abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
dnes 11:30 | Komunita

Bylo oznámeno, že bude proveden bezpečnostní audit zdrojových kódů open source softwaru pro implementaci virtuálních privátních sítí OpenVPN. Audit provede Matthew D. Green (blog), uznávaný kryptolog a profesor na Univerzitě Johnse Hopkinse. Auditována bude verze 2.4 (aktuálně RC 1, stabilní verze je 2.3.14). Audit bude financován společností Private Internet Access [reddit].

Ladislav Hagara | Komentářů: 0
dnes 06:00 | Komunita

Na YouTube byl publikován Blender Institute Reel 2016, ani ne dvouminutový sestřih z filmů, které vznikly za posledních 10 let díky Blender Institutu. V institutu aktuálně pracují na novém filmu Agent 327. Dění kolem filmu lze sledovat na Blender Cloudu. Videoukázka Agenta 327 z června letošního roku na YouTube.

Ladislav Hagara | Komentářů: 0
dnes 01:02 | Zajímavý článek

Minulý týden byly vydány verze 1.2.3 a 1.1.7 webového poštovního klienta Roundcube. V oznámení o vydání bylo zmíněno řešení bezpečnostního problému nalezeného společností RIPS a souvisejícího s voláním funkce mail() v PHP. Tento týden byly zveřejněny podrobnosti. Útočník mohl pomocí speciálně připraveného emailu spustit na serveru libovolný příkaz. Stejně, jak je popsáno v článku Exploit PHP’s mail() to get remote code execution z roku 2014.

Ladislav Hagara | Komentářů: 1
včera 16:00 | Nová verze

Byla vydána verze 0.98 svobodného nelineárního video editoru Pitivi. Z novinek lze zmínit například přizpůsobitelné klávesové zkratky. Videoukázka práce s nejnovější verzí Pitivi na YouTube.

Ladislav Hagara | Komentářů: 1
včera 15:00 | Zajímavý software

Stop motion je technika animace, při níž je reálný objekt mezi jednotlivými snímky ručně upravován a posouván o malé úseky, tak aby po spojení vyvolala animace dojem spojitosti. Jaký software lze pro stop motion použít na Linuxu? Článek na OMG! Ubuntu! představuje Heron Animation. Ten bohužel podporuje pouze webové kamery. Podpora digitálních zrcadlovek je začleněna například v programu qStopMotion.

Ladislav Hagara | Komentářů: 5
7.12. 21:21 | Nová verze Ladislav Hagara | Komentářů: 0
7.12. 11:44 | Zajímavý projekt

Na Indiegogo byla spuštěna kampaň na podporu herní mini konzole a multimediálního centra RetroEngine Sigma od Doyodo. Předobjednat ji lze již od 49 dolarů. Požadovaná částka 20 000 dolarů byla překonána již 6 krát. Majitelé mini konzole si budou moci zahrát hry pro Atari VCS 2600, Sega Genesis nebo NES. Předinstalováno bude multimediální centrum Kodi.

Ladislav Hagara | Komentářů: 2
7.12. 00:10 | Nová verze

Byla vydána verze 4.7 redakčního systému WordPress. Kódové označením Vaughan bylo vybráno na počest americké jazzové zpěvačky Sarah "Sassy" Vaughan. Z novinek lze zmínit například novou výchozí šablonu Twenty Seventeen, náhledy pdf souborů nebo WordPress REST API.

Ladislav Hagara | Komentářů: 10
6.12. 12:00 | Zajímavý projekt

Projekt Termbox umožňuje vyzkoušet si linuxové distribuce Ubuntu, Debian, Fedora, CentOS a Arch Linux ve webovém prohlížeči. Řešení je postaveno na projektu HyperContainer. Podrobnosti v často kladených dotazech (FAQ). Zdrojové kódy jsou k dispozici na GitHubu [reddit].

Ladislav Hagara | Komentářů: 27
6.12. 11:00 | Bezpečnostní upozornění

Byly zveřejněny informace o bezpečnostní chybě CVE-2016-8655 v Linuxu zneužitelné k lokální eskalaci práv. Chyba se dostala do linuxového jádra v srpnu 2011. V upstreamu byla opravena minulý týden [Hacker News].

Ladislav Hagara | Komentářů: 2
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (7%)
 (5%)
 (3%)
Celkem 803 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: proč nechodí NAT?

28.3.2011 18:24 krnoha | skóre: 10 | blog: prizpevy
proč nechodí NAT?
Přečteno: 448×
Mám testovací router na jádře 2.6.34.7 . Vnitřní síť je privátní a je v ní jeden stroj, na kterém běží ping směrem ven. Každou sekundu na vnějším stroji vidím
18:02:40.636985 IP 192.168.1.51 > vnejsistroj.fzu.cz: ICMP echo request, id 11023, seq 6813, length 64
18:02:40.664039 IP vnejsistroj.fzu.cz > 192.168.1.51: ICMP echo reply, id 11023, seq 6813, length 64
V iptables nemám nic, router správně routuje. Teď na routeru napíšu:
iptables -t nat -A POSTROUTING  -s 192.168.1.0/24 -j SNAT --to-source router-IP
Následující
iptables -t nat -L
mi ukáže, že to pravidlo tam je. Na vzdáleném stroji bych teď čekal něco jako
18:02:40.636985 IP router-IP > vnejsistroj.fzu.cz: ICMP echo request,
18:02:40.664039 IP vnejsistroj.fzu.cz  > router-IP
Ale houby, router jako by pravidlo neviděl dál si mele svou. Musím dělat něco špatně, ale zaboha to nevidím. Zkusil by mě někdo postrčit?

Odpovědi

28.3.2011 19:46 krnoha | skóre: 10 | blog: prizpevy
Rozbalit Rozbalit vše Re: proč nechodí NAT?
Odpovím si sám. Napsal jsem to do startovního skriptu a provedl reboot. NAT funguje. Předtím jsem dělal rovněž rebooty a potom jsem psal definici NAT z klávesnice, To pořád nechtělo fungovat. Možná byl problém v tom, že ty pingy tam byly každou sekundu a něco v jádře se nestačilo vzpamatovat. Nebo byl problém možná v něčem jiném. Zatracenej život.
28.3.2011 21:19 krnoha | skóre: 10 | blog: prizpevy
Rozbalit Rozbalit vše Re: proč nechodí NAT?
Jenže po dalším rebootu NAT znovu nechodí. Zkusím nainstalovat nějaké peče.
29.3.2011 03:18 zelo81
Rozbalit Rozbalit vše Re: proč nechodí NAT?
najskor pouzi distribucne jadro ak to nejak blbne pri tomto, navyse to co tu pises chodilo korektne predtym? myslim ze asi to nechodilo vobec: man iptables
29.3.2011 10:17 krnoha | skóre: 10 | blog: prizpevy
Rozbalit Rozbalit vše Re: proč nechodí NAT?
Běhalo mi to před několika lety na jiném stroji. Prostředí bylo jiné ale základní konstrukce byla stejná. To jádro je defaultní v distribuci OpenSuSE 11.3. Plným označením je to 2.6.34.7-0.7-default .
29.3.2011 06:50 pht | skóre: 48 | blog: pht
Rozbalit Rozbalit vše Re: proč nechodí NAT?
Vidět znamená věřit :) Záleží na kterém interface to vidíte. NeNATované adresy budou na interface vnitřním, NATované na vnějším (viz tcpdump -i). Pokud ping funguje, tj. vidíte příchozí ICMP paket, tak je velmi pravděpodobné, že NAT funguje, akorát koukáte na špatný interface.
In Ada the typical infinite loop would normally be terminated by detonation.
29.3.2011 10:31 krnoha | skóre: 10 | blog: prizpevy
Rozbalit Rozbalit vše Re: proč nechodí NAT?
tcpdump pouštím na vzdáleném na vzdáleném stroji, na tom na který jsem poslal ping request. Vidím tam to co jsem psal, že paket přišel na správné místo, ale jeho zdrojová adresa není přepsaná. Ten vzdálený stroj odpovídá na zdrojovou adresu, čili odpověď pošle na default router a ten ji zahodí. Všecko funguje jak má, až na přepis zdrojové adresy. Rovněž je pravda co jsem už napsal, že po jednom rebootu NAT obživnul. Stroj ve vnitřní síti v té době správně dostával odpovědi na ping a tvářil se spokojeně, stejně jako já. Jenže další pokusný reboot to znovu rozbil. Napadá mě jediná věc, že tyto iptables-1.4.8-1.5.i586 nespolupracují s tímto jádrem. Snad že bych zkusil nabootovat Knoppix, ručně na něm rozchodit obě síťovky a routování a ručně pustit ten skript. Tím se eliminuje možná chyba distribuce. Je to divný, ale nic jiného mě nenapadá. Je možné, aby tímto způsobem nefungovalo železo?
vencour avatar 29.3.2011 11:31 vencour | skóre: 55 | blog: Tady je Vencourovo | Praha+západní Čechy
Rozbalit Rozbalit vše Re: proč nechodí NAT?

Pusťte si tam třeba ve screenu watch -d iptables -nvL, pokud se matchne něco, měl byste mít výsledek, pokud nematchne, nastavte jinak pravidla v iptables ;-)

Ty nejhlubší objevy nečekají nutně za příští hvězdou. Jsou uvnitř nás utkány do vláken, která nás spojují, nás všechny.
4.4.2011 19:24 krnoha | skóre: 10 | blog: prizpevy
Rozbalit Rozbalit vše Re: proč nechodí NAT?
Nemečnulo, ale pravidla jsem nedokázal vylepšit. Nezbylo mi než najít si jiné železo a tam pod Scientific Linuxem můj skript napoprvé fungoval jak má. Potom jsem se vrátil k původnímu železu, nabootoval Kotkův minimax, to je takový live linux z roku 06 a dneska už neudržovaný, skript tam běhal napoprvé. Potom jsem pořád to původní železo nabootoval zase do OpenSuSE 11.3 , firewall funguje a přežil i další rebooty. Protože není možné, aby se software sám takhle spravil, nezbývá mi než si myslet, že se jedná o přechodnou chybu chipsetu. Jádro asi při filtraci paketů spoléhá na nějakou konstrukci, která před týdnem nefungovala a teď zase funguje. A za týden zase nebude, nejspíš. Tímto ten případ uzavírám a už se tím nebudu zabývat.
vencour avatar 5.4.2011 09:54 vencour | skóre: 55 | blog: Tady je Vencourovo | Praha+západní Čechy
Rozbalit Rozbalit vše Re: proč nechodí NAT?

Ok, (i) jak se píše níže, stavová i nestavová komunikace má jistá pravidla. Stav provozu by měly umožňovat i jisté nástroje ... např. conntrack-tools. Pak byste mohl snad vidět víc ... aneb toto ...

# conntrack
Command line interface for the connection tracking system. Version 0.9.14
Usage: conntrack [commands] [options]

Commands:
  -L [table] [options]          List conntrack or expectation table
  -G [table] parameters         Get conntrack or expectation
  -D [table] parameters         Delete conntrack or expectation
  -I [table] parameters         Create a conntrack or expectation
  -U [table] parameters         Update a conntrack
  -E [table] [options]          Show events
  -F [table]                    Flush table
  -C [table]                    Show counter
  -S                            Show statistics

Tables: conntrack, expect

Conntrack parameters and options:
  -n, --src-nat ip                      source NAT ip
  -g, --dst-nat ip                      destination NAT ip
  -m, --mark mark                       Set mark
  -c, --secmark secmark                 Set selinux secmark
  -e, --event-mask eventmask            Event mask, eg. NEW,DESTROY
  -z, --zero                            Zero counters while listing
  -o, --output type[,...]               Output format, eg. xml

Expectation parameters and options:
  --tuple-src ip        Source address in expect tuple
  --tuple-dst ip        Destination address in expect tuple
  --mask-src ip         Source mask address
  --mask-dst ip         Destination mask address

Common parameters and options:
  -s, --orig-src ip             Source address from original direction
  -d, --orig-dst ip             Destination address from original direction
  -r, --reply-src ip            Source addres from reply direction
  -q, --reply-dst ip            Destination address from reply direction
  -p, --protonum proto          Layer 4 Protocol, eg. 'tcp'
  -f, --family proto            Layer 3 Protocol, eg. 'ipv6'
  -t, --timeout timeout         Set timeout
  -u, --status status           Set status, eg. ASSURED
  -b, --buffer-size             Netlink socket buffer size
by vám mělo umožnit dokázat vic. Tedy pokud komerční firewally dokážou manipulovat s tabulkou spojení apod., proč by to nemohl umět linux dělat ještě líp ;-)

Ty nejhlubší objevy nečekají nutně za příští hvězdou. Jsou uvnitř nás utkány do vláken, která nás spojují, nás všechny.
29.3.2011 19:48 pht | skóre: 48 | blog: pht
Rozbalit Rozbalit vše Re: proč nechodí NAT?
Aha, já jsem špatně pochopil, že dumpujete na routeru. Tak bych to zkusil tam. Jinak to zní záhadně. Možná že to narušuje nějaké jiné pravidlo.
In Ada the typical infinite loop would normally be terminated by detonation.
4.4.2011 23:19 VM
Rozbalit Rozbalit vše Re: proč nechodí NAT?
Pozor taky na to, že jádro udržuje tabulku spojení, která mapuje NATové spojení, porty a adresy lokálních strojů. U TCP se to přidává na začátku spojení - takže pokud se spojení otevřelo před přidáním pravidla, tak se nejspíše natovat nebude. Pro natování UDP je nějaká podobná heuristika, která se řídí podle prvního paketu (na tom je založené UDP tunelování dvou sítí za NATem), jak to je s ICMP nevím, ale čekal bych něco podobného. Takže po změně nastavení doporučuji testovat pouze nová TCP spojení.
rADOn avatar 5.4.2011 13:17 rADOn | skóre: 44 | blog: bloK | Praha
Rozbalit Rozbalit vše Re: proč nechodí NAT?
mas zapnuty ip_forward?
"2^24 comments ought to be enough for anyone" -- CmdrTaco

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.