abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

dnes 14:00 | Zajímavý projekt

Byl spuštěn Humble Down Under Bundle. Za vlastní cenu lze koupit multiplatformní hry The Warlock of Firetop Mountain, Screencheat, Hand of Fate a Satellite Reign. Při nadprůměrné platbě (aktuálně 3,63 $) také Hacknet, Hacknet Labyrinths, Crawl a Hurtworld. Při platbě 12 $ a více lze získat navíc Armello.

Ladislav Hagara | Komentářů: 0
dnes 13:00 | Nová verze

Google Chrome 62 byl prohlášen za stabilní (YouTube). Nejnovější stabilní verze 62.0.3202.62 tohoto webového prohlížeče přináší řadu oprav a vylepšení. Vylepšeny byly také nástroje pro vývojáře (YouTube). Opraveno bylo 35 bezpečnostních chyb.

Ladislav Hagara | Komentářů: 1
dnes 11:00 | Zajímavý článek

Článek (en) na Mozilla.cz je věnován vykreslování stránek ve Firefoxu. V průběhu roku 2018 by se ve Firefoxu měl objevit WebRender, jenž by měl vykreslování stránek urychlit díky využití GPU.

Ladislav Hagara | Komentářů: 0
dnes 08:22 | Bezpečnostní upozornění

NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) informuje o zranitelnosti ROCA v procesu generování RSA klíčů, který se odehrává v softwarové knihovně implementované například v kryptografických čipových kartách, bezpečnostních tokenech a dalších hardwarových čipech vyrobených společností Infineon Technologies AG. Zranitelnost umožňuje praktický faktorizační útok, při kterém útočník dokáže vypočítat

… více »
Ladislav Hagara | Komentářů: 1
dnes 01:23 | Zajímavý software

Příspěvek na blogu otevřené certifikační autority Let's Encrypt informuje o začlenění podpory protokolu ACME (Automatic Certificate Management Environment) přímo do webového serveru Apache. Klienty ACME lze nahradit novým modulem Apache mod_md. Na vývoj tohoto modulu bylo uvolněno 70 tisíc dolarů z programu Mozilla Open Source Support (MOSS). K rozchození HTTPS na Apache stačí nově přidat do konfiguračního souboru řádek s ManagedDomain. Minutový videonávod na YouTube [reddit].

Ladislav Hagara | Komentářů: 1
včera 14:15 | Komunita

Daniel Stenberg, autor nástroje curl, na svém blogu oznámil, že obdržel letošní Polhemovu cenu, kterou uděluje Švédská inženýrská asociace za „technologickou inovaci nebo důvtipné řešení technického problému“.

marbu | Komentářů: 9
včera 13:40 | Pozvánky

Cílem Social Good Hackathonu, který se uskuteční 21. a 22. října v Brně, je vymyslet a zrealizovat projekty, které pomůžou zlepšit svět kolem nás. Je to unikátní příležitost, jak představit nejrůznější sociální projekty a zrealizovat je, propojit aktivní lidi, zástupce a zástupkyně nevládních organizací a lidi z prostředí IT a designu. Hackathon pořádá brněnská neziskovka Nesehnutí.

… více »
Barbora | Komentářů: 1
včera 00:44 | Pozvánky

V sobotu 21. října 2017 se na půdě Elektrotechnické fakulty ČVUT v Praze uskuteční RT-Summit – setkání vývojářů linuxového jádra a uživatelů jeho real-time verze označované jako preempt-rt.

… více »
Pavel Píša | Komentářů: 8
16.10. 23:44 | Bezpečnostní upozornění

V Linuxu byla nalezena bezpečnostní chyba CVE-2017-15265 zneužitelná k lokální eskalaci práv. Jedná se o chybu v části ALSA (Advanced Linux Sound Architecture).

Ladislav Hagara | Komentářů: 1
16.10. 22:44 | Komunita

Greg Kroah-Hartman informuje na svém blogu, že do zdrojových kódu linuxového jádra bylo přidáno (commit) prohlášení Linux Kernel Enforcement Statement. Zdrojové kódy Linuxu jsou k dispozici pod licencí GPL-2.0. Prohlášení přidává ustanovení z GPL-3.0. Cílem je chránit Linux před patentovými trolly, viz například problém s bývalým vedoucím týmu Netfilter Patrickem McHardym. Více v často kladených otázkách (FAQ).

Ladislav Hagara | Komentářů: 4
Jak se vás potenciálně dotkne trend odstraňování analogového audio konektoru typu 3,5mm jack z „chytrých telefonů“?
 (18%)
 (0%)
 (0%)
 (3%)
 (73%)
 (8%)
Celkem 40 hlasů
 Komentářů: 1, poslední dnes 11:21
    Rozcestník

    Dotaz: Jak nastavit jednoduchy firewall a nat na debianu?

    19.4.2009 18:40 DennyNet | skóre: 7 | Praha
    Jak nastavit jednoduchy firewall a nat na debianu?
    Přečteno: 3943×

    Zdravim,

    mam linux stroj (dve sitove karty) s verejnou ip (eth0) (neverejnou ip na eth1) a potrebuju poradit jak nastavit fw s natem

    staci napsat par radku... pro fw porty ktere potrebuju mit otevrene si tam jiz zadam sam
    a radek pro nat.

    Diky DennyNet

    ps: pouzivam distribuci debian leny

    Odpovědi

    19.4.2009 21:48 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Firewall i NAt se nastavuje příkazem iptables. Vřele doporučuju něco si o tom přečíst, jinak vám stejně bude firewall k ničemu. Pokud přesto chcete jen něco nastavit a chcete jen opsat nějaké příkazy, aniž byste jim rozuměl, budete stejně muset napsat, co chcete nastavit – neexistuje něco jako „základní nastavení fireallu“ nebo „firewall on/off“.
    19.4.2009 22:03 NN
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Viz nahore, prectete si navody na ofcialnich strankach iptables, kde jsou i nejake ukazky. TAkova jednoducha kostra:

    -PROMENNE (IP=...) -MODY (modprobe ipv6) -NASTAVENI (echo 1 > /proc/sys/net ) -FLUSH (iptables -FXZ) -DEFAULT POLICY (iptalbes -P) INTERFACE ( -i eth1) MTU (..) TOS ( -j TOS) DSCP ( -j DSCP) ICMP ( -p icmp) DHCP (..) IP ( blokovani znamich rozsahu ) TCP (-p tcp) UDP ( -p udp) NAT IN ( -t nat -A PREROUTING -j DNAT) FORWARD ( -A FORWARD) NAT OUT ( -t nat -A POSTROUTING -j SNAT) OUTPUT (-A OUTPUT) DEFAULT DENY ( -j DROP)

    NN
    20.4.2009 00:30 jirkamailto | skóre: 31
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    Dobry den,

    vrele doporucuji firehol firehol.sf.net . Na te strance najdete i tutorial, je to velmi jednoduche, vrele doporucuji. Jen pripominam, ze pro spousteni fireholu po startu je nutne v /etc/default/firehol zmenit start_firehol na YES.

    20.4.2009 00:03 kato
    Rozbalit Rozbalit vše ipmasq ;-)

    apt-get install ipmasq ;)

    20.4.2009 14:27 Xerces
    Rozbalit Rozbalit vše Re: ipmasq ;-)

    Ahoj zkusil jsem jak různý firewally shorewall, arno ... ale nakonec taky doporučuju pro tenhle jednoduchej a typickej případ instalaci ipmasq teda pokud jedeš na Debianu. V defaultní instalaci nastavuje i NAT. Takže opravdu stačí jen nainstalovat a pak už to funguje automaticky. Ale opravdu si o iptables něco přečti a nebo si počkej až budou nftables ať se to neučíš dvakrát :-D
     

    20.4.2009 07:56 mozog | skóre: 28
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    A co treba si o tom neco precist a pak se ptat s konkretnim problemem?
    20.4.2009 08:45 Petr
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    NAT zapneš jednoduše:

    echo 1 > /proc/sys/net/ipv4/ip_forward

    iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

    a firewall si udělej dle návodu na rootu.

    20.4.2009 09:01 R
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    aptitude install arno-iptables-firewall
    BigWrigley avatar 21.4.2009 11:04 BigWrigley | skóre: 33
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Ano, tohle je pomerne jednoduche a funguje hezky, kdyz to potrebujete rychle. Jen neumi IPv6 ;-) Kadopadne ale doporucuji nastudovat primo iptables.

    Ales
    Linux is like a wigwam - no windows, no gates and Apache inside.
    20.4.2009 16:27 jano
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    cat /proc/sys/net/ipv4/ip_forward ak ti odpovie "1" tak smerovanie beží, ak nie tak až potom to echo 1........

     

    mimochodom kdesi je tu návod na Linuxovú bránu

    21.4.2009 16:06 DennyNet | skóre: 7 | Praha
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    o iptables jsem jiz cetl hodne, ale porad nechapu jejich "tabulky"

    dokonce mam i knizku kompletni kniha o linux snad i treti vydani

    jenze iptables jsou pro me tak slozity, ze bych si to musel cist a cist cist porad dokola a to 24 hodin denne, a stejne bych se nic nenaucil.

    naucim se jedine kdyz mi nekdo napise priklad ja si ho opisu a pak zkousim dalsi "mutace" toho prikazu..

    ramcove vim co iptables umi - umi omezovat a povolovat prchod paketu, mozna se s nim da delat i qos ikdyz na to je asi lepsi jiny prikaz, dale nat

    jako ip pot

    21.4.2009 16:55 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Tabulka má vždy skupinu řetězců pravidel, přičemž každý paket projde jedním nebo několika řetězy pravidle v té tabulce. Běžně se setkáte s tabulkou filter (ta se použije, pokud nezvolíte jméno jiné tabulky), a to je klasický firewall, který pakety buď propustí dál nebo je zastaví. Dál se běžně používá tabulka nat (jak je patrné z názvu, jde o NAT, tedy přepisování adres). Další tabulky mangle nebo raw asi nepoužijete.

    Pokud chcete příklady, napište příklady čeho. Když vám tady napíšu pár příkladů pravidel, asi vám to k ničemu nebude. Klidně to zkusím
    iptables -A FORWARD -p tcp --dport 22 -j ACCEPT
    
    Povolí průchozí pakety (nemají zdroj ani cíl na tomto PC) protokolu TCP, které mají cílový port 22. To jsou typicky pakety SSH spojení od klienta k serveru (pakety od serveru ke klientovi mají port zdroje 22).
    iptables -A INPUT -p udp --dport 53 -j ACCEPT
    
    Povolí příchozí pakety (jejich cíl je tento PC) protokolu UDP s cílovým portem 53 (typicky to jsou DNS dotazy).
    iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
    
    Ještě před routováním přepíše (NAT) všem paketům TCP směřujícím na port 80 cílový port na port 8080. (Lze použít např. pokud webový server nechcete spouště pod rootem, ale chcete umožnit uživatelům (klientům webového serveru) používat port 80, coý je standardní port pro HTTP.)
    22.4.2009 00:45 DennyNet | skóre: 7 | Praha
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    dekuji tomu rikam odpoved ;-)

    btw: jeste v tom presmerovani 80 na port 8080 se musi nekde psat zdroj a cil cili kam bych mel napsat eth0 a eth1 nebo on to linux pozna sam?

    btw2: prosim napiste mi prikaz jak vse zakazat tj. ze bych :

    - nejdriv na verejnou sitovku eth0 zakladal vsechno prichozi
    a pak postupne zadaval radek po radku na jaky porty povolim pristup

    jmenovite: 21-ftp,443-ssl, 22 ssh, 80 web, 53 dns, 5190 icq, 110, 25 (mail) atd.

    22.4.2009 09:59 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    jeste v tom presmerovani 80 na port 8080 se musi nekde psat zdroj a cil cili kam bych mel napsat eth0 a eth1 nebo on to linux pozna sam?
    Síťová zařízení tam být uvedená nemusí, pak se to týká kteréhokoli zařízení. Zařízení se tedy uvádějí jen v případě, kdy chcete pravidla uplatnit jen na nějaké konkrétní zařízení. Např. pokud víte, že pouze jedno rozhraní je připojené do internetu, můžete pravidla proti útokům z internetu nastavit jen na tomto zařízení.
    - nejdriv na verejnou sitovku eth0 zakladal vsechno prichozi a pak postupne zadaval radek po radku na jaky porty povolim pristup

    jmenovite: 21-ftp,443-ssl, 22 ssh, 80 web, 53 dns, 5190 icq, 110, 25 (mail) atd.
    To se dělá tak, že řetězci INPUT nastavíte jako výchozí politiku DROP (zahazování paketů), a pak pomocí jednotlivých pravidel povolíte jednotlivé porty. Firewall pak prochází jednotlivá pravidla, pokud se nějaké uplatní a má cíl ACCEPT, REJECT nebo DROP, procházení skončí a další pravidla se neuplatňují. Pokud nevyhoví žádné z pravidel, uplatní se výchozí politika příslušného řetězce.

    Ještě je potřeba správně zacházet s tím, že pakety v jednom TCP spojení (případně UDP dotaz–odpověď) jdou ve dvou směrech a je nutné mít na firewallu povolené oba směry. Pokud chcete filtrovat jen příchozí provoz, dělá se to zpravidla tak, že filtrujete jen v řetězci INPUT a v OUTPUT necháte vše povolené. Záleží pak na tom, zda předpokládáte nějakou komunikaci zahajovanou z vašeho počítače, nebo ne. Ale minimálně DNS dotazy tam asi budete chtít mít povolené, možná i přístup na web atd.

    Ještě je dobré si rozmyslet, zda budete pakety odmítat DROPem (paket pouze zahodí a nedá odesílateli žádnou zprávu), nebo REJECETem (paket zahodí, ale pošle zpět ICMP paket port nedostupný, jak je to správně podle doporučení). REJECT je sice správnější a vstřícnější k omylům druhé strany, ale zase hrozí, že váš počítač zaplaví nějakého chudáka falešnými zprávami (stačí, že někdo na váš počítač z mnoha počítačů pošle požadavek na zahájení spojení se zfalšovanou zdrojovou IP adresou).
    #na výstupu nic nefiltrovat, na vstupu jen povolené
    iptables -P INPUT DROP
    iptables -P OUTPUT ACCEPT
    
    #povolení příchozího řídícího spojení pro FTP – neřeší datové spojení. Pokud je povolen OUTPUT a na INPUTU navázaná spojení, bude fungovat nepasivní mód FTP
    iptables -A INPUT -p tcp --dport 21 -j ACCEPT
    
    #povolit příchozí spojení SSH, SMTP, HTTP, POP3, HTTPS
    iptables -A INPUT -p tcp --dport 22 -j ACCEPT
    iptables -A INPUT -p tcp --dport 25 -j ACCEPT
    iptables -A INPUT -p tcp --dport 80 -j ACCEPT
    iptables -A INPUT -p tcp --dport 110 -j ACCEPT
    iptables -A INPUT -p tcp --dport 443 -j ACCEPT
    
    #povolit příchozí dotazy DNS přes UDP; přes TCP na stejném portu se dělá transfer zóny, je nutné povolit, pokud se používá tato technologie přenosu na záložní DNS servery nebo k testovacím nástrojům
    iptables -A INPUT -p udp --dport 53 -j ACCEPT
    
    #povolit pakety související s existujícím spojením – typicky příchozí pakety spojení navázaného z tohoto PC, tím se umožní libovolný odchozí TCP provoz
    iptables -A INPUT -p tcp --state ESTABLISHED, RELATED -j ACCEPT 
    
    #povolit příchozí odpovědi DNS
    iptables -A INPUT -p udp --sport 53 -j ACCEPT 
    

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.