포트 80을 통한 Linux/OpenWrt/Lede 기반 장치의 원격 모니터링 및 관리(계속)

이것이 기사의 마지막 부분입니다. 여기가 시작 부분입니다. habr.com/en/post/445568
지난번에 장치 모니터링을 구현한 방법에 대해 썼으니 이제 관리에 대해 이야기하겠습니다. 고객 측 "기술자"와의 논의에서 이러한 소형 장치의 기능(메모리 리소스 및 성능이 낮음)에 대한 제한된 인식에 자주 직면합니다. 많은 사람들은 "우리에게 가장 필요한 것은 재부팅을 보내는 것입니다. 더 많은 것을 위해 재부팅을 보내는 것입니다." 진지하게 팀을 보내겠습니다.”
그러나 실습에 따르면 이것이 전적으로 사실이 아닙니다. 다음은 일반적인 일반적인 작업의 작은 목록입니다.

1. 네트워크 진단 및 문제 해결. 라우터의 이더넷 포트 뒤에는 일반적으로 자체 내부 IP 주소를 가진 또 다른 하드웨어가 있습니다. 때로는 "핑"을 할 수도 있습니다. 또는 터널 관리 - 3G 모뎀을 통해 작동하는 라우터에서 터널이 갑자기 상승하지 않지만 라우터 자체를 볼 수 있는 경우.
2. 시스템 유지 관리. 펌웨어 업데이트, 서비스 스크립트 업그레이드.
3. 균형잡기 행위. 이것은 "변태"라고 부를 수 있지만 "평형주의자"의 개념은 다음과 같습니다. “불안정한 신체 자세에서 균형을 유지하는 서커스 공연자의 능력” - 더 잘 어울려요. 이러한 상황은 고객의 제한된 예산으로 인해 발생합니다. 아래에 몇 가지 예를 들었습니다만... 이야기의 주제와 직접적인 관련은 없어 노트에 넣었습니다.

Wi-Fi 모니터링지난 XNUMX년간 주로 연방 소매 체인 사이에서 유행했던 주제입니다. 당신은 한가롭게 거래소를 거닐고 있고 Wi-Fi가 켜져 있는 휴대폰은 네트워크의 일부 스레드에 "고착"하기 위해 정기적으로 프로브 요청 패킷을 보냅니다. 당신: 이 가게에 얼마나 자주 오시나요? 어떤 이유로 궤적을 따라 걷는지 등등. 그런 다음 데이터를 수집, 분석하고 히트 맵을 작성하고 관리자는 그러한 사진을 위해 경영진이나 투자자로부터 돈을 "갈취"합니다. 글쎄요, 지금은.... "돈이 없지만 버텨보세요..." 결과(실제)가 이미 표시되어야 하며, 좋은 오래된 노래가 시작됩니다. "예, 예, 그럼 물론이죠. cis와 원하는 모든 것을 설치하지만 이제 고객에게 결과를 보여줘야 합니다. 그런데 고객이 Wi-Fi를 통해 장비를 자신의 핫스팟에 연결할 수 있도록 허용했지만 일반적으로 마치 게스트 클라이언트인 것처럼 허용했다는 사실을 잊어버렸습니다.” 따라서 우리는 균형 조정 라우터를 만들어야 합니다. 여러 WiFi 하위 인터페이스가 발생하고 그 중 하나는 핫스팟에 고정되고 두 번째는 환경을 모니터링하고 미친 듯이 tcpdump 결과를 자체 업로드한 다음 파일 내용을 아카이브에 압축하여 위험을 초래합니다. "과식"으로 죽어가는 것은 FTP 서버에 있는 내용을 뱉어내려고 시도하는 것입니다. 밸런싱 라우터가 종종 "고장"되어 원격으로 "소생"되어야 하는 것은 놀라운 일이 아닙니다.

반지름다음과 같은 고객의 진술을 통해 상황을 설명하는 것이 더 쉽습니다. “우리는 채널을 통해 모델이 미리 알려지지 않았지만 아직 알지 못하는 장비에서 작동하는 분산형 핫스팟 네트워크를 원합니다. 아, 우리는 고객에게 광고를 보여줄 뿐만 아니라 핫스팟이 설치된 위치 주변의 모든 것을 분석하고 싶다는 것을 잊어버렸습니다. 아니요, 아직 이유는 모르지만 알아낼 것입니다. 의심하지 마세요. 우리는 이 아이디어를 생각해 낼 수 있었습니다.”

그리고 이전에 알려지지 않은 많은 상황으로 인해 IP: 포트를 통해 라우터에 직접 연결할 수 없고 단순히 라우터에서 활동을 기다려야 하는 경우 비표준 조건에서 제어가 수행되어야 한다는 점을 잊지 말아야 합니다. 우리 자신을 추상화하면 서버와 라우터 간의 대화는 다음과 같이 표현될 수 있습니다.

• 라우터: 안녕하세요. 나는 그런 라우터입니다. 나에게 어떤 작업이 있습니까?
• 서버: 라우터 이런저런, 당신이 살아 있다고 등록했습니다. 도전 과제는 다음과 같습니다. ifconfig 명령의 결과를 보여 주시겠습니까?
• 라우터: 안녕하세요. 나는 그런 라우터입니다. 지난번에 ifconfig의 결과를 보여달라고 요청했을 때 여기에 있습니다. 나에게 어떤 임무가 있나요?
• 서버: 라우터 이런저런, 당신이 살아 있다고 등록했습니다. 당신에게 할 일이 없습니다.

가장 흥미로운 질문: 원격 라우터가 어떻게 특정 양의 정보를 보낼 수 있습니까? 마지막 부분에서는 제한된 리소스로 인해 라우터에는 GET을 통해서만 작동하고 FTP 클라이언트나 컬은 없는 "스트립다운된" wget만 있다고 설명했습니다. 보다 정확하게는 이미지 조립의 특성에 관계없이 보편적인 방법이 필요합니다. 나는 wget을 사용하기로 결정했습니다. 더 정확하게는 내가 어떻게 "멈췄는지"입니다. 선택의 여지가 없었습니다 :)

단지 면책 조항내 관리 솔루션은 그다지 제한되지 않고 작동하고 있으며, 대부분의 고객에게 적합하더라도 비뚤어져 있다고 확신합니다. 어떻게 현명하게 수행할 수 있습니까? 포트 80을 통해 POST 바이너리 데이터를 보내는 작은 유틸리티를 작성하십시오. 라우터 펌웨어에 유틸리티(유틸리티)를 포함시키고 bash를 사용하여 액세스합니다. 그러나 현실은 다음과 같습니다. a) 신속하게 처리해야 합니다. b) 기존 "라우터 동물원"에서 모든 작업을 수행해야 합니다. c) "해를 끼치지 마십시오!" — 라우터가 작동 중이고 다른 작업을 수행하는 경우 기존 기능에 영향을 주지 않는 변경을 시도하십시오.

구현으로 넘어 갑시다. 고객이 "마우스 클릭"만으로 쉽고 자연스럽게 zabbix에서 라우터를 재부팅하기를 원한다고 가정해 보겠습니다. 오늘은 Zabbix를 사용한 구현에 대한 설명을 시작하겠습니다.
"관리" -> "스크립트" 메뉴에서 새 스크립트를 추가합니다. 우리는 이를 "재부팅"이라고 부릅니다. 명령으로 "php /usr/share/zabbix/reboot.php {HOST.HOST}"를 입력합니다.

다음: 메뉴 “모니터링” -> “최신 데이터” -> “원하는 네트워크 노드를 마우스 오른쪽 버튼으로 클릭하세요.” 스크립트를 추가한 후의 메뉴 모양은 다음과 같습니다.

따라서 우리는 boot.php 스크립트를 /usr/share/zabbix 디렉토리에 두었습니다(사용자의 디렉토리는 다를 수 있습니다. 저는 zabbixa 루트 디렉토리를 사용합니다).

안전 면책 조항스크립트에서 설명을 더 명확하게 하기 위해 라우터 ID만 사용하고 비밀번호는 사용하지 않습니다. 프로덕션 버전에서는 이 작업을 수행하지 않는 것이 좋습니다! 내가 이렇게 한 이유는: 가장 큰 질문은 라우터의 비밀번호를 어디에 저장할 것인가 하는 것이기 때문입니다. "인벤토리 데이터"의 zabbixe 자체에 있습니까? 논란의 여지가 있는 관행. 대안: 재부팅.php 파일 자체에 대한 외부 접근을 제한합니다.

재부팅.php 파일

<?php
	// присваиваем параметры с консоли переменным
	$user = $argv[1];
	// ВНИМАНИЕ. Вот здесь в целях безопасности все-таки прописывать пароль устройства! Но для демонстрации мы будем обращаться к базе данных без использования пароля. 
	//$password = $argv[2];
		
	$conn=new mysqli("localhost","db_user","db_password","db_name");
	if (mysqli_connect_errno()) {
		exit();
	}
	$conn->set_charset("utf8");
			
	// "Отправляем" команду reboot за счет изменения поля task таблицы users. В поле task можно отправлять любую команду.
	$sql_users=$conn->prepare("UPDATE users SET task='reboot' WHERE id=? AND status='active';");
	$sql_users->bind_param('s', $user);
	$sql_users->execute();
	$sql_users->close();
?>

그게 다야. "장치에서 명령 실행 결과를 얻는 방법"이라는 질문은 여전히 ​​열려 있습니다. ifconfig 명령을 예로 들어 작업을 살펴보겠습니다. 이 명령은 장치로 전송될 수 있습니다.

message=`ifconfig`; wget "http://xn--80abgfbdwanb2akugdrd3a2e5gsbj.xn--p1ai/a.php?u=user&p=password!&m=$message" -O /tmp/out.txt

, 여기서 :
메시지=`ifconfig` — ifconfig 명령 출력 결과를 $message 변수에 할당합니다.
와겟 "xn--80abgfbdwanb2akugdrd3a2e5gsbj.xn--p1ai/a.php — 라우터를 등록하고 라우터로부터 메시지를 받는 a.php 스크립트
u=사용자&p=비밀번호!&m=$메시지 — 자격 증명 및 요청 변수 m의 값 — $message 변수의 내용을 할당합니다.
-O /tmp/out.txt — 이 경우 /tmp/out.txt 파일로 출력할 필요는 없지만 이 매개변수를 지정하지 않으면 wget이 작동하지 않습니다.

왜 이것이 작동하지 않습니까?잠재적인 보안 허점이 있기 때문입니다. 예를 들어, 발생할 수 있는 가장 무해한 오류는 명령 출력에 "&" 문자가 있는 경우입니다. 따라서 라우터에서 전송되는 모든 항목과 서버로 들어오는 모든 항목을 모두 필터링해야 합니다. 응, 정말 부끄럽다. 변호하자면, 전체 기사는 사전 정의된 펌웨어와 사전에 정의되지 않은 통신 채널을 사용하여 라우터를 관리하는 방법에 대해서만 다루고 있습니다.

글쎄요, 미래를 위한 시작입니다. 표준 zabbix 도구를 사용하여 서버에 제공되는 결과(예: 명령 실행 결과)를 반영하는 방법을 아직 파악하지 못했습니다.

모든 소스는 다음 Git 저장소에서 얻을 수 있습니다. github.com/BazDen/iotnet.online.git

출처 : habr.com