abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

dnes 01:44 | Zajímavý projekt

Kampaň na podporu chytrého telefonu Librem 5, jenž by měl respektovat bezpečnost, svobodu a soukromí uživatelů, úspěšně skončila. Bylo vybráno více než 2,1 milionu dolarů, tj. cíl kampaně byl splněn na více než 141 %. Objednáno bylo cca 3 000 telefonů. Telefon Librem 5 by měl být k dispozici v lednu 2019.

Ladislav Hagara | Komentářů: 1
včera 21:11 | Komunita

Ke zhlédnutí jsou videozáznamy přednášek z konferencí All Systems Go! (media.ccc.de) a GStreamer Conference 2017 (ubicast.tv) konaných o víkendu 21. a 22. října. All Systems Go! v Berlíně a GStreamer Conference 2017 v Praze.

Ladislav Hagara | Komentářů: 0
včera 20:33 | Komunita

MojeFedora.cz informuje (en), že Fedora 27 přináší snadný přístup k Red Hat Enteprise Linuxu. Virtualizační nástroj Boxy nyní umožňuje jednoduše stáhnout a nainstalovat Red Hat Enterprise Linux, který je pro vývojáře zdarma. Vytvořit lze neomezené množství virtuálních mašin s RHEL.

Ladislav Hagara | Komentářů: 1
včera 19:00 | Komunita

Konsorcium Linux Foundation oficiálně představilo licence pro komunitní otevřená data Community Data License Agreement (CDLA). První licence je copyleftová CDLA-Sharing a druhá permisivní CDLA-Permissive. Odpovědi na často kladené otázky ve FAQ.

Ladislav Hagara | Komentářů: 0
včera 13:55 | Pozvánky

Spolek OpenAlt zve příznivce otevřených technologií a otevřeného přístupu na 145. pražský sraz, který proběhne ve čtvrtek 26. října od 18:00 hodin v karlínském Pivovarském klubu. Najdete jej kousek od metra Florenc na adrese Křižíkova 17, Praha 8. Jedná se o poslední sraz před konferencí OpenAlt 2017, jež proběhne o víkendu 4. a 5. listopadu 2017 na FIT VUT v Brně. Běží registrace účastníků.

Ladislav Hagara | Komentářů: 0
včera 06:00 | Zajímavý software

Byla vydána verze 0.56 open source platformy Home Assistant (GitHub) pro monitorování a řízení inteligentní domácnosti naprogramované v programovacím jazyce Python verze 3 a bežící také například na Raspberry Pi. Pro vyzkoušení je k dispozici demo [reddit].

Ladislav Hagara | Komentářů: 0
22.10. 16:55 | Nová verze

Byla vydána verze 1.0 klienta F-Droid určeného pro instalaci aplikací do Androidu ze softwarového repozitáře F-Droid (Wikipedie), alternativy k Google Play, nabízející pouze svobodný a otevřený software. Podrobnosti v přehledu změn [Hacker News].

Ladislav Hagara | Komentářů: 7
22.10. 00:55 | Nová verze

Po téměř 13 měsících vývoje od verze 0.11.0 byla vydána verze 0.12.0 hardwarově nenáročného desktopového prostředí LXQt (Lightweight Qt Desktop Environment, Wikipedie) vzniklého sloučením projektů Razor-qt a LXDE. Přehled novinek v příspěvku na blogu.

Ladislav Hagara | Komentářů: 10
21.10. 12:33 | Zajímavý software

Článek ne Medium představuje nejnovější stabilní verzi 2.0 svobodné decentralizované mikroblogovací platformy a sociální sítě podobné Twitteru Mastodon (Wikipedie). Detailní přehled novinek na GitHubu [Hacker News].

Ladislav Hagara | Komentářů: 0
21.10. 06:00 | Komunita

V Praze na půdě Elektrotechnické fakulty ČVUT dnes probíhá RT-Summit 2017 – setkání vývojářů linuxového jádra a uživatelů jeho real-time verze označované jako preempt-rt. Přednášky lze sledovat online na YouTube.

Ladislav Hagara | Komentářů: 0
Jak se vás potenciálně dotkne trend odstraňování analogového audio konektoru typu 3,5mm jack z „chytrých telefonů“?
 (10%)
 (1%)
 (0%)
 (1%)
 (76%)
 (12%)
Celkem 240 hlasů
 Komentářů: 8, poslední 22.10. 23:02
    Rozcestník

    Skripty pro firewall

    8.6.2010 19:00 | Přečteno: 1598× | Počítače | Výběrový blog | poslední úprava: 8.6.2010 17:40

    Soubor skriptů pro nastavení pravidel firewallu

    Pro nastavování pravidel do firewallu jsem si udělal sadu jednoduchých a přehledných skriptů. Pravidla mohou být u velké sítě dost složitá. Častý bývá požadavek snadného přenosu těchto pravidel na jiný počítač, například na pobočce. Pravidla bývají v takovém případě podobná, mění se pouze nastavení ip adres a podobně.

    Nastavovat pravidla přes klikací prostředí samozřejmě je možné (například kmyfirewall), ale i zde se ztrácí přehlednost, nastavit složitější věci je extrémně pracné, a v neposlední řadě nelze taková pravidla spravovat v nějakém verzovacím systému - nelze se snadno vrátit k předchozímu stavu.

    Klikadla pro nastavení všeho možného navíc všeobecně trpí dvěma neduhy: nic nelze zdokumentovat přímo na místě (příklad: registr windows) a odstranění nějakého pravidla "na zkoušku" s tím, že když se to neosvědčí, obnoví se původní stav, není možné (příklad: registr windows). V textových skriptech je možná jak dokumentace, tak podmíněné zpracování kusu kódu, případně zakomentování kódu.

    V dobách dřevěných jsem nastavoval pravidla v jenom velkém souboru. Přehlednost s rostoucí složitostí vzala rychle za své. Časem jsem vypracoval systém podobný systému popsanému v tomto článku, jeho nevýhodou však byla filosofie "Jedno pravidlo - jeden soubor". Protože například transparentní přístup na IMAP server je potřeba nastavovat v NAT (dvakrát - jednou pro vnitřní síť a jednou pro internet) a ve FORWARD pravidlech taky dvakrát (zvenku dovnitř a zevnitř dovnitř), každá podobná služba se i v případě jednoduchého firewallu se dvěma síťovými kartami nastavovala ve čtyřech souborech. Pokud se k tomu přidala ještě demilitarizovaná zóna, pravidel a souborů ještě přibylo.

    Přepracovaný systém pro tvorbu pravidel firewallu změnil filosofii na "jedna služba - jeden soubor". Transparentní přístup na IMAP v přepracované verzi se tak nastavuje v jediném souboru (zapisuje se do více pravidel najednou).

    Jednoduchou verzi pro dvě síťové karty vám nyní nabízím.

    Download: http://bravenec.org/cs/howto/firewall/FW-1.0.tgz

    Popis skriptů pro tvorbu pravidel firewallu

    V hlavním adresáři FW je několik souborů:

    firewall - spustitelná dávka, která projde a nastaví všechna pravidla přímo do kernelu. Na konci se volá uložení pravidel do systému (určeno pro Gentoo Linux).

    nastaveni - textový soubor s nastavením. Zde musíte zadat IP adresy svých síťových karet. Také zde máte možnost povolit a přesměrovat některé služby přístupné z internetu (například poštu) a vyřizované v počítači někde ve vnitřní síti (ideálně v demilitarizované zóně, ale to se v tomto jednoduchém příkladě neřeší).

    rules - podadresář se samotnými pravidly. V tomto adresáři jsou další podadresáře uvedené čísly (podle čísel se řídí pořadí volání).

    Podadresář rules

    V adresáři jsou další podadresáře. Každý podadresář shromažďuje příbuzná pravidla:

    000.common - pravidla jako defaultní policy, antispoofing, synflood, icmp a podobně. Tato pravidla jsou vždy volaná z jiných pravidel.

    100.pravidla - základní rozdělení do pravidel. Pravidla jsou pojmenovaná podle směru:

    Pravidla jsou minimalistická, obsahují jen nezbytná nebo obvyklá nastavení. Počítá se s tím, že další pravidla se budou přidávat v následujících souborech.

    300.zevnitr - soubory s pravidly pro přístupy z vnitřní sítě. Namátkou:

    400.zvenku - soubory s pravidly pro přístupy z vnější sítě. Namátkou:

    500.sluzby - Soubory pro zpřístupnění služeb. Služby zde uvedené mají dvě věci společné - server obsluhující službu je umístěný ve vnitřní síti a přístup na tuto službu musí být stejný jak z vnitřní sítě, tak z vnější sítě. Typickým příkladem je například http server. Ten může běžet ve vnitřní síti (počítač je z internetu nedostupný), ale stránky musejí být přístupné svou url adresou (například http://bravenec.org/) jak z vnitřní sítě, tak z internetu. Stejným způsobem je nutné přitsupovat typicky k poště (imap.bravenec.org a smtp.bravenec.org).

    999.konec - ukončení pravidel vytvořených v adresáři 100.pravidla. Obvykle je zde pouze logování a drop paketů, které prošly až sem.

    Struktura souborů s pravidly

    Pravidla mohou být velmi jednoduchá. Takto se například povoluje přístup přes ssh na firewall z vnitřní sítě:

    IPTABLES -A in-loc -p tcp --dport ssh -j ACCEPT
    

    IPTABLES je skutečně zapsané velkými písmeny - jde o wrapper kolem volání iptables (kvůli výpisům). Syntaxe je jinak stejná.

    Složitější pravidla (obvykle služby) mohou být košatější:

    if [ "$IMAPS" != "" ]; then
    
        ###########
        # zvnějšku
        IPTABLES -t nat -A pre-out -p tcp --dport imaps -d $OUTER -j DNAT --to $IMAPS
        IPTABLES        -A out-in  -p tcp --dport imaps -d $IMAPS -j ACCEPT
    
        ###########
        # zevnitř
        IPTABLES -t nat -A pre-in  -p tcp --dport imaps -d $OUTER  -j DNAT --to $IMAPS
        IPTABLES        -A in-in   -p tcp --dport imaps -d $IMAPS  -j ACCEPT
    
        IPTABLES -t nat -A in-post \
            -p tcp --dport imaps -d $IMAPS  \
            -j SNAT --to $INNER
    
        fi
    

    Pro vytvoření dalších pravidel stačí zkopírovat podobný soubor a upravit adresy a porty.

    Možnost dalšího rozšíření

    Pravidla jsou určená pro jednoduchý firewall se dvěma síťovými kartami. Pokud byste potřebovali oddělit demilitarizovanou zónu od vnitřní sítě (typicky http server nebo poštovní server), můžete firewall rozšířit o další síťovou kartu a o další pravidla (dmz-in, dmz-out, out-dmz, in-dmz, dmz-dmz). Pravidlo pro IMAPS by pak mohlo vypadat například takto:

    if [ "$IMAPS" != "" ]; then
    
        ###########
        # zvnějšku
        IPTABLES -t nat -A pre-out -p tcp --dport imaps -d $OUTER -j DNAT --to $IMAPS
        IPTABLES        -A out-dmz -p tcp --dport imaps -d $IMAPS -j ACCEPT
    
        ###########
        # zevnitř
        IPTABLES -t nat -A pre-in  -p tcp --dport imaps -d $OUTER  -j DNAT --to $IMAPS
        IPTABLES        -A in-dmz  -p tcp --dport imaps -d $IMAPS  -j ACCEPT
    
        ###########
        # z dmz (kvůli webmailu)
        IPTABLES -t nat -A pre-dmz -p tcp --dport imaps -d $OUTER  -j DNAT --to $IMAPS
        IPTABLES        -A dmz-dmz -p tcp --dport imaps -d $IMAPS  -j ACCEPT
    
        IPTABLES -t nat -A dmz-post \
            -p tcp --dport imaps -d $IMAPS  \
            -j SNAT --to $INNER
    
        fi
    
           

    Hodnocení: 100 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    Shadow avatar 9.6.2010 08:33 Shadow | skóre: 25 | blog: Brainstorm
    Rozbalit Rozbalit vše Re: Skripty pro firewall
    Shorewall nevyhovuje?
    If we do not believe in freedom of speech for those we despise we do not believe in it at all.
    Petr Bravenec avatar 9.6.2010 08:42 Petr Bravenec | skóre: 43 | blog: Bravenec
    Rozbalit Rozbalit vše Re: Skripty pro firewall
    Nevím. Už jsem na to narazil, takže si to asi stejně budu muset nastudovat.
    Petr Bravenec - Hobrasoft s.r.o.
    houska avatar 9.6.2010 08:46 houska | skóre: 41 | blog: HW
    Rozbalit Rozbalit vše Re: Skripty pro firewall
    znas shorewall?
    Petr Bravenec avatar 9.6.2010 08:56 Petr Bravenec | skóre: 43 | blog: Bravenec
    Rozbalit Rozbalit vše Re: Skripty pro firewall
    Vím o něm, neznám. Díky za pošťouchnutí. Nastuduju si to.
    Petr Bravenec - Hobrasoft s.r.o.
    Petr Bravenec avatar 9.6.2010 12:56 Petr Bravenec | skóre: 43 | blog: Bravenec
    Rozbalit Rozbalit vše Re: Skripty pro firewall

    Tak si hraji se shorewall... je to docela ulehčení, ale člověk aby stejně znal iptables a navíc k tomu shorewall. Nakonec jsem stejně skončil u pravidel jako:

    SSH/DNAT  net   loc:10.10.1.106
    SSH/DNAT  loc   loc:10.10.1.106
    

    Když takhle přesměruji zvenku dovnitř a zevnitř dovnitř port, návod mi vůbec nepomůže a shorewall vyrobí paskvil, který mě nepustí ven, vždy mě přesměruje dovnitř.

    Nutné je vyrábět pravidla takto:

    SSH/DNAT  net   loc:10.10.1.106
    DNAT      loc   loc:10.10.1.106 tcp  22  22  83.214.293.13
    

    A už zase dělám stejnou věc dvěma různými způsoby. Pokud teď ještě zjistím, že IP adresu nelze nahradit nějakou symbolickou hodnotou, budu shorewallem poněkud zklamaný. Znamenalo by to totiž, že každý počítač bych musel konfigurovat víceméně ručně.

    Petr Bravenec - Hobrasoft s.r.o.
    jahor avatar 9.6.2010 20:11 jahor | skóre: 3
    Rozbalit Rozbalit vše Re: Skripty pro firewall
    /etc/shorewall/params je co hledas ... tam presne nadefinujes symbolicka jmena pro ip, zaroven je muzes ruzne seskupit a tak si vytvori promennou ktera obsahuje napriklad vice serveru zaroven.
    Petr Bravenec avatar 9.6.2010 21:46 Petr Bravenec | skóre: 43 | blog: Bravenec
    Rozbalit Rozbalit vše Re: Skripty pro firewall
    Díky.
    Petr Bravenec - Hobrasoft s.r.o.
    9.6.2010 11:43 CEST
    Rozbalit Rozbalit vše Re: Skripty pro firewall
    Nema nejaky takovyhle dynamicky IP fwbuilder 4? Zatim jsem se v nim vic nehrabal, ale ma krome firewallu uz i cluster.
    Petr Bravenec avatar 9.6.2010 22:25 Petr Bravenec | skóre: 43 | blog: Bravenec
    Rozbalit Rozbalit vše Re: Skripty pro firewall

    Zabrousil jsem na web http://www.fwbuilder.org/ - chápu dobře, že to je klikací? To by ovšem dost významně snižovalo použitelnost takového udělátka...

    Petr Bravenec - Hobrasoft s.r.o.
    10.6.2010 00:15 Non_E | skóre: 24 | blog: hic_sunt_leones | Pardubice
    Rozbalit Rozbalit vše Re: Skripty pro firewall
    Ano, je to klikací. Vygenerovaný skript se nahrává přes ssh na server. Ozkoušel jsem to v domácí síti a jsem spokojen.
    Only Sith deals in absolutes.

    Založit nové vláknoNahoru

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.