abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

včera 23:44 | Bezpečnostní upozornění

V Linuxu byla nalezena bezpečnostní chyba CVE-2017-15265 zneužitelná k lokální eskalaci práv. Jedná se o chybu v části ALSA (Advanced Linux Sound Architecture).

Ladislav Hagara | Komentářů: 0
včera 22:44 | Komunita

Greg Kroah-Hartman informuje na svém blogu, že do zdrojových kódu linuxového jádra bylo přidáno (commit) prohlášení Linux Kernel Enforcement Statement. Zdrojové kódy Linuxu jsou k dispozici pod licencí GPL-2.0. Prohlášení přidává ustanovení z GPL-3.0. Cílem je chránit Linux před patentovými trolly, viz například problém s bývalým vedoucím týmu Netfilter Patrickem McHardym. Více v často kladených otázkách (FAQ).

Ladislav Hagara | Komentářů: 0
včera 22:04 | Pozvánky

Rádi bychom vás pozvali na přednášku o frameworku Avocado. Jedná se o testovací framework další generace, inspirovaný Autotestem a moderními vývojovými nástroji, jako je třeba git. Přednáška se bude konat 23. října od 17 hodin na FEL ČVUT (Karlovo náměstí, budova E, auditorium K9 – KN:E 301). Více informací na Facebooku.

… více »
mjedlick | Komentářů: 0
včera 21:44 | Bezpečnostní upozornění

Nový útok na WPA2 se nazývá KRACK a postihuje prakticky všechna Wi-Fi zařízení / operační systémy. Využívá manipulace s úvodním handshake. Chyba by měla být softwarově opravitelná, je nutné nainstalovat záplaty operačních systémů a aktualizovat firmware zařízení (až budou). Mezitím je doporučeno používat HTTPS a VPN jako další stupeň ochrany.

Václav HFechs Švirga | Komentářů: 0
15.10. 00:11 | Zajímavý projekt

Server Hackaday představuje projekt RainMan 2.0, aneb jak naučit Raspberry Pi 3 s kamerovým modulem pomocí Pythonu a knihovny pro rozpoznávání obrazu OpenCV hrát karetní hru Blackjack. Ukázka rozpoznávání karet na YouTube. Zdrojové kódy jsou k dispozici na GitHubu.

Ladislav Hagara | Komentářů: 0
14.10. 15:11 | IT novinky

Online obchod s počítačovými hrami a elektronickými knihami Humble Bundle byl koupen společností IGN. Dle oficiálních prohlášení by měl Humble Bundle dále fungovat stejně jako dosud.

Ladislav Hagara | Komentářů: 7
14.10. 06:00 | Zajímavý článek

Brendan Gregg již v roce 2008 upozornil (YouTube), že na pevné disky se nemá křičet, že jim to nedělá dobře. Plotny disku se mohou rozkmitat a tím se mohou prodloužit časy odezvy pevného disku. V září letošního roku proběhla v Buenos Aires konference věnovaná počítačové bezpečnosti ekoparty. Alfredo Ortega zde demonstroval (YouTube, pdf), že díky tomu lze pevný disk použít také jako nekvalitní mikrofon. Stačí přesně měřit časy odezvy

… více »
Ladislav Hagara | Komentářů: 7
13.10. 14:33 | Komunita

Společnost SUSE natočila a na YouTube zveřejnila dva nové videoklipy: 25 Years - SUSE Music Video (7 Years parody) a Linus Said - Music Parody (Momma Said).

Ladislav Hagara | Komentářů: 6
13.10. 12:55 | Zajímavý projekt

Autoři stránky Open Source Game Clones se snaží na jednom místě shromažďovat informace o open source klonech proprietárních počítačových her. Přidat další hry nebo návrhy na zlepšení lze na GitHubu. Na stránce Open Source Text Games jsou shromažďovány informace o open source textových hrách. Opět lze k vylepšení nebo doplnění stránky použít GitHub.

Ladislav Hagara | Komentářů: 1
12.10. 20:44 | Nová verze

Po 18 měsících vývoje od vydání verze 2.3 byla oficiálně vydána nová verze 2.4 firewallové distribuce pfSense, fork již nevyvíjeného m0n0wall, která je postavená na základech FreeBSD 11.1. Přehled novinek v poznámkách k vydání. Zdůraznit lze ukončení podpory dvaatřicetibitové i386 architektury.

Ladislav Hagara | Komentářů: 0
Těžíte nějakou kryptoměnu?
 (6%)
 (2%)
 (15%)
 (76%)
Celkem 717 hlasů
 Komentářů: 24, poslední 27.9. 08:30
    Rozcestník

    Dotaz: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru

    28.12.2011 02:31 sirvestroji
    Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Přečteno: 1268×
    Ahoj. Nakonfiguroval jsem si OpenVPN klienta a OpenVPN server propojené přes tun zařízení. Spojení funguje parádně. Problém je v routování, resp. nevím jak naroutovat cílovou síť za serverem.
    ================                                    ===================
    |OpenVPN klient| --|domácí router|--> internet ---> |hardwarový router| --->_______místní síť_______________
    ================                                    ===================        |               | | | | | | | 
                                                                              ================     počítače v síti
                                                                              |OpenVPN server|
                                                                              ================
    
    OpenVPN klient: obecně jakákoliv ip, která není v cílové síti, např. 192.168.55.23/24
    hardwarový router (neumí vpn): vnější adresa veřejná, vnitřní 192.168.1.1/24
    OpenVPN server: 192.168.1.2/24
    počítače v síti: 192.168.1.0/24
    
    (Neřeším teď samotné ip adresy vpn tunelu)
    
    Problém je, že pokud se chci z vpn klienta dostat na nějaký počítač v síti, pak se na něj nedostanu z jednoho prostého důvodu. Pakety nemají cestu zpátky, protože počítače v síti mají jako výchozí bránu hardwarový router. Teoreticky bych mohl udělat to, že kýžené pakety budu routovat z routeru zpět na openvpn server. Jenže to nemůže fungovat z toho důvodu, že pakety projdou prvním směrem z openvpn serveru, ale zpátky už cestují přes router do openvpn serveru tzn. se zahodí. Jako možné řešení je přidat všem klientům v síti routu pro vpn klienty na vpn server. To sice funguje, ale je to dost nepraktické a "ošklivé". Dalším možným řešením by bylo vyjmout openvpn server z místní sítě a vše na něj a z něj routovat přes hardwarový router - to ale bohužel nemohu, protože tento server slouží i jako dhcp server. Mohl bych použít virtuální ethernety, ale to je ještě prasáčtější řešení, než v případě routování jednotlivých klientů.
    Nenapadá vás, jak by se takové routování dalo elegantně řešit?

    Odpovědi

    28.12.2011 09:40 chytracek
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Teoreticky bych mohl udělat to, že kýžené pakety budu routovat z routeru zpět na openvpn server. Jenže to nemůže fungovat z toho důvodu, že pakety projdou prvním směrem z openvpn serveru, ale zpátky už cestují přes router do openvpn serveru tzn. se zahodí.
    A presne to fungovat bude (Ano, funguje. Mam to takhle nastavene, brana routuje VPN subnet na LAN IP VPN serveru). Z jakeho duvodu by se pakety mely zahazovat? Kde?
    28.12.2011 14:15 sirvestroji
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    1. OpenVPN server -> klient
    2. klient -> router -> OpenVPN server
    
    Tady je jasné, že že se stavová spojení nepodaří navázat. (router si hlídá handshake)
    29.12.2011 08:35 CET
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Tady je jasné, že že se stavová spojení nepodaří navázat. (router si hlídá handshake)
    Neplet si router a firewall - zatimco firewall filtruje provoz a pro to obvykle pouzivat sledovani spojeni (connection tracking) a tvori si tabulku spojeni pro navazana spojeni, tak router POUZE routuje, tzn. predava pakety a nezajima ho, jestli je ten packet soucastni nejakyho spojeni.

    Pokud je tedy HW router i Firewall, tak by bylo nutne nastavit neco na zpusob iptables zapisu iptables -A FORWARD -j ACCEPT -i eth0 -o eth0, kde eth0 je mistni sit, cili, pokud neco prijde z eth0 a ma to odchazet na eth0, tak to proste predat a nezajimat se.

    Jinak dalsi moznost by byla, ze by ten OpenVPN pridelovat par adres tem VPN klientum ze stejneho rozmezi jako hlavni DHCP server. Rekneme hlavne DHCP server by daval 10-150, VPN by daval 151-200 a nebo ,jak pise bigbrambor, pouzit primo bridgovani (pokud se nepletu, v tom pripade se pouziva tap misto tun), coz by bylo ve tvem pripade zrejme to nejlepsi.

    Jinak pokud bys chtel ten VPN server dat mezi HW router (DHCP) a mistni sit, tak bys na VPN serveru spustil akorat dhcprelay a ten by pak vsechny DHCP pozadavky z mistni site predaval na HW router a zaroven by VPN server sam routoval do VPN.
    29.12.2011 08:57 bigBRAMBOR | skóre: 30
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    s drobným dovětkem, pokud dobre nastavis OVPN server, nemusis rozdelovat pridelovany rozsah adres, ale o adresy pro OVPN klienty se postara DHCP server. Vse se tedy chova tak jak ma, jako by jsi byl v lokalni siti.
    30.12.2011 08:33 CET
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Mas na mysli dhcprelay nebo bridge?
    2.1.2012 08:15 bigBRAMBOR | skóre: 30
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    bridge
    28.12.2011 11:16 bigBRAMBOR | skóre: 30
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    pokud stroje v lokalni siti maji jinou default GW nez OVPN server, mas dve moznosti, bud klidntum podstricit routu ktera jim rekne ze na OVPN klienta se maji ptat OVPN serveru - napr DHCP to umí, nebo na serveru OVPN nastavit maskaradu pro prichozi pakety od OVPN klienta. Dalsi moznost by byla jeste OVPN jako bdrige, kdy OVPN klient by dostal adresu z lokalniho rozsahu, stejnou GW? vsechno, a vlastne by se stal soucasti lokalni site.
    28.12.2011 18:33 sirvestroji
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Kdybych to bridgoval, tak bych vlastně propojil tap0 a eth0 pomocí virtuálního br0 a pouze tomu virtuálnímu br0 bych dal IP adresu původního eth0, aby byl ten server dostupný po síti. Je to tak správně? Myslím ale, že tohle se nedá moc dobře filtrovat přes firewall (shorewall). K tomu dhcp - nevím, že by to umělo. Beztřídní adresy option pro static routes neumí a navíc tento option ani windows pokud vím nepodporují.
    29.12.2011 08:05 bigBRAMBOR | skóre: 30
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    1/ jak pises, az na to ze pres firewall to projde, akorat budes mit vsude br0 misto eth0, a klient se do site dostane, protoze jde o komunikaci jiz navazaneho spojeni

    2/ dhcp to umi i pro windows, direktiva "option win-static-routes", málo známá a šílená (jako parametr se dává nekoneční řetězec HEX čísel složený z převedených masek a gw, ale to je problém windows jako to chtějí, a ne dhcpd), ale funkční, používal jsem

    3/ pořád můžeš nahodit maskaradu
    29.12.2011 16:47 sirvestroji
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    1/ jak pises, az na to ze pres firewall to projde, akorat budes mit vsude br0 misto eth0, a klient se do site dostane, protoze jde o komunikaci jiz navazaneho spojeni
    No četl jsem, že standardní iptables firewall (používá ho shorewall) nemůže fungovat na linkové vrstvě v bridgování. Např. bych potřeboval omezit počet nějakých paketů za sekundu, povolené porty apod. ve směru tap0->eth0. Nicméně jsem našel obrázek http://ebtables.sourceforge.net/br_fw_ia/PacketFlow.png, podle kterého bych řekl, že by to fungovat mělo (iptables filter tabulka). Jak to tedy je?
    29.12.2011 20:40 bigBRAMBOR | skóre: 30
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    oboje dvoje co pises iptables umí, i pocet spojeni za sekundu, a povolene porty pro urcite smerovani samozrejme taky. Tedy iptables, netusim co vsechno povoluje jeho nadstavba, tedy shorewall.
    29.12.2011 13:16 Pavel | skóre: 17
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    Jen se zeptam tady, abych nemusel zakládat další dotaz. Mam zapojení sítě shodný se schéma výše, do domácí sítě se dostanu normálně, ale pude udělat abych měl přístup i přístup do internetu? Aby tedy vzdálený klient měl vystupoval na internetu jako dyby přistupoval z domácí sítě. VPN serever mam připojen jednou síťovkou, nebude potřeba mít speciální s trunk portem?
    29.12.2011 15:10 bigBRAMBOR | skóre: 30
    Rozbalit Rozbalit vše Re: Naroutování sítě OpenVPN klientovi, pokud není vpn server v routeru
    redirect gateway, OVPN presmeruje veskery provoz pres OVPN server jako pres GW. Pak se dostanes do stejne situace jako predchozi tazatel. Pokud OVPN server neni GW pro sit, bude se proste ptat svoji GW, tedy asi nejakeho tveho routeru. Nebo udelas bridge, GW pak OVPN klient bude mit stejnou jako kdyby byl lokalne, tvuj lokalni router.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.