Upnp igd что это
Что такое UPnP и почему его нужно отключить?
Вы бы предпочли выбрать удобство или безопасность? UPnP помогает быстро подключать устройства к сети — нет необходимости в ручной настройке. Однако он также может позволить хакерам входить в вашу сеть для выполнения вредоносных действий. Стоит узнать, как хакеры используют UPnP и что можно сделать, чтобы защитить себя.
Что такое переадресация портов?
Чтобы понять, что такое UPnP, нужно сначала разобраться, что такое переадресация портов. Она используется для установления прямого подключения между домашним устройством или сервером и удаленным устройством. Например, вы можете подключить ноутбук к видеокамере и следить за ним, пока находитесь вдали.
Как это работает? Все ваши домашние устройства, включая маршрутизатор, вместе создают локальную сеть (LAN). Все, что находится за пределами локальной сети, например, серверы сайта или компьютер вашего друга, расположено в глобальной сети (WAN). Как правило, никто за пределами вашей локальной сети не может получить доступ к устройствам в вашей сети, если вы не позволите им воспользоваться переадресацией портов.
Что такое UPnP?
Это протокол, который позволяет приложениям и другим устройствам в вашей сети автоматически открывать и закрывать порты для подключения друг к другу. Например, если вы решили подключить принтер ко всем устройствам в доме без UPnP, то вам потребуется сделать это вручную, уделяя внимание каждому отдельному девайсу. Но благодаря UPnP можно автоматизировать этот процесс.
UPnP предлагает нулевую конфигурацию, что означает, что ни одно из устройств в вашей сети не нуждается в ручной настройке для обнаружения нового устройства. С поддержкой UPnP они могут автоматически подключаться к сети, получать IP-адрес, находить другие устройства в сети и подключаться к ним, и это очень удобно.
Для чего используется UPnP?
Почему UPnP небезопасен?
Первоначально предполагалось, что UPnP будет работать только на уровне локальной сети, что означает, что устройства только в вашей сети могут подключаться друг к другу. Однако многие производители маршрутизаторов теперь включают UPnP по умолчанию, что делает их доступными для обнаружения из WAN, а это приводит к многочисленным проблемам безопасности.
UPnP не использует аутентификацию или авторизацию (только некоторые устройства), предполагая, что устройства, пытающиеся подключиться к нему, являются надежными и поступают из вашей локальной сети. Это означает, что хакеры могут найти бэкдоры в вашей сети. Например, они отправят UPnP-запрос на ваш маршрутизатор и он откроет им порт без лишних вопросов.
Как только хакер получит доступ к сети, он сможет:
Как защитить себя?
Когда дело доходит до уязвимостей UPnP, есть два варианта, которые вы можете выбрать для собственной защиты.
Другим более безопасным методом является полное отключение UPnP. Перед этим рекомендуется проверить, уязвим ли ваш маршрутизатор к UPnP-эксплойтам. Также нужно подумать о том, хотите ли вы отказаться от удобства UPnP и сможете ли вы настроить свои устройства вручную. Для этого может потребоваться некоторые технические знания.
На видео: Как включить на роутере UPnP?
IPnP: что такое в роутере и как пользоваться опцией?
При настройке сети часто появляется вопрос по поводу функции UPnP — что такое в роутере, как работает, и какие риски несет для пользователя ее включение. Ниже рассмотрим назначение опции, как ее активировать, отключать и настраивать. Поговорим о преимуществах и недостатках, а также опасности для пользователя Сети.
Что такое UPnP
Для начала разберемся с терминологией — в чем суть UPnP в роутер, и что это такое. UPnP (Universal Plug and Play) — это расширение, с помощью которого программа на ПК может подать запрос к роутеру на упомянутом языке, а после перенаправить на себя порт. Архитектура построена на базе действующих технологий Интернет-сети и стандартов, среди которых XML, HTTP, TCP/IP и другие.
Простыми словами, UPnP — протокол, позволяющий программам и другим устройствам сети открывать или закрывать порты для подключения. К примеру, для коммутации МФО ко всему оборудованию в квартире придется вбивать настройки для каждого девайса отдельно.
Для чего он нужен
С помощью службы UPnP происходит автоматическое перенаправление портов. Такая опция используется в Скайпе, торрент-клиентах, XBOX Live и т. д. После включения функции автоматически задает требуемый набор правил NAT и межсетевого экрана, что экономит время пользователя на настройку.
Для нормальной работы UPnP должна быть активна не только в роутере, но и в приложении, для которого осуществляется проброс портов. Правила для переадресации формируются в автоматическом режиме путем подачи запроса через механизм рассматриваемой службы. Установленные правила работают только в период сессии и исключительно для хоста, с которого идет запрос. После окончания сессии правило убирается.
Включение UPnP в роутере необходимо в следующих случаях:
Зная особенности UPnP IGD, и что это в роутере, можно быстро активировать опцию и использовать ее возможности для соединения нескольких устройств без ввода настроек вручную.
Как пользоваться: включение, отключение, настройка
Применение UPnP подразумевает три этапа — активация нужной функции в роутере, ее включение на ПК (если требуется), а также настройка в приложении. Рассмотрим каждый подробнее.
Включение в роутере
Для начала рассмотрим, как включить UPnP на роутере, если служба не активирована по умолчанию или была выключена ранее.
Инструкция к действию (на примере TP-Link):
В дальнейшем можно отключить функцию UPnP, сделав те же самые шаги. Разница только в том, что на завершающем этапе тумблер нужно будет перевести влево.
Для разных роутеров настройка может отличаться. В частности, в ZyXEL необходимо перейти в раздел Домашняя сеть, а далее найти отметку UPnP и установить галочку Разрешить, а после сохранить изменения.
Включение на ПК
После внесения настроек в роутере необходимо изменить конфигурацию и на компьютере. Ниже рассмотрим пример для ПК с установленной на нем ОС Виндовс 8. В остальных версиях принцип действия такой же, но с небольшими особенностями.
Для включения UPnP сделайте следующее:
Теперь функция включена в роутере и на компьютере.
Настройка программ
Для пользования службой необходимо настроить на сервис используемые программы. Здесь все зависит от того, какое ПО вы планируете использовать. Рассмотрим несколько вариантов:
Убедитесь в правильности ввода информации. Для этого войдите в Свойства соединения в Шлюзе, кликните на кнопку Параметры и убедитесь в появлении правила для uTorrent. Если торрент установлен на двух и более «станциях», для каждой программы задается свой порт. В дальнейшем ни в коем случае нельзя использовать случайное значение.
По похожему принципу можно настроить и другие программы для работы с UPnP.
Плюсы и минусы использования
В любой технологии можно найти преимущества и недостатки. В том числе UPnP.
Несмотря на ряд недостатков, технология считается одной из самых востребованных в роутере. Не удивительно, что многие пользователи часто включают ее на постоянной основе.
Безопасно ли использование UPnP
При появлении технологии планировалось, что UPnP будет функционировать на локальном уровне для подключения устройств внутри сети. Но некоторые производители включили опцию в роутерах по умолчанию, что делает устройство доступным из WAN, а это ведет к уязвимости в сфере безопасности. Во время работы UPnP не применяется авторизация или аутентификация. Считается, что все подключаемые устройства имеют высокую степень надежности.
Хакеры пользуются такой уязвимостью и могут найти слабые места в сети. Распространенная ситуация — отправка UPnP запроса на роутер с последующем открытием порта. После подключения к сети злоумышленник получает доступ к другому оборудованию, находящемуся в сети. В дальнейшем он может установить вирус, украсть конфиденциальные сведения или использовать маршрутизатор в роли прокси-сервера. Негативных сценариев много. При этом выявить хакера трудно, ведь, по сути, атаки идут изнутри сети.
Для защиты можно использовать следующие методы:
UPnP для роутера — удобная функция, упрощающая процесс настройки портов. Но нужно помнить о рисках и предусмотреть дополнительные способы защиты.
UPnP: что такое в роутере : Один комментарий
Тебе придрок! Как говаривал М. Задорнов!
Нужно не статьи а инструкции к лому писать!
Открываем порты за NAT при помощи NAT-PMP и UPnP IGD
Ранее я много раз слышал, что UPnP каким-то образом умеет самостоятельно открывать порты (производить Port Forwarding на роутере) по запросу от хоста из локальной сети. Однако, то, каким именно образом это происходит, и какие протоколы для этого используются, доселе было покрыто для меня пеленой тумана.
В данной статье я хочу кратко рассказать, как работают два механизма для проброса портов, а именно NAT Port Mapping Protocol и Internet Gateway Device (IGD) Protocol, входящий в набор протоколов UPnP. К своему удивлению я обнаружил, что в рунете информация по данному вопросу более чем скудна, что и сподвигло меня на написание данной заметки.
Для начала приведу краткий FAQ:
Q: Для чего нужны данные протоколы?
A: Для формирования на маршрутизаторе правила проброса определенного TCP/UDP порта (Port Forwarding) не вручную, а «автоматически», т.е. по запросу от хоста во внутренней сети.
Q: Как это реализуется?
A: Устройство за NAT отправляет маршрутизатору запрос с указанием внутреннего и внешнего номеров портов и типа протокола (TCP/UDP). Если указанный внешний порт свободен, маршрутизатор формирует у себя правило трансляции и рапортует запросившему компьютеру об успешном выполнении запроса.
Q: Проводится ли на маршрутизаторе аутентификация/авторизация запросов на открытие порта?
A: Нет, не проводится.
Теперь же рассмотрим работу данных протоколов более подробно (под катом).
Port Mapping Protocol
NAT-PMP описан в RFC 6886. Для своей работы он использует UDP-порт сервера 5351.
Рассмотрим работу протокола на конкретном примере — торрент-клиенте Vuze 5.7 для Windows 7.
Примечание: NAT-PMP во Vuze по умолчанию выключен. Его необходимо активировать в настройках плагинов.
1. Запускаем Wireshark. В строке фильтра вводим nat-pmp
2. Запускам Vuze.
3. Останавливаем перехват пакетов, смотрим результаты.
У меня получилось следующее:
Всего видим 6 пакетов (3 запроса и 3 ответа).
Первые 2 это запрос внешнего адреса маршрутизатора и ответ с указанием этого самого адреса. Не будем на них подробно останавливаться и лучше рассмотрим, как происходит маппинг портов на примере пакетов 3-4.
Здесь мы видим, что запрашивается проброс внешнего UDP порта 48166 на такой же внутренний порт. Интересно, что внутри протокола не указывается адрес хоста, на который должна происходить трансляция (Inside Local в терминологии Cisco). Это означает, что маршрутизатор должен взять адрес источника пакета из IP-заголовка и использовать его в качестве Inside Local.
Параметр Requested Port Mapping Lifetime ожидаемо означает время жизни записи в таблице трансляций.
Как мы видим, маршрутизатор предполагаемо создал запрашиваемую трансляцию и ответил кодом Success. Параметр Seconds Since Start of Epoch означает время с момента инициализации таблицы трансляций (т.е. с момента последней перезагрузки роутера).
Маппинг TCP-портов происходит точно также и отличается только значением поля Opcode.
После того, как приложение прекратило использовать данные порты, оно может послать маршрутизатору запрос на удаление трансляции.
Главное отличие запроса на удаление от запроса на создание заключается в том, что параметр Lifetime устанавливается в ноль.
Вот что произойдет, если мы закроем Vuze.
На этом рассмотрение NAT-PMP закончено, предлагаю перейти к несколько более «мудреному» UPnP IGD.
Internet Group Device Protocol
Для обмена своими сообщениями данный протокол использует SOAP.
Однако, в отличие от NAT-PMP, IGD не использует фиксированный номер порта сервера, поэтому перед тем, как обмениваться сообщениями, нужно сперва этот порт узнать. Делается это при помощи протокола SSDP (данный протокол является частью UPnP и используется для обнаружения сервисов).
Запускаем торрент-клиент. Он формирует SSDP-запрос и отсылает его на мультикастовый адрес 239.255.255.250.
Маршрутизатор формирует ответ и отправляет его уже юникастом:
Внутри ответа мы можем увидеть URL для взаимодействия с маршрутизатором по протоколу IGD.
Далее Vuze подключается к маршрутизатору по указанному URL и получает XML с информацией о данном устройстве, в том числе содержащую набор URI для управления некоторыми функциями маршрутизатора. После того, как нужный URI найден в rootDesc.xml, Vuze отправляет SOAP-запрос на содание NAT-трансляции по найденному URI.
Примечание: до того, как запросить создание трансляции, Vuze заставил маршрутизатор перечислить все имеющиеся Port Forwarding’и. Для чего это было сделано, я могу лишь догадываться.
SOAP-запрос на создание трансляции UDP-порта:
Как говорилось ранее, нужный URI (идет сразу после POST) Vuze взял из rootDesc.xml. Для добавления трансляции используется функция с названием AddPortMapping.
Также можно отметить, что, в противоположность NAT-PMP, Inside Local-адрес указывается внутри самого протокола.
Аналогично NAT-PMP, при закрытии торрент-клиента маппинги проброшенных портов удаляются. Делается это функцией DeletePortMapping:
Можно заметить, что для удаления правила достаточно указать только тип протокола (UDP) и номер внешнего порта, не указывая остальные параметры.
Что такое UPnP в роутере, для чего эта функция нужна и как её включить и выключить
Всем привет! Сегодня мы поговорим про функцию UPnP (Universal Plug and Play) – что это такое, для чего нужна эта функция, и как она включается (или выключается) на роутере. Давайте рассмотрим конкретный пример – представим, что у нас есть домашняя сеть с роутером. В ней есть подключенные устройства – не важно какие, это могут быть телефоны, планшеты, телевизоры, принтеры или IP-камеры.
Все они подключены к маршрутизатору (роутеру), который также аналогично подключен к глобальной сети интернет. В итоге у нас есть:
Для того, чтобы в локальной сети все устройства работали нормально, обнаруживали друг друга и быстро подключались, и нужна технология UPnP. В противном случае всем этим телефонам, планшетам и телевизорам нужно было вручную прописывать настройка и открывать порты. Во время подключения таких устройств, на них постоянно открываются и закрываются порты – прям как на морском берегу для кораблей.
Например, вы решили посмотреть с телевизора фильм, находящийся на компьютере. Тогда нужна технология DLNA, которая позволяет передавать видео в потоковом режиме. При подключении к компьютеру, он в свою очередь открывает определенный порт. В общем, если бы не было у нас UPnP, то для каждого подключения к любому устройству дома вам нужно было бы прописывать вручную настройки, открывать или закрывать порты.
UPnP в глобальной сети
Мы рассмотрели понятие на примере домашней сети, но ведь не все используют прямое подключение в локальной сетке. Обычно к роутеру подключаются, чтобы выйти в интернет. И тут также включается функция UPnP, которая при запросе в интернет к определенному серверу также открывает определенные порты.
Например, всем известный uTorrent также использует эту технологию, и она должна по умолчанию быть включена на роутере. Когда мы включаем эту программу, она делает запрос в интернет и открывает порт для данного потока информации.
По сути UPnP открывает и закрывает порты для внешних запросов, для тех устройств, которые и делали эти запросы в интернет. Я думаю с понятием мы разобрались. Но бывают проблемы, когда данная функция выключена на роутере. Тогда некоторые программы, игры, утилиты не будут работать на компьютере или телефоне. Также могут быть проблемы с подключением игровых приставок тип Xbox или PlayStation.
Но существует и «обратная сторона монеты». Как вы понимаете, при запросе к серверу при подключении открываются порты на ваше устройство. Понятное дело, что данным подключением могут воспользоваться хакеры и взломщики. Для обычного пользователя шанс, конечно, не велик, но все же… В интернатах до сих пор идут «холивары» по поводу того, надо ли отключать UPnP или нет. Поэтому отключать функцию или включать – решать вам. Но как я и говорил ранее, при выключенном UPnP нужно будет для отдельных программ или устройств делать ручной проброс портов на роутере.
Далее я расскажу, как включить UPnP, отключить и настроить на вашем домашнем маршрутизаторе.
Вход в интерфейс роутера
Нам нужно попасть в Web-интерфейс аппарата – для этого с подключенного устройства к локальной сети нужно открыть браузер и вписать в адресную строку IP или DNS адрес роутера. Данный адрес находится на этикетке под роутером. Чаще всего используют 192.168.1.1. или 192.168.0.1. Если у вас будут какие-то проблемы со входом в маршрутизатор – смотрите инструкцию тут.
Далее инструкции будут немного отличаться в зависимости от модели роутера.
Безопасность технологии UPnP в видеонаблюдении
Возможно немногие обращают внимание при настройке IP камер и видеорегистратора на сетевую технологию UPnP. А вот зря! ВЫ МОЖЕТЕ ОТКРЫТЬ ДОСТУП К ВАШИМ КАМЕРАМ ИЛИ ВИДЕОРЕГИСТРАТОРУ, не зная об этом. Но только в том случае, если у вас внешний статический публичный IP адрес.
Для понимания, UPnP (Universal Plug and Play) — это архитектура многоранговых соединений между персональными компьютерами и интеллектуальными устройствами, установленными, например, дома. UPnP строится на основе стандартов и технологий интернета, таких как TCP/IP, HTTP и XML, и обеспечивает автоматическое подключение подобных устройств друг к другу и их совместную работу в сетевой среде, в результате чего сеть (например, домашняя) становится лёгкой для настройки большему числу пользователей. (из википедии)
Если простым языком, то технология UPnP в нашем случае работает следующим образом. Ваш роутер поддерживает технологию UPnP и данная опция включена в настройках. Ваш видеорегистратор и/или IP камера также поддерживает UPnP и данная опция включена в настройках. И нажатием кнопки «передать настройку портов UPnP» у вас автоматически на роутере настраивается проброс необходимых портов к вашему видеорегистратору или ip камере. С одной стороны это хорошо, просто и удобно. Но я бы об этом не писал, если всё было хорошо:)
Настройки UPnP как правило находятся в разделе Сеть (Network), пример на видеорегистраторе Hikvision:
А теперь по порядку при использовании UPnP:
1) На видеорегистраторе не сменили стандартные логины и пароль
2) На ip камере не сменили стандартный логин и пароль
Вышеперечисленное ведет практически к свободному администраторскому доступу к вашему видеорегистратору/ip камере. Кто-то скажет: ой да ладно, кому я нужен, и кто узнает мой внешний ip адрес. Погуглите о свободном доступе к видеорегистраторам/камерам через гугл поисковик, неприятно удивитесь =)
Особенно популярна следующая история при использовании UPnP: на видеорегистраторе отключен UPnP, на роутере включен UPnP, на ip камерах включен UPnP. И в зависимости от кол-ва ip камера переодически чередуется доступ к ip камерам через стандартные порты 80 или 8080 с логином и паролем admin/admin.
Поэтому достаточно просто отключить на роутере поддержку UPnP и уже вручную настроить проброс необходимых портов.
Пример отключения UPnP на роутерах Mikrotik:
1) На видеорегистраторе не сменили стандартные логины и пароль
2) На ip камере не сменили стандартный логин и пароль
Камера видеонаблюдения
Зашли мы значит на объект поменять камеры. А там такая картина. Вот собственно и камера.
При чем сначала вообще ничего не поняли. Была накрыта вот таким спец чехлом. Она стояла в офисе лаунж-клуба.
Сняли мы спец.чехол. Убрали купол. А там такое чудотворное явление. Не видел ещё таких лже обманок.
Вот те вам и «Кулибины».
Это мой 1й пост. Поэтому извиняюсь заранее за какое либо несоблюдение.
Ещё 1 регистратор для видеонаблюдения
Хочу рассказать про видеорегистратор который мы с друзьями писали последние 2 года, почему мы это начали и куда движемся.
Для тех кому лень читать и он хочет сразу потыкаться ссылка на сайт
Там есть ссылки на документацию с инструкциями как установить, а так же демо видео обзор возможностей.
Я работаю инфраструктурным инженером, в быту DevOps. Начинал своё путешествие в мир IT из тех. поддержки интернет провайдера, затем работал в системным администратором на местном телеканале, в тот период очень активно изучал linux, писал скрипты на баше, в силу специфики предприятия(тв канал) познакомился с такой прекрасной утилитой, как ffmpeg. Я был поражён на сколько это крутой софт для работы с любым медиа контентом. Это можно считать точной отсчёта примерно 2016-год.
Примерно 2,5 года назад мой друг открыл магазин автозапчастей и встал вопрос организации видеонаблюдения. Хотелось что бы доступ к видео был с любого устройства, архив можно скачать любого промежутка, и естественно всё бесплатно. В общем то не очень много требований.
Так повелось, что все технические вопросы он задавал мне и я пошёл изучать этот рынок. Пошёл смотреть что там есть на алиэкспресс из готовых недорогих железок. Сначала обрадовался, железные решения были очень бюджетные, но поняв, что софт там на уровне 2003-го (а на дворе был уже 2017), обязательно нужен internet explorer и использование ActiveX вкладку с алиэкспресс я закрыл )
Интерфейс всё так же напоминал 2003-год. Даже я разбирался как добавить камеру минут 10 и без документации не обошлось. Из плюсов безусловно то, что проект старый и стабильный, есть куча фишек связанных с детекцией движения и прочее, но пользоваться этим обычному пользователю не очень удобно, нужно что то интуитивное как ютуб.
Дальше я пробовал и ставил всё, что нагуглил, все решения, опенсорсные, проприетарные, любые.
В итоге из всего, что я попробовал мне понравилось 2 решения это Flussonic Watcher и shinobi.
Я рассказал о своей идее сделать собственный видеорегистратор друзьям. Ребята приняли идею с энтузиазмом. Обсудили перспективы и возможности. Да и просто было интересно сделать что то своё и классное ) И мы начали работу.
Так как разработкой мы занимались в свободное время от основной работы, темпы были черепашьи.
Но время шло, код писался, и начало вырисовываться что то, что уже можно показывать людям.
Цель была почти та же, что и при запросе моего друга с автомагазином: «можно запарковать любую ip камеру, доступ к видео с любого устройства, архив можно скачать любого промежутка, и естественно всё бесплатно«.
К определённому моменту мы поняли, что достигли этой цели и тут я хочу показать несколько демо как это выглядит.
Вот так выглядит добавление новой камеры:
Так как для транспорта мы используем ffmpeg, на входе может быть почти любой протокол.
Единственное ограничение, видео должно быть в кодеке h264, в этом кодеке пишут 100% всех современных ip камер, так что не очень то и ограничение.
Вот так выглядит работа с архивом:
Тут всё просто вам нужен любой современный linux, где можно запустить docker, или MacOS.
Есть сборки под Raspberry pi.
Возможно в будущем появится поддержка windows, но сейчас с этим проблемы.
Есть платная версия.
К сожалению мы не придумали как зарабатывать на опенсорсе. Но есть чёткая позиция, что базовый функционал всегда должен быть бесплатным.
У есть 2 версии FREE и ENTRPRISE.
У нас есть чатик у телеграме, если кто заинтересовался и есть вопросы, то вот ссылка.