Configurazione dell'accesso remoto con No-IP e ZeroTier VPN su un router OpenWRT

Questa guida fornisce istruzioni dettagliate per proteggere l'accesso remoto al router OpenWRT utilizzando il DNS dinamico (DDNS) con No-IP e la VPN con ZeroTier. Lo script fornito automatizza il processo di installazione e configurazione, consentendo agli utenti di accedere in remoto ai propri router da qualsiasi luogo.

Per ulteriore supporto, visitare il forum OpenWRT.

Prerequisiti

Router OpenWRT: ssicurarsi che sul router sia in esecuzione OpenWRT 19.07.
Account No-IP: creare un account su No-IP o su qualsiasi altro servizio di DNS dinamico.
Account ZeroTier: creare un account ZeroTier.
Accesso SSH: assicurarsi di aver abilitato l'accesso SSH al router.

Istruzioni per l'installazione

1. Creare un nome host No-IP

Creare un account No-IP:

Andare sul sito web di No-IP e creare un account.

Creare un nome host:

Accedere al proprio account No-IP.
Andare alla sezione Dynamic DNS (DNS dinamico).
Fare clic su Add a Hostname (Aggiungi un nome host).
Inserite un nome host (ad es. deadtest) e scegliete un dominio (ad es. ddns.net).
Fare clic su Add Hostname (Aggiungi nome host).

2. Preparare lo script

Salvate il seguente script come setup_remote_access.sh sul vostro computer locale e modificate le seguenti variabili:

Scarica lo script: setup_remote_access.sh

# Definire le variabili

NETWORK_ID='<networkID string>' # Sostituire con l'ID di rete attuale

DOMAIN='<No-IP hostname>' # Nome host no-IP

USERNAME='<No-Username NOT EMAIL!>' # Sostituire con il proprio indirizzo email No-IP

PASSWORD='<Uername password>' # Sostituire con la propria password No-IP

3. Eseguire lo script.

Caricare lo script: Caricare lo script setup_remote_access.sh sul router. Sostituire <router_ip> con l'indirizzo IP del router.

scp setup_remote_access.sh root@<router_ip>:/tmp/

Eseguire lo script sul router:

ssh root@<router_ip>

sh /tmp/setup_remote_access.sh

4. Autorizzare il dispositivo in ZeroTier Central.

Accedere a ZeroTier Central:
- Accedere alla dashboard di ZeroTier Central e fare il login.
Autorizzare il dispositivo:
- Cercare il dispositivo sulla rete specificata e autorizzarlo.

5. Verificare la configurazione.

Sul router:

Controllare lo stato del DDNS:

/etc/init.d/ddns status

Forzare l'aggiornamento del DDNS::

/usr/lib/ddns/update_noip.sh

Controllare lo stato di ZeroTier:

zerotier-cli status
zerotier-cli listnetworks

Sul computer locale:

Controllare l'aggiornamento del DDNS:

nslookup deadtest.ddns.net

Testare l'accesso SSH:
- Tramite il nome host DDNS:
  
  ssh [email protected]
- Tramite l'indirizzo IP di ZeroTier:
  
  ssh root@<zerotier_ip_address>

Risoluzione dei problemi

Problemi di DDNS:
- Verificare che le credenziali No-IP siano corrette.
- Verificare che lo script di aggiornamento DDNS sia eseguibile.
- Verificare la presenza di errori nel registro degli aggiornamenti DDNS (/var/log/ddns/).
Problemi con ZeroTier:
- Assicurarsi che il servizio ZeroTier sia in funzione.
- Verificare che il dispositivo sia autorizzato in ZeroTier Central.
- Verificare la presenza di problemi di connettività di rete.
Problemi di accesso SSH:
- Assicurarsi che il servizio SSH sia in esecuzione (/etc/init.d/dropbear status).
- Verificare che le regole del firewall siano configurate correttamente per consentire l'accesso SSH.

Conclusione

Seguendo questa guida, è possibile impostare un accesso remoto sicuro al router OpenWRT utilizzando No-IP DDNS e ZeroTier VPN. Questa configurazione consente di gestire il router da qualsiasi luogo con una connessione a Internet, garantendo comodità e sicurezza.

Sicurezza aggiuntiva: utilizzo di coppie di chiavi SSH

Per migliorare la sicurezza e ridurre al minimo il rischio di attacchi di forza bruta, si consiglia di utilizzare coppie di chiavi SSH anziché password per l'autenticazione.

Generare una coppia di chiavi SSH

Sulla vostra macchina locale, generate una coppia di chiavi SSH se non ne avete già una:

ssh-keygen -t rsa -b 4096 -C "[email protected]"

Questo creerà una chiave pubblica (~/.ssh/id_rsa.pub) e una chiave privata (~/.ssh/id_rsa).

Copiare la chiave pubblica sul router

Copiare e incollare la chiave pubblica nel router (https://192.168.1.1/cgi-bin/luci/admin/system/admin/sshkeys).

cat ~/.ssh/id_rsa.pub

Disattivare l'autenticazione tramite password

Dopo aver copiato la chiave pubblica, disabilitare l'autenticazione tramite password sul router per evitare attacchi brute force:

Modificare la configurazione di Dropbear:

vi /etc/config/dropbear

Modificare la configurazione per disabilitare l'autenticazione con password: aggiungere la seguente riga, o modificarla se esiste già:

config dropbear option PasswordAuth 'off' option RootPasswordAuth 'off'

Riavviare il servizio Dropbear:

/etc/init.d/dropbear restart

Testare l'autenticazione con chiave SSH

Provate ad accedere al router tramite SSH per verificare che l'autenticazione basata su chiavi funzioni e che l'autenticazione tramite password sia disabilitata:

ssh root@<router_ip>

Se l'autenticazione riesce senza richiedere una password, l'autenticazione basata su chiave SSH è configurata correttamente.