abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

dnes 23:23 | Humor

Nová služba České pošty nazvaná Bezpečné úložiště nabízí až 100GB kapacitu pro "bezpečnou správu Vašich dat pod patronací důvěryhodného partnera Česká pošta".

… více »
Lol Phirae | Komentářů: 0
dnes 22:14 | Bezpečnostní upozornění

Nova kritická hrozba VPNfilter bola zistená po dlhšiej spolupráce Talos s verejnými i súkromnými bezpečnostnými agentúrami. VPNfilter ohrozuje približne 500 000 zariadení v približne 54 krajinach. Zasiahnutí výrobcovia sú Linksys, MikroTik, NETGEAR, TP-Link (SOHO), QNAP (NAS). Správanie malwaru je nebezpečnej povahy, čo môže v určitých prípadoch spôsobiť škody veľkého rozsahu. Často tieto zariadenia sú na perimetri sieťe bez ochrany.

ewew | Komentářů: 0
dnes 21:55 | Pozvánky

CSNOG (Czech and Slovak Network Operators Group), první československé setkání síťových operátorů, se uskuteční 11. a 12. června v Brně. Akce je určena poskytovatelům internetového připojení, síťovým operátorům, provozovatelům registrů, internetovým odborníkům a všem zájemcům o internetové a síťové technologie. Program je zaměřený na odborná, technická témata jako například síťová architektura, bezpečnost sítí, zpracování dat, DNS a další. Nutná je registrace.

Ladislav Hagara | Komentářů: 0
dnes 21:33 | Komunita

Na Humble Bundle lze získat počítačovou hru, simulátor hackování, Hacknet (Wikipedie, YouTube) běžící také v Linuxu zdarma. Tentokrát je ke stažení také verze bez DRM a navíc soundtrack. Speciální akce končí v sobotu v 19:00.

Ladislav Hagara | Komentářů: 0
včera 20:11 | Zajímavý software

Alexandre Julliard oznámil jménem vývojového týmu Wine vydání první verze 1.0 knihovny vkd3d určené pro překlad volání Direct3D 12 na Vulkan. Zdrojové kódy vkd3d jsou k dispozici pod licencí LGPLv2.1+.

Ladislav Hagara | Komentářů: 1
včera 19:33 | Komunita

Dnešním dnem lze účet Firefoxu chránit dvoufázovým ověřováním (2FA). Implementován byl standard TOTP (Time-based One-Time Password).

Ladislav Hagara | Komentářů: 0
včera 15:17 | Pozvánky

Od pátku 25. 5. proběhne na Fakultě informačních technologií ČVUT v Praze openSUSE Conference. Můžete se těšit na spoustu zajímavých přednášek, workshopů a také na Release Party nového openSUSE Leap 15.0. Na stejném místě proběhne v sobotu 26. 5. i seminář o bezpečnosti CryptoFest.

Jendа | Komentářů: 0
včera 13:33 | Zajímavý software

Drawpile je svobodný multiplatformní program pro kreslení podporující společné kreslení několika uživatelů. Zdrojové kódy jsou k dispozici na GitHubu pod licencí GPLv3+. Drawpile i Drawpile Server jsou ke stažení také ve formátu AppImage. Stačí tedy nastavit právo na spouštění a spustit.

Ladislav Hagara | Komentářů: 0
včera 09:44 | Zajímavý software

Kalifornskému Muzeu počítačové historie (Computer History Museum) se po pěti letech vyjednávání se společností Qualcomm podařilo získat veškerá práva na poštovního klienta Eudora (Wikipedie), tj. kromě zdrojových kódů muzeum získalo také ochranní známku Eudora nebo domény eudora.com a eudora.org. Po pročištění byly zdrojové kódy Eudory uvolněny pod licencí BSD.

Ladislav Hagara | Komentářů: 5
22.5. 15:00 | Nová verze

Byla vydána nová stabilní verze 5.11 toolkitu Qt. Přehled novinek v příspěvku na blogu a na wiki stránce. Další dnešní příspěvek na blogu Qt je věnován Qt pro WebAssembly umožňujícímu běh Qt aplikací ve webovém prohlížeči. K vyzkoušení jsou příklady.

Ladislav Hagara | Komentářů: 0
Používáte pro některé služby inetd?
 (35%)
 (23%)
 (43%)
Celkem 150 hlasů
 Komentářů: 5, poslední 22.5. 16:46
    Rozcestník

    Dotaz: Jak nastavit jednoduchy firewall a nat na debianu?

    19.4.2009 18:40 DennyNet | skóre: 7 | Praha
    Jak nastavit jednoduchy firewall a nat na debianu?
    Přečteno: 4070×

    Zdravim,

    mam linux stroj (dve sitove karty) s verejnou ip (eth0) (neverejnou ip na eth1) a potrebuju poradit jak nastavit fw s natem

    staci napsat par radku... pro fw porty ktere potrebuju mit otevrene si tam jiz zadam sam
    a radek pro nat.

    Diky DennyNet

    ps: pouzivam distribuci debian leny

    Odpovědi

    19.4.2009 21:48 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Firewall i NAt se nastavuje příkazem iptables. Vřele doporučuju něco si o tom přečíst, jinak vám stejně bude firewall k ničemu. Pokud přesto chcete jen něco nastavit a chcete jen opsat nějaké příkazy, aniž byste jim rozuměl, budete stejně muset napsat, co chcete nastavit – neexistuje něco jako „základní nastavení fireallu“ nebo „firewall on/off“.
    19.4.2009 22:03 NN
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Viz nahore, prectete si navody na ofcialnich strankach iptables, kde jsou i nejake ukazky. TAkova jednoducha kostra:

    -PROMENNE (IP=...) -MODY (modprobe ipv6) -NASTAVENI (echo 1 > /proc/sys/net ) -FLUSH (iptables -FXZ) -DEFAULT POLICY (iptalbes -P) INTERFACE ( -i eth1) MTU (..) TOS ( -j TOS) DSCP ( -j DSCP) ICMP ( -p icmp) DHCP (..) IP ( blokovani znamich rozsahu ) TCP (-p tcp) UDP ( -p udp) NAT IN ( -t nat -A PREROUTING -j DNAT) FORWARD ( -A FORWARD) NAT OUT ( -t nat -A POSTROUTING -j SNAT) OUTPUT (-A OUTPUT) DEFAULT DENY ( -j DROP)

    NN
    20.4.2009 00:30 jirkamailto | skóre: 31
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    Dobry den,

    vrele doporucuji firehol firehol.sf.net . Na te strance najdete i tutorial, je to velmi jednoduche, vrele doporucuji. Jen pripominam, ze pro spousteni fireholu po startu je nutne v /etc/default/firehol zmenit start_firehol na YES.

    20.4.2009 00:03 kato
    Rozbalit Rozbalit vše ipmasq ;-)

    apt-get install ipmasq ;)

    20.4.2009 14:27 Xerces
    Rozbalit Rozbalit vše Re: ipmasq ;-)

    Ahoj zkusil jsem jak různý firewally shorewall, arno ... ale nakonec taky doporučuju pro tenhle jednoduchej a typickej případ instalaci ipmasq teda pokud jedeš na Debianu. V defaultní instalaci nastavuje i NAT. Takže opravdu stačí jen nainstalovat a pak už to funguje automaticky. Ale opravdu si o iptables něco přečti a nebo si počkej až budou nftables ať se to neučíš dvakrát :-D
     

    20.4.2009 07:56 mozog | skóre: 28
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    A co treba si o tom neco precist a pak se ptat s konkretnim problemem?
    20.4.2009 08:45 Petr
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    NAT zapneš jednoduše:

    echo 1 > /proc/sys/net/ipv4/ip_forward

    iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

    a firewall si udělej dle návodu na rootu.

    20.4.2009 09:01 R
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    aptitude install arno-iptables-firewall
    BigWrigley avatar 21.4.2009 11:04 BigWrigley | skóre: 33
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Ano, tohle je pomerne jednoduche a funguje hezky, kdyz to potrebujete rychle. Jen neumi IPv6 ;-) Kadopadne ale doporucuji nastudovat primo iptables.

    Ales
    Linux is like a wigwam - no windows, no gates and Apache inside.
    20.4.2009 16:27 jano
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    cat /proc/sys/net/ipv4/ip_forward ak ti odpovie "1" tak smerovanie beží, ak nie tak až potom to echo 1........

     

    mimochodom kdesi je tu návod na Linuxovú bránu

    21.4.2009 16:06 DennyNet | skóre: 7 | Praha
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    o iptables jsem jiz cetl hodne, ale porad nechapu jejich "tabulky"

    dokonce mam i knizku kompletni kniha o linux snad i treti vydani

    jenze iptables jsou pro me tak slozity, ze bych si to musel cist a cist cist porad dokola a to 24 hodin denne, a stejne bych se nic nenaucil.

    naucim se jedine kdyz mi nekdo napise priklad ja si ho opisu a pak zkousim dalsi "mutace" toho prikazu..

    ramcove vim co iptables umi - umi omezovat a povolovat prchod paketu, mozna se s nim da delat i qos ikdyz na to je asi lepsi jiny prikaz, dale nat

    jako ip pot

    21.4.2009 16:55 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Tabulka má vždy skupinu řetězců pravidel, přičemž každý paket projde jedním nebo několika řetězy pravidle v té tabulce. Běžně se setkáte s tabulkou filter (ta se použije, pokud nezvolíte jméno jiné tabulky), a to je klasický firewall, který pakety buď propustí dál nebo je zastaví. Dál se běžně používá tabulka nat (jak je patrné z názvu, jde o NAT, tedy přepisování adres). Další tabulky mangle nebo raw asi nepoužijete.

    Pokud chcete příklady, napište příklady čeho. Když vám tady napíšu pár příkladů pravidel, asi vám to k ničemu nebude. Klidně to zkusím
    iptables -A FORWARD -p tcp --dport 22 -j ACCEPT
    
    Povolí průchozí pakety (nemají zdroj ani cíl na tomto PC) protokolu TCP, které mají cílový port 22. To jsou typicky pakety SSH spojení od klienta k serveru (pakety od serveru ke klientovi mají port zdroje 22).
    iptables -A INPUT -p udp --dport 53 -j ACCEPT
    
    Povolí příchozí pakety (jejich cíl je tento PC) protokolu UDP s cílovým portem 53 (typicky to jsou DNS dotazy).
    iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
    
    Ještě před routováním přepíše (NAT) všem paketům TCP směřujícím na port 80 cílový port na port 8080. (Lze použít např. pokud webový server nechcete spouště pod rootem, ale chcete umožnit uživatelům (klientům webového serveru) používat port 80, coý je standardní port pro HTTP.)
    22.4.2009 00:45 DennyNet | skóre: 7 | Praha
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    dekuji tomu rikam odpoved ;-)

    btw: jeste v tom presmerovani 80 na port 8080 se musi nekde psat zdroj a cil cili kam bych mel napsat eth0 a eth1 nebo on to linux pozna sam?

    btw2: prosim napiste mi prikaz jak vse zakazat tj. ze bych :

    - nejdriv na verejnou sitovku eth0 zakladal vsechno prichozi
    a pak postupne zadaval radek po radku na jaky porty povolim pristup

    jmenovite: 21-ftp,443-ssl, 22 ssh, 80 web, 53 dns, 5190 icq, 110, 25 (mail) atd.

    22.4.2009 09:59 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    jeste v tom presmerovani 80 na port 8080 se musi nekde psat zdroj a cil cili kam bych mel napsat eth0 a eth1 nebo on to linux pozna sam?
    Síťová zařízení tam být uvedená nemusí, pak se to týká kteréhokoli zařízení. Zařízení se tedy uvádějí jen v případě, kdy chcete pravidla uplatnit jen na nějaké konkrétní zařízení. Např. pokud víte, že pouze jedno rozhraní je připojené do internetu, můžete pravidla proti útokům z internetu nastavit jen na tomto zařízení.
    - nejdriv na verejnou sitovku eth0 zakladal vsechno prichozi a pak postupne zadaval radek po radku na jaky porty povolim pristup

    jmenovite: 21-ftp,443-ssl, 22 ssh, 80 web, 53 dns, 5190 icq, 110, 25 (mail) atd.
    To se dělá tak, že řetězci INPUT nastavíte jako výchozí politiku DROP (zahazování paketů), a pak pomocí jednotlivých pravidel povolíte jednotlivé porty. Firewall pak prochází jednotlivá pravidla, pokud se nějaké uplatní a má cíl ACCEPT, REJECT nebo DROP, procházení skončí a další pravidla se neuplatňují. Pokud nevyhoví žádné z pravidel, uplatní se výchozí politika příslušného řetězce.

    Ještě je potřeba správně zacházet s tím, že pakety v jednom TCP spojení (případně UDP dotaz–odpověď) jdou ve dvou směrech a je nutné mít na firewallu povolené oba směry. Pokud chcete filtrovat jen příchozí provoz, dělá se to zpravidla tak, že filtrujete jen v řetězci INPUT a v OUTPUT necháte vše povolené. Záleží pak na tom, zda předpokládáte nějakou komunikaci zahajovanou z vašeho počítače, nebo ne. Ale minimálně DNS dotazy tam asi budete chtít mít povolené, možná i přístup na web atd.

    Ještě je dobré si rozmyslet, zda budete pakety odmítat DROPem (paket pouze zahodí a nedá odesílateli žádnou zprávu), nebo REJECETem (paket zahodí, ale pošle zpět ICMP paket port nedostupný, jak je to správně podle doporučení). REJECT je sice správnější a vstřícnější k omylům druhé strany, ale zase hrozí, že váš počítač zaplaví nějakého chudáka falešnými zprávami (stačí, že někdo na váš počítač z mnoha počítačů pošle požadavek na zahájení spojení se zfalšovanou zdrojovou IP adresou).
    #na výstupu nic nefiltrovat, na vstupu jen povolené
    iptables -P INPUT DROP
    iptables -P OUTPUT ACCEPT
    
    #povolení příchozího řídícího spojení pro FTP – neřeší datové spojení. Pokud je povolen OUTPUT a na INPUTU navázaná spojení, bude fungovat nepasivní mód FTP
    iptables -A INPUT -p tcp --dport 21 -j ACCEPT
    
    #povolit příchozí spojení SSH, SMTP, HTTP, POP3, HTTPS
    iptables -A INPUT -p tcp --dport 22 -j ACCEPT
    iptables -A INPUT -p tcp --dport 25 -j ACCEPT
    iptables -A INPUT -p tcp --dport 80 -j ACCEPT
    iptables -A INPUT -p tcp --dport 110 -j ACCEPT
    iptables -A INPUT -p tcp --dport 443 -j ACCEPT
    
    #povolit příchozí dotazy DNS přes UDP; přes TCP na stejném portu se dělá transfer zóny, je nutné povolit, pokud se používá tato technologie přenosu na záložní DNS servery nebo k testovacím nástrojům
    iptables -A INPUT -p udp --dport 53 -j ACCEPT
    
    #povolit pakety související s existujícím spojením – typicky příchozí pakety spojení navázaného z tohoto PC, tím se umožní libovolný odchozí TCP provoz
    iptables -A INPUT -p tcp --state ESTABLISHED, RELATED -j ACCEPT 
    
    #povolit příchozí odpovědi DNS
    iptables -A INPUT -p udp --sport 53 -j ACCEPT 
    

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.