abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

dnes 03:00 | Komunita

Na Humble Bundle lze získat počítačovou hru Company of Heroes 2 (Wikipedie, YouTube) běžící také v Linuxu zdarma. Speciální akce končí v sobotu v 19:00.

Ladislav Hagara | Komentářů: 0
dnes 02:00 | Zajímavý software

Christian Kellner představil na svém blogu projekt Bolt řešící bezpečnost rozhraní Thunderbolt 3 na Linuxu. Pomocí příkazu boltctl nebo rozšíření GNOME Shellu lze komunikovat s démonem boltd a například zakázat neznámá zařízení a předejít tak útokům typu Thunderstrike nebo DMA.

Ladislav Hagara | Komentářů: 0
dnes 01:00 | Nová verze

Po půl roce vývoje od vydání verze 11.0 byla vydána verze 11.1 svobodného softwaru pro vytváření datových úložišť na síti FreeNAS (Wikipedie). Nejnovější FreeNAS je postaven na FreeBSD 11.1. Přehled novinek v příspěvku na blogu. Zdůraznit lze zvýšení výkonu OpenZFS, počáteční podporu Dockeru nebo synchronizaci s cloudovými službami Amazon S3 (Simple Storage Services), Backblaze B2 Cloud, Google Cloud a Microsoft Azure

Ladislav Hagara | Komentářů: 0
včera 23:55 | Nová verze

Po dvou měsících vývoje od vydání verze 235 oznámil Lennart Poettering vydání verze 236 správce systému a služeb systemd (GitHub, NEWS).

Ladislav Hagara | Komentářů: 0
včera 20:00 | Nová verze Ladislav Hagara | Komentářů: 0
včera 19:33 | Pozvánky

Pražská Fedora 27 Release Party, oslava nedávného vydání Fedory 27, se uskuteční 19. prosince od 19:00 v prostorách společnosti Etnetera (Jankovcova 1037/49). Na programu budou přednášky o novinkách, diskuse, neřízený networking atd.

Ladislav Hagara | Komentářů: 0
včera 18:11 | Nová verze

Byla vydána verze 2.11.0 QEMU (Wikipedie). Přispělo 165 vývojářů. Provedeno bylo více než 2 000 commitů. Přehled úprav a nových vlastností v seznamu změn.

Ladislav Hagara | Komentářů: 0
včera 17:44 | Komunita

Canonical oznámil dostupnost kryptografických balíčků s certifikací FIPS 140-2 úrovně 1 pro Ubuntu 16.04 LTS pro předplatitele podpory Ubuntu Advantage Advanced. Certifikace FIPS (Federal Information Processing Standards) jsou vyžadovány (nejenom) vládními institucemi USA.

Ladislav Hagara | Komentářů: 2
včera 16:11 | Zajímavý software

Společnost Avast uvolnila zdrojové kódy svého dekompilátoru RetDec (Retargetable Decompiler) založeného na LLVM. Vyzkoušet lze RetDec jako webovou službu nebo plugin pro interaktivní disassembler IDA. Zdrojové kódy RetDec jsou k dispozici na GitHubu pod open source licencí MIT.

Ladislav Hagara | Komentářů: 3
13.12. 11:00 | Zajímavý software
Na Good Old Games je v rámci aktuálních zimních slev zdarma k dispozici remasterovaná verze klasické point&click adventury Grim Fandango, a to bez DRM a pro mainstreamové OS včetně GNU/Linuxu. Akce trvá do 14. prosince, 15:00 SEČ.
Fluttershy, yay! | Komentářů: 6
Jak se vás potenciálně dotkne trend odstraňování analogového audio konektoru typu 3,5mm jack z „chytrých telefonů“?
 (8%)
 (1%)
 (1%)
 (1%)
 (75%)
 (14%)
Celkem 987 hlasů
 Komentářů: 45, poslední 1.12. 19:00
    Rozcestník

    Dotaz: Shorewall vs. hostname

    25.12.2008 16:30 Vašek
    Shorewall vs. hostname
    Přečteno: 397×

    Dobré odpoledne,

    řeším problém na debian linuxu, nainstaloval jsem na svůj stroj shorewall firewall, pokusil jsem se nastavit pravidla pro porty a zařízení přesně jak mi vyhovují, vše šlo bez problémů, avšak jeden problém nemůžu vyřešit.

    Server má vnitřní adresu, řekněme 192.168.1.14 - a jmenuje se miranda. Pokud firewall vypnu, překlad adresy 192.168.1.14 na miranda je bez problémů, tedy pokud zadám v jiném PC ping miranda - server odpovídá. Jakmile zapnu shorewall, tento příkaz nepracuje, pokud však zadám ping 192.168.1.14 tak server odpovídá. Obdobně je to s http požadavkem v prohlížeči, který se snaží spojit s webserverem na tomto serveru.

    Proto jsem vytvořil pravidlo tcp a udp pro povolení komunikace na portu 53 pro DNS, ale nepomohlo to.

    Uvádět zde tutoriálové příklady z manuálu shorewallu pro nastavení pravidel je zbytečné, navíc mi má pravidla pracují správně, jen ten překlad jmen mě trápí a nikde to nemohu dohledat.

    Dokáže mi někdo pomoci s nastavením shorewallu tak, aby mi fungoval překlad miranda na 192.168.1.14?

    Řešení jako udělat záznam do hosts apod. využít nechci, neboť IP adresa je dynamická z DHCP serveru. Proč u serveru - to je otázka jiná, ale to je teď vedlejší.

    Děkuji mnohokrát za náměty a rady.

    Vašek

    Odpovědi

    25.12.2008 18:38 Oto Petřík | skóre: 11 | Vrchlabí
    Rozbalit Rozbalit vše Re: Shorewall vs. hostname

    je to pravidlo pro DNS pruchozi obema smery ?

    bez konfiguracnich soubor shorewallu (aspon rules a policy) lze jen odhadovat pricinu problemu.

    25.12.2008 19:07 Vašek
    Rozbalit Rozbalit vše Re: Shorewall vs. hostname

    Jasne, dobra pripominka, prikladam oba soubory

    Obsah souboru RULES
    ===================

    ACCEPT    net        $FW        tcp        53,21,22,80
    ACCEPT    net        $FW        udp        53,21

    ACCEPT    net        $FW        icmp        8
    ACCEPT    $FW        net        tcp        53

    Mam zde napsana pravidla pro DNS, SSH, FTP a HTTP, DNS jsem dal smerem jak z FW na NET tak z NET na FW.


    Obsah souboru POLICY
    ===================

    $FW        net        ACCEPT
    net        all        DROP        info
    all        all        REJECT        info

    25.12.2008 20:43 Oto Petřík | skóre: 11 | Vrchlabí
    Rozbalit Rozbalit vše Re: Shorewall vs. hostname

    soubory vypadaji v poradku, jen tento radek je zbytecny:

    ACCEPT    $FW        net        tcp        53

    1. DNS pouziva primarne UDP
    2. je to povoleno uz nastavenim v '$FW        net        ACCEPT' v POLICY

    pokud v logu neni nic zajimaveho, zkuste zapnout logovani i ve zbyvajicim radku v POLICY.

    Zarazi me ze 'IP adresa je dynamická z DHCP serveru' (poprve jsem prehledl), v tom pripade ma nejspis ten 'jiny PC' adresu DNS serveru nastavenou na adresu pocitace kde bezi DHCP (ale urcite ne na pocitac miranda, kteremu se ip adresa muze menit), tedy na pocitac miranda by nemely vubec prichazet DNS dotazy.... mate v souboru interfaces zapnutou volbu dhcp ?

    25.12.2008 20:58 Vašek
    Rozbalit Rozbalit vše Re: Shorewall vs. hostname

    tento řádek je jen zoufalý pokus

    ACCEPT    $FW        net        tcp        53

    Abyste rozumněl - server je virtuální, navíc je zde DHCP proto, protože je nainstalován na laptopu, který používám ve více sítích, kde jsou různé rozsahy IP adres a díky mojí pohodlnosti je pro mě důležité jen aby se přeložilo jméno počítače.

    Pokud jsem se zkoušel probírat pravidly a politikou, tak v souboru politiky je problémový tento řádek:

    net        all        DROP        info

    který vlastně veškerý provoz ze sítě zahodí. Pokud jej zakomentuju, DNS chodí, jak jinak, že, pak je ale zbytečné, abych měl vůbec firewall povolený :-)

    25.12.2008 21:57 Oto Petřík | skóre: 11 | Vrchlabí
    Rozbalit Rozbalit vše Re: Shorewall vs. hostname

    jestli jsem to dobre pochopil: pri vypnutem firewallu funguje ping i http podle jmena i IP, pri zapnutem firewallu funguje ping a http pouze podle IP, tedy spusteni firewallu neblokuje provoz na mirandu, pouze preklad jmena. miranda dostane IP adresu od DHCP serveru lokalni site (pokud je virtualni rozhrani premostene) nebo od DHCP serveru bezicim na notebooku - v pozadavky na nastaveni shorewallu jsou v obou pripadech shodne (http://www.shorewall.net/dhcp.htm). DNS server, ktery zna preklad miranda->192.168.1.14 je tedy bud DNS server spolupracujici s DHCP serverem lokalni site nebo DNS server spolupracujici s DHCP bezicim na notebooku. V obou pozadavek na preklad jmena posila na _jiny_ pocitac nez miranda, shorewall na mirande tedy nemuze preklad DNS blokovat. doporucuji zkontrolovat logy DHCP serveru, pripadne DNS serveru zodpovedneho za preklad.

    moznosti jak zasitovat virtualni stroj s prekladem jmen:

    pokud virtualni servery nemaji byt dostupne vne notebooku (nebo staci preroutovat par portu z notebooku)

    a) pouzijte hosts a pevne nastavenou adresu virtualniho serveru (pro malo serveru to je dobre pouzitelne), DNS se pro virtualni stroje nepouziva

    b) na hlavnim systemu notebooku spustte dnsmasq (DHCP + DNS server v jednom, muzete pouzit i pevne mapovani MAC -> jmeno a ip) a upravte /etc/resolv.conf aby pouzival 127.0.0.1 (detaily viz dokumentace dnsmasq, muze se hodit i resolvconf nebo openresolv), DNS server pro virtualni stroje tedy pobezi primo na notebooku a dnsmasq fungje i jako cache pro DNS dotazy na zbytek site. doporucuji vsechny virtualni rozhrani spojit jednim mostem (ktery bude vuci vnejsi siti za maskaradou) a dnsmasq nastavit na poskytovani DHCP pouze na toto rozhrani, s tim ze DNS bude poskytovano navic i na loopback. si muze libovolny virtualni stroj i fyzicky notebooku prelozit jmeno libovolneho virtualniho stroje, notebooku jako takoveho nebo cehokoliv na vnejsi siti.

    pokud virtualni servery maji byt plne dostupne zvenci, tak nezbyva nez premostit virtualni a skutecnou sitovou kartu a zajistit ze DHCP & DNS servery pro vsechny site ve kterych se notebook objevuje znaji MAC vygenerovanych virtualnich stroju :/

    26.12.2008 09:03 Vašek
    Rozbalit Rozbalit vše Re: Shorewall vs. hostname

    Teda, opravdu děkuji za vyčerpávající odpověď.

    Abyste byl v obraze, virtuální server, o kterém se bavíme (miranda) je nyní stavěn se záměrem implementace do předem neznámého prostředí, jinými slovy řečeno, projekt, pro který se snažím postavit linuxový server vyžaduje jisté služby, které mi bohatě a jednoduše poskytne debian linux bez grafického rozhraní, avšak nechci zákazníka, kterému tento stroj půjde do firmy, zatěžovat zbytečně instalací dalšího hardwarového stroje, když ve své firmě má již instalovaný server, který virtualizaci bez problémů zvládne a bude s ní moci fungovat.

    Nyní jsme se bavili o problému, kdy mirandu konfiguruji na svém laptopu, kde jako hlavní OS je instalován WinXP Profi. Jako virtualizační nástroj pro servery jsem si rozchodil MS Virtual Server 2005 R2, který v mých podmínkách odvádí slušnou práci a samotná miranda jede parádně.

    Jako poslední krok po celé konfiguraci všech programů a všech démonů, které potřebuji, jsem se rozhodl ještě nastavit firewall. Jelikož jsem v linuxu nikdy moc nedělal a spíše tomu jen fandím a snažím se kousek po kousku přijít na kloub. Zkoušel jsem hledat různá řešení jak zabezpečit tento server před potenciálním nebezpečím. Jsem si vědom, že miranda nebude vystavena s největší pravděpodobností na veřejné IP adrese, tudíž nejsem nucený mít nějak extra nastavený firewall, avšak vzhledem ke svým zkušenostem je velmi vhodné firewall mít.

    Co se aktuální sítě týká: DHCP server je nyní můj router, který přiděluje adresy z rozsahu, který chci, router má nastavenu pevnou IP od mého ISP a přejímá DNS server který mi ISP rovněž poskytl. Tudíž jediným DNS je nastavený pro celou tuto síť onen zmiňovaný.

    Co se nastavení DHCP pro zařízení nastavená ve shorewallu týká, prošel jsem manuálové nastavení a vypadá to, že jsem se trefil napoprvé.

    Jinak řešení, které jste popsal s pevnou IP adresou rozumím, chápu přesně jak to myslíte, avšak jak jsem již napsal, pro můj případ je to poměrně pohodlné a užitečné, když by stačilo napsat místo IP adresy jen jméno miranda. V případě, že se mi nepodaří se tomu vyhnout, použiji to jak říkáte :-)

    Pokud zapnu totiž firewall, tak miranda vyjima portu 21,22,80,53 a 8 pro ping všechno ostatní zahodí. Udělá tedy přesně to, co jsem nastavil, což mě těší. Tedy podle mého názoru musí zahodit ještě i nějaký další paket, ve kterém přichází požadavek na zjištění, zda se nejmenuje náhodou miranda. Jak říkám, nejsem úplný znalec, ale takto mi to přijde, protože jakmile firewall odstavím, miranda je ihned viditelná - resp. může přijímat jakékoliv pakety na svých portech, a to stejné vlastně funguje pokud upravím to pravidlo o kterém jsem se zmiňoval - pro příjem paketů z net -> na all (net        all        DROP        info).

    26.12.2008 11:28 Vašek
    Rozbalit Rozbalit vše Re: Shorewall vs. hostname

    Zatím jsem se dobádal k tomu, že stačí povolit nějaké porty z rozsahu 1-201 na tcp/udp. Jenom zjistit které z nich je potřeba povolit pro ono přihlášení se k nadřazenému DNS serveru. Jakmile se to mirandě podaří, je vyhráno.Doufám.

    26.12.2008 20:29 Vašek
    Rozbalit Rozbalit vše Re: Shorewall vs. hostname

    OK, řekl bych, že problém je vyřešen

    RULES
    ======

    ACCEPT    net        $FW        tcp        137:139
    ACCEPT    net        $FW        udp        137:139

    Co porty znamenají:

    137/TCP,UDP     NetBIOS NetBIOS Name Service
    138/TCP,UDP     NetBIOS NetBIOS Datagram Service
    139/TCP,UDP     NetBIOS NetBIOS Session Service

    V žádném případě mě to nenapadlo, ale nakonec v sítích windows to nějakou logiku mít bude.

    Děkuji mnohokrát za asistenci.

    Jakub Lucký avatar 26.12.2008 20:50 Jakub Lucký | skóre: 40 | Praha
    Rozbalit Rozbalit vše Re: Shorewall vs. hostname
    To jsou prostě NetBIOS porty... o NetBIOS více třeba na Wikipedii ;)
    If you understand, things are just as they are; if you do not understand, things are just as they are. (Zen P.) Blogísek
    27.12.2008 07:03 Vašek
    Rozbalit Rozbalit vše Re: Shorewall vs. hostname

    No jo, ja myslel, že jsou dobré hlavně pro sambu :-)

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.