abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 16:11 | Nová verze

    Bylo oznámeno vydání Fedora Linuxu 40. Přehled novinek ve Fedora Workstation 40 a Fedora KDE 40 na stránkách Fedora Magazinu. Současně byl oznámen notebook Slimbook Fedora 2.

    Ladislav Hagara | Komentářů: 0
    dnes 13:44 | Upozornění

    ČTK (Česká tisková kancelář) upozorňuje (X), že na jejím zpravodajském webu České noviny byly dnes dopoledne neznámým útočníkem umístěny dva smyšlené texty, které nepocházejí z její produkce. Jde o text s titulkem „BIS zabránila pokusu o atentát na nově zvoleného slovenského prezidenta Petra Pelligriniho“ a o údajné mimořádné prohlášení ministra Lipavského k témuž. Tyto dezinformace byly útočníky zveřejněny i s příslušnými notifikacemi v mobilní aplikaci Českých novin. ČTK ve svém zpravodajském servisu žádnou informaci v tomto znění nevydala.

    Ladislav Hagara | Komentářů: 6
    dnes 13:33 | Komunita

    Byla založena nadace Open Home Foundation zastřešující více než 240 projektů, standardů, ovladačů a knihoven (Home Assistant, ESPHome, Zigpy, Piper, Improv Wi-Fi, Wyoming, …) pro otevřenou chytrou domácnost s důrazem na soukromí, možnost výběru a udržitelnost.

    Ladislav Hagara | Komentářů: 0
    dnes 13:00 | Nová verze

    Společnost Meta otevírá svůj operační systém Meta Horizon OS pro headsety pro virtuální a rozšířenou realitu. Vedle Meta Quest se bude používat i v připravovaných headsetech od Asusu a Lenova.

    Ladislav Hagara | Komentářů: 0
    dnes 04:33 | IT novinky

    Společnost Espressif (ESP8266, ESP32, …) získala většinový podíl ve společnosti M5Stack, čímž posiluje ekosystém AIoT.

    Ladislav Hagara | Komentářů: 0
    včera 23:44 | Nová verze

    Byla vydána nová stabilní verze 3.5 svobodného multiplatformního softwaru pro editování a nahrávání zvukových souborů Audacity (Wikipedie). Přehled novinek také na YouTube. Nově lze využívat cloud (audio.com). Ke stažení je oficiální AppImage. Zatím starší verze Audacity lze instalovat také z Flathubu a Snapcraftu.

    Ladislav Hagara | Komentářů: 0
    včera 16:44 | Zajímavý článek

    50 let operačního systému CP/M, článek na webu Computer History Museum věnovaný operačnímu systému CP/M. Gary Kildall z Digital Research jej vytvořil v roce 1974.

    Ladislav Hagara | Komentářů: 0
    včera 16:22 | Pozvánky

    Byl zveřejněn program a spuštěna registrace na letošní konferenci Prague PostgreSQL Developer Day, která se koná 4. a 5. června. Na programu jsou 4 workshopy a 8 přednášek na různá témata o PostgreSQL, od konfigurace a zálohování po využití pro AI a vector search. Stejně jako v předchozích letech se konference koná v prostorách FIT ČVUT v Praze.

    TomasVondra | Komentářů: 0
    včera 03:00 | IT novinky

    Po 48 letech Zilog končí s výrobou 8bitového mikroprocesoru Zilog Z80 (Z84C00 Z80). Mikroprocesor byl uveden na trh v červenci 1976. Poslední objednávky jsou přijímány do 14. června [pdf].

    Ladislav Hagara | Komentářů: 6
    včera 02:00 | IT novinky

    Ještě letos vyjde Kingdom Come: Deliverance II (YouTube), pokračování počítačové hry Kingdom Come: Deliverance (Wikipedie, ProtonDB Gold).

    Ladislav Hagara | Komentářů: 9
    KDE Plasma 6
     (71%)
     (10%)
     (2%)
     (17%)
    Celkem 688 hlasů
     Komentářů: 4, poslední 6.4. 15:51
    Rozcestník

    Dotaz: Zabezpecenie DNS

    12.11.2014 11:33 trittler
    Zabezpecenie DNS
    Přečteno: 382×
    Zdravim, mam bind9 server + verejna staticka IP. Dnes som si vsimol tohoto :
    root@mail:~# tail -f /var/log/syslog
    Nov 12 11:23:14 mail named[16894]: client 68.2.181.144#57619: query (cache) 'sema.cz/ANY/IN' denied
    
    Tie zaznamy sa stale opakuju
    root@mail:~# tail -f /var/log/query.log 
    client 68.2.181.144#26821: query: sema.cz IN ANY +E (192.168.0.31)
    
    Chcem len vediet ci to mam dobre zabezpecene, alebo nieco mi tam este chyba. Na nete som asi nieco ako open dns, ale to moc nechcem.

    Konfiguraky: named.conf
    root@mail:~# cat /etc/bind/named.conf
    include "/etc/bind/named.conf.options";
    include "/etc/bind/named.conf.local";
    include "/etc/bind/named.conf.default-zones";
    include "/etc/bind/rndc.key";
    
    controls {
            inet 127.0.0.1 allow { localhost; } keys { "rndc-key"; };
    };
    trusted-keys {
    	dlv.isc.org. 257 3 5 "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";
    	};
    
    named.conf.local
    root@mail:~# cat /etc/bind/named.conf.local 
    logging {
        channel query.log {
            file "/var/log/query.log";
            // Set the severity to dynamic to see all the debug messages.
            severity debug 3;
        };
        category queries { query.log; };
    };
    
    + Zonove zaznamy
    
    
    named.conf.options
    root@mail:~# cat /etc/bind/named.conf.options
    acl "allowed" {
    	192.168.5.0/24;
    	192.168.10.0/24;
    	localhost;
    	localnets;
    };
    options {
    	directory "/var/cache/bind";
    	allow-query { any; };
    	allow-recursion { allowed; };
    	allow-query-cache { allowed; };
    
      		forwarders {
    		8.8.8.8;
    		8.8.4.4;
    		195.210.29.64;
    		};
    	rate-limit {
        		responses-per-second 5;
      	          };	       
    	forward only;
    	dnssec-enable yes;
    	dnssec-validation yes;
    	dnssec-lookaside auto;	
    	also-notify {};
    	fetch-glue no;
    };
    
    

    Odpovědi

    12.11.2014 11:37 trittler
    Rozbalit Rozbalit vše Re: Zabezpecenie DNS
    log pocas jednej sekundy
    root@mail:~# time tail -f /var/log/query.log 
    client 221.229.162.197#30569: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#30569: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#6948: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#6948: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#1216: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#1216: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#45720: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#45720: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#11571: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#11571: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#1768: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#1768: drop REFUSED response to 221.229.162.0/24
    client 80.250.115.133#22297: query: wradish.com IN ANY +E (192.168.0.31)
    client 80.250.115.133#22297: drop REFUSED response to 80.250.115.0/24
    client 80.250.115.133#58805: query: wradish.com IN ANY +E (192.168.0.31)
    client 80.250.115.133#58805: slip REFUSED response to 80.250.115.0/24
    client 221.229.162.197#17687: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#17687: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#3585: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#3585: drop REFUSED response to 221.229.162.0/24
    client 80.250.115.133#16553: query: wradish.com IN ANY +E (192.168.0.31)
    client 80.250.115.133#16553: drop REFUSED response to 80.250.115.0/24
    client 221.229.162.197#9780: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#9780: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#49030: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#49030: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#4523: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#4523: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#63228: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#63228: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#29943: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#29943: slip REFUSED response to 221.229.162.0/24
    client 80.250.115.133#2142: query: wradish.com IN ANY +E (192.168.0.31)
    client 80.250.115.133#2142: slip REFUSED response to 80.250.115.0/24
    client 221.229.162.197#12853: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#12853: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#18454: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#18454: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#12803: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#12803: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#11976: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#11976: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#42548: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#42548: drop REFUSED response to 221.229.162.0/24
    client 80.250.115.133#27375: query: wradish.com IN ANY +E (192.168.0.31)
    client 80.250.115.133#27375: drop REFUSED response to 80.250.115.0/24
    client 221.229.162.197#17555: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#17555: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#46601: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#46601: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#51315: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#51315: slip REFUSED response to 221.229.162.0/24
    client 80.250.115.133#48420: query: wradish.com IN ANY +E (192.168.0.31)
    client 80.250.115.133#48420: slip REFUSED response to 80.250.115.0/24
    client 221.229.162.197#33798: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#33798: drop REFUSED response to 221.229.162.0/24
    client 80.250.115.133#3435: query: wradish.com IN ANY +E (192.168.0.31)
    client 80.250.115.133#3435: drop REFUSED response to 80.250.115.0/24
    client 221.229.162.197#58059: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#58059: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#62829: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#62829: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#25584: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#25584: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#32870: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#32870: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#64117: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#64117: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#21581: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#21581: drop REFUSED response to 221.229.162.0/24
    client 80.250.115.133#48471: query: wradish.com IN ANY +E (192.168.0.31)
    client 80.250.115.133#48471: slip REFUSED response to 80.250.115.0/24
    client 221.229.162.197#39125: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#39125: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#64811: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#64811: drop REFUSED response to 221.229.162.0/24
    client 80.250.115.133#50582: query: wradish.com IN ANY +E (192.168.0.31)
    client 80.250.115.133#50582: drop REFUSED response to 80.250.115.0/24
    client 221.229.162.197#2589: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#2589: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#42520: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#42520: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#14914: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#14914: slip REFUSED response to 221.229.162.0/24
    client 80.250.115.133#19227: query: wradish.com IN ANY +E (192.168.0.31)
    client 80.250.115.133#19227: slip REFUSED response to 80.250.115.0/24
    client 221.229.162.197#6794: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#6794: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#57811: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#57811: slip REFUSED response to 221.229.162.0/24
    client 221.229.162.197#46059: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#46059: drop REFUSED response to 221.229.162.0/24
    client 221.229.162.197#7354: query: wradish.com IN ANY +E (192.168.0.31)
    client 221.229.162.197#7354: slip REFUSED response to 221.229.162.0/24
    
    
    real	0m1.260s
    user	0m0.004s
    sys	0m0.000s
    
    
    12.11.2014 15:29 Andrej | skóre: 51 | blog: Republic of Mordor
    Rozbalit Rozbalit vše Re: Zabezpecenie DNS

    Nevidím tam nikde DNSSEC, takže to máš naprosto nezabezpečené.

    12.11.2014 22:05 NN
    Rozbalit Rozbalit vše Re: Zabezpecenie DNS
    Jako zarazejici vidim v acl parametr localnets, ktery povoluje resolving pro vsechny site na stroji vcetne verejne, to v kombinaci s otevrenym nastavenim allow-query, allow-recursion defacto povoluje vsechno vsem. Takze je otazka k cemu vlastne tento resolver slouzi a nedivil bych se, kdyby se ho nekdo nepokusil zneuzit. Viz dolozeny pokus pravdepodobne o DNS amplification utok. Mohl by jsi odchytit, kolik toho priblizne prochazi? Neni mozne, se server uz nestiha odpovidat?
    13.11.2014 10:31 j
    Rozbalit Rozbalit vše Re: Zabezpecenie DNS
    Ta verejna sit bude tak maximaplne jedno Ccko, ostatne v logu je videt, ze DNS odmita preklad. A pokud na nem bezi nejaka vlastni domena, tak stim stejne nic jinyho neudelas. Jedine nasadit nejakej script, kterej bude vyhodnocovat opakovany rejecty v logu a nasledne blokne prislusnou adresu/rozsah na firewallu.

    Pokud to ma fungovat jako DNS cache, tak jednoduse na firewallu odstrelit (drop) vse, co prichazi zvenku.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.