Networking on Bluescreengenerator

Fritzbox Webgui Passwort wiederherstellen

Fri, 25 Aug 2023 15:34:00 +0000

Neuere Fritzboxmodelle von AVM (z.B. die 7590) werden werksseitig mit einem Passwort für die Weboberfläche versehen, das auf einem Aufkleber an der Box oder einem beigelegten Zettel aufgedruckt ist. Hat man beides nicht mehr und musste die Box auf Werkseinstellungen zurücksetzen, kommt man nicht mehr auf die Weboberfläche. Mit den folgenden Schritten ist es aber möglich, das Passwort auszulesen. Benötigt wird ein PC mit installiertem FTP Client.

dem PC eine feste IP im Fritzbox Standardnetz vergeben (z.B. 192.168.178.2/24)
Fritzbox vom Strom trennen und per LAN mit PC verbinden
Fritzbox an Strom anschließen
nachdem Netzwerkaktivität losgeht (relativ schnell nach Herstellung der Stromversorung der Fall): ftp 192.168.178.1 im CMD/Bash ausführen
Username & Passwort = adam2
Webgui Passwort in der FTP Shell auslesen mit: quote GETENV webgui_pass

[Froxlor] Webserver Logs anonymisieren

Sun, 20 Oct 2019 11:33:00 +0000

Froxlor ist eine in PHP geschriebene und unter der GPL veröffentlichte Servermanagementanwendung, die das Betreiben von Hostingservern vereinfacht. Einmal eingerichtet lassen sich Hostings (vordergründig Webhosting und Mailhosting, Details s. auf der Homepage von Froxlor) bequem per Webinterface anlegen und verwalten.

Was die Wahl des Serverbetriebssystems angeht, hat man die Wahl zwischen diversen Linuxdistributionen. Am besten unterstützt werden Debian und seine Derivate. Aber auch Centos und Arch Linux stehen zur Auswahl. Außerdem hat man die Wahl, welche Serversoftware eingesetzt werden soll. Beim Webserver beispielsweise zwischen Apache, nginx und Lighttpd.

Verschlüsselungen im Windows 10 IKEv2 Client anpassen

Sat, 08 Jun 2019 11:30:00 +0000

Der eingebaute IKEv2 VPN Client von Windows 10 unterstützt von Haus aus lediglich Verbindungen, die auf DH-Group 2 setzen. Das ist heutzutage nicht mehr zeitgemäß. Möchte man eine sicherere Verbindung einrichten (wie beispielsweise hier beschrieben), so kann man sich die Powershell zu Nutze machen.

Dabei ist es notwendig, dass die Verbindung nicht über die grafische Oberfläche eingerichtet wird, sondern direkt auf der Powershell. Wenn man einen VPN Server nach dem oben verlinkten Artikel aufgesetzt hat, lautet der notwendige Befehl für die Client-Verbindung:

Netzwerk zu NordVPN verbinden mit OPNsense

Sat, 09 Feb 2019 11:22:00 +0000

Wer im Internet surft hinterlässt Spuren. Webserver loggen Zugriffe und speichern die IP Adressen des Clients, sowie u.a. Datum, Uhrzeit, Browser und angefragte URL. Internetprovider wiederum speichern mitunter die IP Adressen ihrer Kunden. So lässt sich theoretisch nachvollziehen, welcher Kunde wann wohin surft.

Wer seine Privatsphäre bewahren will kann daher die Dienste eines VPN Providers nutzen. Dadurch sieht beispielsweise der Webserver nicht mehr die IP Adresse des eigenen Anschlusses, sondern die des VPN Providers. Außerdem kann der ISP nicht verfolgen, wohin zugegriffen wurde, da dies ebenfalls über eine verschlüsselte Verbindung über den VPN Provider läuft. Letztlich muss man allerdings dem VPN Provider vertrauen. Viele werben damit, keine Logdateien zu speichern. So auch der Anbieter NordVPN, dessen Dienst für dieses Beispiel herangezogen wird. Grundsätzlich sollte die Anleitung auch auf andere VPN Provider anwendbar sein, sofern sie OpenVPN unterstützen.

Fortigate Sniffer benutzen

Tue, 27 Mar 2018 11:19:00 +0000

Sofern die Option Packet Capture im Menü der Fortigate nicht erscheint, kann man den Sniffer mit folgendem Link direkt aufrufen:

https://[ IP_der_Fortigate ]/ng/page/p/firewall/sniffer/

Alternativ lässt sich auch via CLI sniffen, allerdings bekommt man dann kein schönes .pcap File heraus. Der Befehl dazu lautet:

diagnose sniffer packet < interface > [ filter ]

< interface >: das Interface, auf dem man sniffen möchte, “any” für alle,
[ filter ] : optionale Angabe von Filtern, um die Ausgabe übersichtlich zu halten

[Juniper] Datei per FTP/SCP kopieren

Tue, 19 Sep 2017 11:15:00 +0000

Datei vom Router zu einem entfernten FTP-Server senden:

file copy /var/tmp/logs.tgz ftp://username@***.**.***.**/logs.tgz

Mobile VPN mit pfSense und IKEv2

Tue, 04 Jul 2017 11:03:00 +0000

Kurze Zusammenfassung der Einstellungen für pfSense und Android.

VPN Serverkonfiguration

VPN –> IPsec –> Mobile Clients

Mobile Client Support aktivieren
User Authentication: Local Database
Group Authentication: None
Virtual Address Pool: beliebigen, nicht verwendeten Pool benutzen
Virtual IPv6 Address Pool: ebenfalls beliebigen, nicht verwendeten Pool verwenden (bei Bedarf)

pfSense unterstützt derzeit nicht das Vermischen von IPv4 und IPv6 im VPN Tunnel. D.h., dass zu einer IPv4 Gegenstelle auch nur IPv4 Traffic getunnelt werden kann und analog bei einer IPv6 Gegenstelle nur IPv6 getunnelt werden kann.

Alle anderen Einstellungen nach Bedarf.

SSL Zertifikat auf einer Fritzbox installieren

Wed, 05 Apr 2017 10:58:00 +0000

Die Fritzbox ermöglicht die Installation eines eigenen SSL Zertifikates, das das von der Box selbst generierte Zertifikat ersetzt. Ein Zertifikat gibt es z.B. bei Let’s Encrypt über den Onlinedienst sslforfree.com.Nachdem man dort seine Domain verifiziert hat (im Falle der Fritzbox muss man das über die DNS-Validierung machen, da man auf der Box ja keine eigene Datei im Webserver hinterlegen kann), erhält man das Zertifikat zum Download. Es kommt in drei Teilen: dem Zertifikat selbst (.crt), dem privaten Schlüssel (.key) und dem Zwischenzertifikat. Das Zwischenzertifikat braucht man nicht.

Interface Statistiken und Counter auf Fortigate anzeigen

Thu, 09 Feb 2017 10:55:00 +0000

Befehle zum Anzeigen von Interface Statistiken und Countern, die im Webinterface nicht ersichtlich sind:

FORTIGATE $ diagnose hardware deviceinfo nic wan1
Description :FortiASIC NP6LITE Adapter
Driver Name :FortiASIC NP6LITE Driver
Board :60E
lif id :0
lif oid :64
netdev oid :64
Current_HWaddr 00:09:0f:09:00:0b
Permanent_HWaddr 90:6c:ac:83:03:0c
========== Link Status ==========
Admin :up
netdev status :up
autonego_setting:1
link_setting :1
speed_setting :10
duplex_setting :0
Speed :1000
Duplex :Full
link_status :Up
============ Counters ===========
Rx Pkts :36428274
Rx Bytes :6792635983
Tx Pkts :29185072
Tx Bytes :6688201216
Host Rx Pkts :10311110
Host Rx Bytes :926889908
Host Tx Pkts :762663
Host Tx Bytes :485948600
Host Tx dropped :0


FORTIGATE $ diagnose netlink interface list wan1
if=wan1 family=00 type=1 index=3 mtu=1500 link=0 master=0
ref=23 state=off start fw_flags=0 flags=up broadcast run promsic allmulti multicast
Qdisc=mq hw_addr=00:09:0f:09:00:0b broadcast_addr=ff:ff:ff:ff:ff:ff
stat: rxp=37609605 txp=30368016 rxb=7052881542 txb=6949493299 rxe=0 txe=0 rxd=175071 txd=0 mc=0 collision=0
re: rxl=0 rxo=0 rxc=0 rxf=0 rxfi=0 rxm=0
te: txa=0 txc=0 txfi=0 txh=0 txw=0
misc rxc=0 txc=0
input_type=0 state=3 arp_entry=0 refcnt=23

rxe/txe = Errors
rxd/txd = Drops

Synology NAS in MagentaCloud sichern mit WebDAV

Sun, 04 Dec 2016 10:48:00 +0000

Synology hat mit seiner im Betriebssystem DSM integrierten Backuplösung “Hyper Backup” eine einfache Möglichkeit geschaffen, Daten auf verschiedenen Zielen zu sichern und wiederherzustellen. Als Sicherungsziele sind bereits diverse Clouddienste integriert, außerdem lassen sich Backups auch auf andere Synology DiskStations oder externe Festplatten sichern. Beispielsweise ist auch das Strato Hidrive integriert. Die MagentaCloud ist prinzipiell ein Hidrive, das anders vermarktet wird, aber auf der gleichen Plattform basiert. Da die MagentaCloud (noch) nicht in DSM integriert ist, müssen wir hier einen kleinen Umweg in Kauf nehmen. Dieser Umweg nennt sich WebDAV. Aber der Reihe nach:

pfSense als Router am Telekom IPBSA-VDSL Anschluss

Sun, 13 Nov 2016 10:45:00 +0000

Einleitung

Der s.g. IPBSA-Anschluss (Bitstream) der Telekom ist ein Vorleistungsprodukt für alternative Internetserviceprovider. Die Telekom stellt hierbei die DSL-Verbindung (Teilnehmeranschlussleitung, DSL-Port und Transport zum Backbone des alternativen Providers) bereit. Damit haben andere (kleine) Carrier die Möglichkeit, deutschlandweit DSL-Produkte anzubieten, ohne selbst in eigene Infrastruktur investieren zu müssen. Der Teilnehmer terminiert logisch und rechtlich im Netz des alternativen Providers.

Endgeräte

Die Telekom stellt bei diesen Leitungen kein Endgerät zur Verfügung. Sie schließt den Anschluss mit der 1. TAE ab. Das Endgerät wird vom eigentlichen Provider zur Verfügung gestellt oder muss selbst beschafft werden. Will man eine pfSense oder andere Firewall betreiben, so besorgt man idealerweise ein Modem, das den Bridgemode unterstützt. Die eigentliche Einwahl wird dann von der pfSense Box übernommen. Ich habe als Modem ein Vigor 130 von Draytek im Einsatz.

VPN Tunnel zwischen pfSense und Fritzbox

Tue, 23 Feb 2016 10:34:00 +0000

Seit einigen Jahren ist es mit Fritzboxen möglich, VPN Tunnel aufzubauen. Die Konfiguration ist auf der Box bewusst einsteigerfreundlich belassen, die Tunnelparameter sind größtenteils vorgegeben und können nicht verändert werden. Daher muss die Seite der pfSense Firwall sich anpassen.

Mit pfSense 2.2.3 gab es ein Problem mit IPsec. Tunnel zu Fritzboxen haben damit nicht funktioniert. Es gab zunächst einen Workaround, inzwischen (ab 2.2.4) ist das Problem behoben (vgl. https://forum.pfsense.org/index.php?topic=87579.0)

Sofern die Fritzbox keine feste, öffentliche IP Adresse hat, empfehle ich, sie bei MyFritz zu registrieren. Dadurch bekommt sie einen DynDNS-Namen. Dieser ist zwar relativ lang und nicht einfach zu merken, er muss aber in der Konfiguration nur zwei Mal eingetragen werden. Für den Zweck reicht das allemal. Das folgende Beispiel geht davon aus, dass die Fritzbox-Seite eine dynamische und die pfSense-Seite eine feste IP Adresse hat.

Cisco – GRE Tunnel mit dynamischer Gegenstelle einrichten

Wed, 31 Dec 2014 10:02:00 +0000

Wer einen GRE Tunnel zu einer dynamischen IP (z.B. DSL Einwahl) herstellen möchte, muss bei jeder Änderung der IP den Tunnel anpassen. Das ist nervig und hat für die Zwischenzeit auch einen Ausfall zur Folge. Mit dem Cisco Embedded Event Manager lässt sich das umgehen.

Das Feature wurde mit IOS 12.3(14)T eingeführt und kann beispielsweise zeitgesteuert Befehle ausführen. Glücklicherweise kann als Tunnelendpunkt auch ein Domainname eingetragen werden. Allerdings wird mit absetzen des Befehls dieser Name einmalig aufgelöst und die IP in die Konfig eingetragen. Folgendermaßen lässt sich das automatisieren:

Veralteten SSH Fingerprint löschen

Tue, 18 Nov 2014 10:00:00 +0000

Unter Linux wird bei jeder SSH Verbindung der Fingerabdruck des SSH-Servers lokal abgespeichert. Sollte sich der Fingerprint nun ändern und nicht mehr zur IP/zum Hostnamen passen, z.B. weil ein Gerät neu installiert wurde, wird man beim Verbindungsversuch mit folgender Meldung abgestraft:

admin@xxx:~$ ssh -l admin 212.x.y.z
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that the RSA host key has just been changed.
The fingerprint for the RSA key sent by the remote host is
d7:3e:54:ee:4d:9f:67:d6:58:d7:ff:5b:47:fc:f2:ab.
Please contact your system administrator.
Add correct host key in /home/admin/.ssh/known_hosts to get rid of this message.
Offending key in /home/admin/.ssh/known_hosts:4
RSA host key for 212.x.y.z has changed and you have requested strict checking.
Host key verification failed.

Die Verbindung wird nicht aufgebaut. Wenn man sich sicher ist, dass man der Gegenstelle vertrauen kann und nicht Opfer eines Angriffs wurde, kann der betroffene Fingerprint mit dem Befehl ssh-keygen entfernt werden:

Huawei E303 UMTS-Stick unter Linux betreiben

Thu, 07 Nov 2013 08:55:00 +0000

Der Huawei E303 liefert die Treiber direkt per Datenpartition mit. Allerdings lässt er sich nicht als UMTS-Stick betreiben, solange er als Speicherstick aktiv ist.Die Ausgabe von lsusb liefert nach dem Anstecken folgendes Bild:

Die Zahlenkolonne “12d1:1446” liefert die Hersteller- und Produkt-ID. 12d1 steht also hier für Huawei, 1446 für den Stick selbst. Der Stick muss nun mit Hilfe des Tools usb_modeswitch auf den Modemmodus umgestellt werden. Der dafür notwendige Befehl sieht so aus:

VPN zur Fritz!Box mit Android/IOS ab Fritz!OS 06.00+

Mon, 04 Nov 2013 08:51:00 +0000

Ich habe kürzlich einen Artikel zum Einrichten einer VPN Verbindung von Android zur Fritz!Box veröffentlicht. Kurz danach hat AVM ein Firmware Update veröffentlich (Fritz!OS 06.00), das die Einrichtung sehr erleichtert.

Ein eingerichteter DynDNS Account oder eine MyFritz-Registrierung werden vorausgesetzt.

Die Konfiguration lässt sich nun komplett direkt auf dem Webinterface der Fritzbox erledigen. Das Windows-Tool “Fritz Fernzugang einrichten” wird nicht mehr benötigt.

Zunächst loggt man sich auf der FB ein, und navigiert zu System -> Fritz!Box-Benutzer. Dort legt man sich einen neuen User an. Logischerweise muss der Haken bei VPN gesetzt werden:

VPN von Android zur Fritz!Box

Tue, 15 Oct 2013 08:11:00 +0000

Android Smartphones und Tablets lassen sich über den eingebauten VPN-Client zu Fritzboxen verbinden. Dazu muss man lediglich die iPhone-Konfiguration etwas “missbrauchen”. AVM bietet zur Konfiguration von VPN-Tunnel (Site-to-Site und End-to-Site) ein Tool namens “Fritz!Box-Fernzugang einrichten” an. Mit Hilfe dieses Programms werden zwei Konfigurationsdateien erstellt, eine für die Fritz!Box und eine für das Handy. Es kann bei AVM im Downloadbereich kostenlos heruntergeladen werden.

Kürzlich hat AVM die neue Firmware FritzOS 06.00 veröffentlicht. Dort wurde die Konfiguration erheblich erleichtert und ist auch ohne Windows Software möglich. Den Artikel gibts hier.

Konfiguration erstellen

Eine neue Verbindung erstellen:

[Cisco] Redundanz mit statischen Routen

Thu, 03 Oct 2013 19:57:00 +0000

Bei manchen kleineren Netzwerken, bei denen kein dynamisches Routing eingesetzt wird, bietet es sich an, eine Redundanz über statische Routen zu realisieren. Folgendes Szenario wäre möglich:

Die beiden Standorte sind über eine Festverbindung miteinander verbunden, als Backup dient ein VPN Tunnel über DSL. Der Traffic soll im Normalfall natürlich über die Standleitung geroutet werden. Nun wäre es möglich, auf dem Router A1 zwei Defaultrouten zu setzen, eine über die Standleitung, eine zum DSL-Router. Die Route in Richtung DSL wird über die Administrative Distanz dann “schlechter gemacht”, sodass die Route über die Standleitung aktiv ist. Das Problem dabei: Diese Redundanz funktioniert nur, wenn der WAN-Link an A1 in Richtung B1 abfällt und das Interface in den Down-Status fällt.

[Cisco] Einrichtung eines Site-to-Site VPN

Wed, 03 Jul 2013 15:48:00 +0000

Der Aufbau einer IPsec Verbindung ist in zwei Phasen geregelt. Die Phase 1 gibt es in zwei Varianten, den “Main Mode” und den “Aggressive Mode”, wobei der Main Mode zu preferieren ist. Grob gesagt werden in Phase 1 die Verschlüsselungsparameter abgeglichen und in Phase 2 die Kommunikationen beschrieben (Encryption Domain).

Bei Cisco wird die Phase 1 folgendermaßen konfiguriert:

crypto isakmp policy 10
 encr 3des
 authentication pre-share
 group 2
crypto isakmp key sicherer-key address IP.der.Gegen.stelle

Es wird eine IKE Policy erstellt, in der der Verschlüsselungsalgorithmus, der Hash, die Authentifizierungsart und die DH-Gruppe definiert werden. In diesem Fall wird mit 3DES verschlüsselt, mit SHA-1 gehasht (Standard, daher nicht in der Konfig ersichtlich), mit dem Pre-Shared-Key “sicherer-key” authentifiziert und die DH-Gruppe 2 angewandt. Die Gegenstelle ist IP.der.Gege.stelle. Baut man mehrere VPNs und benötigt man aufgrund von Anforderungen der Gegenseiten andere Methoden, lassen sich weitere Policies erstellen. Dazu muss einfach die Sequenznummer erhöht werden und unter der neuen Nummer die Parameter gesetzt werden. Die beiden VPN-Partner werden sich dann hoffentlich einig.

[Cisco] Standard Administrative Distanzen

Tue, 25 Jun 2013 15:39:00 +0000

Quelle: http://www.cisco.com/en/US/tech/tk365/technologies_tech_note09186a0080094823.shtml

Typ	Distanz
direkt verbunden	0
statisch	1
EIGRP zusammengefasste Routen	5
eBGP	20
EIGRP (intern)	90
IGRP	100
OSPF	110
IS-IS	115
RIP	120
EIGRP (extern)	170
iBGP	200

[CISCO] Beispielkonfig für PPPoE-Einwahl

Fri, 21 Jun 2013 15:34:00 +0000

Am Beispiel eines Cisco 1841 mit DSL-Modem am Port Fa0/0.

Building configuration...

Current configuration : 1552 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname Router
!
boot-start-marker
boot-end-marker
!
enable secret 5 xxx
!
aaa new-model
!
!
!
aaa session-id common
!
resource policy
!
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
ip subnet-zero
ip cef
!
!
!
!
no ip domain lookup
!
!
!
!
!
!
!
!
!
!
!
!
!
!
!
username admin password xxx
!
!
!
!
!
!
interface Loopback0
 ip address 192.168.209.17 255.255.255.248
!
interface FastEthernet0/0
 no ip address
 duplex auto
 speed auto
 pppoe enable
 pppoe-client dial-pool-number 1
!
interface FastEthernet0/1
 no ip address
 shutdown
 duplex auto
 speed auto
!
interface FastEthernet0/0/0
!
interface FastEthernet0/0/1
!
interface FastEthernet0/0/2
!
interface FastEthernet0/0/3
!
interface Vlan1
 no ip address
!
interface Dialer1
 description PPPoE-Einwahl
 ip address negotiated
 ip virtual-reassembly
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 ppp authentication pap chap callin
 ppp chap hostname user@provider.tld
 ppp chap password 7 xxx
 ppp pap sent-username user@provider.tld password 7 xxx
!
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
!
!
no ip http server
no ip http secure-server
!
access-list 1 permit <NMS-IPs>
dialer-list 1 protocol ip permit
!
!
!
!
control-plane
!
!
!
!
!
!
!
!
!
line con 0
line aux 0
line vty 0 4
 access-class 1 in
 exec-timeout 60 0
 transport input telnet
!
end

Cisco - verbleibender MAC-Speicherplatz

Sat, 18 May 2013 15:25:00 +0000

Verbleibende Anzahl an speicherbaren MAC-Adressen anzeigen:

show mac-address-table count