[Запрос на функцию] UPnP клиент для ROS

Согласен с этой просьбой о функции — особенно учитывая, как часто сейчас провайдеры выдают комбинированные модемы/роутеры. Было бы здорово иметь возможность использовать UPnP-клиент на ROS, чтобы пробивать дырку в роутере, который стоит перед Mikrotik (например, открыть TCP-порт 8291 для Winbox). Спасибо!

Меня тоже заинтересовала эта идея, так как сейчас многие провайдеры предоставляют свои собственные модем-роутеры, а я устанавливаю устройство Mikrotik для хотспота в качестве второго устройства. Было бы здорово открыть UPnP порт 8291, чтобы я мог получить доступ к устройству Mikrotik для удалённой поддержки.

Иногда не хочется трогать устройство или сеть, которая настроена провайдером (модем-роутер, VoIP, интернет-тв и так далее).

Можно полностью заблокировать весь RouterOS с аргументом «слишком рискованно».

Адвокат дьявола на связи, и сразу скажу, что мой клиент почти совершенно невиновен — это просто нелепое недоразумение! Конечно, UPnP IGD, возможно, не проектировался с большим акцентом на безопасность. Но если какой-то производитель реализует его так, что он принимает запросы с WAN, то серьезно винить в этом UPnP нельзя — это полнейший просчёт производителя. Всем и так должно быть понятно, судя хотя бы по отсутствию аутентификации (что, конечно, для кого-то может показаться плохим решением, но что поделать, когда он должен «просто работать»), что UPnP был сделан для работы внутри LAN.  

Ещё одно нарекание — возможность перенаправлять порты на внешние адреса (кстати, RouterOS тоже позволяет такое). И опять же, обвинять UPnP в этом не совсем справедливо. На первый взгляд это кажется плохим, но если вглядеться, то это вполне полезная функция. Можно, конечно, захотеть ограничить перенаправление портов только на машину, которая сделала запрос, но представить ситуации, когда одна машина контролирует перенаправление портов для других — легко.  

Что касается внутренних и внешних адресов, всё не так просто. Нельзя просто ограничиться локальной сетью с маской /24 (как обычно), ведь сеть может быть больше, с несколькими подсетями. И даже если не все напрямую общаются с UPnP-сервером, всё равно есть сценарий «контроллера». Нельзя просто отвергать это и считать неправильным.  

Но мой клиент готов признать, что внешние адреса — плохая идея в типичной ситуации с «непутёвым домашним пользователем», и производителям стоит рекомендовать по умолчанию вводить какие-то дополнительные ограничения.  

В заключение: UPnP сам по себе ничего плохого не сделал, он тоже жертва. Он вышел из более старых и простых времён, когда доверие было выше, а хакеров — меньше. Его цель была сделать мир лучше, чтобы техника работала проще и надежнее. Он не мог предвидеть, что появится столько злоумышленников, которые своим злонамеренным поведением разрушат эту красивую идею.  

Даже если UPnP IGD вам не нравится, нельзя отрицать, что нужно что-то похожее, что-то для управления входящими соединениями. Помните рекомендацию для IPv6 — блокировать входящие по умолчанию? Для этого нужна система управления. Такая есть — PCP, более современная, с аутентификацией и прочим. Так что берите её и считайте UPnP IGD устаревшим, если хотите.  

Но, пожалуйста, не ругайте бедный UPnP слишком сильно! Кстати, запрос был от клиента, который особо вреда не мог причинить вообще. Не считая времени на разработку, которое, учитывая, что это не самый приоритетный функционал, лучше потратить на что-то другое — это однозначно.

Мне тоже нужен UPnP-клиент или какой-то UPnP-ретранслятор, чтобы это работало в маршрутизируемых сетях. Не все сети и сценарии использования одинаковы! И, если честно, я не вижу, в чём там большой подвох с UPnP-клиентом. Насколько я понимаю, наибольшую угрозу безопасности представляет сервер, а не клиент. Если RouterOS взломают, то UPnP-клиент будет последней нашей заботой, это точно.

Аргумент, что «это слишком рискованно», по моему мнению, просто неверен.

- Возможность отключать интерфейсы тоже опасна. Можно случайно заблокировать себе доступ ко всему роутеру, отключив не тот интерфейс. Нам что, убрать кнопки отключения тогда?

- Тоже опасно разрешать пользователям создавать свои правила фаервола. Можно заблокировать себя же или, что хуже, пропустить трафик, который не должен проходить. Может, заменим классный интерфейс фаервола на что-то в духе D-Link с одной кнопкой включения/выключения?

- Опасно (для всех остальных!) разрешать DNS-резолверу быть открытым для интернета и становиться частью DNS-амплификационных атак. Нам что, отказаться от DNS или сделать из RouterOS клон pfsense/openwrt с этими глупыми разделениями WAN/LAN, заставляющими создавать «коробки»?

- Опасно иметь GUI для BGP с удобными кнопками, поскольку это позволяет пользователям легко анонсировать плохие префиксы в интернете (как уже случалось в реальной жизни). Может, вернёмся в тёмные века и будем настраивать всё только через CLI? Не то чтобы это не очень полезно — я просто хочу показать суть — потому что графические интерфейсы могут привести к ошибкам?

Так кто от этого пострадает? Если я управляю тяжёлой техникой, это рискованно, потому что я ничего в этом не понимаю. Если с этим работает обученный специалист — никакого риска нет, это его или её работа. Я не вижу никакой разницы между IT и сетями.

В RouterOS, нашей «сетевой коробке с инструментами», наличие новых функций — это не риск, а возможность. Пользователи (даже профессионалы) всегда будут ошибаться, даже если в RouterOS осталась бы только одна кнопка вкл/выкл.

Если бы глупые пользователи были целевой аудиторией MikroTik, мы не обсуждали бы это. RouterOS тогда был бы клоном TP-Link, Netgear, D-Link, и нам бы это было без разницы.

Я знаю, что такое UPnP, и зачем мне нужно то, о чём я просил. Мне всё равно, что там думают или хотят «большие начальники» по поводу NAT или любой другой технологии/инструмента. Никто не будет мне диктовать, как мне управлять своей сетью.