš vývojáře aby na jiné architektuře dokázali tuhle verzi rozchodit. Opět to může narazit na to že nová verze potřebuje novější linuxové nástroje a to pak souvisí i s aktualizací vrstvy od výrobce.
Uznávám že provozovat openvpn klienta nebude nijak zásadní problém. V podstatě mě zajímal jen názor ostatních. Víc k tomu stejně nejni co říct.

[vlado222]

Na základe diskusie k téme prepojenia dvoch satelitných prijímačov, z ktorých jeden pracuje ako klient v lokálnej sieti (bez paraboly) a druhý ako server vo vzdialenej sieti, prikladám aj postup nastavenia routrov Asus RT-N18U bezpečnejším systémom VPN – OpenVPN oproti pôvodnému nastaveniu systémom VPN - PPTP. Použitý bol originálny firmware aktualizovaný na najnovšiu verziu (s alternatívnymi FW DD-WRT, Tomato a pod. som nemal čas sa párať).