abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
dnes 06:00 | Komunita

Na YouTube byl publikován Blender Institute Reel 2016, ani ne dvouminutový sestřih z filmů, které vznikly za posledních 10 let díky Blender Institutu. V institutu aktuálně pracují na novém filmu Agent 327. Dění kolem filmu lze sledovat na Blender Cloudu. Videoukázka Agenta 327 z června letošního roku na YouTube.

Ladislav Hagara | Komentářů: 0
dnes 01:02 | Zajímavý článek

Minulý týden byly vydány verze 1.2.3 a 1.1.7 webového poštovního klienta Roundcube. V oznámení o vydání bylo zmíněno řešení bezpečnostního problému nalezeného společností RIPS a souvisejícího s voláním funkce mail() v PHP. Tento týden byly zveřejněny podrobnosti. Útočník mohl pomocí speciálně připraveného emailu spustit na serveru libovolný příkaz. Stejně, jak je popsáno v článku Exploit PHP’s mail() to get remote code execution z roku 2014.

Ladislav Hagara | Komentářů: 0
včera 16:00 | Nová verze

Byla vydána verze 0.98 svobodného nelineárního video editoru Pitivi. Z novinek lze zmínit například přizpůsobitelné klávesové zkratky. Videoukázka práce s nejnovější verzí Pitivi na YouTube.

Ladislav Hagara | Komentářů: 1
včera 15:00 | Zajímavý software

Stop motion je technika animace, při níž je reálný objekt mezi jednotlivými snímky ručně upravován a posouván o malé úseky, tak aby po spojení vyvolala animace dojem spojitosti. Jaký software lze pro stop motion použít na Linuxu? Článek na OMG! Ubuntu! představuje Heron Animation. Ten bohužel podporuje pouze webové kamery. Podpora digitálních zrcadlovek je začleněna například v programu qStopMotion.

Ladislav Hagara | Komentářů: 3
7.12. 21:21 | Nová verze Ladislav Hagara | Komentářů: 0
7.12. 11:44 | Zajímavý projekt

Na Indiegogo byla spuštěna kampaň na podporu herní mini konzole a multimediálního centra RetroEngine Sigma od Doyodo. Předobjednat ji lze již od 49 dolarů. Požadovaná částka 20 000 dolarů byla překonána již 6 krát. Majitelé mini konzole si budou moci zahrát hry pro Atari VCS 2600, Sega Genesis nebo NES. Předinstalováno bude multimediální centrum Kodi.

Ladislav Hagara | Komentářů: 2
7.12. 00:10 | Nová verze

Byla vydána verze 4.7 redakčního systému WordPress. Kódové označením Vaughan bylo vybráno na počest americké jazzové zpěvačky Sarah "Sassy" Vaughan. Z novinek lze zmínit například novou výchozí šablonu Twenty Seventeen, náhledy pdf souborů nebo WordPress REST API.

Ladislav Hagara | Komentářů: 8
6.12. 12:00 | Zajímavý projekt

Projekt Termbox umožňuje vyzkoušet si linuxové distribuce Ubuntu, Debian, Fedora, CentOS a Arch Linux ve webovém prohlížeči. Řešení je postaveno na projektu HyperContainer. Podrobnosti v často kladených dotazech (FAQ). Zdrojové kódy jsou k dispozici na GitHubu [reddit].

Ladislav Hagara | Komentářů: 27
6.12. 11:00 | Bezpečnostní upozornění

Byly zveřejněny informace o bezpečnostní chybě CVE-2016-8655 v Linuxu zneužitelné k lokální eskalaci práv. Chyba se dostala do linuxového jádra v srpnu 2011. V upstreamu byla opravena minulý týden [Hacker News].

Ladislav Hagara | Komentářů: 2
5.12. 22:00 | Komunita

Přibližně před měsícem bylo oznámeno, že linuxová distribuce SUSE Linux Enterprise Server (SLES) běží nově také Raspberry Pi 3 (dokumentace). Obraz verze 12 SP2 pro Raspberry Pi 3 je ke stažení zdarma. Pro registrované jsou po dobu jednoho roku zdarma také aktualizace. Dnes bylo oznámeno, že pro Raspberry Pi 3 je k dispozici také nové openSUSE Leap 42.2 (zprávička). K dispozici je hned několik obrazů.

Ladislav Hagara | Komentářů: 6
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (8%)
 (5%)
 (3%)
Celkem 799 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: firewall a porty

21.4.2004 17:16 anon123 | skóre: 35 | blog: ganomi
firewall a porty
Přečteno: 308×
Ahoj

Vlastnim suse distribuci a chtel bych se zeptat na neco ohledne firewallu.

Pomoci programu KOPETE jsem se pripojil na messengera. Kdyz jsem chtel poslat soubor jinemu contactu, tak jsem nemohl. Asi port byl zavreny. Tak jsem tedy port otevrel 6891.
FW_SERVICES_EXT_TCP="6891 9176 http https pop3 pop3s smtp"
Nyni je otevreny jen pro ten kopete, nebo se mi muze do systemu kdokoli nabourat. Jak to lepe zabezpecit?

To same pro port 9176, ktery je pro DCGUI-QT.

Diky

Odpovědi

21.4.2004 17:20 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
Jeste bych dodal, ze treba ve win,kerio firewall, jsem mohl nastavit port 80 (http), ale i jen bud pro IE nebo jen pro mozillu. Tady v linuxu mi to asi nerozlisuje, protoze se na web dostanu jak z mozilly, tak pres konqueror.

Diky za rady.

PS. Vsichni tady nastavuji firewall trosku jinak. Suse ma jiny system ve firewallu. Muzete mi k tomu neco rici.
21.4.2004 18:09 jm
Rozbalit Rozbalit vše Re: firewall a porty
Kerio Personal Firewall je aplikacni firewall. Iptables jsou stavovy firewall. Stavovy firewall neumi rozlisovat mezi jednotlivymi aplikacemi, ty ho nezajimaji.
21.4.2004 18:31 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
a jak docilim v linuxu toho aplikacniho firewallu?
21.4.2004 18:43 jm
Rozbalit Rozbalit vše Re: firewall a porty
Myslim, ze to delat opravdu nechcete. :-D

Pokud vas to zajima, prectete si pro zacatek napr.

http://www.linuxjournal.com/article.php?sid=7296
http://www.balabit.com/products/zorp_gpl/tutorial/

23.4.2004 03:36 Jiří Hlinka | skóre: 29 | blog: zapisky | Teplice
Rozbalit Rozbalit vše Re: firewall a porty
chtel bych se zeptat... PROC si myslis ze aplikacni firewall by nechtel? ve firewallech se nevyznam,ale obecne mi pripada bezpecnejsi povolit napr. pristup na internet konkretnimu programu nez povolit cely port. V cem to vezi??? Diky ze odpoved
23.4.2004 19:09 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
Tak stejne jsem myslel i ja. Ale asi to nebude tak jednoduche. Takhle se mi to zda dost nezabezpecene. Kazdy tim proleze.
23.4.2004 22:54 Michal Marek (twofish) | skóre: 55 | blog: { display: blog; } | Praha
Rozbalit Rozbalit vše Re: firewall a porty
a) iptables se vsemi ruznymi conntracky jsou aplikacni azaz :)

b) V cem vam to pripada bezpecnejsi? Pokud muzou ostatni programy ten jeden vyvoleny prohlizec nejak ovladat (prikazova radka / mozilla -remote / DDE / OLE / buhvico), muzou ho pouzit k vymenne informaci s vnejskem. Obecne se na Linuxu a spol povazuje za dostatecne velky pru*pip* kdyz s vasimi pravy bezi cizi kod, jestli neco posila ven uz je podruzne. V "jinych systemech" dokud takova potvurka nenapacha prilis skody tak si z toho uzivatele moc starosti nedelaji. (Posledni vedu neberte jako namet na flamewar).

c) Pokud chcete, funguje to i na Linuxu. V man iptables hledejte "owner".
24.4.2004 04:11 Jiří Hlinka | skóre: 29 | blog: zapisky | Teplice
Rozbalit Rozbalit vše Re: firewall a porty
moc díky za info a nasměrovnání. Jirka
24.4.2004 11:23 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
U me bude asi problem, ze suse pouziva susefirewall2, kde se konfiguruje trosku jinou formou. Nebo se mylim?
24.4.2004 13:05 Michal Marek (twofish) | skóre: 55 | blog: { display: blog; } | Praha
Rozbalit Rozbalit vše Re: firewall a porty
Neznam SUSE, ale IMHO vam nic nebrani napsat si vlastni skript pro iptables kdyz tak touzite po matchovani podle pid / uid / jmena programu. Ale hlavne bych tenhle "problem" vubec neresil, dulezite je filtrovat spojeni zvenci k vam. Jedine vyuziti toho ipt_owner co me napada je povolit odchozi TCP spojeni s cilovym portem 25 jen uzivateli, pod kterym bezi MTA, aby uzivatele nesirili mailove viry/cervy. Ale to na Linuxu (zatim) snad nehrozi.

Takze NEPROPADEJTE PANICE :)
22.4.2004 07:29 Ladislav Sückr | skóre: 21
Rozbalit Rozbalit vše Re: firewall a porty
v SuSEfirewall2 se položkou FW_SERVICES_EXT_TCP otevírají porty (služby) na síťovém rozhraní do internetu tzn. že jsi umožnil připojení VŠEM kteří se chtějí připojit na http, https, .... z internetu. V případě KOPETE navazuješ spojení zevnitř ven a to s tímle nemá nic společného
Myslet špatně je lepší než nemyslet vůbec.
22.4.2004 08:42 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
Koukam, ze vy v SuSEfirewall2 mate prehled. Muzete mi to jeste nejak osvetlit prosim. Moc tomu nerozumim. Teprve to studuju. To znamena, ze bych to mel nastavit v FW_SERVICES_INT_TCP? Nebo s cim to ma spolecneho? :-) Diky
22.4.2004 09:03 jm
Rozbalit Rozbalit vše Re: firewall a porty
Vzdyt je to popsano v tom konfiguracnim souboru... ;-)
# Which services ON THE FIREWALL should be accessible from either the internet
# (or other untrusted networks), the dmz or internal (trusted networks)?
# (see no.13 & 14 if you want to route traffic through the firewall) XXX
#
FW_SERVICES_EXT_TCP=""
FW_SERVICES_DMZ_TCP=""
FW_SERVICES_INT_TCP=""
EXT --> sluzby pristupne z Internetu
DMZ --> sluzby pristupne z DMZ
INT --> sluzby pristupne z interni site (LAN)
22.4.2004 18:12 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
vim, ze to tam je popsany. Prave jsem si myslel, ze jsem to zapsal zpravne. Ale asi ne. Nebo nevim... jak pisu dole jsem z toho zblbly :-). Kam by jsi ty treba zapsal port kopete, aby ti bylo umozneno posilat soubory z tveho pocitace na jiny prave prostrednictvim kopete. Ext nebo int tcp. Ja myslim ext.
23.4.2004 00:15 jm
Rozbalit Rozbalit vše Re: firewall a porty
Na to ti nikdo neodpovi, protoze to taky zavisi na nastaveni firewallu u druhe strany. Obecne receno je v tomto pripade jakekoliv povolovani serveru z internetu zbytecne, k tomuhle slouzi moduly iptables z patch-o-matic (ip_nat_irc, ip_conntrack_irc, ip_nat_mms, ip_conntrack_mms)
23.4.2004 19:12 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
asi jeste musim trosku studovat :-)
22.4.2004 09:26 Ladislav Sückr | skóre: 21
Rozbalit Rozbalit vše Re: firewall a porty
osobně si myslím že problém nebude ve firewallu ale někde jinde
co říkají logy? /var/log/warn, messages, firewall, .... ??
když vypneš firewall (rcSuSEfirewall2 stop) tak to jede?
Myslet špatně je lepší než nemyslet vůbec.
22.4.2004 18:09 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
Ja nemam problem. Zkuste si precist prispevek. Je jsem se tazal, jetli je to bezpecne. Ta konfigurace, co jsem uvedl funguje. Myslel jsem, ze kdyz tam je take port http (80), tak by tam vlastne mel byti i ten kopete i dcgui-qt. Tak ted jsem uplne zblbly :-) a nevim vlastne co kam patri :-)
23.4.2004 07:42 Ladislav Sückr | skóre: 21
Rozbalit Rozbalit vše Re: firewall a porty
v položce FW_SERVICES_EXT(INT, DMZ)_TCP(UDP)=" " se otevírají porty z hlediska serveru, tzn. přípojení z venku dovnitř. Pokud by jsi chtěl nastavit konkrétní služby pro konkrétní IP adresy tak se podívej na položku FW_TRUSTED_NETS=" ". Klienti kteří navazují spojení zevnitř ven mají přiděleny porty od 1024 do 65535 NÁHODNĚ a SuSEfirewall2 je v základním nastavení nijak neblokuje.
Ale zpět k dotazu - v tvém případě jsi povolil komukoliv z internetu se připojovat na porty uvedené v FW_SERVICES_EXT_TCP . Nebezpečné je to v případě že na těch portech opravdu běží služby které jsi třeba nekonfiguroval pro provoz na internetu ale jen na localhostu.
Myslet špatně je lepší než nemyslet vůbec.
23.4.2004 19:17 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
Je to trosku pro me spanelska vesnice. Tak bych vas poprosil o konkretni priklad. Do jake polozky by jste teda u susefirewall2 zapsal ten port kopetu. Prijem souboru fungoval bez problemu. Odesilat jsem nemohl. Dejme tomu ze port je xxxx. Jak by to tedy podle vas bylo nejbezpecnejsi. Diky moc za vase rady. Tohle me totiz dost zajima.
24.4.2004 00:49 jm
Rozbalit Rozbalit vše Re: firewall a porty
Pokud nefunguje odesilani, tak je problem IMHO na druhe strane dratu...
24.4.2004 10:27 Ladislav Sückr | skóre: 21
Rozbalit Rozbalit vše Re: firewall a porty
tak tak :-)

pokud by to firewall blokoval bylo by to v logu /var/log/firewall nebo /var/log/warn
defaultně firewall spojení ven nezakazuje
Myslet špatně je lepší než nemyslet vůbec.
24.4.2004 10:38 Ladislav Sückr | skóre: 21
Rozbalit Rozbalit vše Re: firewall a porty
ještě mě napadlo : bohužel neznám (nepoužívám) KOPETE ale pokud to funguje jako P2P to znamená že zároveň nabízíš obsah i ty tak musíš povolit navázání spojení i z venku a to je v defaultním nastavení SuSEfirewallu blokované (FW_ALLOW_INCOMING_HIGHPORTS_TCP="no"). Pak ta nefunkčnost může být jenom vnitřní logikou KOPETE - nenabízíš (nejde se napojit z venku) - nedostaneš. A pokud k příjmu používá výhradně port xxx tak se musí povolit spojení z venku na ten port. Pak by to bylo správně.
Myslet špatně je lepší než nemyslet vůbec.
24.4.2004 11:48 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
Tady je priklad:

Chci odeslat soubor z kopete (sit msn messenger):
- defaultni nastaveni susefirewall2 nejde odeslat soubor jinemu contactu
- takhle vypada polozka, kde jsou povolene porty
FW_SERVICES_EXT_TCP="http https pop3 pop3s smtp"

Kdyz pridam port 6891 do
FW_SERVICES_EXT_TCP="6891 http https pop3 pop3s smtp"
tak jde odeslat soubor jinemu contactu
Je tento zapis spravny? Chci se jen ujistit, ze to delam spravne nebo blbe. :-)

24.4.2004 11:54 jm
Rozbalit Rozbalit vše Re: firewall a porty
No kdyz to pak jde, tak je bezpochyby spravny, ovsem princip fungovani SUSE firewallu mi nejak zacina uchazet, zrejme nuti uzivatele nadelat si do systemu co nejvetsi diry kvuli kazde aplikaci, nebo ja vazne nevim. Neda se to odinstalovat a pouzivat normalni iptables? Nebo jsem taky uplne blbej a nepochopil jsem genialitu celeho reseni?
24.4.2004 12:00 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
Prave ja take ne. Kazdy tady pouziva zapis iptables. Take bych mozna radsi vse konfiguroval ruco, ale nevim jak se toho susefirewall zbavit. Da se vypnout v runlevelu. Ale jak pak prejit na ty iptables. Nejsem v linuxu az tak daleko. :-)
24.4.2004 11:57 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
Tady je druhy priklad:

Nastaveni dcgui-gt:
- defaultni nastaveni susefirewall2 nefunguje activni mode dcgui-gt
- takhle vypada polozka, kde jsou povolene porty
FW_SERVICES_EXT_TCP="http https pop3 pop3s smtp"

dcgui-qu manual radi
Machine running dcgui-qt has a public IP address, e.g. a dialup modem connection.
$IPTABLES -A INPUT -i $EXTIF -d $PUBLICIP -p tcp --dport 9176 -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -d $PUBLICIP -p udp --dport 9176 -j ACCEPT
Tak jsem pridal port 9176 do techto polozek:
FW_SERVICES_EXT_TCP="9176 http https pop3 pop3s smtp"
FW_SERVICES_EXT_UDP="9176"
tak funguje
Je tento zapis spravny? Chci se jen ujistit, ze to delam spravne nebo blbe. :-)

24.4.2004 12:00 jm
Rozbalit Rozbalit vše Re: firewall a porty
Prosimvas samozrejme ze je spravny, jenze narozdil od odesilani souboru pres MSN je DC sluzba (server), ktery bezi na vasem pocitaci.

Proste nechapu, proc bych mel kvuli odesilani souboru pres nejaky port ze sveho pocitace otevirat porty pro prichozi spojeni, kdyz soubor posilam ja a odchozi porty mam vsechny povoleny.
24.4.2004 12:10 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
Jo tak na to vam asi neodpovim. Ale pokud to tam nedam tak MSN nefunguje. Muzu prijmout soubor, to je bez problemu. Ale neodeslu. Pokud tam ten port dam, tak odeslu.
24.4.2004 12:05 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
Jeste mozna dodam, ze mam ADSL, dynamickou IP
24.4.2004 12:29 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
Tak jeste nova zprava k MSN Messenger. Kdyz necham v defaultu
FW_SERVICES_EXT_TCP="http https pop3 pop3s smtp"
a predelam tuto polozku z "no" na "yes"
FW_ALLOW_INCOMING_HIGHPORTS_TCP="yes"
tak to take funguje

Ale co je vetsi zlo?

K polozce "FW_ALLOW_INCOMING_HIGHPORTS_TCP" se pise
How is access allowed to high (unpriviliged [above 1023]) ports?
#
# You may either allow everyone from anyport access to your highports ("yes"),
# disallow anyone ("no"), anyone who comes from a defined port (portnumber or
# known portname) [note that this is easy to circumvent!], or just your
# defined nameservers ("DNS").
# Note that you can't use rpc requests (e.g. rpcinfo, showmount) as root
# from a firewall using this script (well, you can if you include range
# 600:1023 in FW_SERVICES_EXT_UDP ...).
# Please note that with v2.1 "yes" is not mandatory for active FTP from
# the firewall anymore.
#
# Choice: "yes", "no", "DNS", portnumber or known portname,
#         if not set defaults to "no"
#
# Common: "ftp-data", better is "yes" to be sure that everything else works :-(
24.4.2004 16:23 Ladislav Sückr | skóre: 21
Rozbalit Rozbalit vše Re: firewall a porty
řekl bych že menší zlo je ten první případ (s jedním portem) - je to bezpečnější. FW_ALLOW_INCOMING_HIGHPORTS_TCP je povolení pro všechny porty nad 1023.

SuSEfirewall2 je skript který jaksi uživatelsky přívětivě vygeneruje pravidla pro iptables, nic víc a nic míň
Myslet špatně je lepší než nemyslet vůbec.
25.4.2004 08:39 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
diky
24.4.2004 12:22 anon123 | skóre: 35 | blog: ganomi
Rozbalit Rozbalit vše Re: firewall a porty
kazdopadne si jdu koupit v pondeli nejakou knihu o firewalls. :-)

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.