Безопасный доступ к веб-интерфейсу LuCI

Если вы выполняете административные действия через веб-интерфейс LuCI, существует риск того, что пользователь вашей сети OpenWrt прослушивает ваш трафик. Вы рискуете передать свои учетные данные LuCI злоумышленнику. Есть несколько способов снизить этот риск.

Не будьте настолько привязаны к одному методу, чтобы отметать другие в пользу предпочитаемых вами методов.

Настройки в OpenWrt, использующие UCI (Unified Configuration Interface), хранятся в файлах в /etc/config/.

Эти файлы содержат информацию о конфигурации различных системных служб и приложений:

/etc/config/network (настройки сети),

/etc/config/wireless (настройки беспроводной сети),

/etc/config/dhcp (настройки DHCP-сервера).

Вы можете редактировать эти файлы вручную для настройки системы, но рекомендуется использовать инструменты UCI, такие как LuCI (веб-интерфейс) или командную строку, для внесения изменений и обеспечения целостности настроек.

Настройки в UCI можно сохранить через веб-интерфейс (LuCI) в разделе System > Backup/Flash Firmware, вкладка Configuration. Это позволяет создавать резервные копии конфигурации и восстанавливать их при необходимости.

https://openwrt.org/ru/docs/guide-user/base-system/uci

HTTPS в OpenWrt

Это стандартизированная практика обеспечения безопасности протокола HTTPS .

Главное преимущество HTTPS — это стандартизированный протокол для защиты HTTP- соединения.

Чтобы получить доступ к HTTPS-странице, достаточно ввести https://openwrt.lan/ вместо http://openwrt.lan/.

Это просто. Просто убедитесь, что luci-ssl и его зависимости установлены (в 21.02 установлены) .

Недостатки:

1. Внешние библиотеки приводят к раздутию установки.

На системах с 4 МБ флэш-памяти невозможно включить HTTPS для веб-интерфейса LuCI.

2. Предупреждение браузера о неправильно подписанном сертификате.

решение - [1]

#	Преимущества	Недостатки
1	Простой доступ	Раздутый для устройств с небольшим объемом памяти (4МБ)
2	Стандартизированный протокол	Неправильно подписанный сертификат вызывает предупреждение браузера

Включить перенаправление LuCI HTTPS с HTTP

Так как OpenWrt 21.02 теперь LuCI доступен по HTTPS в дополнение к HTTP по умолчанию, без установки дополнительных пакетов. Автоматического перенаправления на HTTPS на новой установке OpenWrt 21.02 нет, однако перенаправление будет включено после обновления с OpenWrt 19.07 до OpenWrt 21.02.

Всегда можно активировать или деактивировать перенаправление на HTTPS следующим образом:

uci set uhttpd.main.redirect_https=1     # 1 to enable redirect, 0 to disable redirect
uci commit uhttpd
service uhttpd reload

ПРИМЕЧАНИЕ: Перенаправление необходимо отключить, если вы собираетесь использовать SSH- туннелирование.

Туннелирование протокола LuCI HTTP через SSH

https://openwrt.org/docs/guide-user/luci/luci.secure

Альтернативные порты

Используйте альтернативные порты, например:

• HTTP - 8080/ TCP
• HTTPS - 8443/ TCP

uci -q delete uhttpd.main.listen_http
uci add_list uhttpd.main.listen_http="0.0.0.0:8080"
uci add_list uhttpd.main.listen_http="[::]:8080"
uci -q delete uhttpd.main.listen_https
uci add_list uhttpd.main.listen_https="0.0.0.0:8443"
uci add_list uhttpd.main.listen_https="[::]:8443"
uci commit uhttpd
/etc/init.d/uhttpd restart

Более безопасная конфигурация

Для дополнительной безопасности вы можете полностью отключить веб-сервер uHTTPd:

/etc/init.d/uhttpd disable
/etc/init.d/uhttpd stop

и запускать его через SSH только при необходимости:

/etc/init.d/uhttpd start

При такой настройке вы минимизируете риск взлома веб-сервера uHTTPd и предотвращаете несанкционированный доступ к веб-интерфейсу LuCI, если ваша настройка SSH безопасна (отключение пароля и использование только аутентификации с открытым ключом).

В качестве бонуса производительность вашего устройства OpenWrt может возрасти за счет освобождения некоторых системных ресурсов (памяти, подкачки и использования процессора) от процесса uhttpd.

См. также: https://openwrt.org/docs/guide-user/base-system/managing_services

Команда	Эквивалент	Описание
service	ls /etc/init.d	Распечатать список доступных услуг.
service <service>	/etc/init.d/<service>	Распечатать список доступных действий для услуги.
service <service> <action>	/etc/init.d/<service> <action>	Выполнить это действие для определенной службы.
service <service> <action> <instance>	/etc/init.d/<service> <action> <instance>	Выполните это действие для определенного экземпляра службы, например, для соединения OpenVPN.

Действие	Описание
start	Запустите службу.
stop	Остановите службу.
restart	Перезапустите службу.
reload	Перезагрузите файлы конфигурации или перезапустите компьютер, если это не помогло.
enable	Включить автозапуск службы.
disable	Отключить автозапуск службы.
enabled	Проверьте, включена ли услуга.
running	Проверьте, запущена ли служба.
status	Статус обслуживания.
trace	Начните с трассировки системных вызовов.
info	Дамп информации о сервисе procd.