abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 03:11 | Zajímavý software

    Vývojáři dekompilátoru rev.ng otevřeli jeho backend revng-c. Zdrojové kódy jsou k dispozici na GitHubu.

    Ladislav Hagara | Komentářů: 0
    včera 22:44 | Komunita

    Poněvadž Redis už není svobodný, konsorcium Linux Foundation a Amazon Web Services (AWS), Google Cloud, Oracle, Ericsson a Snap Inc. společně představili svobodný fork Redisu s názvem Valkey.

    Ladislav Hagara | Komentářů: 2
    včera 18:55 | IT novinky

    Sam Bankman-Fried, zakladatel zkrachovalé kryptoměnové burzy FTX, byl dnes odsouzen k 25 letům vězení [Yahoo Finance].

    Ladislav Hagara | Komentářů: 3
    včera 18:33 | IT novinky Ladislav Hagara | Komentářů: 0
    včera 13:11 | Nová verze

    Byla vydána nová verze 2.53.18.2 svobodného multiplatformního balíku internetových aplikací SeaMonkey (Wikipedie). Přehled novinek v poznámkách k vydání.

    Ladislav Hagara | Komentářů: 0
    včera 00:22 | Zajímavý článek

    Na blogu programovacího jazyka Swift byl publikován příspěvek Psaní aplikací pro GNOME v programovacím jazyce Swift. Používá se Adwaita pro Swift.

    Ladislav Hagara | Komentářů: 7
    27.3. 17:44 | Zajímavý software

    egui je GUI knihovna pro programovací jazyk Rust běžící na webu i nativně. Vydána byla verze 0.27.0.

    Ladislav Hagara | Komentářů: 0
    27.3. 16:22 | Nová verze

    Byla vydána nová verze 6.1 živé linuxové distribuce Tails (The Amnesic Incognito Live System), jež klade důraz na ochranu soukromí uživatelů a anonymitu. Přehled změn v příslušném seznamu. Tor Browser byl povýšen na verzi 13.0.13. Thunderbird na verzi 115.9.0.

    Ladislav Hagara | Komentářů: 0
    27.3. 14:44 | IT novinky

    Linka STOPonline.cz v roce 2023 přijala 3700 hlášení závadného obsahu na internetu, 22 bylo předáno PČR, 23 bylo předáno ISP a 944 závadových domén zobrazujících dětskou nahotu či pornografii bylo nahráno do mezinárodního systému ICCAM, který je spravován asociací INHOPE.

    Ladislav Hagara | Komentářů: 6
    26.3. 20:44 | Zajímavý článek

    Byla publikována podrobná analýza v upstreamu již opravené bezpečnostní chyby CVE-2024-1086 v Linuxu v nf_tables.

    Ladislav Hagara | Komentářů: 0
    Steam
     (24%)
     (29%)
     (14%)
     (9%)
     (24%)
    Celkem 385 hlasů
     Komentářů: 10, poslední včera 17:31
    Rozcestník

    Administrace komentářů

    Jste na stránce určené pro řešení chyb a problémů týkajících se diskusí a komentářů. Můžete zde našim administrátorům reportovat špatně zařazenou či duplicitní diskusi, vulgární či osočující příspěvek a podobně. Děkujeme vám za vaši pomoc, více očí více vidí, společně můžeme udržet vysokou kvalitu AbcLinuxu.cz.

    Příspěvek
    18.12.2012 22:25 j
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Related, established = pres toto pravidlo projdou navazana spojeni. Jednoduse pokud nekde povoluju neco (port, ip, ...), nemusim pokazdy zkoumat kazdy paket. Hodi se samo predevsim v pripade, ze hodlas (a to bys ve firme asi mel) nejak omezovat provoz na net (= nenechas tam accept). Napr je velmi vhodne omezit provoz jen na vybrany porty (i odchozi). Ne ze by to malware jako je skype zabranilo projit (dela neuveritelnej bordel v siti, jak zkousi vsechny mozny porty), ale precijen ne kazda aplikace(nebo uzivatel) si stim poradi = ponekud to zvedne bezpecnost.

    Neni rozdil ve vykonu, ale bezpecnosti - pokud nastavis NAT na konkretni IP, je to proste bezpecnejsi, nez kdyz tam ma maskaradu, ktera se spokoji s libovolnou IP. Jednoduse to ber jako kosticka ke kosticce, cihla k cihle ...

    Ad tunel, mas jednoduse (trebas) a.b.c.d/24 a k.l.m.n/24. Prvni je rozsah LAN, druhy tunelu. Z hlediska toho routeru je to sit jako sit. Natujes na 1.2.3.4 (eth0) => -A POSTROUTING -s a.b.c.d/24 -o eth0 -j SNAT --to-source 1.2.3.4, pro druhou sit pridas totez -A POSTROUTING -s k.l.m.n/24 -o eth0 -j SNAT --to-source 1.2.3.4 (muzes dat jinou IP, pokud mas). Pokud pominu pripadna dalsi pravidla, tak v tenhle okamzik ti bude uplne normalne komunikovat sit A se siti K, a pakety s cilem mimo tyhle dve site se znatujou a poslou do netu. Ale, site A a K se vidi primo => mezi nima se nic nenatuje (ale mozna sem jen blbe precet ten tvuj script - zarazil me tam ten DNAT). Samo pocitam, ze mas verejnou adresu primo na tom stroji - delat dvojitej nat je napikacu (jde to, ale dre to ...).

    Ad ten zbytek: -A FORWARD -i eth0 -j privatein -A privatein -s 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privatein -s 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privatein -s 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

    => z verejnyho internetu NESMI NIKDY prijit paket s privatnim sourcem (opet, eth0 ma verejnou IP, jinak by bylo treba to upravovat).

    -A privatein -d 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privatein -d 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privatein -d 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

    => dtto s privatnim cilem (v obou pripadech by mohl byt drop, je vhodnejsi pokud ti hrozi nejaky DOS)

    Pokud tam toto nedas, jednoduse ti na router dorucim takovy paket (cest je vicero) a router s nim udela presne to, co se od routeru ceka = odroutuje ho. Jakmile se trefim do tvyho rozsahu, muzu navazat spojeni s libovolnym strojem uvnitr (NAT NENI absolutne ZADNA ochrana).

    Mno a protoze pres router by nemelo totez projit do netu ven (neb sme hodni a chovame se podle RFC) -A FORWARD -o eth0 -j privateout -A privateout -d 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privateout -d 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privateout -d 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

    => pokud by se nam stalo(bezna vec), ze se nase vnitrni stroje budou chtit domluvit s nekym na nejakem privatnim rozsahu, ktery ale nezname (nepouzivas ho), tak to router samo taky odroutuje, ale podle RFC ma takovy pakety zahodit. Tady v kazdym pripade reject, protoze to je vnitrni sit = nechces cekat na timeout.

    V tomto formuláři můžete formulovat svou stížnost ohledně příspěvku. Nejprve vyberte typ akce, kterou navrhujete provést s diskusí či příspěvkem. Potom do textového pole napište důvody, proč by měli admini provést vaši žádost, problém nemusí být patrný na první pohled. Odkaz na příspěvek bude přidán automaticky.

    Vaše jméno
    Váš email
    Typ požadavku
    Slovní popis
    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.