Mejoras y opciones INTERESANTES de TOMATO

Publicado: Domingo 18 Febrero 2007, 10:42

Para contribuir en esta opción, enviarme los mini manuales, y los comandos por privado, tanto a mi como a un administrador de la web.

Publicado: Domingo 18 Febrero 2007, 22:10

------------------------------------------------------------------------------------
Opciones del botón logo de Cisco en el WRT54XX
------------------------------------------------------------------------------------
Para iluminar en color ambar habilitar Amber SES.
Para iluminar en color blanco habilitar White SES,
Para desconectar la iluminación deshabilitar ambos.

Funciones programables de origen:

Toggle wireless: Si lo mantienes pulsado en el paso de tiempo indicado en la columna de la izquierda entonces pones en marcha o paras el wireless.
Reboot: Como indica realiza un reset y arranque del router si lo presionas durante el lapso indicado a la izquierda.
Shutdown: Apagas el router si lo presionas durante el lapso de tiempo indicado en la columna de la izquierda. Para ponerlo en marcha debes desconectar y conectar de nuevo la alimentación. Lo que hace es poner el clock de la CPU a 0Hz.
Run custom script: Por si se te ocurre alguna función que no está aquí, por ejemplo.... cortar la WAN para renovar IP si es dinámica y poder bajar de rapidshare lo que quieras... entonces esta es tu tecla. O banear al compañero de piso que pone en marcha el P2P en el momento más interesante de Youtube.... diablillo..

Aquí os dejo una captura de esta pantalla, está en Administración/Buttons-LED.

Copyright@code by Victek
Manual realizado por Victek

Publicado: Domingo 18 Febrero 2007, 22:14

-------------------------------------------------------------------------------------------------------------------------
SOLUCIONAR LOS PROBLEMAS DE LOS P2P CON TOMATO
-------------------------------------------------------------------------------------------------------------------------
Los diferentes parámetros de ajuste para que no se sature la tabla de IP's en nuestro router se encuentran en la siguiente pantalla del firmware Tomato. Para entrar en este menú teclear IP del router e id al menú Advanced/Conntrack-Netfilter.

Las siguientes funciones son útiles:

Botón " Expiry Early " al pulsarlo borrais todo el contenido de la tabla de IP's, tanto en los puertos TCP como en los UDP.
Al mismo tiempo podéis ver el número de conexiones y en que estado se encuentra cada una de ellas. Podéis variar los ajustes para cada línea, el tiempo está especificado en segundos excepto para el número máximo de IP's a cachear en la tabla (2048 por defecto).
Netfilter
TTL adjust : Para "engañar a vuestro proveedor de Internet variando el número de bits del TTL"... muy útil para ISP's que capan.
Inbound Layer 7 : Para descartar conexiones "agresivas" que no se esperan a la cola... tipo Ares. el MPLS del firmware de Tomato está más optimizado en este aspecto que el DD-WRT.

Copyright@code by Victek
Manual realizado por Victek

Publicado: Sábado 24 Febrero 2007, 15:55

*****************************************************************************
Entrar en el modem ADSL en configuración PPoE con Tomato
*****************************************************************************
Configuración aconsejada:

IP del módem ADSL: 10.10.1.1
IP del Router WRT54xx : 10.10.2.1

O cualquier otro rango de IP's pero siempre fijar la LAN del WRT54GL diferente de la LAN del módem router que está en bridge

1) Abrir el configurador de Tomato; entra la IP del router en el navegador de Internet.
2) Ir a Administration/Scripts/Firewall y entrar estas dos líneas.

/usr/sbin/iptables -I POSTROUTING -t nat -o vlan1 -d 10.10.1.0/24 -j MASQUERADE
ip addr add 10.10.1.2/24 dev vlan1 brd +

Guardar, rebotar el router y después teclear desde el navegador la IP del módem adsl; ya estás dentro del módem y puedes ver los parámetros del módem (velocidad de sincronización, errores, etc....)

Nota: Lo lógico sería entrar la segunda línea del script en la pestaña INIT de Administration con un sleep 5 y la línea.... pero algo pasa que lo ignora y no queda más remedio que entrarlo desde la pestaña firewall.

Actualizado 25.12.2010

*****************************************************************************
Acceder al Cisco EPC3825 configurado como módem con un RT-N16 y Tomato RAF
*****************************************************************************

IP del módem-router : 192.168.100.1
IP del Router RT-N16 : 10.10.2.1

/usr/sbin/iptables -I POSTROUTING -t nat -o vlan3 -d 192.168.100.0/24 -j MASQUERADE
ip addr add 192.168.100.2/24 dev vlan3 brd +

*****************************************************************************
Acceder al Cisco EPC3825 configurado como módem con un E3000 y Tomato RAF
*****************************************************************************

IP del módem-router : 192.168.100.1
IP del Router RT-N16 : 10.10.2.1

/usr/sbin/iptables -I POSTROUTING -t nat -o vlan2 -d 192.168.100.0/24 -j MASQUERADE
ip addr add 192.168.100.2/24 dev vlan2 brd +

Copyright@code by Victek
Manual realizado por Victek

Publicado: Sábado 24 Febrero 2007, 17:18

*****************************************************************************
Ajuste Automático del nivel de ruido eléctrico para el WIFI con Tomato
*****************************************************************************

Entrar en la siguiente pantalla: Status/Device list.

Pulsar sobre la tecla Measure y después de unos 15 segundos os ajustará automáticamente el mejor nível de discriminación para la WIFI del Linksys, así de fácil.

Copyright@code by Victek
Manual realizado por Victek

Publicado: Lunes 19 Marzo 2007, 11:28

*****************************************************************************
Monitor de conexión a Internet usando LED del WRT54x. Varias configuraciones
*****************************************************************************

Entrad el siguiente texto de la imagen en la carpeta que se indica.

Comportamiento: Cuando el router en modo PPPoE obtenga una IP publica iluminará el LED ambar cuando haya actividad (bajando o subiendo datos). Lo hice así para que no esté iluminado cuando no se usa Internet.

Os copio el texto del script para que lo paseís usando copiar/pegar
-----------------------------------------------------------------
killall sesx_script.sh
I=`ifconfig ppp0|grep -q 'UP'`
while sleep 1; do
if I=0; then
XFER=`ifconfig ppp0|grep bytes`
if [ "$XFER" != "$PXFER" ]; then
led amber on
PXFER=$XFER
else
led amber off
fi
else
led amber off
led white off
fi
done
---------------------------------------------------------

Otro Script de conexión de Linksys con Tomato 15.11.2007

Se instala igual que el otro, en la ventana WAN:

killall sesx_script.sh
while sleep 2; do
if [ -e /tmp/ppp/link ] ; then
led amber on
else
led amber off
led white on
fi
done

*- Funcionamiento. Comportamiento.
-. Cuando se ha establecido conexión con el módem y tenemos IP pública el LED naranja se ilumina.
-. Si se pierde la IP pública entonces el LED pasa a color blanco.
-. Cuando se recupera, el LED muestra color naranja y blanco, así sabemos que se ha caído la conexión o IP pública.

Como se prueba.
-. Funcionando el router desenchufa el cable de la WAN del router, al cabo de unos segundos el LED pasa a color blanco.
-. Al conectarlo de nuevo y pasado un tiempo el LED se ilumina naranja y blanco.
*- También lo puedes probar desde el menú Overview de Tomato pulsando en la tecla Disconnect y Connect.

Como se restablece la condición inicial.
-. Con un reboot del router.

*****************************************************************************
Otro script. fecha 30.12.2007

Este es para iluminar el LED Blanco cuando hay tráfico de WLAN. Es para personas con deficiencias visuales.

Se instala en la ventana WAN.

sleep 5
killall sesx_script.sh
I=`ifconfig eth1|grep -q 'UP'`
while sleep 2; do
if I=0; then
XFER=`ifconfig eth1|grep bytes`
if [ "$XFER" != "$PXFER" ]; then
led white on
PXFER=$XFER
else
led white off
fi
else
led white off
fi
done
*****************************************************************************
Otro Script para tráfico de WLAN hecho por jacqlittle para tráfico de WLAN. Se diferencian con el de ariiba que el de WLAN es para cuando trabaja el router como tarjeta wireless. Fecha 24.07.08

#
# Script que ilumina el LED ámbar cuando están activas la conexión WLAN
# (WiFi) y WAN (Internet).
#
# Copiar en la ventana Firewall de la sección Administration/Scripts y
# reiniciar el router.
#
# Funciona teniendo configurado el modo Wireless Client.
#

sleep 5
while sleep 2; do
if [ "`wl assoclist|grep assoclist`" != "" ]; then
if [ "`ifconfig eth1|grep inet`" != "" ]; then
led amber on
else
led amber off
fi
else
led amber off
fi
done

#
# Script que ilumina el LED ámbar cuando está activa la conexión WLAN
# (WiFi).
#
# Copiar en la ventana Firewall de la sección Administration/Scripts y
# reiniciar el router.
#
# Funciona teniendo configurado el modo Wireless Ethernet Bridge.
#

sleep 5
while sleep 2; do
if [ "`wl assoclist|grep assoclist`" != "" ]; then
led amber on
else
led amber off
fi
done

*****************************************************************************
Otro Script. 30.12.2007. Sirve para comprobar conexión con el módem de Ono

killall sesx_script.sh
I=`ifconfig eth0|grep -q 'UP'`
while sleep 1; do
if I=0; then
XFER=`ifconfig eth0|grep bytes`
if [ "$XFER" != "$PXFER" ]; then
led amber on
PXFER=$XFER
else
led amber off
fi
else
led amber off
led white off
fi
done

************************************************************************
25.07.08 Para los que tengan dos WRT54 en modo WDS y quieran saber si el enlace al segundo router funciona vía wireless aquí os pongo el script. Pegarlo en la parte de firewall en administration/scripts.

remotewdsip="192.168.1.2"
sleep 2
while sleep 20; do
if [ "`ping -c 1 $remotewdsip|grep 100%`" == "" ] ; then
led amber off white on
else
led amber on white off
fi
done

Cambiar la IP del segundo router por la que corresponda ... el color del LED SES es blanco cuando funciona y ambar cuando no funciona el WDS.

***********************************************************************************************************

Este otro script ilumina el LED ambar cuando un cliente está conectado al wireless y el LED blanco cuando hay tráfico de datos en el wifi.

#!/bin/sh
I=`nvram get wl0_ifname`
while sleep 1; do
if [ "`wl assoclist`" != "" ]; then
XFER=`ifconfig $I|grep bytes`
if [ "$XFER" != "$PXFER" ]; then
LED="amber on white on"
PXFER=$XFER
else
LED="amber on white off"
fi
else
LED="amber off white off"
fi
if [ "$LED" != "$PLED" ]; then
led $LED
PLED=$LED
fi
done

Otro script empleando menos recursos de CPU, aquí el LED blanco se ilumina cuando alguien se conecta a la wifi. Lo verifica cada 20 segundos.

while sleep 20; do
wificlients=$(wl assoclist)
if [ -n "$wificlients" ] ; then
gpio disable 2
else
gpio enable 2
fi
done > /dev/null &

Copyright@code by Victek
Manual realizado por Victek

Publicado: Lunes 26 Marzo 2007, 18:31

*****************************************************************************
Script para evitar la entrada en el módem ADSL bridge desde wireless o cable.
*****************************************************************************

Bueno, después de estudiarme la iptables v.1.3.7 ya estamos preparados para hacer lo que usuarios de Tomato estaban esperando, evitar que alguien al que le has dejado tu conexión wireless o desde cable entre a ver tu módem adsl.

Antes informar que para que no vean tu router WRT54Gx desde el wireless ya sabeís que con deshabilitar la casilla de acceso web desde Administration/administration access/ Allow Wireless Access (desmarcada) es suficiente.

En Administration/Scripts/Firewall teneis que escribir la siguiente línea:

/usr/sbin/iptables -I FORWARD -d (IP del módem ADSL) -m mac --mac-source ! (MAC address de la tarjeta de red de la máquina que SI podrá ver el módem ADSL) -j REJECT

Le daís a SAVE, después reboot y ya está.

Si quieres que más máquinas puedan ver el módem solo tienes que repetir esta línea con las MAC address de las máquinas. Esta línea oculta la pantalla de configuración del módem ADSL a cualquier máquina, tanto wireless como a través de cable (para evitar que compis del piso vean cosas del módem...)

¿Como saber la MAC address de la tarjeta de red de la máquina?.. pues o bien a través de la opción en Tomato de "device list" o desde una ventana de DOS (si usas windows) y teclear ipconfig /all
Desde Linux.. con el comando ifconfig

Copyright@code by Victek
Manual realizado por Victek

Sintactic Brain Registrado: Apr 30, 2005 Mensajes: 20058

*****************************************************************************
Filtros para restringir el acceso a contenidos no adecuados.
*****************************************************************************
Ir a Access Restriction desde el menú principal de Tomato.
Pulsar Add o editar un filtro ya creado. Fijar la ventana de aplicación del filtro (cada día, a ciertas horas, solo para el acceso por wireless...). En la ventana en blanco entrar los nombres de las direcciones que quieres bloquear. Una vez hecho pulsa SAVE y las reglas quedan aplicadas.

Sintactic Brain Registrado: Apr 30, 2005 Mensajes: 20058

*****************************************************************************
Protección contra ataques DoS (Denial of Service) y Brute force para vuestro router WRT54xx
*****************************************************************************

Los ataques másivos tipo DoS (Denial of Service) o de fuerza bruta pueden bloquear la conexión de nuestro router. Este script actua cerrando los puertos más habituales ante este tipo de acciones.
Se instala en la parte de scripts del router (mejor en la parte del cortafuegos). Para el firmware Tomato en Administration/scripts/firewall.

Explicación del script.

Este primer script es para el servicio de ssh. ante 4 peticiones de entrada durante un periodo de 90 segundos o inferior con un password no correcto cerrará el servicio (más bien lo que hace es envíar el request a un "agujero negro" Sonrisa

y dejará de responder).

WANIP=$(nvram get wan_ipaddr)
iptables -t nat -A PREROUTING -p tcp -d $WANIP --dport 22 -j DNAT --to 192.168.1.1:22
iptables -A INPUT -d 192.168.1.1 -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH_LIMIT --rsource
iptables -A INPUT -d 192.168.1.1 -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 90 --hitcount 4 --name SSH_LIMIT --rsource -j DROP
iptables -A INPUT -d 192.168.1.1 -p tcp --dport 22 -j ACCEPT

Nota: La IP que menciono es la del router.

Ahora vamos a hacer lo mismo pero esta vez con el puerto 80 (HTTP).

WANIP=$(nvram get wan_ipaddr)
iptables -t nat -A PREROUTING -p tcp -d $WANIP --dport 80 -j DNAT --to 192.168.1.1:80
iptables -A INPUT -d 192.168.1.1 -p tcp --dport 80 -m state --state NEW -m recent --set --name HTTP_LIMIT --rsource
iptables -A INPUT -d 192.168.1.1 -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 90 --hitcount 4 --name HTTP_LIMIT --rsource -j DROP
iptables -A INPUT -d 192.168.1.1 -p tcp --dport 80 -j ACCEPT

Os será útil si hay pesados chapuceros intentando entrar en vuestro router. Guiño

Saludos !!

Edito: Resultados de una prueba de ataque (Brute force con el script instalado).. a los 4 intentos ha enviado los paquetes a la papelera, después lo ha rechazado y por último ha cerrado el interface.

Apr 25 00:04:36 SPARROW user.warn kernel: ACCEPT IN=ppp0 OUT=br0 SRC=xx.xx.xx.xx DST=10.10.2.4 LEN=48 TOS=0x00 PREC=0x00 TTL=249 ID=16494 DF PROTO=TCP SPT=4226 DPT=80 WINDOW=60984 RES=0x00 SYN URGP=0 OPT (020405AC01010402)
Apr 25 00:04:37 SPARROW user.warn kernel: ACCEPT IN=ppp0 OUT=br0 SRC=xx.xx.xxx.xx DST=10.10.2.4 LEN=48 TOS=0x00 PREC=0x00 TTL=249 ID=16878 DF PROTO=TCP SPT=4767 DPT=80 WINDOW=60984 RES=0x00 SYN URGP=0 OPT (020405AC01010402)
Apr 25 00:04:38 SPARROW user.warn kernel: ACCEPT IN=ppp0 OUT=br0 SRC=xx.xx.xxx.xx DST=10.10.2.4 LEN=48 TOS=0x00 PREC=0x00 TTL=249 ID=17294 DF PROTO=TCP SPT=3413 DPT=80 WINDOW=60984 RES=0x00 SYN URGP=0 OPT (020405AC01010402)
Apr 25 00:04:39 SPARROW user.warn kernel: ACCEPT IN=ppp0 OUT=br0 SRC=xx.xx.xxx.xx DST=10.10.2.4 LEN=48 TOS=0x00 PREC=0x00 TTL=249 ID=17652 DF PROTO=TCP SPT=1248 DPT=80 WINDOW=60984 RES=0x00 SYN URGP=0 OPT (020405AC01010402)
Apr 25 00:04:40 SPARROW user.warn kernel: ACCEPT IN=ppp0 OUT=br0 SRC=xx.xx.xxx.xx DST=10.10.2.4 LEN=48 TOS=0x00 PREC=0x00 TTL=249 ID=18064 DF PROTO=TCP SPT=1216 DPT=80 WINDOW=60984 RES=0x00 SYN URGP=0 OPT (020405AC01010402)
Apr 25 00:04:41 SPARROW user.warn kernel: DROP IN=ppp0 OUT=br0 SRC=xx.xx.xxx.xx DST=10.10.2.4 LEN=48 TOS=0x00 PREC=0x00 TTL=249 ID=18435 DF PROTO=TCP SPT=3957 DPT=80 WINDOW=60984 RES=0x00 SYN URGP=0 OPT (020405AC01010402)
Apr 25 00:04:42 SPARROW user.warn kernel: REJECT IN=ppp0 OUT=br0 SRC=xx.xx.xxx.xx DST=10.10.2.4 LEN=48 TOS=0x00 PREC=0x00 TTL=249 ID=18876 DF PROTO=TCP SPT=1930 DPT=80 WINDOW=60984 RES=0x00 SYN URGP=0 OPT (020405AC01010402)
Apr 25 00:04:43 SPARROW user.warn kernel: CLOSE IN=ppp0 OUT=br0 SRC=xx.xx.xxx.xx DST=10.10.2.4 LEN=48 TOS=0x00 PREC=0x00 TTL=249 ID=19262 DF PROTO=TCP SPT=1832 DPT=80 WINDOW=60984 RES=0x00 SYN URGP=0 OPT (020405AC01010402)

Sonrisa

, Prueba superada !!!! (Gracias a lampi por atacarme Sonrisa

....)

Sintactic Brain Registrado: Apr 30, 2005 Mensajes: 20058

**********************************************************************
SCRIPT para bloquear publicidad y pop up en los ordenadores conectados a WRT54Gx con Tomato
**********************************************************************

Este script bloquea cerca de 14.000 direcciones de las que llegan pop up's y publicidad a vuestro navegador.

Insertar en Administration/scripts/ en la pestaña de WAN UP, SAVE y Reboot.
Cuidado, se come cerca de 1MB de RAM del router. EN routers Buffalo o ASUS no es problema pero en el WRT54G se queda un poco justo de RAM.
La actualización de estas direcciones es automática y la hace cada viernes a las 23:45 (línea CRU). Lo que hace es añadir estás direcciones vetadas en el DNSmask.

sleep 5
test -s /tmp/dlhosts
if [ $? == 1 ] ; then
echo -e "#!/bin/sh\nwget -O - http://www.mvps.org/winhelp2002/hosts.txt | grep 127.0.0.1 > /etc/hosts\nlogger DOWNLOADED http://www.mvps.org/winhelp2002/hosts.txt\nkillall -1 dnsmasq" > /tmp/dlhosts
chmod 777 /tmp/dlhosts
/tmp/dlhosts
fi
cru a Gethosts "45 23 * * 5 /tmp/dlhosts"

Saludos

Está sacado del foro Tomato en linksys.org

Copy&code by Victek_AT_adslzone.net

Sintactic Brain Registrado: Apr 30, 2005 Mensajes: 20058

**********************************************************************
LIMITADOR de subida/bajada a partir de la versión 1.19.8800 con Tomato
**********************************************************************

Ya voy preparando el manual del limitador de subida y bajada para la nueva versión de Tomato que está en pruebas. Su configuración y funcionamiento es como sigue:

Si, hay que borrar NVRAM y configurar desde cero después de instalar el nuevo firmware. Esta es la versión del nuevo firmware:

Para que funcione no hace falta reboot del router (eso era una de las cosas que más me costó), los cambios son activos cuando pulsas SAVE.

Si miras las fotos verás la secuencia de programación de la función...

1º Fijo la IP a static DHCP.

2º Entro la MAC y la IP en ARP binding para que esté registrada. Esto es una seguridad para evitar que alguien usurpe la IP por la conexión por cable ethernet, no es necesario para que funcione el limitador de velocidad por IP.

CUIDADO que si pulsas Restrict Access to unlisted machines cualquier PC que no esté en la lista se quedará sin conexión .. (un buen cerrojo).

3º Voy a QoS limit y...

Habiliar la función = Enable QoS Limit
Download Bandwdth = Velocidad máxima de bajada en kilobits.
Upload Bandwidth = Velocidad máxima de subida en kilobits.

Para fijar estos valores lo mejor es hacer un test en speedtest.net y copias los valores.

4º La casilla TC no la toco, da una numeración que entra automáticamente la regla en el firewall.
5º IP Address, la IP de la máquina que quieres controlar.
6º DL Rate, velocidad máxima de bajada cuando el PC está compartiendo la conexión con otros (lógicamente la suma de todas las velocidades de bajada será igual a Download Bandwidth).
7º DL Ceiling, velocidad máxima de bajada cuando el PC tenga camino libre y otros PC's no estén bajando, (aquí le puedes fijar el tope de bajada de la conexión). Cuando haya otros PC's el ancho de banda se repartirá al Ceil de cada uno siempre que no se supere la máxima velocidad de bajada, si se supera entonces comienzan a repartirse el ancho de banda entre ellos ganando el que tuviera el Ceil más bajo Sonrisa

8º Upload Rate .. lo mismo que el punto 6 pero de subida
9º Upload Ceiling .. lo mismo que el punto 7 pero de subida
10º Priority, Suponiendo que dos IP's tengan el mismo Ceiling puedes todavía decidir cual de las dos IP's tendrá prioridad sobre la otra, para ello fija el nivel de prioridad.... (que idea más buena ehhh? ).
11º TCP Limit, Aqui puedes ajustar cuantas conexiones máximas se le dejarán a la IP en protocolo TCP.
12º UDP Limit, Lo mismo pero para protocolo UDP.

Una vez entrados los datos le das a Add y después a Save.. y la función ya está ajustada.

Saludos