abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
dnes 13:30 | Zajímavý software

Byly uvolněny zdrojové kódy známé rogue-like hry DoomRL. Počátky hry jsou v roce 2002. Je napsána ve FreePascalu a zdrojový kód je nyní k dispozici na GitHubu pod licencí GNU GPL 2.0. Autor pracuje na nové hře Jupiter Hell, která je moderním nástupcem DoomRL a na jejíž vývoj shání peníze prostřednictvím Kickstarteru.

Blaazen | Komentářů: 0
dnes 13:15 | Pozvánky

Přijďte s námi oslavit vydání Fedory 25. Na programu budou přednášky o novinkách, diskuse, neřízený networking atd. Release Party se bude konat 16. prosince v prostorách společnosti Etnetera. Na party budou volně k dispozici také propagační materiály, nová DVD s Fedorou 25 a samozřejmě občerstvení. Přednášky budou probíhat v češtině. Pro více informací se můžete podívat na web MojeFedora.cz. Jen připomínám, že tentokrát jsme zavedli

… více »
frantisekz | Komentářů: 0
včera 16:38 | Komunita

Byly zveřejněny videozáznamy přednášek a workshopů z letošní konference OpenAlt konané 5. a 6. listopadu v Brně. K videozáznamům lze přistupovat ze stránky na SuperLectures nebo přes program konference, detaily o vybrané přednášce nebo workshopu a dále kliknutím na ikonku filmového pásu. Celkově bylo zpracováno 65 hodin z 89 přednášek a workshopů.

Ladislav Hagara | Komentářů: 0
včera 11:30 | Komunita

Bylo oznámeno, že bude proveden bezpečnostní audit zdrojových kódů open source softwaru pro implementaci virtuálních privátních sítí OpenVPN. Audit provede Matthew D. Green (blog), uznávaný kryptolog a profesor na Univerzitě Johnse Hopkinse. Auditována bude verze 2.4 (aktuálně RC 1, stabilní verze je 2.3.14). Audit bude financován společností Private Internet Access [reddit].

Ladislav Hagara | Komentářů: 4
včera 06:00 | Komunita

Na YouTube byl publikován Blender Institute Reel 2016, ani ne dvouminutový sestřih z filmů, které vznikly za posledních 10 let díky Blender Institutu. V institutu aktuálně pracují na novém filmu Agent 327. Dění kolem filmu lze sledovat na Blender Cloudu. Videoukázka Agenta 327 z června letošního roku na YouTube.

Ladislav Hagara | Komentářů: 0
včera 01:02 | Zajímavý článek

Minulý týden byly vydány verze 1.2.3 a 1.1.7 webového poštovního klienta Roundcube. V oznámení o vydání bylo zmíněno řešení bezpečnostního problému nalezeného společností RIPS a souvisejícího s voláním funkce mail() v PHP. Tento týden byly zveřejněny podrobnosti. Útočník mohl pomocí speciálně připraveného emailu spustit na serveru libovolný příkaz. Stejně, jak je popsáno v článku Exploit PHP’s mail() to get remote code execution z roku 2014.

Ladislav Hagara | Komentářů: 1
8.12. 16:00 | Nová verze

Byla vydána verze 0.98 svobodného nelineárního video editoru Pitivi. Z novinek lze zmínit například přizpůsobitelné klávesové zkratky. Videoukázka práce s nejnovější verzí Pitivi na YouTube.

Ladislav Hagara | Komentářů: 1
8.12. 15:00 | Zajímavý software

Stop motion je technika animace, při níž je reálný objekt mezi jednotlivými snímky ručně upravován a posouván o malé úseky, tak aby po spojení vyvolala animace dojem spojitosti. Jaký software lze pro stop motion použít na Linuxu? Článek na OMG! Ubuntu! představuje Heron Animation. Ten bohužel podporuje pouze webové kamery. Podpora digitálních zrcadlovek je začleněna například v programu qStopMotion.

Ladislav Hagara | Komentářů: 5
7.12. 21:21 | Nová verze Ladislav Hagara | Komentářů: 0
7.12. 11:44 | Zajímavý projekt

Na Indiegogo byla spuštěna kampaň na podporu herní mini konzole a multimediálního centra RetroEngine Sigma od Doyodo. Předobjednat ji lze již od 49 dolarů. Požadovaná částka 20 000 dolarů byla překonána již 6 krát. Majitelé mini konzole si budou moci zahrát hry pro Atari VCS 2600, Sega Genesis nebo NES. Předinstalováno bude multimediální centrum Kodi.

Ladislav Hagara | Komentářů: 2
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (7%)
 (5%)
 (3%)
Celkem 808 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: Nepoužitelný IPv6 forwarding v Linuxu

18.10.2008 02:19 Andrej | skóre: 43 | blog: Republic of Mordor | Zürich
Nepoužitelný IPv6 forwarding v Linuxu
Přečteno: 415×

Prosím o vaše názory na následující problém:

Mám domácí IPv6 síť se serverem, který routuje ven přes 6to4. Chtěl jsem do té sítě zavolat zvenku přes SIP. S IPv6 by to mělo jít teoreticky bez problémů. Nicméně výsledek byl velmi neslavný.

Napřed jsem zkusil prostě zavolat. Nefungovalo to, což bylo zcela správné, protože tam je nastavený jednoduchý firewall (viz řetězec FORWARD). Zvenku tedy spojení skutečně navázat nešlo. Tím ovšem korektní chování končí...

[root@charon ~]# ip6tables-save
# Generated by ip6tables-save v1.4.0 on Sat Oct 18 01:15:01 2008
*mangle
:PREROUTING ACCEPT [92:18894]
:INPUT ACCEPT [10:952]
:FORWARD ACCEPT [82:17942]
:OUTPUT ACCEPT [11:1500]
:POSTROUTING ACCEPT [94:19602]
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Sat Oct 18 01:15:01 2008
# Generated by ip6tables-save v1.4.0 on Sat Oct 18 01:15:01 2008
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [13:1804]
-A INPUT -i lo -j ACCEPT
-A INPUT -i ath0 -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 143 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5190 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5222 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5223 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5269 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 7777 -j ACCEPT
-A INPUT -p udp -m udp --dport 7777 -j ACCEPT
-A INPUT -p ipv6-icmp -j ACCEPT
-A FORWARD -i lo -j ACCEPT
-A FORWARD -i ath0 -j ACCEPT
-A FORWARD -i eth1 -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Sat Oct 18 01:15:01 2008

Pak jsem prostě (jen tak na zkoušku) povolil forwardování všech paketů, tj. vypnul firewall.

ip6tables -t filter -P FORWARD ACCEPT

Nyní by správně měly všechny hovory bez problémů fungovat. Opak byl pravdou, což je vážná chyba. Zvukové spojení (RTP) se buď nenavázalo vůbec, nebo se (nejčastěji) navázalo pouze jedním směrem, nebo bylo po cca dvou sekundách v jednom směru přerušeno.

Už výše zmíněný problém by možná stačil na obsáhlé chybové hlášení, ale zkusil jsem jen tak pro zajímavost ještě jeden špinavý trik:

ip6tables -t filter -P INPUT ACCEPT

Pak už bylo zcela jisté, že je něco špatně. Hovory totiž začaly fungovat bez problémů. Abych vyloučil dočasnou nefunkčnost sítě, obě situace jsem prověřil ještě jednou se stejným výsledkem. (Zdůrazňuji, že volaný počítač nebyl samotný server. Šlo o stroj ve „vnitřní“ síti.)

Pokud jsem něco podstatného nepřehlédl, je tohle závažný bug v kernelu. Forwardování nemá absolutně nic společného s řetězcem INPUT. Jak je vůbec možné, že se zahazují nějaké pakety, přestože je forwardování povoleno, a že teprve úplné vyřazení řetězce INPUT dá tento problém do pořádku?

Hlavní otázka je: Co s tím? Hlásit? Nebo to může mít ještě jiné příčiny?

ǑǦŹǓǕǙǞǺǨȞȬḔḦḰḾṊṎṸẄẌỖ

Odpovědi

18.10.2008 02:34 Ondrej 'SanTiago' Zajicek
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu
Pokud pouzivas 6to4, tak jako kazdy jiny tunel je 'obalujici' paket AFAIK povazovan jako zdrojovy (resp. cilovy) v danem routeru a podle toho take prochazi netfilterem. Jinymi slovy - prichozi 'vnejsi' pakety 6to4 tunelu maji jako cil router, proto tam projdou INPUT filterem. Pak se z nich vybali vnitrni paket a ten projde FORWARD filterem a routovanim.

Tedy to je IMHO zcela v poradku.
18.10.2008 17:24 jbohac | skóre: 18 | Praha 5
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu
nojo, jenže ty příchozí pakety jsou IPv4, takže by je ip6tables neměly ovlivňovat... divné...
Marek Stopka avatar 18.10.2008 17:38 Marek Stopka | skóre: 57 | blog: Paranoidní blog | London, United Kingdom
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu
Ale ty si nám neřekl jak máš nastavený IPv4 iptables.
18.10.2008 19:35 Andrej | skóre: 43 | blog: Republic of Mordor | Zürich
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu

To je pravda

.
[root@charon ~]# iptables-save
# Generated by iptables-save v1.4.0 on Sat Oct 18 19:33:43 2008
*nat
:PREROUTING ACCEPT [25046:7728446]
:POSTROUTING ACCEPT [180:29094]
:OUTPUT ACCEPT [833:79743]
-A POSTROUTING -o ppp0 -j SNAT --to-source 217.112.173.73
COMMIT
# Completed on Sat Oct 18 19:33:43 2008
# Generated by iptables-save v1.4.0 on Sat Oct 18 19:33:43 2008
*filter
:INPUT DROP [13487:4322121]
:FORWARD ACCEPT [104645:87372133]
:OUTPUT ACCEPT [240465:50638141]
-A INPUT -i lo -j ACCEPT
-A INPUT -i ath0 -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
-A INPUT -p ipv6 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 143 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p udp -m udp --dport 5004:5013 -j ACCEPT
-A INPUT -p udp -m udp --dport 5060:5061 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5190 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5222 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5223 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5269 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5432 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 7777 -j ACCEPT
-A INPUT -p udp -m udp --dport 7777 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
COMMIT
# Completed on Sat Oct 18 19:33:43 2008
# Generated by iptables-save v1.4.0 on Sat Oct 18 19:33:43 2008
*mangle
:PREROUTING ACCEPT [405575:174786346]
:INPUT ACCEPT [287589:82843409]
:FORWARD ACCEPT [104645:87372133]
:OUTPUT ACCEPT [240465:50638141]
:POSTROUTING ACCEPT [345693:138110445]
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Sat Oct 18 19:33:43 2008
ǑǦŹǓǕǙǞǺǨȞȬḔḦḰḾṊṎṸẄẌỖ
19.10.2008 08:50 pht | skóre: 48 | blog: pht
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu
jste si jist ze -p ipv6 je 6to4? jinak zkuste dat jako posledni pravidlo pred ten drop nejaky logovani a uvidite co vam neprochazi. podle mne to je urcite opomenutim neceho podstatneho pro ten tunel.
In Ada the typical infinite loop would normally be terminated by detonation.
19.10.2008 14:15 Andrej | skóre: 43 | blog: Republic of Mordor | Zürich
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu

Samozřejmě. Jinak by totiž přes IPv6 nefungovalo vůbec nic. Nešel by ani ping6 zvenčí, natož abych se připojoval k mailu, webu nebo Jabberu přes IPv6. Můj server je ovšem přes IPv6 naprosto normálně dostupný. (Výše popsané potíže se týkaly počítače v LAN, do které server routuje.)

ǑǦŹǓǕǙǞǺǨȞȬḔḦḰḾṊṎṸẄẌỖ
19.10.2008 14:43 pht | skóre: 48 | blog: pht
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu
a ten ping zvenci jede taky pres ten tunel? a kdyz ten radek z iptables (ipv4) oddelate, tak ping zvenci nepojede?
In Ada the typical infinite loop would normally be terminated by detonation.
19.10.2008 16:05 Andrej | skóre: 43 | blog: Republic of Mordor | Zürich
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu
a ten ping zvenci jede taky pres ten tunel?

To přece záleží na tom, který ping. ping charon.podzimek.org půjde přes normální IPv4 síť, zatímco ping6 charon.podzimek.org půjde pochopitelně přes tunel. Nebo se ptáte, zda ping zvenčí funguje? Ano, funguje přes IPv4 i přes IPv6.

a kdyz ten radek z iptables (ipv4) oddelate, tak ping zvenci nepojede?

Přesně tak. Když jsem IPv6 poprvé nastavoval, právě na tento řádek jsem zapomněl. Dlouho jsem se divil, proč to nefunguje. :-D Je to ovšem zcela logické. Paket jde z vnějšího rozhraní a navíc není typu TCP ani UDP. Tedy nesplní žádnou podmínku a propadne se až na konec řetězce, který má ovšem policy DROP.

ǑǦŹǓǕǙǞǺǨȞȬḔḦḰḾṊṎṸẄẌỖ
18.10.2008 18:16 jbohac | skóre: 18 | Praha 5
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu
Nemohl by ten INPUT blokovat neco jako napr. neighbour-discovery pakety z vnitrni site?

Zkusil bych na konec INPUT dat misto DROP/REJECT target LOG, a divat se do dmesg co to filtruje.

18.10.2008 19:40 Andrej | skóre: 43 | blog: Republic of Mordor | Zürich
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu

Hmmm. No, asi mi nic jiného nezbude, pokud se to v dohledné době nepodaří nějak racionálně vysvětlit... Ale žádné pakety z vnitřní sítě určitě blokovány nejsou.

Vnější rozhraní jsou eth0, ppp0 a tun6to4. (Prakticky se používá pouze ppp0 (IPv4) a tun6to4 (IPv6).)

Vnitřní rozhraní jsou ath0 a eth1. Jak je vidět na výpisech, pakety z vnitřních rozhraní se ihned přijmou.

ǑǦŹǓǕǙǞǺǨȞȬḔḦḰḾṊṎṸẄẌỖ
18.10.2008 19:32 Andrej | skóre: 43 | blog: Republic of Mordor | Zürich
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu

Ne, to není v pořádku. Protokol 6to4 není TCP ani UDP. Je to prostě jiný protokol rodiny IP a na routeru (iptables pro IPv4) se všechny takové pakety propouští, aby se následně filtrovaly přes ip6tables. Nemá se kde co předem zahazovat. (A pokud se to děje, je to bug v kernelu.)

ǑǦŹǓǕǙǞǺǨȞȬḔḦḰḾṊṎṸẄẌỖ
18.10.2008 23:24 Ondrej 'SanTiago' Zajicek
Rozbalit Rozbalit vše Re: Nepoužitelný IPv6 forwarding v Linuxu
Jo, to mas pravdu. V takovych pripadech je nejlepsi zkusit tam pingat a tcpdumpem se divat, kde presne se ty pakety ztraceji.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.