abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

včera 18:55 | Nová verze

Byla vydána nová stabilní verze 1.9 (1.9.818.44) webového prohlížeče Vivaldi (Wikipedie). Z novinek vývojáři zdůrazňují podporu nového vyhledávače Ecosia. Ten z příjmů z reklam podporuje výsadbu stromů po celém světě (YouTube). Nově lze přeskupovat ikonky rozšíření nebo řadit poznámky. Nejnovější Vivaldi je postaveno na Chromiu 58.0.3029.82.

Ladislav Hagara | Komentářů: 3
včera 17:00 | Nová verze

Byla vydána verze 3.7.0 svobodného systému pro správu obsahu (CMS) Joomla!. V oznámení o vydání (YouTube) se píše o 700 vylepšeních. Opraveno bylo také 8 bezpečnostních chyb.

Ladislav Hagara | Komentářů: 0
včera 08:22 | Komunita

Grsecurity (Wikipedie) je sada bezpečnostních patchů pro linuxové jádro (porovnání se SELinuxem, AppArmorem a KSPP). Od září 2015 nejsou stabilní verze těchto patchů volně k dispozici. Dle včerejšího oznámení (FAQ) nejsou s okamžitou platností volně k dispozici už ani jejich testovací verze.

Ladislav Hagara | Komentářů: 32
26.4. 23:33 | Komunita

OpenBSD 6.1 vyšlo již 11. dubna. Po dvou týdnech byla vydána i oficiální píseň. Její název je Winter of 95 a k dispozici je ve formátech MP3 a OGG.

Ladislav Hagara | Komentářů: 0
26.4. 18:55 | Nová verze

Byla vydána verze 2017.1 linuxové distribuce navržené pro digitální forenzní analýzu a penetrační testování Kali Linux. S vydáním verze 2016.1 se Kali Linux stal průběžně aktualizovanou distribucí. Aktualizovat jej lze pomocí příkazů "apt update; apt dist-upgrade; reboot".

Ladislav Hagara | Komentářů: 0
26.4. 18:22 | Nová verze

Po téměř pěti letech od vydání verze 2.00 byla vydána nová stabilní verze 2.02 systémového zavaděče GNU GRUB (GRand Unified Bootloader). Přehled novinek v souboru NEWS.

Ladislav Hagara | Komentářů: 15
26.4. 17:55 | Komunita

Vývojáři Debianu oznámili, že od 1. listopadu letošního roku nebudou jejich archivy dostupné pomocí protokolu FTP. Již v lednu oznámil ukončení podpory FTP kernel.org (The Linux Kernel Archives).

Ladislav Hagara | Komentářů: 23
26.4. 17:00 | Bezpečnostní upozornění

V oblíbeném webmailu postaveném na PHP SquirrelMail (Wikipedie) byla nalezena bezpečnostní chyba CVE-2017-7692, jež může být útočníkem zneužita ke spuštění libovolných příkazů a kompletnímu ovládnutí dotčeného serveru. Zranitelnost se týká pouze instancí, kde je pro transport používán Sendmail.

Ladislav Hagara | Komentářů: 3
26.4. 13:11 | Zajímavý článek

Soudní dvůr Evropské unie rozhodl (tisková zpráva) ve věci C-527/15: Prodej multimediálního přehrávače, který umožňuje zdarma a jednoduše zhlédnout na televizní obrazovce filmy protiprávně zpřístupněné na internetu, může představovat porušení autorského práva.

Ladislav Hagara | Komentářů: 32
25.4. 13:33 | Pozvánky

Byly stanoveny termíny konferencí LinuxDays 2017 a OpenAlt 2017. Letošní LinuxDays proběhne o víkendu 7. a 8. října v Praze v Dejvicích v prostorách FIT ČVUT. Letošní OpenAlt proběhne o víkendu 4. a 5. listopadu na FIT VUT v Brně.

Ladislav Hagara | Komentářů: 0
Chystáte se pořídit CPU AMD Ryzen?
 (4%)
 (35%)
 (1%)
 (6%)
 (45%)
 (9%)
Celkem 327 hlasů
 Komentářů: 50, poslední včera 04:06
    Rozcestník

    Dotaz: Jak nastavit jednoduchy firewall a nat na debianu?

    19.4.2009 18:40 DennyNet | skóre: 7 | Praha
    Jak nastavit jednoduchy firewall a nat na debianu?
    Přečteno: 3856×

    Zdravim,

    mam linux stroj (dve sitove karty) s verejnou ip (eth0) (neverejnou ip na eth1) a potrebuju poradit jak nastavit fw s natem

    staci napsat par radku... pro fw porty ktere potrebuju mit otevrene si tam jiz zadam sam
    a radek pro nat.

    Diky DennyNet

    ps: pouzivam distribuci debian leny

    Odpovědi

    19.4.2009 21:48 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Firewall i NAt se nastavuje příkazem iptables. Vřele doporučuju něco si o tom přečíst, jinak vám stejně bude firewall k ničemu. Pokud přesto chcete jen něco nastavit a chcete jen opsat nějaké příkazy, aniž byste jim rozuměl, budete stejně muset napsat, co chcete nastavit – neexistuje něco jako „základní nastavení fireallu“ nebo „firewall on/off“.
    19.4.2009 22:03 NN
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Viz nahore, prectete si navody na ofcialnich strankach iptables, kde jsou i nejake ukazky. TAkova jednoducha kostra:

    -PROMENNE (IP=...) -MODY (modprobe ipv6) -NASTAVENI (echo 1 > /proc/sys/net ) -FLUSH (iptables -FXZ) -DEFAULT POLICY (iptalbes -P) INTERFACE ( -i eth1) MTU (..) TOS ( -j TOS) DSCP ( -j DSCP) ICMP ( -p icmp) DHCP (..) IP ( blokovani znamich rozsahu ) TCP (-p tcp) UDP ( -p udp) NAT IN ( -t nat -A PREROUTING -j DNAT) FORWARD ( -A FORWARD) NAT OUT ( -t nat -A POSTROUTING -j SNAT) OUTPUT (-A OUTPUT) DEFAULT DENY ( -j DROP)

    NN
    20.4.2009 00:30 jirkamailto | skóre: 31
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    Dobry den,

    vrele doporucuji firehol firehol.sf.net . Na te strance najdete i tutorial, je to velmi jednoduche, vrele doporucuji. Jen pripominam, ze pro spousteni fireholu po startu je nutne v /etc/default/firehol zmenit start_firehol na YES.

    20.4.2009 00:03 kato
    Rozbalit Rozbalit vše ipmasq ;-)

    apt-get install ipmasq ;)

    20.4.2009 14:27 Xerces
    Rozbalit Rozbalit vše Re: ipmasq ;-)

    Ahoj zkusil jsem jak různý firewally shorewall, arno ... ale nakonec taky doporučuju pro tenhle jednoduchej a typickej případ instalaci ipmasq teda pokud jedeš na Debianu. V defaultní instalaci nastavuje i NAT. Takže opravdu stačí jen nainstalovat a pak už to funguje automaticky. Ale opravdu si o iptables něco přečti a nebo si počkej až budou nftables ať se to neučíš dvakrát :-D
     

    20.4.2009 07:56 mozog | skóre: 28
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    A co treba si o tom neco precist a pak se ptat s konkretnim problemem?
    20.4.2009 08:45 Petr
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    NAT zapneš jednoduše:

    echo 1 > /proc/sys/net/ipv4/ip_forward

    iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

    a firewall si udělej dle návodu na rootu.

    20.4.2009 09:01 R
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    aptitude install arno-iptables-firewall
    BigWrigley avatar 21.4.2009 11:04 BigWrigley | skóre: 32
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Ano, tohle je pomerne jednoduche a funguje hezky, kdyz to potrebujete rychle. Jen neumi IPv6 ;-) Kadopadne ale doporucuji nastudovat primo iptables.

    Ales
    Linux is like a wigwam - no windows, no gates and Apache inside.
    20.4.2009 16:27 jano
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    cat /proc/sys/net/ipv4/ip_forward ak ti odpovie "1" tak smerovanie beží, ak nie tak až potom to echo 1........

     

    mimochodom kdesi je tu návod na Linuxovú bránu

    21.4.2009 16:06 DennyNet | skóre: 7 | Praha
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    o iptables jsem jiz cetl hodne, ale porad nechapu jejich "tabulky"

    dokonce mam i knizku kompletni kniha o linux snad i treti vydani

    jenze iptables jsou pro me tak slozity, ze bych si to musel cist a cist cist porad dokola a to 24 hodin denne, a stejne bych se nic nenaucil.

    naucim se jedine kdyz mi nekdo napise priklad ja si ho opisu a pak zkousim dalsi "mutace" toho prikazu..

    ramcove vim co iptables umi - umi omezovat a povolovat prchod paketu, mozna se s nim da delat i qos ikdyz na to je asi lepsi jiny prikaz, dale nat

    jako ip pot

    21.4.2009 16:55 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Tabulka má vždy skupinu řetězců pravidel, přičemž každý paket projde jedním nebo několika řetězy pravidle v té tabulce. Běžně se setkáte s tabulkou filter (ta se použije, pokud nezvolíte jméno jiné tabulky), a to je klasický firewall, který pakety buď propustí dál nebo je zastaví. Dál se běžně používá tabulka nat (jak je patrné z názvu, jde o NAT, tedy přepisování adres). Další tabulky mangle nebo raw asi nepoužijete.

    Pokud chcete příklady, napište příklady čeho. Když vám tady napíšu pár příkladů pravidel, asi vám to k ničemu nebude. Klidně to zkusím
    iptables -A FORWARD -p tcp --dport 22 -j ACCEPT
    
    Povolí průchozí pakety (nemají zdroj ani cíl na tomto PC) protokolu TCP, které mají cílový port 22. To jsou typicky pakety SSH spojení od klienta k serveru (pakety od serveru ke klientovi mají port zdroje 22).
    iptables -A INPUT -p udp --dport 53 -j ACCEPT
    
    Povolí příchozí pakety (jejich cíl je tento PC) protokolu UDP s cílovým portem 53 (typicky to jsou DNS dotazy).
    iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
    
    Ještě před routováním přepíše (NAT) všem paketům TCP směřujícím na port 80 cílový port na port 8080. (Lze použít např. pokud webový server nechcete spouště pod rootem, ale chcete umožnit uživatelům (klientům webového serveru) používat port 80, coý je standardní port pro HTTP.)
    22.4.2009 00:45 DennyNet | skóre: 7 | Praha
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    dekuji tomu rikam odpoved ;-)

    btw: jeste v tom presmerovani 80 na port 8080 se musi nekde psat zdroj a cil cili kam bych mel napsat eth0 a eth1 nebo on to linux pozna sam?

    btw2: prosim napiste mi prikaz jak vse zakazat tj. ze bych :

    - nejdriv na verejnou sitovku eth0 zakladal vsechno prichozi
    a pak postupne zadaval radek po radku na jaky porty povolim pristup

    jmenovite: 21-ftp,443-ssl, 22 ssh, 80 web, 53 dns, 5190 icq, 110, 25 (mail) atd.

    22.4.2009 09:59 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    jeste v tom presmerovani 80 na port 8080 se musi nekde psat zdroj a cil cili kam bych mel napsat eth0 a eth1 nebo on to linux pozna sam?
    Síťová zařízení tam být uvedená nemusí, pak se to týká kteréhokoli zařízení. Zařízení se tedy uvádějí jen v případě, kdy chcete pravidla uplatnit jen na nějaké konkrétní zařízení. Např. pokud víte, že pouze jedno rozhraní je připojené do internetu, můžete pravidla proti útokům z internetu nastavit jen na tomto zařízení.
    - nejdriv na verejnou sitovku eth0 zakladal vsechno prichozi a pak postupne zadaval radek po radku na jaky porty povolim pristup

    jmenovite: 21-ftp,443-ssl, 22 ssh, 80 web, 53 dns, 5190 icq, 110, 25 (mail) atd.
    To se dělá tak, že řetězci INPUT nastavíte jako výchozí politiku DROP (zahazování paketů), a pak pomocí jednotlivých pravidel povolíte jednotlivé porty. Firewall pak prochází jednotlivá pravidla, pokud se nějaké uplatní a má cíl ACCEPT, REJECT nebo DROP, procházení skončí a další pravidla se neuplatňují. Pokud nevyhoví žádné z pravidel, uplatní se výchozí politika příslušného řetězce.

    Ještě je potřeba správně zacházet s tím, že pakety v jednom TCP spojení (případně UDP dotaz–odpověď) jdou ve dvou směrech a je nutné mít na firewallu povolené oba směry. Pokud chcete filtrovat jen příchozí provoz, dělá se to zpravidla tak, že filtrujete jen v řetězci INPUT a v OUTPUT necháte vše povolené. Záleží pak na tom, zda předpokládáte nějakou komunikaci zahajovanou z vašeho počítače, nebo ne. Ale minimálně DNS dotazy tam asi budete chtít mít povolené, možná i přístup na web atd.

    Ještě je dobré si rozmyslet, zda budete pakety odmítat DROPem (paket pouze zahodí a nedá odesílateli žádnou zprávu), nebo REJECETem (paket zahodí, ale pošle zpět ICMP paket port nedostupný, jak je to správně podle doporučení). REJECT je sice správnější a vstřícnější k omylům druhé strany, ale zase hrozí, že váš počítač zaplaví nějakého chudáka falešnými zprávami (stačí, že někdo na váš počítač z mnoha počítačů pošle požadavek na zahájení spojení se zfalšovanou zdrojovou IP adresou).
    #na výstupu nic nefiltrovat, na vstupu jen povolené
    iptables -P INPUT DROP
    iptables -P OUTPUT ACCEPT
    
    #povolení příchozího řídícího spojení pro FTP – neřeší datové spojení. Pokud je povolen OUTPUT a na INPUTU navázaná spojení, bude fungovat nepasivní mód FTP
    iptables -A INPUT -p tcp --dport 21 -j ACCEPT
    
    #povolit příchozí spojení SSH, SMTP, HTTP, POP3, HTTPS
    iptables -A INPUT -p tcp --dport 22 -j ACCEPT
    iptables -A INPUT -p tcp --dport 25 -j ACCEPT
    iptables -A INPUT -p tcp --dport 80 -j ACCEPT
    iptables -A INPUT -p tcp --dport 110 -j ACCEPT
    iptables -A INPUT -p tcp --dport 443 -j ACCEPT
    
    #povolit příchozí dotazy DNS přes UDP; přes TCP na stejném portu se dělá transfer zóny, je nutné povolit, pokud se používá tato technologie přenosu na záložní DNS servery nebo k testovacím nástrojům
    iptables -A INPUT -p udp --dport 53 -j ACCEPT
    
    #povolit pakety související s existujícím spojením – typicky příchozí pakety spojení navázaného z tohoto PC, tím se umožní libovolný odchozí TCP provoz
    iptables -A INPUT -p tcp --state ESTABLISHED, RELATED -j ACCEPT 
    
    #povolit příchozí odpovědi DNS
    iptables -A INPUT -p udp --sport 53 -j ACCEPT 
    

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.