abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 17:00 | Nová verze

Byl vydán Docker 1.13. Přehled novinek na YouTube a v poznámkách k vydání na GitHubu. Docker umožňuje běh aplikací v softwarových kontejnerech (Wikipedia).

Ladislav Hagara | Komentářů: 3
včera 15:51 | Komunita

Mozilla.cz informuje, že nástroje pro webové vývojáře se možná oddělí od Firefoxu a stanou doplňkem. Nástroje pro webové vývojáře prošly velkým přepisem a tým, který se stará o jejich vývoj, by uvítal možnost jejich častějších aktualizacích nezávisle na vydávání nových verzí Firefoxu.

Ladislav Hagara | Komentářů: 5
včera 07:00 | Humor

Čtenářům AbcLinuxu vše nejlepší k dnešnímu Dni zvýšení povědomí o tučňácích (Penguin Awareness Day).

Ladislav Hagara | Komentářů: 0
včera 06:00 | Komunita

Bylo spuštěno hlasování o přednáškách a workshopech pro letošní InstallFest, jenž proběhne o víkendu 4. a 5. března v Praze. Současně byla oznámena změna místa. InstallFest se letos vrací zpět na Karlovo náměstí do budovy E.

Ladislav Hagara | Komentářů: 0
včera 02:48 | Komunita

Greg Kroah-Hartman potvrdil, že Linux 4.9 je jádrem s prodlouženou upstream podporou (LTS, Long Term Support). Podpora je plánována do ledna 2019. Aktuální jádra s prodlouženou podporou jsou tedy 3.2, 3.4, 3.10, 3.12, 3.16, 3.18, 4.1, 4.4 a 4.9.

Ladislav Hagara | Komentářů: 0
včera 00:11 | Zajímavý článek

Výrobce síťových prvků, společnost Netgear, spustila nový program, který slibuje vývojářům, expertům, ale i běžným uživatelům vyplacení finanční odměny za nalezení bezpečnostních chyby v jejich produktech. Za nalezení zranitelnosti v hardware, API nebo mobilní aplikaci nabízí odměnu od 150 do 15 tisíc dolarů (dle závažnosti).

Michal Makovec | Komentářů: 0
včera 00:08 | Pozvánky

V sobotu 18. 2. se v Praze v prostorách VŠE uskuteční od 9:30 již 4. ročník největší české konference o open source redakčním systému WordPress (WP) - WordCamp Praha 2017.

… více »
smíťa | Komentářů: 0
19.1. 23:58 | Komunita

Kryptoměnová komunita zahájila nový rok spuštěním projektu Blockchain.cz, jehož cílem je kolektivně nalézt ideální překlad pro čím dál frekventovanější slovo „blockchain“. Přispět návrhem může kdokoli. Sběr bude trvat až do konce září 2017. Následně bude probíhat dvoutýdenní veřejné hlasování, které bude zakončeno výběrem toho nejlepšího návrhu.

xHire | Komentářů: 9
19.1. 15:55 | Bezpečnostní upozornění

Společnost Oracle vydala čtvrtletní bezpečnostní aktualizaci svých softwarových produktů (CPU, Critical Patch Update). Opraveno je celkově 270 bezpečnostních chyb. V Oracle Java SE je například opraveno 17 bezpečnostních chyb. Vzdáleně zneužitelných bez autentizace je 16 z nich. V Oracle MySQL je opraveno 27 bezpečnostních chyb. Vzdáleně zneužitelných bez autentizace je 5 z nich.

Ladislav Hagara | Komentářů: 0
19.1. 02:48 | Nová verze

Po půl roce od vydání verze 9.0 (zprávička) byla vydána verze 10.0 zvukového serveru PulseAudio. Přehled novinek v poznámkách k vydání.

Ladislav Hagara | Komentářů: 36
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (10%)
 (2%)
 (73%)
 (3%)
 (11%)
Celkem 350 hlasů
 Komentářů: 25, poslední dnes 13:34
    Rozcestník
    Reklama

    Dotaz: Prosba o kontrolu nastavenia firewallu

    18.12.2012 12:11 Ján Petrík
    Prosba o kontrolu nastavenia firewallu
    Přečteno: 468×
    Příloha:
    Dobrý deň.

    Dostal som (bohužiaľ) nechcene do správy jeden malý firemný server (prakticky absolútne nezabezpečený), tak som si naskriptoval (mimo iné) firewall a touto cestou by som chcel poprosiť tunajších odborníkov o kontrolu, že čo by som v ňom ešte mal pridať/zmeniť. To čo som si naskriptoval funguje presne tak ako má, ale keď som pozeral na rôzne príklady, tak tam bolo ešte niečo ohľadom SYN a iné srandy čomu nerozumiem. SH skript je v prílohe.

    Veľmi pekne vám ďakujem

    Ján Petrík

    Odpovědi

    18.12.2012 17:21 j
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Strelba - musel bych si to vygenerovat a to se mi nechce. Predpokladam, ze je to NATujici firewall, pak ti tam chybi related,established ve forwardu a prebejva ten accept (kterej, pokud ho tam chces, vyresi policy accept). Pokud to chces striktne omezit, tak potrebujes povolit pouze forward toho, co se routuje (napr ten tunel, viz niz) + propustit navazany pripojeni. Napr si nastavim ze povolim z eth1 + z tun0 state NEW (navazat pripojeni).

    Neni od veci zahodit state invalid pakety(input, forward).

    ICMP(ping) se povoluje s nejakym omezenim typu 5 paketu + 1/s (icmptype 8 limit: avg 1/sec burst 5). Pokud nechces dovolit zevnitr pripojeni na zadne mailserver, tak tam nema co delat drop, ale reject (vyrazne tim zkratis reakci aplikace). Maskarada ma smysl, pokud mas dynamickou a predem neznamou IP, pokud ne, nema tam co delat, ma tam bejt nat. Taky neni od veci souvisejici pravidla rozhodit do samostatnych chainu. Lip se to pak cte i adminuje. Pokud davas do outputu pravidlo accept, je blbost ho mit na policy drop. Prepni to na accept a pravidlo nepotrebujes. Tunel natovat je zoufalstvi, pokud to jen trochu lze (= z nejakyho nepredstavitelnyho duvodu nepouziva stejnej rozsah), tak ho normalne odroutuj.

    To by bylo k tomu scriptu (coz neznamena, ze sem neco nepochopil spravne). Co ti tam uplne chybi, je ochrana proti prolezeni NATu a pripadne zabordelovani netu. Mel bys terminovat veskerej provoz z venku, kterej ma src/dst na privatnich prefixech + bys mel terminovat totez zevnitr (pokud je dst na privatnim rozsahu, jinym nez pouzivas, mel by to firewall rejectnout). Da se to zaridit i pravidlem v routovaci tabulce (opet, nikoli drop, ale v pripade provozu zevnitr vzdy reject).

    Ty "jiny srandy" = existujou ruzne zabugovany aplikace, ktery reagujou na nestandardni sestaveni priznaku paketu (trebas zhroucenim ...), tak jako tak, vsechno nevyresis.
    18.12.2012 17:55 Ján Petrík
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Bolo by možné prosím rozpísať sa obšírnejšie?

    Tak napríklad: RELATED,ESTABLISHED som všade čítal, že ide do INPUT-u, takže prečo vlastne FORWARD?

    Ďalej, aký je vlastne technický, výkonnostný a čo ja viem aký ešte rozdiel medzi maškarádou a klasickým nat-om?

    Ten tunel, no neviem, že či to dobre chápem, ale nat-ujem ho kvôly "redirect-gateway", alebo sa to dá aj ináč?

    A nakoniec: dalo by sa obšírnejšie popísať (najlepšie kompletným príkladom) tá ochrana na "prelezenie" nat-u?

    Veľmi pekne ďakujem.
    18.12.2012 22:25 j
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Related, established = pres toto pravidlo projdou navazana spojeni. Jednoduse pokud nekde povoluju neco (port, ip, ...), nemusim pokazdy zkoumat kazdy paket. Hodi se samo predevsim v pripade, ze hodlas (a to bys ve firme asi mel) nejak omezovat provoz na net (= nenechas tam accept). Napr je velmi vhodne omezit provoz jen na vybrany porty (i odchozi). Ne ze by to malware jako je skype zabranilo projit (dela neuveritelnej bordel v siti, jak zkousi vsechny mozny porty), ale precijen ne kazda aplikace(nebo uzivatel) si stim poradi = ponekud to zvedne bezpecnost.

    Neni rozdil ve vykonu, ale bezpecnosti - pokud nastavis NAT na konkretni IP, je to proste bezpecnejsi, nez kdyz tam ma maskaradu, ktera se spokoji s libovolnou IP. Jednoduse to ber jako kosticka ke kosticce, cihla k cihle ...

    Ad tunel, mas jednoduse (trebas) a.b.c.d/24 a k.l.m.n/24. Prvni je rozsah LAN, druhy tunelu. Z hlediska toho routeru je to sit jako sit. Natujes na 1.2.3.4 (eth0) => -A POSTROUTING -s a.b.c.d/24 -o eth0 -j SNAT --to-source 1.2.3.4, pro druhou sit pridas totez -A POSTROUTING -s k.l.m.n/24 -o eth0 -j SNAT --to-source 1.2.3.4 (muzes dat jinou IP, pokud mas). Pokud pominu pripadna dalsi pravidla, tak v tenhle okamzik ti bude uplne normalne komunikovat sit A se siti K, a pakety s cilem mimo tyhle dve site se znatujou a poslou do netu. Ale, site A a K se vidi primo => mezi nima se nic nenatuje (ale mozna sem jen blbe precet ten tvuj script - zarazil me tam ten DNAT). Samo pocitam, ze mas verejnou adresu primo na tom stroji - delat dvojitej nat je napikacu (jde to, ale dre to ...).

    Ad ten zbytek: -A FORWARD -i eth0 -j privatein -A privatein -s 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privatein -s 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privatein -s 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

    => z verejnyho internetu NESMI NIKDY prijit paket s privatnim sourcem (opet, eth0 ma verejnou IP, jinak by bylo treba to upravovat).

    -A privatein -d 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privatein -d 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privatein -d 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

    => dtto s privatnim cilem (v obou pripadech by mohl byt drop, je vhodnejsi pokud ti hrozi nejaky DOS)

    Pokud tam toto nedas, jednoduse ti na router dorucim takovy paket (cest je vicero) a router s nim udela presne to, co se od routeru ceka = odroutuje ho. Jakmile se trefim do tvyho rozsahu, muzu navazat spojeni s libovolnym strojem uvnitr (NAT NENI absolutne ZADNA ochrana).

    Mno a protoze pres router by nemelo totez projit do netu ven (neb sme hodni a chovame se podle RFC) -A FORWARD -o eth0 -j privateout -A privateout -d 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privateout -d 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privateout -d 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

    => pokud by se nam stalo(bezna vec), ze se nase vnitrni stroje budou chtit domluvit s nekym na nejakem privatnim rozsahu, ktery ale nezname (nepouzivas ho), tak to router samo taky odroutuje, ale podle RFC ma takovy pakety zahodit. Tady v kazdym pripade reject, protoze to je vnitrni sit = nechces cekat na timeout.
    19.12.2012 03:23 Ján Petrík
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    OK, myslím, že som to pochopil. Len ešte jednu malú otázočku.

    Bohužiaľ používame "dvojitý NAT" (viem, že to nie je príliš kóšer, ale ten sprostý DSL router, čo máme nič iné ako NAT neovláda a šéf odmieta kúpiť nový), ktorý vyzerá asi takto:

    ve.rej.na.ip -> 10.0.0.138 -> 10.0.0.254 -> 192.168.1.254 (DSL WAN -> DSL LAN -> Server eth0 -> Server eth1)

    Čiže (ak to správne chápem) stačí ohľadom FORWARD niečo také:
    /sbin/iptables --table filter --append FORWARD --destination 0/0 --protocol TCP --match multiport --destination-port 25,465 --jump DROP
    
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 192.168.0.0/16 --jump DROP
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 172.16.0.0/12 --jump DROP
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 10.0.0.0/8 --jump DROP
    
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 192.168.0.0/16 --jump DROP
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 172.16.0.0/12 --jump DROP
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 10.0.0.0/8 --jump DROP
    
    /sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 192.168.0.0/16 --jump REJECT --reject-with icmp-net-unreachable
    /sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 172.16.0.0/12 --jump REJECT --reject-with icmp-net-unreachable
    /sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 10.0.0.0/8 --jump REJECT --reject-with icmp-net-unreachable
    
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 10.0.0.138 --jump ACCEPT
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 10.0.0.138 --jump ACCEPT
    /sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 10.0.0.138 --jump ACCEPT
    
    /sbin/iptables --table filter --append FORWARD --match state --state ESTABLISHED,RELATED --jump ACCEPT
    /sbin/iptables --table filter --append FORWARD --in-interface eth1 --jump ACCEPT
    /sbin/iptables --table filter --append FORWARD --in-interface tun0 --jump ACCEPT
    
    ?

    Ďakujem.
    19.12.2012 03:56 Ján Petrík
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Pardón, ešte raz:
    /sbin/iptables --table filter --append FORWARD --destination 0/0 --protocol TCP --match multiport --destination-port 25,465 --jump DROP
    
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 192.168.0.0/16 --jump DROP
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 172.16.0.0/12 --jump DROP
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 10.0.0.0/8 --jump DROP
    
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 192.168.0.0/16 --jump DROP
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 172.16.0.0/12 --jump DROP
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 10.0.0.0/8 --jump DROP
    
    /sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 192.168.0.0/16 --jump REJECT --reject-with icmp-net-unreachable
    /sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 172.16.0.0/12 --jump REJECT --reject-with icmp-net-unreachable
    /sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 10.0.0.0/8 --jump REJECT --reject-with icmp-net-unreachable
    
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --source 10.0.0.138 --jump ACCEPT
    /sbin/iptables --table filter --append FORWARD --in-interface eth0 --destination 10.0.0.138 --jump ACCEPT
    /sbin/iptables --table filter --append FORWARD --out-interface eth0 --destination 10.0.0.138 --jump ACCEPT
    
    /sbin/iptables --table filter --append FORWARD --in-interface eth1 --match state --state NEW,ESTABLISHED,RELATED --jump ACCEPT
    /sbin/iptables --table filter --append FORWARD --in-interface tun0 --match state --state NEW,ESTABLISHED,RELATED --jump ACCEPT
    
    19.12.2012 04:04 Ján Petrík
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    A vlastne ako nad tým rozmýšľam, tak nestačilo by toto:
    /sbin/iptables --policy FORWARD DROP
    /sbin/iptables --table filter --append FORWARD --in-interface eth1 --match state --state NEW,ESTABLISHED,RELATED --jump ACCEPT
    /sbin/iptables --table filter --append FORWARD --in-interface tun0 --match state --state NEW,ESTABLISHED,RELATED --jump ACCEPT
    
    ?

    Nemalo by to "automaticky" už z princípu policy poriešiť ten "útok" na NAT?
    19.12.2012 04:53 Ján Petrík
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Aby som bol úplne presný, tak myslím útok na NAT na strane eth0.
    19.12.2012 09:07 Ján Petrík
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Fakt posledná (pre mňa konečne funkčná) konfigurácia:
    /sbin/iptables --policy FORWARD DROP
    
    /sbin/iptables --table filter --append FORWARD --match state --state NEW --in-interface eth1 --jump ACCEPT
    /sbin/iptables --table filter --append FORWARD --match state --state NEW --in-interface tun0 --jump ACCEPT
    
    /sbin/iptables --table filter --append FORWARD --match state --state ESTABLISHED,RELATED --jump ACCEPT
    /sbin/iptables --table filter --append FORWARD --match state --state INVALID --jump DROP
    
    Ono pri tomto nastavení som musel pridať aj príslušný FORWARD k PREROUTING-u (pre VNC klientov vo vnútri sieti), čiže moja logika hovorí, že nech sa ktokoľvek bude snažiť využiť prelezenie NAT-u, tak pri tomto nastavení by mu to "automaticky" nemalo fungovať. Alebo sa mýlim?
    21.12.2012 09:12 j
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Co se tejce dvojnatu, tak tam by bylo treba samo povolit ten rozsah, kterej je mezi prvnim a druhym natem, nebo ta pravidla nastavit na ty krabce primo ... ale jestli resite krabku za litr ... tak resit bezpecnost takovy site ...
    19.12.2012 00:22 NN
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Na to co to ve finale vyplodi je to dost hnuj. Tristakrat echo a co to je boha jeho za napad, oddelovat vsechno trikilometrovou hasi? Take subnety ti asi nic nerikaji, usetril by si totiz spoustu zbytecnych cyklu. Proc s toho delas jeste funkci uz vubec nechapu a pritom to mohl byt krasny a jednoduchy skript. Takze az to preformatujes a bude to citelne, tzn. promenne a okometovana jednotliva pravidla a NIC VIC. Tak se muzeme bavit o tom co to vlastne dela.
    19.12.2012 01:27 Ján Petrík
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Ale, ale, prečo toľko síry v takúto nočnú hodinu? Urobilo Vám to aspoň dobre? Cítite sa teraz väčší geroj? Tak to som rád, že som Vám dopomohol k väčšiemu sebavedomiu. Idem sa pokorne kajať a kydať ten svoj hnoj - oooooo veľký pán hacker.
    19.12.2012 01:54 l4m4
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Pěkné ad hominem.

    Nicméně v případě něčeho tak dlouhého, nečitelného a zamotaně zkonstruovaého je skutečně na obecný dotaz ‚prosím zkontrolovat‘ bez specifikace, co to vlastně má dělat, přiměřená odpověd, že to není k přečtení. Je to chyba, která je vidět na první pohled -- a nezávisí na tom neznámém, co to vlastně má dělat.
    19.12.2012 03:31 Ján Petrík
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Súhlasím, ale dá sa to povedať aj slušnejšie (napríklad: radšej tu postni /etc/sysconfig/iptables), alebo sa dokonca dá aj mlčať. Čo sa týka kódu, tak uznávam, nie som žiadny hacker, ale mne to čo som spatlal vyhovuje. Čo sa týka komentárov uznávam, ale stále si myslím, že ten skript je tak jednoduchý, že keď si ho pozrie odborník (čiže nie ten, ktorý ma pre mna v podstate jedinú informáciu a síce, že som polodebil), tak hned tuší, že o čo ide.
    19.12.2012 10:34 Ivan Vecera | skóre: 8
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Mozna trosku off-topic, ale proc radeji nepouzijes shorewall? Je to odladene, funkcni a relativne jednoduche na konfiguraci. Navic ma vybornou dokumentaci a HOWTOs.
    19.12.2012 11:13 Ján Petrík
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Súhlasím, ale ja to nechcem len používať, ale rád by som tomu aj rozumel.
    19.12.2012 15:33 lertimir | skóre: 59 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Na porozumění je poměrně dost dobré nastudovat, co vygeneruje grafické prostředí.
    19.12.2012 18:35 scott | skóre: 14
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Přesně tak, taky bych doporučil shorewall. Je o něm i poměrně hodně napsáno(články,dokumentace). Něco málo jsem o něm psal i na blogu
    21.12.2012 09:14 j
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    Ja bych ho zase vrele nedoporucil, protoze to "cosi" generuje... Osobne nepouzivam zadny scripty, ale pisu si FW primo (samo s komentama, co a proc tam je). Nemusim zkoumat, co se mi kde vygenerovalo, aniz sem to tak chtel ...
    20.12.2012 22:38 ondro
    Rozbalit Rozbalit vše Re: Prosba o kontrolu nastavenia firewallu
    DBohužiaľ používame "dvojitý NAT" (viem, že to nie je príliš kóšer, ale ten sprostý DSL router, čo máme nič iné ako NAT neovláda a šéf odmieta kúpiť nový), ktorý vyzerá asi takto:

    ve.rej.na.ip -> 10.0.0.138 -> 10.0.0.254 -> 192.168.1.254 (DSL WAN -> DSL LAN -> Server eth0 -> Server eth1)
    Ten DSL router nieje mozne nastavit do rezimu Bridge? Aj tie blbsie routre sa daju nastavit do daneho modu. Tym by si sa vyhol dvojnasobnemu NAT-u a celu komunikaciu by mal na starosti ten server a firewall.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.