[7025] Webinterface beveiligen

[Gast djseppie]

Hoe kan ik de webinterface beveiligen? Ik heb een forwarder in mijn router aangemaakt naar de webinterface en nu kan de hele wereld op mijn dreambox. Dat is dus niet helemaal de bedoeling. Weet iemand hoe ik dat kan wijzigen, of wellicht anders moet aanpakken??

[Gast]

Als ik naar mijn dream ga moet ik een paswoord ingeven.

 

 

Groet,

 

JJK

[Gast djseppie]

Citaat:

Als ik naar mijn dream ga moet ik een paswoord ingeven.


Groet,

JJK

Ook bij de webinterface, of alleen via FTP access??

[Tonskidutch]

extern en interne poort is een deel

passwd aanpassen is een ander deel

 

maar toch is een andere vorm van benaderen (anders dan het webinterface) veiliger...

putty middels ssh

echter dan kun je weer niet aan enkele bedien-opties

 

is het misschien toch interessanter om van externe pc naar home-pc te verbinden remote desktop en dan je webinterface op te roepen?

 

cheers

[koekjedebij]

Ik gebruik apache-ssl (dus https) waarin ik een virtual host voor de dreambox heb configged die middels reverse-proxy de requests naar de dreambox forward.

Zo heb ik vanaf het internet altijd een SSL beveiligde verbinding (de dreambox zelf ondersteunt geen SSL in de enigma webif) naar huis. In het thuis netwerk hoeft het niet per se SSL te zijn.

 

Dus:

- apache met SSL

- in de apache config een virtual host configgen (liefst op een hostname uniek voor de dreambox , dus bijvoorbeeld dreambox.jouwnetwerk.nl)

- in de apache config reversed proxy configgen zodat alle requests die naar https://dreambox.jouwnetwerk.nl worden gestuurd door apache geforward worden naar je dreambox

 

NB: Dit heeft natuurlijk alleen zin als je thuis een servertje hebt draaien.

[Tonskidutch]

mauce,

dat dergelijke oplossingen mogelijk zijn wist ik

 

maar ik kan ze niet aanbevelen zonder minstens zelf ook een handleiding ergens vandaan te halen of uit eigen ervaring die oplossing op te hoesten...

DUS

respect voor de methodiek, maar leer ons en maak ons wijzer inzake hoe je dat doet.

 

teveel linux kennis op je dm gaat verloren aan eindeloos tijdverlies en zoek maar uit.

 

als je de hoeveelheid energie kon bundelen die menig beginnende dreambox bezitter investeert (helaas ongecoördineerd) kun je naar Jupiter en terug vliegen.

 

cheers

[koekjedebij]

Citaat:

mauce,
dat dergelijke oplossingen mogelijk zijn wist ik

maar ik kan ze niet aanbevelen zonder minstens zelf ook een handleiding ergens vandaan te halen of uit eigen ervaring die oplossing op te hoesten...
DUS
respect voor de methodiek, maar leer ons en maak ons wijzer inzake hoe je dat doet.

teveel linux kennis op je dm gaat verloren aan eindeloos tijdverlies en zoek maar uit.

als je de hoeveelheid energie kon bundelen die menig beginnende dreambox bezitter investeert (helaas ongecoördineerd) kun je naar Jupiter en terug vliegen.

cheers

Dat snap ik wel, maar ook voor mij kosten dingen uitpluizen soms veel tijd. Het is en blijft voor iedereen een hobby.
En JUIST door het uitpluizen leer je het snelst (dus ik vind het geen 'tijdverlies' zoals jij dat noemt)
Het punt is dat er soms wordt gevraagd om een invulling een vraag en dan heb je juist je mede-hobbyisten die je een richting op kunnen wijzen.

Anyway

Helemaal in details treden kan ik echt niet aan beginnen dan wordt het echt een LP-verhaal.

Er vanuitgaand dat je al een draaiende apache2 met SSL hebt kun je het volgende toevoegen:

- installeer de mod_proxy module (liefst met de package manager van jouw distro zodat de loadmodule instructie ook al in de config wordt gezet) voor apache2 en activeer de module in je apache config (afhankelijk van je apache versie kan deze module kan anders heten of de benodigde config anders moeten)
<IfModule mod_proxy.c>
ProxyRequests On
ProxyVia Off

Deze stap zorgt dat de proxy module wordt geladen en de proxy functionaliteit in apache wordt geactiveerd



- maak een virtual host voor je dreambox (bijvoorbeeld dreambox.jouwdomein.nl)
in je apache config voeg toe:

NameVirtualHost dreambox.jouwdomein.nl:443
<VirtualHost dreambox.jouwdomein.nl:443>
ServerAlias dreambox.jouwdomein.nl
ServerName dreambox.jouwdomein.nl
ProxyPass / http://<LAN-IP_van_je_dreambox>/
ProxyPassReverse / http://<LAN-IP_van_je_dreambox>/
CustomLog /var/log/apache2/access.log combined
ErrorLog /var/log/apache2/error.log
<Location />
AuthType Basic
AuthName "Restricted Files"
AuthUserFile /etc/apache-ssl/users
Require user mauce
</Location>
</VirtualHost>

Deze config zorgt ervoor dat apache 'weet' dat als in de URL request 'dreambox.jouwdomein.nl' staat dat de request voor deze virtual host is bedoeld. Tevens wordt de logging in een eigen logfile bijgehouden (handig voor scripting).
Deze virtual host is geconfigureerd om als proxy richting de dreambox (interne adres) te forwarden.
Het stukje 'Location' is niet per se nodig maar daarmee kun authenticatie laten doen op apache2 (dus niet je dreambox login) een extra beveiliging.
In dit voorbeeld is user 'mauce' een valid user maar je kunt zelf een user aanmaken met 'htpasswd'.


Let op: e.e.a. kan afhangen van de versie van apache (ik gebruik 2.0.55)
voor afwijkende apache versies kan een afwijkende procedure nodig zijn (mede daarom is het al bijna niet te doen om dit soort dingen in detail uit te gaan leggen. De hoofdstappen daarentegen wel).
ik weet dat dit nog allemaal veel fancier kan maar dit is de relevante basis.


Ik ben niet goed in uitleggen maar hopelijk is het duidelijk zo.

[Spaantje]

Ik draai Gemini 2.4.

Als je naar plugins in het menu gaat, zie je daar webinterface.

Daar kun je auth. aanzetten.

Ook kun je daar de poort kiezen. Let wel op dat als je poort 80 wilt gebruiken je apache op een andere poort moet laten luisteren, anders crashed de DM tijdens het booten.

Ik gebruik poort 443 (eigenlijk https).

 

Evt kun je in je router poort 80 naar 443 forwarden, zodat je allen je ip/hostname hoeft in te typen in je browser.

Anders moet je <hostname> 443 intypen.

[koekjedebij]

Citaat:

Ik draai Gemini 2.4.
Als je naar plugins in het menu gaat, zie je daar webinterface.
Daar kun je auth. aanzetten.
Ook kun je daar de poort kiezen. Let wel op dat als je poort 80 wilt gebruiken je apache op een andere poort moet laten luisteren, anders crashed de DM tijdens het booten.
Ik gebruik poort 443 (eigenlijk https).

Evt kun je in je router poort 80 naar 443 forwarden, zodat je allen je ip/hostname hoeft in te typen in je browser.
Anders moet je <hostname> 443 intypen.

Dat is heel wat anders want die plugin voorziet alleen in een login (username en password gaan dus 'leesbaar' over het internet) en geen SSL encryptie.

[Gast djseppie]

Ik heb helaas geen eigen server draaien (bewuste keuze). Zoals ik het hier lees is het in mijn situatie niet mogelijk om secure (dus via SSL) authenticatie te regelen. Ik zal het dan anders moeten doen. Het leek me wel wat om de Dreambox als fileserver te gebruiken en tevens FTP via internet en alleen als hij wordt benaderd (hdd sleep). Dit ook ivm stroombesparing.

Als iemand dez topic leest en misschien nog wel een oplossing heeft dan houd ik me aanbevolen.

[Gast djseppie]

Okee, je kan dus gewoon bij de settings van de webinterface de port en beveiliging instellen. Dit is voldoende, alleen is nu de vraag wat dit wachtwoord is. Ik heb nl al root/dreambox geprobeerd. Iemand ideeën??

[Gast]

Ik heb ook geen losse server, maar ik kan wel secure op de Dreambox werken. Alle benodigde software bevindt zich al op de dreambox zelf. Om dit te laten werken moet je root een password hebben (typ "passwd" in een telnet om te wijzigen), want je kunt geen SSH connectie opzetten als het root password leeg is.

 

Om dit te gebruiken forward je poort 22 (of een andere) van je router naar de dreambox poort 22.

 

Op de PC op internet installeer je PuTTY. Tegen Putty zeg je dan dat poort 80 naar localhost:80 moet (setting, connection, ssh, tunnels). Save deze session.

 

Als je putty nu op de dreambox inlogt, kun je met je browser op die machine naar http://localhost:80/ gaan en zo op de dreambox komen. Extra voordeeltje is dat je ook nog compressie aan kunt zetten. De lijn naar de box is uitstekend beveiligd op deze manier, en je password gaat nooit over de lijn.

 

Misschien moet ik dit als stap-voor-stap handleiding in de database zetten...