abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
včera 16:38 | Komunita

Byly zveřejněny videozáznamy přednášek a workshopů z letošní konference OpenAlt konané 5. a 6. listopadu v Brně. K videozáznamům lze přistupovat ze stránky na SuperLectures nebo přes program konference, detaily o vybrané přednášce nebo workshopu a dále kliknutím na ikonku filmového pásu. Celkově bylo zpracováno 65 hodin z 89 přednášek a workshopů.

Ladislav Hagara | Komentářů: 0
včera 11:30 | Komunita

Bylo oznámeno, že bude proveden bezpečnostní audit zdrojových kódů open source softwaru pro implementaci virtuálních privátních sítí OpenVPN. Audit provede Matthew D. Green (blog), uznávaný kryptolog a profesor na Univerzitě Johnse Hopkinse. Auditována bude verze 2.4 (aktuálně RC 1, stabilní verze je 2.3.14). Audit bude financován společností Private Internet Access [reddit].

Ladislav Hagara | Komentářů: 2
včera 06:00 | Komunita

Na YouTube byl publikován Blender Institute Reel 2016, ani ne dvouminutový sestřih z filmů, které vznikly za posledních 10 let díky Blender Institutu. V institutu aktuálně pracují na novém filmu Agent 327. Dění kolem filmu lze sledovat na Blender Cloudu. Videoukázka Agenta 327 z června letošního roku na YouTube.

Ladislav Hagara | Komentářů: 0
včera 01:02 | Zajímavý článek

Minulý týden byly vydány verze 1.2.3 a 1.1.7 webového poštovního klienta Roundcube. V oznámení o vydání bylo zmíněno řešení bezpečnostního problému nalezeného společností RIPS a souvisejícího s voláním funkce mail() v PHP. Tento týden byly zveřejněny podrobnosti. Útočník mohl pomocí speciálně připraveného emailu spustit na serveru libovolný příkaz. Stejně, jak je popsáno v článku Exploit PHP’s mail() to get remote code execution z roku 2014.

Ladislav Hagara | Komentářů: 1
8.12. 16:00 | Nová verze

Byla vydána verze 0.98 svobodného nelineárního video editoru Pitivi. Z novinek lze zmínit například přizpůsobitelné klávesové zkratky. Videoukázka práce s nejnovější verzí Pitivi na YouTube.

Ladislav Hagara | Komentářů: 1
8.12. 15:00 | Zajímavý software

Stop motion je technika animace, při níž je reálný objekt mezi jednotlivými snímky ručně upravován a posouván o malé úseky, tak aby po spojení vyvolala animace dojem spojitosti. Jaký software lze pro stop motion použít na Linuxu? Článek na OMG! Ubuntu! představuje Heron Animation. Ten bohužel podporuje pouze webové kamery. Podpora digitálních zrcadlovek je začleněna například v programu qStopMotion.

Ladislav Hagara | Komentářů: 5
7.12. 21:21 | Nová verze Ladislav Hagara | Komentářů: 0
7.12. 11:44 | Zajímavý projekt

Na Indiegogo byla spuštěna kampaň na podporu herní mini konzole a multimediálního centra RetroEngine Sigma od Doyodo. Předobjednat ji lze již od 49 dolarů. Požadovaná částka 20 000 dolarů byla překonána již 6 krát. Majitelé mini konzole si budou moci zahrát hry pro Atari VCS 2600, Sega Genesis nebo NES. Předinstalováno bude multimediální centrum Kodi.

Ladislav Hagara | Komentářů: 2
7.12. 00:10 | Nová verze

Byla vydána verze 4.7 redakčního systému WordPress. Kódové označením Vaughan bylo vybráno na počest americké jazzové zpěvačky Sarah "Sassy" Vaughan. Z novinek lze zmínit například novou výchozí šablonu Twenty Seventeen, náhledy pdf souborů nebo WordPress REST API.

Ladislav Hagara | Komentářů: 10
6.12. 12:00 | Zajímavý projekt

Projekt Termbox umožňuje vyzkoušet si linuxové distribuce Ubuntu, Debian, Fedora, CentOS a Arch Linux ve webovém prohlížeči. Řešení je postaveno na projektu HyperContainer. Podrobnosti v často kladených dotazech (FAQ). Zdrojové kódy jsou k dispozici na GitHubu [reddit].

Ladislav Hagara | Komentářů: 27
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (7%)
 (5%)
 (3%)
Celkem 806 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: Prosba o kontrolu nastavenia firewallu

18.12.2012 12:11 Ján Petrík
Prosba o kontrolu nastavenia firewallu
Přečteno: 467×
Příloha:
Dobrý deň.

Dostal som (bohužiaľ) nechcene do správy jeden malý firemný server (prakticky absolútne nezabezpečený), tak som si naskriptoval (mimo iné) firewall a touto cestou by som chcel poprosiť tunajších odborníkov o kontrolu, že čo by som v ňom ešte mal pridať/zmeniť. To čo som si naskriptoval funguje presne tak ako má, ale keď som pozeral na rôzne príklady, tak tam bolo ešte niečo ohľadom SYN a iné srandy čomu nerozumiem. SH skript je v prílohe.

Veľmi pekne vám ďakujem

Ján Petrík

Odpovědi

18.12.2012 17:21 j
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Strelba - musel bych si to vygenerovat a to se mi nechce. Predpokladam, ze je to NATujici firewall, pak ti tam chybi related,established ve forwardu a prebejva ten accept (kterej, pokud ho tam chces, vyresi policy accept). Pokud to chces striktne omezit, tak potrebujes povolit pouze forward toho, co se routuje (napr ten tunel, viz niz) + propustit navazany pripojeni. Napr si nastavim ze povolim z eth1 + z tun0 state NEW (navazat pripojeni).

Neni od veci zahodit state invalid pakety(input, forward).

ICMP(ping) se povoluje s nejakym omezenim typu 5 paketu + 1/s (icmptype 8 limit: avg 1/sec burst 5). Pokud nechces dovolit zevnitr pripojeni na zadne mailserver, tak tam nema co delat drop, ale reject (vyrazne tim zkratis reakci aplikace). Maskarada ma smysl, pokud mas dynamickou a predem neznamou IP, pokud ne, nema tam co delat, ma tam bejt nat. Taky neni od veci souvisejici pravidla rozhodit do samostatnych chainu. Lip se to pak cte i adminuje. Pokud davas do outputu pravidlo accept, je blbost ho mit na policy drop. Prepni to na accept a pravidlo nepotrebujes. Tunel natovat je zoufalstvi, pokud to jen trochu lze (= z nejakyho nepredstavitelnyho duvodu nepouziva stejnej rozsah), tak ho normalne odroutuj.

To by bylo k tomu scriptu (coz neznamena, ze sem neco nepochopil spravne). Co ti tam uplne chybi, je ochrana proti prolezeni NATu a pripadne zabordelovani netu. Mel bys terminovat veskerej provoz z venku, kterej ma src/dst na privatnich prefixech + bys mel terminovat totez zevnitr (pokud je dst na privatnim rozsahu, jinym nez pouzivas, mel by to firewall rejectnout). Da se to zaridit i pravidlem v routovaci tabulce (opet, nikoli drop, ale v pripade provozu zevnitr vzdy reject).

Ty "jiny srandy" = existujou ruzne zabugovany aplikace, ktery reagujou na nestandardni sestaveni priznaku paketu (trebas zhroucenim ...), tak jako tak, vsechno nevyresis.
18.12.2012 17:55 Ján Petrík
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Bolo by možné prosím rozpísať sa obšírnejšie?

Tak napríklad: RELATED,ESTABLISHED som všade čítal, že ide do INPUT-u, takže prečo vlastne FORWARD?

Ďalej, aký je vlastne technický, výkonnostný a čo ja viem aký ešte rozdiel medzi maškarádou a klasickým nat-om?

Ten tunel, no neviem, že či to dobre chápem, ale nat-ujem ho kvôly "redirect-gateway", alebo sa to dá aj ináč?

A nakoniec: dalo by sa obšírnejšie popísať (najlepšie kompletným príkladom) tá ochrana na "prelezenie" nat-u?

Veľmi pekne ďakujem.
18.12.2012 22:25 j
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Related, established = pres toto pravidlo projdou navazana spojeni. Jednoduse pokud nekde povoluju neco (port, ip, ...), nemusim pokazdy zkoumat kazdy paket. Hodi se samo predevsim v pripade, ze hodlas (a to bys ve firme asi mel) nejak omezovat provoz na net (= nenechas tam accept). Napr je velmi vhodne omezit provoz jen na vybrany porty (i odchozi). Ne ze by to malware jako je skype zabranilo projit (dela neuveritelnej bordel v siti, jak zkousi vsechny mozny porty), ale precijen ne kazda aplikace(nebo uzivatel) si stim poradi = ponekud to zvedne bezpecnost.

Neni rozdil ve vykonu, ale bezpecnosti - pokud nastavis NAT na konkretni IP, je to proste bezpecnejsi, nez kdyz tam ma maskaradu, ktera se spokoji s libovolnou IP. Jednoduse to ber jako kosticka ke kosticce, cihla k cihle ...

Ad tunel, mas jednoduse (trebas) a.b.c.d/24 a k.l.m.n/24. Prvni je rozsah LAN, druhy tunelu. Z hlediska toho routeru je to sit jako sit. Natujes na 1.2.3.4 (eth0) => -A POSTROUTING -s a.b.c.d/24 -o eth0 -j SNAT --to-source 1.2.3.4, pro druhou sit pridas totez -A POSTROUTING -s k.l.m.n/24 -o eth0 -j SNAT --to-source 1.2.3.4 (muzes dat jinou IP, pokud mas). Pokud pominu pripadna dalsi pravidla, tak v tenhle okamzik ti bude uplne normalne komunikovat sit A se siti K, a pakety s cilem mimo tyhle dve site se znatujou a poslou do netu. Ale, site A a K se vidi primo => mezi nima se nic nenatuje (ale mozna sem jen blbe precet ten tvuj script - zarazil me tam ten DNAT). Samo pocitam, ze mas verejnou adresu primo na tom stroji - delat dvojitej nat je napikacu (jde to, ale dre to ...).

Ad ten zbytek: -A FORWARD -i eth0 -j privatein -A privatein -s 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privatein -s 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privatein -s 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

=> z verejnyho internetu NESMI NIKDY prijit paket s privatnim sourcem (opet, eth0 ma verejnou IP, jinak by bylo treba to upravovat).

-A privatein -d 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privatein -d 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privatein -d 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

=> dtto s privatnim cilem (v obou pripadech by mohl byt drop, je vhodnejsi pokud ti hrozi nejaky DOS)

Pokud tam toto nedas, jednoduse ti na router dorucim takovy paket (cest je vicero) a router s nim udela presne to, co se od routeru ceka = odroutuje ho. Jakmile se trefim do tvyho rozsahu, muzu navazat spojeni s libovolnym strojem uvnitr (NAT NENI absolutne ZADNA ochrana).

Mno a protoze pres router by nemelo totez projit do netu ven (neb sme hodni a chovame se podle RFC) -A FORWARD -o eth0 -j privateout -A privateout -d 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privateout -d 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privateout -d 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

=> pokud by se nam stalo(bezna vec), ze se nase vnitrni stroje budou chtit domluvit s nekym na nejakem privatnim rozsahu, ktery ale nezname (nepouzivas ho), tak to router samo taky odroutuje, ale podle RFC ma takovy pakety zahodit. Tady v kazdym pripade reject, protoze to je vnitrni sit = nechces cekat na timeout.
19.12.2012 03:23 Ján Petrík
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
OK, myslím, že som to pochopil. Len ešte jednu malú otázočku.

Bohužiaľ používame "dvojitý NAT" (viem, že to nie je príliš kóšer, ale ten sprostý DSL router, čo máme nič iné ako NAT neovláda a šéf odmieta kúpiť nový), ktorý vyzerá asi takto:

ve.rej.na.ip -> 10.0.0.138 -> 10.0.0.254 -> 192.168.1.254 (DSL WAN -> DSL LAN -> Server eth0 -> Server eth1)

Čiže (ak to správne chápem) stačí ohľadom FORWARD niečo také:
/sbin/iptables --table filter --append FORWARD --destination 0/0 --protocol TCP --match multiport --destination-port 25,465 --jump DROP

/sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 192.168.0.0/16 --jump DROP
/sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 172.16.0.0/12 --jump DROP
/sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 10.0.0.0/8 --jump DROP

/sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 192.168.0.0/16 --jump DROP
/sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 172.16.0.0/12 --jump DROP
/sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 10.0.0.0/8 --jump DROP

/sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 192.168.0.0/16 --jump REJECT --reject-with icmp-net-unreachable
/sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 172.16.0.0/12 --jump REJECT --reject-with icmp-net-unreachable
/sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 10.0.0.0/8 --jump REJECT --reject-with icmp-net-unreachable

/sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 10.0.0.138 --jump ACCEPT
/sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 10.0.0.138 --jump ACCEPT
/sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 10.0.0.138 --jump ACCEPT

/sbin/iptables --table filter --append FORWARD --match state --state ESTABLISHED,RELATED --jump ACCEPT
/sbin/iptables --table filter --append FORWARD --in-interface eth1 --jump ACCEPT
/sbin/iptables --table filter --append FORWARD --in-interface tun0 --jump ACCEPT
?

Ďakujem.
19.12.2012 03:56 Ján Petrík
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Pardón, ešte raz:
/sbin/iptables --table filter --append FORWARD --destination 0/0 --protocol TCP --match multiport --destination-port 25,465 --jump DROP

/sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 192.168.0.0/16 --jump DROP
/sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 172.16.0.0/12 --jump DROP
/sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 10.0.0.0/8 --jump DROP

/sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 192.168.0.0/16 --jump DROP
/sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 172.16.0.0/12 --jump DROP
/sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 10.0.0.0/8 --jump DROP

/sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 192.168.0.0/16 --jump REJECT --reject-with icmp-net-unreachable
/sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 172.16.0.0/12 --jump REJECT --reject-with icmp-net-unreachable
/sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 10.0.0.0/8 --jump REJECT --reject-with icmp-net-unreachable

/sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 10.0.0.138 --jump ACCEPT
/sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 10.0.0.138 --jump ACCEPT
/sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 10.0.0.138 --jump ACCEPT

/sbin/iptables --table filter --append FORWARD --in-interface eth1 --match state --state NEW,ESTABLISHED,RELATED --jump ACCEPT
/sbin/iptables --table filter --append FORWARD --in-interface tun0 --match state --state NEW,ESTABLISHED,RELATED --jump ACCEPT
19.12.2012 04:04 Ján Petrík
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
A vlastne ako nad tým rozmýšľam, tak nestačilo by toto:
/sbin/iptables --policy FORWARD DROP
/sbin/iptables --table filter --append FORWARD --in-interface eth1 --match state --state NEW,ESTABLISHED,RELATED --jump ACCEPT
/sbin/iptables --table filter --append FORWARD --in-interface tun0 --match state --state NEW,ESTABLISHED,RELATED --jump ACCEPT
?

Nemalo by to "automaticky" už z princípu policy poriešiť ten "útok" na NAT?
19.12.2012 04:53 Ján Petrík
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Aby som bol úplne presný, tak myslím útok na NAT na strane eth0.
19.12.2012 09:07 Ján Petrík
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Fakt posledná (pre mňa konečne funkčná) konfigurácia:
/sbin/iptables --policy FORWARD DROP

/sbin/iptables --table filter --append FORWARD --match state --state NEW --in-interface eth1 --jump ACCEPT
/sbin/iptables --table filter --append FORWARD --match state --state NEW --in-interface tun0 --jump ACCEPT

/sbin/iptables --table filter --append FORWARD --match state --state ESTABLISHED,RELATED --jump ACCEPT
/sbin/iptables --table filter --append FORWARD --match state --state INVALID --jump DROP
Ono pri tomto nastavení som musel pridať aj príslušný FORWARD k PREROUTING-u (pre VNC klientov vo vnútri sieti), čiže moja logika hovorí, že nech sa ktokoľvek bude snažiť využiť prelezenie NAT-u, tak pri tomto nastavení by mu to "automaticky" nemalo fungovať. Alebo sa mýlim?
21.12.2012 09:12 j
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Co se tejce dvojnatu, tak tam by bylo treba samo povolit ten rozsah, kterej je mezi prvnim a druhym natem, nebo ta pravidla nastavit na ty krabce primo ... ale jestli resite krabku za litr ... tak resit bezpecnost takovy site ...
19.12.2012 00:22 NN
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Na to co to ve finale vyplodi je to dost hnuj. Tristakrat echo a co to je boha jeho za napad, oddelovat vsechno trikilometrovou hasi? Take subnety ti asi nic nerikaji, usetril by si totiz spoustu zbytecnych cyklu. Proc s toho delas jeste funkci uz vubec nechapu a pritom to mohl byt krasny a jednoduchy skript. Takze az to preformatujes a bude to citelne, tzn. promenne a okometovana jednotliva pravidla a NIC VIC. Tak se muzeme bavit o tom co to vlastne dela.
19.12.2012 01:27 Ján Petrík
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Ale, ale, prečo toľko síry v takúto nočnú hodinu? Urobilo Vám to aspoň dobre? Cítite sa teraz väčší geroj? Tak to som rád, že som Vám dopomohol k väčšiemu sebavedomiu. Idem sa pokorne kajať a kydať ten svoj hnoj - oooooo veľký pán hacker.
19.12.2012 01:54 l4m4
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Pěkné ad hominem.

Nicméně v případě něčeho tak dlouhého, nečitelného a zamotaně zkonstruovaého je skutečně na obecný dotaz ‚prosím zkontrolovat‘ bez specifikace, co to vlastně má dělat, přiměřená odpověd, že to není k přečtení. Je to chyba, která je vidět na první pohled -- a nezávisí na tom neznámém, co to vlastně má dělat.
19.12.2012 03:31 Ján Petrík
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Súhlasím, ale dá sa to povedať aj slušnejšie (napríklad: radšej tu postni /etc/sysconfig/iptables), alebo sa dokonca dá aj mlčať. Čo sa týka kódu, tak uznávam, nie som žiadny hacker, ale mne to čo som spatlal vyhovuje. Čo sa týka komentárov uznávam, ale stále si myslím, že ten skript je tak jednoduchý, že keď si ho pozrie odborník (čiže nie ten, ktorý ma pre mna v podstate jedinú informáciu a síce, že som polodebil), tak hned tuší, že o čo ide.
19.12.2012 10:34 Ivan Vecera | skóre: 8
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Mozna trosku off-topic, ale proc radeji nepouzijes shorewall? Je to odladene, funkcni a relativne jednoduche na konfiguraci. Navic ma vybornou dokumentaci a HOWTOs.
19.12.2012 11:13 Ján Petrík
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Súhlasím, ale ja to nechcem len používať, ale rád by som tomu aj rozumel.
19.12.2012 15:33 lertimir | skóre: 58 | blog: Par_slov
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Na porozumění je poměrně dost dobré nastudovat, co vygeneruje grafické prostředí.
19.12.2012 18:35 scott | skóre: 14
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Přesně tak, taky bych doporučil shorewall. Je o něm i poměrně hodně napsáno(články,dokumentace). Něco málo jsem o něm psal i na blogu
21.12.2012 09:14 j
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
Ja bych ho zase vrele nedoporucil, protoze to "cosi" generuje... Osobne nepouzivam zadny scripty, ale pisu si FW primo (samo s komentama, co a proc tam je). Nemusim zkoumat, co se mi kde vygenerovalo, aniz sem to tak chtel ...
20.12.2012 22:38 ondro
Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
DBohužiaľ používame "dvojitý NAT" (viem, že to nie je príliš kóšer, ale ten sprostý DSL router, čo máme nič iné ako NAT neovláda a šéf odmieta kúpiť nový), ktorý vyzerá asi takto:

ve.rej.na.ip -> 10.0.0.138 -> 10.0.0.254 -> 192.168.1.254 (DSL WAN -> DSL LAN -> Server eth0 -> Server eth1)
Ten DSL router nieje mozne nastavit do rezimu Bridge? Aj tie blbsie routre sa daju nastavit do daneho modu. Tym by si sa vyhol dvojnasobnemu NAT-u a celu komunikaciu by mal na starosti ten server a firewall.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.