AntiGuide:PontEthernetAvecSondeDdWrt

et faire une page alternative avec client Linux
pour les experts, amusez vous de la version erronéee: PontEthernetAvecSondeDdWrtDebile

Cette page présente la réalisation d'une SondeEthernet 10/100 Mbits/s à partir d'un LinksysWrt54gl, en DdWrt, ci dessous désigné comme "la bête"
voir aussi la maquette: PontEthernetAvecSondeKnoppix et autres configurations à venir: PontEthernetAvecSondeWrt54GL

lu et réfléchi: http://fr.tldp.org/HOWTO/lecture/Ethernet-Bridge-netfilter-HOWTO.html#TESTINGTESTINGGROUNDS
et: http://fr.tldp.org/HOWTO/lecture/Ethernet-Bridge-netfilter-HOWTO.html#SETUPLINUXBRCTL
wiki: http://www.linuxfoundation.org/collaborate/workgroups/networking/bridge

le schéma de la bête est page 12: http://books.google.fr/books?id=GBtJdvMeAJQC&pg=PA12#v=onepag
un bout

en quelques mots

la commande brctl permet de faire entre vlan0 et vlan1 un pont qui transporte les paquets sans les modifier.
l'appareil se place ENTRE le mur et la victime.
il est alors possible voir le trafic à l'aide du programme tcpdump, à partir d'une tierce machine communiquant en Wifi.

prescription
configuration qui permet de travailler sans connexion à Internet
buts (ou soucis):
limiter les injections de paquets parasites sur le lien observé
limiter les paquets parasites sur l'enregistrement

préparation du poste d'observation (exemple sous Windows)

(facultatif) activer le serveur de temps (ntp) selon: http://www.pctools.com/guides/registry/detail/1117/ ; ça ne peut pas faire de mal.
un serveur ftp
- installer FilezillaServeurFtp
- autoriser connexion anonymous sans mot de passe
- affecter un dossier local en lectujre seule comme 'home' pour ce compte

placer trois fichiers dans le dossier 'home' de l'utilisateur anonymous:

le package du programme "tcpdump": http://downloads.openwrt.org/whiterussian/packages/tcpdump_3.9.4-1_mipsel.ipk
la package de la libraire "libpcap": http://downloads.openwrt.org/whiterussian/packages/libpcap_0.9.4-1_mipsel.ipk

le script "bb" téléchargeable ici: http://antiguide.free.fr/divers/ipkg/bb

GAFFE: "bb" doit avoir des fins de ligne unix (LF), si vous l'échangez avec Windows par FTP, n'oubliez pas de bien jouer avec Ascii/Binaire

export IP=192.168.1.2
if test -s bb; then 
echo "bb présent, en cas d'échec effacez le et recommencez.."
else
echo installation tcpdump pour DD-WRT à partir de $IP
NP=tcpdump_3.9.4-1_mipsel.ipk
rm $NP
wget ftp://$IP/$NP
ls -al $NP
ipkg -d $PWD install $NP 
ls -al $PWD/usr/sbin/tcpdump
rm $NP
NP=libpcap_0.9.4-1_mipsel.ipk
wget ftp://$IP/$NP
ls -al $NP
ipkg -d $PWD install $NP 
ls -al $PWD/usr/lib/libpcap*
rm $NP
brctl addif br0 vlan1 
brctl show br0
ifconfig vlan1 0.0.0.0 up
fi
export LD_LIBRARY_PATH=$PWD/usr/lib:`echo $LD_LIBRARY_PATH | sed "s!$PWD/usr/lib:!!" `
export PATH=$PWD/usr/sbin:`echo $PATH | sed "s!$PWD/usr/sbin:!!" `

éducation de la bête à faire UNE FOIS; est conservé, même hors tension, jusqu'à RAZ 30/30/30

RAZ "30/30/30"
- allumer la bête
- enfoncer le bouton reset (au dos) pendant 30'
- sans lâcher le bouton reset,
- ôter le cordon d'alimentation
- attendre 30'
- rebrancher le cordon alimentation
- attendre 30'
connexion de la dépanneuse, Ip automatique, en wifi
choisir le SSID: dd-wrt non protégé!, (travaillez dans votre four à micro-ondes)
configurer la connexon au réseau sans fil:
- décocher tous les protocoles sauf TCP/IP
- adresse: 192.168.1.2,
- masque: 255.255.255.0;
- pas de passerelle ni de serveur Dns
vérifier que ping 192.168.1.1 répond bien
ouverture de la page d'administration: http://192.168.1.1
- choisir un nom de session et un mot de passe pour l'administration GUI, par exemple root/admin (les mêmes que pour l'administration en telnet)
- enregistrer le nouveau compte (le login/password va être immédiatement redemandé)
- URGENT: configurer un wifi sûr.
- Onglet Setup/general:
  - Wan Connection type; disabled
  - Network address setting Dhcp Server: DISABLED,
  - time setting: 192.168.1.2 (vous aviez deviné ?)
  - sauver
  - appliquer
- Onglet "Wireless/basic settings"
  - choisir un SSID original, par exemple: sonde-ethernet".
  - sauver
- Onglet Wireless/Wireless Security
  - Security mode: Wpa personnal
  - Wpa Algorithm: THIP
  - Wpa Shared Key: choisir une clé
  - sauver
- Onglet Security/firewall :
  - Block Wan Request: tout bloquer
  - sauver
- Onglet Management:
  - autoriser "SD/MMC Card Support"
  - sauver
  - reboot.

à chaque utilisation

débrancher le cordon d'alimentation
brancher le cordon d'alimentation
attendre que le réseau wifi nommé plus haut (sonde-ethernet) apparaisse.
connecter le poste d'audit au wifi
- entrer la clé choisie plus haut.
- se termine par "connecté à .. mais pas accès à Internet".
  (si la bête est à moins de 2' de l'allumage, elle devrait se mettre à l'heure automatiquement)
ouvrir une fenêtre de commande et y frapper
telnet [-f log.txt] 192.168.1.1
root admin wget ftp://192.168.1.2/bb source ./bb

brancher le câble qui vient du mur sur vlan0 (une des prises LAN)
brancher la victime sur vlan1 (prise WAN) (ou vice versa à discuter)

capture

tcpdump -n -i vlan1

(-n indispensable sinon cherche à traduire chaque adresse IP en nom et ne suit plus)
(arrêt par <Ctrl>+C )

manuel: http://www.tcpdump.org/tcpdump_man.html préciser si bonne version
- pour image parfaite option -AX

relance (tant que la bête n'a pas été éteinte ni contrariée!)

ouvrir une fenêtre de commande et y frapper
telnet [-f log.txt] 192.168.1.1
root admin source ./bb

AntiGuide: PontEthernetAvecSondeDdWrt