Mert SARICA
If you are looking for an English version of this article, please visit here.
Yıllarca internet servis sağlayıcılarının ADSL modemini kullanmış ve bunlar üzerinde yapmış olduğum güvenlik araştırmaları (Hediye Modemler Ne Kadar Güvenli? , Donanım Yazılımı Analizinin Önemi) ile bilgi güvenliği farkındalığını arttırmaya çalışmış biri olarak hediye modem kullanmaya bireysel olarak sıcak baktığımı pek söyleyemem. Bunun başlıca nedenlerinden bazılarını sayacak olursam; modemlerde internet servis sağlayıcıları tarafından kullanılan gömülü kullanıcı hesaplarının herkes tarafından öğrenilebilmesi ve son kullanıcının modemin/yönlendiricinin yönetim sayfasını internetten erişime açması durumunda başkaları tarafından kötüye kullanılabilmesi, donanım yazılımının (firmware) özel sürüm olması sebebiyle son, en güvenli sürüme güncellenememesi, bağlantı kısıtlamasının (firewall) her bağlantı noktası (port) için yapılamaması, kısıtlı yönetim sayfaları diyebilirim.
Yaklaşık iki yıl önce evime fiber internet altyapısının gelmesi ile birlikte ADSL modemin yerini yönlendirici (router) aldı. Internet servis sağlayıcımın kullanmaya zorunlu tuttuğu Tılgın marka, kendi web sitesinde dahi adı sanı bulunmayan HG1332 model yönlendirici ile internetten aldığım keyifli günler yerini esarete bıraktı. Vasat ötesi WiFi sinyal gücü, 7 yıl önce yönlendiricilerin desteklemeye başlayıp günümüzde sıradan hale gelmiş OpenVPN desteğinin olmaması, modern güvenlik dünyasının şifreli dns iletişimini (DoH) desteklememesi, dinamik dns (DDNS) desteğinin oldukça sınırlı olması gibi bir çok olumsuz neden sayabilirim.
Bu yönlendirici ile kısa süreli mutsuz bir beraberlikten sonra internet servis sağlayıcımla yönlendiriciyi değiştirmek üzere iletişime geçtiğimde ne yazık ki olumsuz yanıt aldım. Internet üzerinde bu yönlendiriciden kurtulmak için araştırma yaptığımda da bol bol şikayet dışında elle tutulur 1 kaynak bulamadığım ve buna ayıracak zamanım da pek olmadığı için zaman içinde kaderime boyun eğmek zorunda kaldım.
Tılgın HG1332 ile geçirdiğim mutsuz zamanların süresi arttıkça bu yönlendiriciden kurtulmak için aradan 1 yıl geçtikten sonra internette arama yaptığımda internet servis sağlayıcısının bu yönlendiriciyi köprü modunda kullanarak kendi yönlendiricinizi kullamaya izin verdiğini öğrendim. Zaman içinde HG1332’den nefret ettiğim için tamamiyle kurtulmanın yollarını aramaya başladım. Sosyal ağ hesaplarım üzerinden yardım çağrısında bulunduğumda sağolsun epey bir kişi bu konuda yardımcı olmak için seferber oldu. Aykut ALPER‘in farklı bir internet servis sağlayıcısında Mikrotik yönlendirici ile bunu yaptığını, bir başka yardımseverin VLAN ID ve PPOE kullanıcı adı ve parolası ile HG1332’den kurtulabileceğimi belirtmesinden sonra ihtiyaç listesi üzerinde çalışmaya başladım. Listeyi hazırlamak için aklıma gelen sorulardan bazıları şunlar oldu;
Yıllarca Asus modem ve yönlendiricilere DD-WRT, Tomato, Asuswrt-Merlin gibi özel donanım yazılımlarının (custom firmware) kolayca yüklenebildiğini bildiğim için tercihimi Asus markasından yana yaptım. Donanım yazılımı olarak da güvenlik özellikleri hoşuma gittiği için Asuswrt-Merlin‘i tercih ettim. Asuswrt-Merlin’in desteklediği modeller genel olarak pahalı olduğu için, fiyat ve performans açısından benim için en uygun olan RT-AC1900U modelini satın aldım.
Tılgın HG1332’nin arayüzüne admin kullanıcısı ile bağlandığımda maalesef VLAN ID’mi görebileceğim yönetim sayfalarının çoğu gizlenmişti. Internet üzerinde HG1332’ye yönelik araştırma yaptığımda, bu yönlendiriciden kurtulmaya çalışan bir kişinin yazdığı bir yazıdan, HG1332 yönlendiricisinde de tanımlı olan kullanıcı adı ve parolaları elde etmeye başaran İlteriş EROĞLU isimli genç bir arkadaşın başarılı çalışmasına rastladım. 2015 yılında Donanım Yazılımı Analizinin Önemi başlıklı yazımda benim de dikkat çektiğim şifresiz kanal üzerinden TR-069 iletişimin gerçekleşmesinin yıllar sonra İlteriş’in çalışmasında da hala devam ettiğini görmek beni oldukça şaşırttı. Yazıda yer alan root kullanıcısı ile HG1332’nin arayüzüne bağlandıktan sonra VLAN ID’mi kolay bir şekilde öğrenebildim.
root kullanıcısı ile arayüze girdikten sonra PPOE kullanıcısının parolası maskeli olduğu için mevcut konfigürasyonu yönlendiriciden indirip içinden PPOE parolasını elde edebildim.
RT-AC1900U için Asuswrt-Merlin’in web sayfasından ilgili donanım yazılımı sürümünü (RT-AC1900U için RT-AC68U yazılımı kullanılmalıdır.) indirip, web arayüzü üzerinden sorunsuz bir şekilde kurulumu gerçekleştirdim. Ardından PPOE ve VLAN ID tanımlarını da yaptıktan sonra yönlendiricinin başarıyla internete bağlanabildiğini gördüm.
Sıra yönlendiricinin gerçekleştirdiği tüm DNS trafiğini şifreli (Dns over HTTPS – DoH) hale getirmeye geldiğinde ilk işim yönlendiriciye yüklenen paketleri kurabileceğim ve çalıştırabileceğim bir USB disk bağlamak oldu. Ardından komut satırından entware-setup.sh komutunu çalıştırarak kurulumu kısa sürede tamamladım. DoH desteğine sahip dnscrypt-proxy aracını kurmak için ise curl -L -s -k -O https://raw.githubusercontent.com/thuantran/dnscrypt-asuswrt-installer/master/installer && sh installer ; rm installer komutunu çalıştırıp kurulumu gerçekleştirdim. dnscrypt-proxy aracının başarıyla çalıştığını teyit etmek için de ülkemizde hala yasaklı olan wikipedia.org adresinin ip adresini çözümlemeye çalıştığımda aracın başarıyla çalıştığını gördüm.
Yönlendiricinin etinden sütünden faydalanmak için bir de VPN servisleri ile olan bağlantısını (Netflix kullanıcıları nedenini çok iyi anlayacaklardır. :)) test etmeye karar verdim. Bunun için ABD seyahatim esnasında televizyonda çokça reklamını gördüğüm NordVPN VPN servis sağlayıcısına üye oldum. Asuswrt-Merlin kullanıcıları için özel olarak oluşturdukları yardım sayfasındaki adımları gerçekleştirdikten sonra yönlendiricinin NordVPN sunucularından biriyle başarıyla bağlantı kurmasını sağladım.
NordVPN ile bağlantı kurduktan sonra internet bağlantımın herhangi bir web sitesine bağlanamayacak şekilde aşırı derecede yavaşladığını farkettim. “Bu VPN sunucusunda problem var sanırım”, “Bu VPN sunucusu da mı yavaş ?” derken bağlandığım 10’a yakın sunucudan web sitelerine bağlanamadığımı farkettim. Tam NordVPN’in hizmet kalitesini sorgulamaya başlamışken bir anda aklıma sosyal medyada VPN servislerinin yavaşlatıldığı iddialarına yönelik okuduğum mesajlardan biri geldi.
Bağlandığım NordVPN sunucularından Google’ın DNS sunucusu olan 8.8.8.8 ip adresini pinglediğimde sürelerin katlanarak arttığını farkettim.
NordVPN’in Double VPN özelliğine sahip sunucularından birine bağlandığımda bu defa ping süresinin çok daha makul seviyelerde olduğunu ve web sitelerine bağlanabildiğimi gördüm. Başka bir Double VPN sunucusuna bağlandığımda ise bu yine bağlantımın inanılmaz derecede yavaş olduğunu farkettim. İki vpn sunucusunun OpenVPN bağlantı ayarlarını kıyasladığımda, mesaj doğrulamasında kullanılan AUTH parametresinin (HMAC digest algorithm) farklı (SHA512 yerine SHA1) olduğunu tespit ettim. Tüm NordVPN sunucularının arasından AUTH parametresinin SHA1 olanlarına bağlanmayı denediğimde bağlantının yavaşlamadığını dolayısıyla bu yavaşlamayı tetikleyen unsurun SHA512 algoritması ile ilişkili olabileceğine kanaat getirdim.
PING sürelerinin gecikmesine neyin sebep olabileceğini LinkedIn üzerinden sorduğumda genel olarak gelen yanıtlar; hattın sature olabileceği, aradaki yönlendiricinin bozuk olabileceği, ethernet kartında sorun olabileceği, yerel ağda topraklama sorunu olabileceği, firewall bağlantı listesinin dolduğu, sistemin saldırı altında olabileceği oldu. Ben de paylaştığım ekran görüntüleri ve Linkedin’den gelen yorumlar ışığında bu gecikmeye neyin sebep olduğunun bulunmasını, alıştırma olması adına siz sevgili okurlarıma bırakmaya karar verdim.
Sonuç olarak yıllarca istemeyerek, şikayet ederek kullandığım Tılgın HG1332 yönlendiriciden kurtularak, güvenliğini kendimin sağlayabildiği, güvenlik özellikleri ile dopdolu yeni yönlendiricime yıllar sonra kavuşmuş oldum. Özellikle OpenVPN desteği sayesinde, alışveriş merkezleri, oteller, cafeler, havaalanları gibi halka açık alanlarda ücretsiz olarak sunulan fakat bilgi güvenliği adına kullanıcılar için risk teşkil eden ücretsiz/ortak WiFi hizmetlerinden faydalanmak istediğimde, evimdeki yönlendiricime VPN ile güvenli bir şekilde bilgisayarımdan veya cep telefonumdan bağlanabilmek ve bu riski minimuma indirgeyebilmek de beni fazlasıyla mutlu etti.
Bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.
Mert SARICA
33 comments
4.5
Merhaba,
vlan id superonline fiber kullanan herkeste farklı mıdır? benim huawei router de VİD:0 PRIO:1 görünüyor. Ancak asus router da vid:0 değeri girmemize izin vermiyor.
Bulunduğunuz binaya göre değişiyor sanırım ancak emin değilim. Superonline kullanmadığım için yorum yapamıyorum.
Çok teşekkür ediyorum sizi rahatsız ediyorum kusura bakmayın lütfen. Son bir soru :) Vpn servisini açtığımda cihaza uzaktan erişemiyorum. Fakat kapatırsam erişim sağlanıyor sizce ne yanlış olabilir ayarlardan ?
https://ibb.co/rZSVbDS
https://ibb.co/J54ncms
O kadarını maalesef bilemiyorum.
Teşekkür ederim. Tüm her şeyi sorunsuz bir şekilde hallettim. DNSCrypt proxy kullanırken hangi dns servisini kullanıyordunuz ? cisco, adblock vs. Bunun yerine direk manuel cloudflare dns kullansam nasıl olur ? Hangisi daha güvenilir ? Böyle bir sorunum olmamasına rağmen, yurt dışından redmi ac2100 router modelini getirtip. İçine padavan yazılımını kurup, dediklerinizi yaptım. Gerçekten çok zevkli, bu yazı için ayrıca teşekkür ediyorum.
Cloudflare DNS kullanmıştım.
Bağlantıyı yaptım fakat dışardayken evde ki yönlendiriciye nasıl bağlanıyoruz ?
OpenVPN client ile. Onun için de şu videoyu inceleyebilirsiniz. https://youtu.be/Yj2S9k-z-AY
Merhaba, konunun sonunda openvpn ile evimde ki yönlendiricime bağlanıyorum diyorsunuz. Bunu nasıl sağlıyoruz ?
Bu sayfayı inceleyebilirsiniz. https://support.nordvpn.com/Connectivity/Router/1047410642/AsusWRT-Merlin-setup-with-NordVPN.htm
Selam, arastirmayla gecen 24 saatin ardindan sonunda sayenizde tilgin modemden kurtuldum. Elimde kullanmadigim asus rt68u router vardi ve modemsiz internet alamayacagimi dusunuyordum. Tam pes etmek uzereyken bu yazdiginiz adimlari teker teker uyguladim ve routeri internete cikarttim. Arkadaslarin da emegine saglik gercekten github’da cok guzel makale seklinde tilgin’in icini disina cikarmislar. Sizlere de ayrica tesekkur ederim, esaretten kurtulmak isteyen insanlari ozgurluklerine kavusturdugunuz icin. :)
Bilgi güçtür ve paylaşıldıkça artar. :)
Selamlar. Benim modemimde indirdiğim config dosyası .cfg uzantılı ve içini okuyamıyorum. Ne yapmalıyım ? Superonline hg2332
Kullanmadığım için bilemiyorum.
Wan ayarlarından vlanı girdikten sonra telekom modemin wan mac adresini de girmek gerekmiyor mu yoksa sadece vlan yeterli mi??
Mac adresini her ihtimale karşı girmiştim, girmeden de olur mu konusunda açıkçası bilgim yok.
Evet mümkün bendede dsl-ac68u var merlin yüklemeden esaretten kurtuldum.. Önemli olan vlan ı etkinleştirmek ve değerini girmek..
Asuswrt-Merlin kurmadan tılgın’ı başka router ile değiştirmek mümkün mü? Şayet benim alacağım ROG Rapture GT-AX11000 merlin desteği yok. Teşekkürler
Maalesef bilgim yok.
Yazınız ve verdiğiniz kaynaklar için teşekkür ederim. Ben de esaretten kurtulmuş bulunuyorum :)
Hayırlı olsun. :)
Mert hocam selam, her isp icin bu mümkün müdür? Mesela superonline icin baska router çalışmaz diyorlar. Bilginiz var mi bu konuda?
Teoride mümkün olması lazım ancak pratik olarak maalesef bilgim yok.
4
Mert abi modem den bahsetmişken bu port açmada sorunu için CGN servisini nasıl bypass edebiliriz bir bilgin varmı.
Yok maalesef.
VPS aldığın zaman evdeki destekleyen her sistemi ayrı ayrı bağlaman, ayarlaman gerekiyor. Ayrıca yönlendiricine VPN yaptıktan sonra evdeki sistemlerine bağlanman da epey pratik oluyor. Ben biraz da işletim sistemlerinden bağımsız olsun istedim. Yazımda da Mikrotik önerildiğinden bahsetmiştim ama son zamanlarda çıkan güvenlik zafiyetleri ve ince ayar yapma ihtiyacı düşündürdü.
Mert bence 3.49USD ver bi VPS al kendi VPN sunucunu kur en güzeli o şekilde. OpenVPN’de TLS trafiğinin de önceden gizlenmesine izin veren şeklinde bir sertifika daha kullanabiliyorsun. Snifferları atlamada özellikle başarılı oluyor. Ben tüm cihazlarım için sertifika yarattım; kullanıcı adı ve şifre kullanmıyorum. Bir adım ileri götürüp Obsfproxy’de ekleyebilirsin önüne. macOS’de repolarda hazır var ama galiba Windows’da da python modülü olarak eklenebiliyor.
Bu arada şanslısın evine RJ45 geliyor. Biz kablo modemciler ne yapsın? Anten kablosunu takacak bir yönlendirici bulamadım; anca uyduneti köprü moduna alıp önüne mikrotik koydum onu kullanıyorum. Bu arada hiç kullanmadıysan Mikrotik bir yönlendirici al özelliklerine bak; epey epey iyi bir alet.
Not: WordPress yorum bölümündeki karakterleri büyük yapan CSS biraz probleme yol açıyor.
Şöyle bir yazı var https://berkimran.com.tr/gizlilik-rehberi-1.html
Buna ilaveten tarayıcıların private browsing özelliğini de kullanmayı tavsiye edebiliriz.
Mert abi merhabalar yine yazı akıyor :D , internette takip edilmemek için ne yapmak gerek? Ya da sen neyi tavsiye edersin. Takip edilmekten kastım google, opera gibi tarayıcılar girdiğimiz her siteyi logluyor. facebook sitelerdeki begen tuşlarından bizim hangi sitelere girdiğimizi biliyor. Her şeyi geçtim telefonlarda uygulamalar her dk bizim ne yaptığımızı takip ediyor. Bu takip olayını engellemek için hangi programları önerirsin ? Android de ya da Windows ta istemediğimiz url get isteklerini engellemenin bir yolu var mıdır? Sahte local dns server ya da proxy server tüm trafiği kontrol etmek için yeterli olur mu?
5