连回家里可以做什么?
看下面五个场景。
1 连接路由管理界面,进行远程管理,通常如唤醒家庭局域网中的电脑,或者启动BT/PT进行远程下载。
2 向路由器中传输文件(将某些文件保存到家里,或者从家里获取一些文件)
3 访问部署在家庭局域网中的服务,如NAS,或者搭建好的Web应用程序(比如给别人建站,用于Demo站点搭建在家里)
4 使用远程桌面连接家里电脑(给客户展示你设计好的PS图样,存取文档,下载,执行程序编译软路由固件,打游戏...)
5 利用家中的互联网连接(典型如你在公司,有上网有限制,但从家里上网没有限制)
这几个啊,不是都有现成方案了吗?为什么还要说?
1 连回家里路由器图形界面?ISP封闭了80、443,改下路由图形界面端口,比如7001,公网上直接IP:端口访问就好了。
方法可以。不过路由器这图形界面安全性是在差了点,开到公网上被破解分分钟的事。不安全。
2 向路由器中传输文件?
- 路由上空间那么小,有必要吗?
别激动,路由那点空间确实不是给你临时存储文件的,但是,路由上可以挂载其他硬盘,可以挂载NAS,你可以直接传到硬盘或者NAS里。
- 好吧,如果空间没问题,那么为了传文件,在路由上开个网盘,比如可道云,防火墙开个端口,公网上直接IP:端口访问就好了。
方法可以。搭建个网盘,不麻烦吗?另外这类内网级别的东西开到公网上,安全吗?不安全也不优雅。
3 访问部署在家庭局域网中的服务。老办法,防火墙开一堆端口映射,公网上直接IP:端口访问就好了。
方法可以。设置一堆映射,麻烦,不优雅。内网东西开到公网,不安全。
4 使用远程桌面连接家里电脑。老办法,直接把Windows远程桌面端口转发到公网。
方法可以。家庭电脑上公网,我不怎么放心。不安全。
5 利用家中的互联网连接?开HomeLede的IPSec,可以做到。
方法可以。你可能要设置一个IPSec了。不优雅。
你把上面方法都怼了,你拿个既优雅又安全的出来!
没错,我还真有一个方案。利用SSH,即可设置一次搞定上面五个场景。安全性没有一点问题,还不需要设置一堆东西,既优雅又安全。
不错啊,怎么做?
三个要求:
1 首先,你要有个公网IP,让你在互联网上可以连回路由器。(没有怎么办?别急,计划下一篇给出一个方案)
2 有DDNS动态域名。这一步可选,有了动态域名你就可以避免记忆家里路由公网IP,当然,有Server酱等方案或者记忆力超群也没问题,不过记得大多数ISP的公网IP会变,记得要连接最新的。
3 有个电脑。台式,笔记本都可以。有的朋友问了,手机,Pad不行吗?理论说,不是不行,不过移动设备屏幕太小,上面五件事可以算是要求相对较高的远程操作了,你想想用手机操作方便吗?所以我推荐用电脑。
怎么做?
HomeLede已经内置了SSH服务器,我们需要做的是准备一个SSH客户端。Windows推荐使用Bitvise SSH Client。下载地址:https://www.bitvise.com/ssh-client-download
完全免费,功能强大。
如何连接到HomeLede(家庭路由器)?
SSH默认可以使用路由器的命令行用户连接,路由默认的root/password就可以。但这样太不安全了,我们采用秘钥对方式来连接。
打开Bitvise SSH Client,先保存一下连接设置。选择一个合适的位置保存连接信息。
我们来生成秘钥对。
首页上点击“Client key manager”,弹出窗口中,点击“Generate New”生成一个新的秘钥对。秘钥对弹窗中,“Algorithm”秘钥算法下拉框中,选择“Ed25519”。(Ed25519是目前最安全、速度最快的秘钥对生成算法,传统的一般用RSA),其他参考下图设置。
最后点击“Generate”生成。
接下来,我们把秘钥对中的公钥,保存至路由器。
在“Client Key Management”窗口中,点击选中刚才生成的秘钥对,点击下方“Export”按钮,弹出窗口中,选择格式“OpenSSH format”,点击下方“Export”按钮。选择一个公钥保存位置并命名。本例中使用“HomeLedePubKey”扩展名默认为pub。
打开“HomeLedePubKey.pub”,其中以“ssh-ed25519 ”字样开头的这一行,就是秘钥对的公钥。全选本行后,按Ctrl+C复制。
打开HomeLede管理界面,找到“系统”,“管理权”,拉到最下面,在“SSH秘钥”处,按Ctrl+V将上一步复制的公钥粘贴进来。点击“保存并应用”。
至此,路由器已经接受我们刚才生成的秘钥了。
接下来,设置路由器的SSH服务端。默认路由器SSH服务端会接收来自本地(LAN,也就是家庭网络内部),22端口的请求,且允许使用用户名密码认证。如下。
我们添加(点击“SSH秘钥”上面左侧“添加”按钮)一条WAN的设置,接收来自互联网的,某个端口(注意避开ISP屏蔽的80、443),比如7001,最后别忘记点击最下面的“保存并应用”。
注意,我们去掉了“密码验证”及“允许 root 用户凭密码登录”,这样从互联网的连接,只能使用秘钥方式连接。通过穷举密码的破解方式就无效了。如下图。
至此,通过SSH客户端,我们已经可以从互联网安全的连回家庭网络了。
可以测试一下,在Bitvise SSH Client中输入外网IP或者动态DNS域名,端口按照刚才设置填写,使用root用户,认证方式选择publickey。
点击“Login”后,下方日志中出现“Authentication completed.”字样,就是连接成功了。
如果是第一次连接,会弹出窗口,询问是否接受服务器的Host Key,点击“Accept”就好。
接下来,点击“Save Profile”将测试完毕的连接信息保存起来。
这个tlp文件就是连接回家庭局域网的钥匙,务必保存好(存到邮箱,或者网盘都可以),如果在公共计算机上使用,使用后记得删除。
好了,接下来我们开始解锁上面的五种场景。
先来 解锁1 访问路由器图形界面、 3 访问部署在家庭局域网中的服务 和 5 利用家中的互联网连接。
SSH支持动态Socks转发,利用这个功能,可以在运行SSH客户端(Bitvise SSH Client,也就是你手里的这个电脑)的主机上开一个本地Socks5代理,所有流量通过SSH转发到服务端(HomeLede软路由上)。一次完成场景1、3、5。
确认连接到SSH服务端后(HomeLede软路由),在Bitvise SSH Client中,点击“Services”,在“SOCKS/HTTP Proxy Forwarding”处,勾选“Enabled”启动,最后点击下面“Apply”应用设置。
按照默认设置,会在本地127.0.0.1的1080端口开启一个SOCK5代理。如果你本地端口已经被占用,请自行调整上面端口后,再启用。
随后,我们让浏览器通过这个SOCKS5代理来访问网络。
以Chrome为例。虽然Chrome可以使用Windows系统默认设置的代理,但操作起来非常不灵活,不推荐这样用。建议为Chrome安装一个插件,https://proxy-switchyomega.com/。
SwitchyOmega安装后,会自动在“情景模式”中创建一个叫做proxy的情景,我们把其中的“代理服务器”的“代理协议”设置为“SOCKS5”,代理服务器设置为“127.0.0.1”,端口“1080”(指向SSH客户端开启的本地Socks5代理)。最后,点击“应用选项”。
现在就可以开启新浏览窗口,浏览网页了。在地址栏右侧,可以通过点击“SwitchyOmega”图标,设置Chrome联网模式,比如我们希望连回家里的HomeLede,选择刚才配置的“Proxy”模式。
现在试试访问以下家里的路由器界面,比如192.168.1.1。是不是和在家里访问一样了?
你可以试试访问NAS管理界面,比如群晖的,192.168.1.220:5000,或者任何家中的Web服务。是不是都可以访问了?
输入百度,腾讯等等任何网站,现在所有流量都相当于在家中HomeLede软路由发出,访问受限的网站都可以访问了?
所有家庭内网服务都不需要暴露在公网上(无需端口转发),无需担心安全问题,使用完毕后,关闭SSH客户端(Bitvise SSH Client)一切连接就中断了。
我们再来看看2 向路由器中传输文件。
我们不会利用路由器自有空间存储文件,路由就是个中转,通常在路由上挂载额外的硬盘,或者NAS。如下图,路由上挂在了额外的硬盘及NAS。
提示:路由挂载NAS可以使用HomeLede的“网络存储”->“挂载SMB网络共享”。
SSH客户端支持文件传输,点击左侧的“New SFTP window”,弹出一个文件传输的窗口,左侧“Local files”是你当前电脑,右侧“Remote files”是HomeLede路由器。在右侧选择你想存储文件的路径,比如你NAS挂载位置,左侧选择路径,文件,右键文件“Upload”即可上传。在右侧选择文件,右键“Download”即可下载。
最后一个场景,4 使用远程桌面连接家里电脑
(给客户展示你设计好的PS图样,存取文档,下载,执行程序编译软路由固件,打游戏...)
通常用远程桌面连接搞定。一般家里电脑不会总开着,所以用之前,需要先开机。现在几乎100%有线网卡都支持远程唤醒,一根网线连接HomeLede软路由与电脑,电脑BIOS中设置允许唤醒,操作系统中也在网卡处启用唤醒,另外操作系统要允许远程桌面连接,为了连接方便,建议在路由上给你电脑配置静态IP。(还可以考虑智能开关,将电脑设为来电自动开机,通过手机遥控开关,使电脑上电后自动启动。)
SSH连接HomeLede,进入路由界面,“管控”->“网络唤醒”,右侧选择你要唤醒设备的MAC地址,点击“唤醒主机”之后,大概10几秒,电脑就会进入操作系统了。
这时就可以远程连接了,如何来做呢?
SSH客户端支持双向端口转发,我们需要的是从手边的电脑连接到家里的电脑,所以使用Bitvise SSH Client的C2S(Client To Server)功能,我们做的是将本机的一个端口,转发到家庭局域网里电脑的远程桌面连接端口上。切换到C2S标签,点击下方“Add”添加一个转发。“Listene Interface”和“List. Port”是你本机监听端口,我们通常用127.0.0.1,端口随意一个空闲的,比如13389。
“Destination Host”和“Dest. Port”是家庭网络中对应的位置。比如家里电脑是192.168.1.3,Windows默认远程连接端口是3389。这里就填入192.168.1.3和3389。
这样,一条规则就建好了,这条规则的意思是,将本机(SSH客户端)127.0.0.1的13389端口流量转发到HomeLede(SSH服务端),由HomeLede转发到家庭局域网的192.168.1.3的3389端口。
建好规则后,规则配置栏右下角会出现“Apply”字样的超链接,点击即可生效。
接下来,我们启动手头电脑的远程桌面连接,连接127.0.0.1:13389,怎么样,是不是出现了家里电脑的远程登录界面?输入用户名密码登录吧。随后,你是想展示设计图,编译固件,甚至打游戏,就随你了。
以上对于Bitvise SSH Client的各种设置,如“Services”,“C2S”标签的设置,都可以点击左侧“Save Profile”保存下来,下次SSH一建立,所有设置会自动生效。当然SSH客户端还可以远程在HomeLede上执行命令,也就是左侧“New terminal console”按钮,点击即可打开一个命令行窗口。其实还有好多功能,大家可以自行探索。
总结
本文介绍了使用SSH连回家庭局域网的方法,特别适合于在外工作的人士,经常需要访问回家庭网络资源的人士使用。
本方法适合于在电脑上操作,安全高效,一次设置,长期可用。
本文的方案在HomeLede软路由固件上(https://github.com/xiaoqingfengATGH/HomeLede)测试通过。
涉及到的软件下载:
- HomeLede固件:https://github.com/xiaoqingfengATGH/HomeLede/wiki/HomeLede%E7%89%88%E6%9C%AC%E5%8F%91%E5%B8%83
- SSH客户端:Bitvise SSH Client https://www.bitvise.com/ssh-client-download
- Chrome浏览器插件:SwitchyOmega https://proxy-switchyomega.com/