[Modfs] Sviluppo pacchetti e porting su altri router

[cionci]

Modfs permette di aggiungere feature a router basati su Linux che presentano la possibilità di installare una memoria di massa su porta USB.
Potete recuperare ulteriori informazioni su Modfs nel thread di supporto.
Questo thread è dedicato a chi vuole contribuire allo sviluppo di Modfs, aiutandoci ad aggiungere feature o a risolvere problemi per router già supportati.
E' anche possibile fare il porting ad altri router con porta USB. Serve un po' di esperienza su Linux e la possibilità di lanciare il firmware aggiuntivo tramite telnet o tramite http.
La cosa migliore sarebbe ovviamente poter creare un firmware modded che faccia partire Modfs direttamente all'avvio del router.

Qui è spiegato a grandi linee come si sviluppa un pacchetto per Modfs: http://www.hwupgrade.it/forum/showpo...8&postcount=29

Utenti che stanno lavorando al porting su altri router:

Alpine su WAG320N

[cionci]

Allora parto con il segnalare le attuali problematiche da risolvere sul DGN2200.
La prima e la più importante è che il DGN2200 non usa iptables per NAT e firewall, ma usa un modulo e degli eseguibili proprietari chiamati "acos".
Questo è un limite molto grande per i seguenti motivi:
- il limite di regole del firewall è 20
- non si può redirigere traffico da un porta ad un'altra
Le prestazioni non mi sembrano un problema, perché mi sembra veramente prestante.

Ora quindi, io sono quasi pronto a pubblicare un firmware con il supporto a iptables e relativi moduli. Il problema è che non so come far partire da zero il nat e il firewall e non so quali moduli siano necessari e quali no. Per compilarli non ci sono problemi, perché ho trovato nel DGN2200M il kernel con la configurazione già fatta.
Aggiungeteci che per i prossimi 2-3 mesi sarà incasinato all'inverosimile...

Quindi farebbe comodo che qualcuno si prendesse carico di questa problematica

L'altro problema del DGN2200 è che, come rilevato da Parnas72, lo spegnimento o l'accensione della rete wifi, sia tramite il bottone in Setup che tramite lo scheduling, viene fatto con i comandi

wl radio on
wl radio off
wl radio (per lo stato)

Questi comandi non sono compatibili con il bottone del router. Quindi sarebbe bene individuare la procedura esatta che avviene con lo spegnimento e l'accensione tramite bottone.

Ho messo a punto una utility che monitora ogni 10 ms gli ultimi processi eseguiti tramite ps.
L'output va in /tmp/mod/dev (cioè il device su cui si trovare il file immagine di modfs).
Sono riuscito a riportare su la mia rete in uno stato funzionante, dopo averla spenta con il bottone, con questa lunga serie di comandi:

wlctl -i wl0 bss -C 2 down
wlctl -i wl0.1 cur_etheraddr xx:xx:xx:xx:xx:4f (l'interfaccia wl0 ha indirizzo 4e)
wlctl -i wl0 wpa_cap -C 0 0 2>/dev/null
wlctl -i wl0 wpa_cap -C 1 > /var/wpa_cap0
wlctl -i wl0 protection_control 2
wlctl -i wl0 gmode Auto
wlctl -i wl0 rateset default
wlctl -i wl0 chanspec > /var/curchaspec0
wlctl -i wl0 rmwep -C 2 0
wlctl -i wl0 bss -C 0 up

ifconfig wl0 up
brctl addif br0 wl0
/bin/lld2d br0
/bin/bcmupnp -D
/bin/eapd
/bin/nas
wps_monitor &

E' chiaro che le cose da fare sono molte e dipendono dalla configurazione del router. Quindi bisognerebbe mettersi lì a capire tutti i comandi che bisogna dare in base alle impostazioni wan che si possono rilevare dalle variabili in nvram.

[gnommo]

Cionci tempo fa mi chiedesti tutte le regole che il firmware imposta ad iptables.
Ecco qua, c'è giusto qualche porta aperta da me, il resto è del firmware:

iptables -t nat -F
iptables -t filter -F
iptables -t mangle -F
iptables -t nat -X PRE_BASIC
iptables -t nat -N PRE_BASIC
iptables -t nat -X DNS
iptables -t nat -N DNS
iptables -t nat -X PRE_PROXY
iptables -t nat -N PRE_PROXY
iptables -t nat -X MINIUPNPD
iptables -t nat -N MINIUPNPD
iptables -t nat -X PT
iptables -t nat -N PT
iptables -t nat -X NAPT
iptables -t nat -N NAPT
iptables -t nat -X VS
iptables -t nat -N VS
iptables -t nat -X DMZ
iptables -t nat -N DMZ
iptables -t nat -X VPN
iptables -t nat -N VPN
iptables -t filter -X DOS
iptables -t filter -N DOS
iptables -t filter -X SCAN
iptables -t filter -N SCAN
iptables -t filter -X PROXY
iptables -t filter -N PROXY
iptables -t filter -X LOCAL_SERVICE
iptables -t filter -N LOCAL_SERVICE
iptables -t filter -X OUT_FILTER
iptables -t filter -N OUT_FILTER
iptables -t filter -X CFILTER
iptables -t filter -N CFILTER
iptables -t filter -X HTTP
iptables -t filter -N HTTP
iptables -t filter -X BLOCK
iptables -t filter -N BLOCK
iptables -t filter -X IN_FILTER
iptables -t filter -N IN_FILTER
iptables -t filter -X MINIUPNPD
iptables -t filter -N MINIUPNPD
iptables -t filter -X FW_BASIC
iptables -t filter -N FW_BASIC
iptables -t filter -X FTP_SHARES
iptables -t filter -N FTP_SHARES
iptables -t filter -X HTTPS_SHARES
iptables -t filter -N HTTPS_SHARES
iptables -t nat -A PREROUTING -j PRE_BASIC
iptables -t nat -A PREROUTING -j PRE_PROXY
iptables -t nat -A PREROUTING -j MINIUPNPD
iptables -t nat -A PREROUTING -j PT
iptables -t nat -A PREROUTING -j NAPT
iptables -t nat -A PREROUTING -j VS
iptables -t nat -A PREROUTING -j DMZ
iptables -P INPUT DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i ipsec0 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --syn -j DOS
iptables -A INPUT -p udp -j DOS
iptables -A INPUT -p icmp --icmp-type echo-request -j DOS
iptables -A INPUT -j PROXY
iptables -A INPUT -j LOCAL_SERVICE
iptables -P FORWARD DROP
iptables -A FORWARD -j OUT_FILTER
iptables -A FORWARD -j CFILTER
iptables -A FORWARD -j FW_BASIC
iptables -A FORWARD -p tcp --syn -j DOS
iptables -A FORWARD -p udp -j DOS
iptables -A FORWARD -p icmp --icmp-type echo-request -j DOS
iptables -A FORWARD -j IN_FILTER
iptables -A FORWARD -j MINIUPNPD
iptables -A FW_BASIC -i lo -j ACCEPT
iptables -A FW_BASIC -i ipsec0 -j ACCEPT
iptables -A FW_BASIC -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
iptables -A FW_BASIC -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -j VPN
iptables -I INPUT -i br0 -j ACCEPT
iptables -A FW_BASIC -i br0 -j ACCEPT
iptables -A DOS -i ! ppp1 -j RETURN
iptables -A DOS -m psd -j SCAN
iptables -A SCAN -m limit --limit 10/s -j LOG --log-level 4 --log-prefix "[PORT SCAN]"
iptables -A SCAN -j DROP
iptables -A DOS -p tcp --syn -m limit --limit 5/s --limit-burst 10 -j RETURN
iptables -A DOS -p udp -m limit --limit 5/s --limit-burst 10 -j RETURN
iptables -A DOS -p icmp --icmp-type echo-request -m limit --limit 5/s --limit-burst 60 -j RETURN
iptables -A DOS -m limit --limit 10/s -j LOG --log-level 4 --log-prefix "[DOS] "
iptables -A DOS -j DROP
iptables -I MINIUPNPD -t nat -i ! ppp1 -j RETURN
iptables -A PRE_BASIC -t nat -i ppp1 -d ! zzzzzzzz -j DROP
iptables -t nat -F PT
iptables -t nat -A PT -d ! 192.168.0.1 -j PNAT --set-mark 0x2511
iptables -A IN_FILTER -i ! ppp1 -j RETURN
iptables -t nat -A NAPT -s 0/0 -d zzzzzzzz -p udp --dport 4672:4672 -j DNAT --to 192.168.0.2:4672-4672
iptables -t nat -A NAPT -s 0/0 -d zzzzzzzz -p udp --dport 4672:4672 -j DROP
iptables -A IN_FILTER -d 192.168.0.2 -p udp --dport 4672:4672 -j ACCEPT
iptables -t nat -A NAPT -s 0/0 -d zzzzzzzz -p tcp --dport 54662:54662 -j DNAT --to 192.168.0.2:54662-54662
iptables -t nat -A NAPT -s 0/0 -d zzzzzzz -p tcp --dport 54662:54662 -j DROP
iptables -A IN_FILTER -d 192.168.0.2 -p tcp --dport 54662:54662 -j ACCEPT
iptables -A OUT_FILTER -i ! br0 -j RETURN
iptables -I INPUT -d zzzzzzzzzzzzzz -p tcp --dport 7547 -j ACCEPT

iptables -A INPUT -j FTP_SHARES
iptables -D INPUT -i br0 -p tcp --dport 20:21 -j DROP
iptables -I INPUT -i br0 -p tcp --dport 20:21 -j DROP
iptables -t nat -D PRE_BASIC -i ppp1 -p tcp --dport 21 -d zzzzzzzzzzzzz -j DNAT --to 192.168.0.1:20-21
iptables -t nat -D PRE_BASIC -i br0 -p tcp --dport 21 -d zzzzzzzzzzzzzzz -j DNAT --to 192.168.0.1:20-21
iptables -D FTP_SHARES -d 192.168.0.1 -p tcp --dport 20:21 -j ACCEPT
iptables -A INPUT -j HTTPS_SHARES
iptables -t nat -D PRE_BASIC -i ppp1 -p tcp --dport 443 -d zzzzzzzzzzzzzzzz -j DNAT --to 192.168.0.1:443
iptables -t nat -D PRE_BASIC -i br0 -p tcp --dport 443 -d zzzzzzzzzzzzzzzzzz -j DNAT --to 192.168.0.1:443
iptables -D HTTPS_SHARES -d 192.168.0.1 -p tcp --dport 443 -j ACCEPT
iptables -A LOCAL_SERVICE -d 192.168.0.1 -p tcp --dport 23 -j ACCEPT
iptables -t nat -A PRE_BASIC -d 192.168.0.1 -p tcp --dport 5000 -j DNAT --to 192.168.0.1:80
iptables -A CFILTER -i br0 -m string --algo bm --string GET -p tcp --dport 80 --tcp-flags ALL PSH,ACK -j HTTP
iptables -A CFILTER -i br0 -m string --algo bm --string POST -p tcp --dport 80 --tcp-flags ALL PSH,ACK -j HTTP
iptables -A CFILTER -i br0 -m string --algo bm --string HEAD -p tcp --dport 80 --tcp-flags ALL PSH,ACK -j HTTP
iptables -A BLOCK -j LOG --log-level 4 --log-prefix "[BLOCK]"
iptables -A BLOCK -p tcp --dport 80 -j REJECT --reject-with http-block
iptables -t nat -A POSTROUTING -o ppp1 -j MASQUERADE
iptables -A FORWARD -t mangle -m dscp --dscp-class CS7 -o ! br0 -j MARK --set-mark 0x04
iptables -A FORWARD -t mangle -m dscp --dscp-class CS6 -o ! br0 -j MARK --set-mark 0x04
iptables -A FORWARD -t mangle -m dscp --dscp-class CS5 -o ! br0 -j MARK --set-mark 0x03
iptables -A FORWARD -t mangle -m dscp --dscp-class CS4 -o ! br0 -j MARK --set-mark 0x03
iptables -A FORWARD -t mangle -m dscp --dscp-class CS3 -o ! br0 -j MARK --set-mark 0x02
iptables -A FORWARD -t mangle -m dscp --dscp-class CS2 -o ! br0 -j MARK --set-mark 0x01
iptables -A FORWARD -t mangle -m dscp --dscp-class CS1 -o ! br0 -j MARK --set-mark 0x01
iptables -A POSTROUTING -t mangle -o ppp1 -j IMQ --todev 0
#

[cionci]

Ecco, questo dovrebbe semplificare di molto la situazione. Però cavolo, non credevo che il setup del firewall fosse così complesso.

[Parnas72]

Originariamente inviato da cionci

Ora quindi, io sono quasi pronto a pubblicare un firmware con il supporto a iptables e relativi moduli. Il problema è che non so come far partire da zero il nat e il firewall e non so quali moduli siano necessari e quali no. Per compilarli non ci sono problemi, perché ho trovato nel DGN2200M il kernel con la configurazione già fatta.

Ma portando il NAT su iptables non bisognerebbe anche riscrivere la funzionalità di uPNP ? Perchè adesso, se un'applicazione chiede un'apertura, il demone uPNP la effettuerà su acos, non su iptables.

Originariamente inviato da cionci

E' chiaro che le cose da fare sono molte e dipendono dalla configurazione del router. Quindi bisognerebbe mettersi lì a capire tutti i comandi che bisogna dare in base alle impostazioni wan che si possono rilevare dalle variabili in nvram.

Molto impegnativo prevedere tutte le casistiche, praticamente bisogna riscriversi il wlanconfigd. Sarebbe più semplice riuscire a invocarlo, facendogli fare il suo lavoro, ma non capisco quale sia la sua interfaccia... non è in ascolto su nessuna porta TCP/UDP.
Non c'è qualcosa tipo truss/strace che si possa installare sul router a scopo di reverse engineering ?

[gnommo]

Cionci su sourceforge non riesco a cancellare o uppare niente, sai cosa è successo?
Mi da Permission denied

[cionci]

Originariamente inviato da gnommo

Cionci su sourceforge non riesco a cancellare o uppare niente, sai cosa è successo?
Mi da Permission denied

Strano, io ho uppato. Forse perché sono entrato in ssh ed ho spostato i file da lì invece che upparli di nuovo ?
Guardo i permessi...

[gnommo]

Non riesco a fare alcuna operazione nelle directory che hai creato tu.

[cionci]

Originariamente inviato da gnommo

Non riesco a fare alcuna operazione nelle directory che hai creato tu.

Stranamente come permessi di default non setta 662, ma 664. Ho cambiato i permessi, fai pure.

[cionci]

Originariamente inviato da Parnas72

Ma portando il NAT su iptables non bisognerebbe anche riscrivere la funzionalità di uPNP ? Perchè adesso, se un'applicazione chiede un'apertura, il demone uPNP la effettuerà su acos, non su iptables.

Molto probabile.
Peccato perché è il demone UPnP che funziona meglio fra tutti i router che ho provato.

Originariamente inviato da Parnas72

Molto impegnativo prevedere tutte le casistiche, praticamente bisogna riscriversi il wlanconfigd. Sarebbe più semplice riuscire a invocarlo, facendogli fare il suo lavoro, ma non capisco quale sia la sua interfaccia... non è in ascolto su nessuna porta TCP/UDP.
Non c'è qualcosa tipo truss/strace che si possa installare sul router a scopo di reverse engineering ?

Io tempo che non abbia opzioni da linea di comando, ma che semplicemente monitori le variabili d'ambiente, lo stato del bottone (anche qui chissà dove) e poi cambi le cose al volo.
Puoi mettere ciò che vuoi sul router. Il compilatore è questo: http://www.mediafire.com/download.php?9a7qa8522bz4l54
Sinceramente non so cosa si faccia prima a fare, se l'una o l'altra cosa.
In teoria la possibilità di prendere esattamente tutti i comandi ce l'ho, mi basta installare un firmware con il comando wlctl sostituito da uno script. In questo modo wlanconfigd chiama il mio script ed io faccio un log esatto di tutti i comandi inviati.

[cionci]

Gnommo: ho uppato il README in inglese e le istruzioni per il DGN2200. Dagli uno sguardo e modifica quello che vuoi. Sono un pippa in inglese purtroppo

[gnommo]

Originariamente inviato da cionci

Sono un pippa in inglese purtroppo

me, too.

[cionci]

Ho qualche dubbio su etherwake:

usage: ether-wake [-i <ifname>] [-p aa:bb:cc:dd[:ee:ff]] 00:11:22:33:44:55

        This program generates and transmits a Wake-On-LAN (WOL)
        "Magic Packet", used for restarting machines that have been
        soft-powered-down (ACPI D3-warm state).
        It currently generates the standard AMD Magic Packet format, with
        an optional password appended.

        The single required parameter is the Ethernet MAC (station) address
        of the machine to wake.
        The MAC address may be found with the 'arp' program while the target
        machine is awake.

        Options:
                -b      Send wake-up packet to the broadcast address.
                -D      Increase the debug level.
                -i ifname       Use interface IFNAME instead of the default 'eth0'.
                -p <pw>         Append the four or six byte password PW to the packet.
                                        A password is only required for a few adapter types.
                                        The password may be specified in ethernet hex format
                                        or dotted decimal (Internet address)
                -p 00:22:44:66:88:aa
                -p 192.168.1.1

Passando -b cosa cambia ? A me il PC si sveglia anche senza -b.
Usa l'indirizzo MAC broadcast invece che di quello unicast o l'indirizzo IP broadcast ?

[gnommo]

Originariamente inviato da cionci

Ho qualche dubbio su etherwake:

usage: ether-wake [-i <ifname>] [-p aa:bb:cc:dd[:ee:ff]] 00:11:22:33:44:55

        This program generates and transmits a Wake-On-LAN (WOL)
        "Magic Packet", used for restarting machines that have been
        soft-powered-down (ACPI D3-warm state).
        It currently generates the standard AMD Magic Packet format, with
        an optional password appended.

        The single required parameter is the Ethernet MAC (station) address
        of the machine to wake.
        The MAC address may be found with the 'arp' program while the target
        machine is awake.

        Options:
                -b      Send wake-up packet to the broadcast address.
                -D      Increase the debug level.
                -i ifname       Use interface IFNAME instead of the default 'eth0'.
                -p <pw>         Append the four or six byte password PW to the packet.
                                        A password is only required for a few adapter types.
                                        The password may be specified in ethernet hex format
                                        or dotted decimal (Internet address)
                -p 00:22:44:66:88:aa
                -p 192.168.1.1

Passando -b cosa cambia ? A me il PC si sveglia anche senza -b.
Usa l'indirizzo MAC broadcast invece che di quello unicast o l'indirizzo IP broadcast ?

Per completezza dovrebbe essere così

if ($ip== broadcast ip)
etherwake -b $mac
else
etherwake -p $ip $mac

edit: opss brodcast intende l'indirizzo broadcast ethernet e non l'indirizzo broadcast ip

[cionci]

Sicuro ? -p mi sembra che serva solo per specificare una password.

edit: ma così non dovrebbe svegliare tutti i PC con WOL sulla rete ?

[gnommo]

Quindi questa deve essere la riga corretta.
etherwake -p $ip $mac

[gnommo]

Originariamente inviato da cionci

Sicuro ? -p mi sembra che serva solo per specificare una password.

appunto come spiegato nell'help per garantire la massima compatibilità, qualche pc potrebbe richiedere questo parametro aggiuntivo

[cionci]

http://en.wikipedia.org/wiki/Wake-on...ecurity_Issues

Qui non sembra che la password debba corrispondere all'IP. Anzi, sembra che possa essere specificata a piacere.

[gnommo]

vabbè mettiamo solo
etherwake $mac
altrimenti ora si accendono tutti i pc.

[gnommo]

Originariamente inviato da gnommo

vabbè mettiamo solo
etherwake $mac
altrimenti ora si accendono tutti i pc.

anzi no, mi sono letto i sorgenti vabbene così come è
basta poco per mettermi in confusione