Microsoft zveřejnil na GitHubu zdrojové kódy MS-DOSu 4.0 pod licencí MIT. Ve stejném repozitáři se nacházejí i před lety zveřejněné zdrojové k kódy MS-DOSu 1.25 a 2.0.
Canonical vydal (email, blog, YouTube) Ubuntu 24.04 LTS Noble Numbat. Přehled novinek v poznámkách k vydání a také příspěvcích na blogu: novinky v desktopu a novinky v bezpečnosti. Vydány byly také oficiální deriváty Edubuntu, Kubuntu, Lubuntu, Ubuntu Budgie, Ubuntu Cinnamon, Ubuntu Kylin, Ubuntu MATE, Ubuntu Studio, Ubuntu Unity a Xubuntu. Jedná se o 10. LTS verzi.
Na YouTube je k dispozici videozáznam z včerejšího Czech Open Source Policy Forum 2024.
Fossil (Wikipedie) byl vydán ve verzi 2.24. Jedná se o distribuovaný systém správy verzí propojený se správou chyb, wiki stránek a blogů s integrovaným webovým rozhraním. Vše běží z jednoho jediného spustitelného souboru a uloženo je v SQLite databázi.
Byla vydána nová stabilní verze 6.7 webového prohlížeče Vivaldi (Wikipedie). Postavena je na Chromiu 124. Přehled novinek i s náhledy v příspěvku na blogu. Vypíchnout lze Spořič paměti (Memory Saver) automaticky hibernující karty, které nebyly nějakou dobu používány nebo vylepšené Odběry (Feed Reader).
OpenJS Foundation, oficiální projekt konsorcia Linux Foundation, oznámila vydání verze 22 otevřeného multiplatformního prostředí pro vývoj a běh síťových aplikací napsaných v JavaScriptu Node.js (Wikipedie). V říjnu se verze 22 stane novou aktivní LTS verzí. Podpora je plánována do dubna 2027.
Byla vydána verze 8.2 open source virtualizační platformy Proxmox VE (Proxmox Virtual Environment, Wikipedie) založené na Debianu. Přehled novinek v poznámkách k vydání a v informačním videu. Zdůrazněn je průvodce migrací hostů z VMware ESXi do Proxmoxu.
R (Wikipedie), programovací jazyk a prostředí určené pro statistickou analýzu dat a jejich grafické zobrazení, bylo vydáno ve verzi 4.4.0. Její kódové jméno je Puppy Cup.
IBM kupuje společnost HashiCorp (Terraform, Packer, Vault, Boundary, Consul, Nomad, Waypoint, Vagrant, …) za 6,4 miliardy dolarů, tj. 35 dolarů za akcii.
Byl vydán TrueNAS SCALE 24.04 “Dragonfish”. Přehled novinek této open source storage platformy postavené na Debianu v poznámkách k vydání.
Projekt Netfilter/IPtables založil roku 1998 sympatický Rusty Russel, který je také autorem předchůdce IPtables - projektu IPchains. Rusty je také zakladatelem týmu vývojářů (tzv. Netfilter Core Team), kteří se o celý rozsáhlý projekt starají. Projekt se postupem času z prostého paketového filtru obdařeného jen základními vlastnostmi rozrostl do podoby, v jaké jej spatřujeme dnes - totiž do funkčně košatého nástroje, s jehož pomocí lze implementovat i velice složité stavové firewally včetně možnosti práce s překladem adres (Network Address Translation, dále jen NAT) a "trackingu" spojení (connection tracking). Práce s NAT umožňuje zejména "maškarády" (masquarades), "forwardování" portů (port forwarding) a "přesměrovávání" (redirecting). Rusty Russel se i nadále aktivně účastní vývoje projektu, ovšem aktuální osobou číslo jedna je dnes vynikající Harald Welte.
Napsat kvalitní script, který nastaví slušný firewall není zcela jednoduché, ale zase není zapotřebí z toho dělat až přílišnou vědu. Celková koncepce Netfilteru je poměrně složitá, ale věřte mi, že je zároveň až geniálně jednoduchá. Každý nadto k problematice nakonec přistupuje docela jinak, než jak mu radí druzí. Proto prosím přistupujte k tomuto dokumentu spíše nezávazně.
Lidé také uvažují rozdílně, když píší script pro nastavení tabulek Netfilteru. Existují v zásadě dva způsoby, jak můžete při psaní firewallu přemýšlet:
V čem se oba přístupy liší? Řekněme, že když si jen tak "scriptujeme,"
pak v podstatě neděláme nic jiného, než že tabulky paketového filtru
plníme nějakými daty pomocí příslušného prográmku (obvykle
/sbin/iptables
), přičemž nás příliš nezajímá, co to vlastně vnitřně
dělá.
Avšak "programujeme-li," pak si klidně v pojmosloví Netfilteru můžeme nahradit slovo "řetězec" (chain) slovem "funkce." Pohybujeme se pak ve sféře kdy nám Netfilter/IPtables umožňuje procedurální vyjádření našich síťově-bezpečnostních potřeb. Netfilter je totiž vnitřně prakticky plnohodnotný programovací jazyk, v němž lze krom zmíněných "funkcí" implementovat i podmínky a dokonce cykly.
Oba zmíněné způsoby uvažování mají význam především psychologický. Praktický efekt je nulový a výsledná tabulka v obou případech stejná. Někomu se prostě firewally píší lépe tak a někomu onak. Rusty Russel například volí druhý ("programovací") způsob. Ostatně aby ne! On je přeci vynikající programátor. Avšak i my, kteří třeba programovat ani vůbec neumíme, se nyní směle pokusíme naučit nastavit svůj první firewall.
V této kapitolce jste zaslechli několik důležitých pojmů jako například "chain" a "tabulka." Vysvětlíme si je v následující sekci, která pojednává obecně o koncepci Netfilteru.
Paketový filtr je software, který prohlíží hlavičky procházejících
paketů a rozhoduje, co se má se kterým paketem stát. Typicky může být
packet zahozen (DROP
), akceptován (ACCEPT
)
nebo popř. může být informace o něm zalogována (LOG
). Obecně těmto akcím říkáme v terminologii Netfilteru "cíl" (target), neboli co se s paketem má stát, kam ho chceme směřovat apod. Lze s ním
samosebou dělat mnohé další, i třeba velice složité, kejkle, pro něž si obvykle vytváříme targety vlastní. Pro
začátek však vystačíme s těmito třemi akcemi.
Dnešní svět je nebezpečný na všech úrovních reality, tedy i na úrovni
reality počítačových sítí. Chceme proto mít kontrolu nad tím, co se k
nám dostane, a co od nás odchází. O něčem bychom rádi věděli, něčeho se
raději zbavíme bez povšimnutí. V obecné rovině nám přesně toto projekt
Netfilter umožňuje. Program iptables
je součástí projektu Netfilteru a slouží k
nastavování paketového filteru. Jeho manuálová stránka je velice
rozsáhlá a dobře napsaná. Po pochopení základních způsobů konfigurace
Netfilteru se v ní již pohybujeme poměrně lehce.
Pro začátek máme k dispozici tři vestavěné řetězce, do nichž můžeme ukládat nová pravidla:
INPUT
OUTPUT
FORWARD
Program iptables
nám umožňuje několik základních akcí.
Pohodlně můžeme:
iptables -N
iptables -X
iptables -P
iptables -L
iptables -F
iptables -Z
Dále máme k dispozici několik způsobů jak nakládat s pravidly uvnitř specifikovaného řetězce:
iptables -A
iptables -I
iptables -R
iptables -D
Teď, když víme, co všechno můžeme dělat na úrovni celých řetězců pravidel, přejdeme k pravidlům samotným a podíváme se, co všechno nám Netfilter umožní specifikovat. Pro přehlednost si uvedeme jen ty nejdůležitější věci:
Zdrojovou a cílovou adresu lze specifikovat pomocí přepínačů
--source
(zdroj) a --destination
(cíl). Oba přepínače mají i své zkrácené verze -s
či --src
a -d
či --dst
. Lze
specifikovat jak symbolické jméno (např. localhost
nebo
www.abclinuxu.cz
- tuto variantu nedoporučuji) tak IP
adresu či celou síť (např. 127.0.0.1
,
12.34.56.78/32
, 98.76.54.32/27
, pro všechny
adresy vůbec pak 0/0
).
Negace většiny specifikací lze docílit znakem vykřičníku. Např.
-s ! 127.0.0.1
vyhoví kterémukoli paketu, který nepřichází
z localhost
. Negaci, nebo chcete-li "inverzi", lze použít
pro většinu určujících pravidel, je však vždy raději lepší konzultovat
manuálovou stránku man iptables
.
Protokol lze určit pomocí přepínače --protocol
(zkráceně -p
). Příkladem může být -p ! tcp
,
čemuž by vyhověly všechny datagramy, které nejsou TCP.
Důležitá je též možnost určit síťové zařízené, na němž chceme
filtrovat. Toho lze docílit přepínači --in-interface
(zkráceně -i
) pro vstupní interface a
--out-interface
(zkráceně -o
) pro výstupní
interface.
Je nutné pamatovat na skutečnost, že řetězec
INPUT
nemá výstupní interface a že řetězec
OUTPUT
nemá vstupní interface. Obě, vstupní i výstupní,
zařízení má pouze řetězech FORWARD
.
Dále chceme-li specifikovat například zařízení eth1
,
eth2
a eth3
, lze tak udělat v jediném
pravidle pomocí znaku "plus" např. takto: -i eth+
.
Je-li zapotřebí filtrovat či jinak nakládat s fragmentovanými
pakety. které vznikají vetšinou díky tomu, že příliš velké pakety
některá zařízení neumí přenést, lze tak učinit pomocí přepínače
--fragment
(zkráceně -f
).
Poté, co jsme probrali nutné minimum k iptables
,
obrátíme pozornost k jejich rozšířením.
iptables
... a další kapitoly ... (prosím o rezervaci, -- Matouš)
Ukázkový script na nastavení firewallu může vypadat např. takto:
---CUT--- #!/bin/bash # eth0 - náš interface do světa # lo+ - viz `man iptables' # bráníme se proti smurf-proofingu, "mrtvým" chybovým hláškám a IP spoofingu if [ -e /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts ]; then /bin/echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts fi if [ -e /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses ]; then /bin/echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses fi # for i in /proc/sys/net/ipv4/conf/* ; do # /bin/echo "1" > $i/rp_filter # done # úplně vymažeme starý firewall /bin/cat /proc/net/ip_tables_names | while read TABLE; do /sbin/iptables -t $TABLE -L -n | while read C CHAIN REST; do if [ "X$C" = "XChain" ]; then /sbin/iptables -t $TABLE -F $CHAIN fi done /sbin/iptables -t $TABLE -X done # a všechno vynulujeme /sbin/iptables -Z /sbin/iptables -t nat -Z /sbin/iptables -t mangle -Z # úplně vypnout firewall lze přepínačem "stop" if [ "$1" == "stop" ]; then # defaultní politika bude akceptovat /sbin/iptables -P OUTPUT ACCEPT /sbin/iptables -P INPUT ACCEPT /sbin/iptables -P FORWARD ACCEPT # a smitec exit 0; fi # defaultní politika bude zahazovat /sbin/iptables -P OUTPUT DROP /sbin/iptables -P INPUT DROP /sbin/iptables -P FORWARD DROP # povolíme provoz na loopbacku /sbin/iptables -A OUTPUT -o lo+ -j ACCEPT /sbin/iptables -A INPUT -i lo+ -j ACCEPT # úplně se odříznete od světa přepínačem "panic" if [ "$1" == "panic" ]; then exit 0; fi # povolíme všechna odchozí spojení /sbin/iptables -A OUTPUT -p tcp -o eth0 -j ACCEPT /sbin/iptables -A OUTPUT -p udp -o eth0 -j ACCEPT /sbin/iptables -A OUTPUT -p icmp -o eth0 -j ACCEPT # špatně navazovaná spojení, fragmenty a nesmysly zahazujeme /sbin/iptables -A INPUT -i eth0 -m state --state INVALID -j DROP # /sbin/iptables -A INPUT -i eth0 -f -j DROP /sbin/iptables -A INPUT -i eth0 -p tcp ! --syn -m state --state NEW -j DROP # bráníme se proti SYN floodu /sbin/iptables -N STOP_FLOODS /sbin/iptables -A STOP_FLOODS -m limit --limit 1/s --limit-burst 5 -j RETURN /sbin/iptables -A STOP_FLOODS -j DROP /sbin/iptables -A INPUT -i eth0 -p tcp --syn -j STOP_FLOODS # povolíme již navázaná nebo námi iniciovaná TCP a UDP spojení /sbin/iptables -A INPUT -i eth0 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT /sbin/iptables -A INPUT -i eth0 -p udp -m state --state ESTABLISHED,RELATED -j ACCEPT # některé ICMP pakety přeci jenom povolíme, ale floodovat nás nebudou /sbin/iptables -N CHOOSE_ICMP /sbin/iptables -A CHOOSE_ICMP -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT /sbin/iptables -A CHOOSE_ICMP -p icmp --icmp-type 0 -m length --length 28:84 -j ACCEPT /sbin/iptables -A CHOOSE_ICMP -p icmp --icmp-type 3 -m length --length 28:84 -j ACCEPT /sbin/iptables -A CHOOSE_ICMP -p icmp --icmp-type 8 -m length --length 28:84 \ -m limit --limit 1/s --limit-burst 5 -j ACCEPT /sbin/iptables -A CHOOSE_ICMP -p icmp --icmp-type 11 -m length --length 28:84 -j ACCEPT /sbin/iptables -A INPUT -i eth0 -j CHOOSE_ICMP # povolíme vzdálené připojení pomocí SSH /sbin/iptables -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT # povolíme vzdálené připojení pomocí SSH z IP.AD.RE.SA pouze # /sbin/iptables -A INPUT -i eth0 -s IP.AD.RE.SA -p tcp --dport 22 -j ACCEPT # odmítneme spojeni na AUTH a resetujeme ho /sbin/iptables -A INPUT -i eth0 -p tcp --dport 113 -j REJECT --reject-with tcp-reset # konec ---CUT---Případný port-scan programem NMap pak dopadne asi takto:
---CUT--- #> nmap -P0 -TInsane NA.SE.IP.ADRESA Starting nmap 3.81 ( http://www.insecure.org/nmap/ ) at 2005-12-24 16:48 CET All 1663 scanned ports on SYMBOLICKE.JMENO.TLD (NA.SE.IP.ADRESA) are: filtered Nmap finished: 1 IP address (1 host up) scanned in 87.792 seconds ---CUT---Zkusme si stroj "pingnout" paketem velkým 1400 bytů.
---CUT--- #> ping -c1 -s 1400 NA.SE.IP.ADRESA PING NA.SE.IP.ADRESA (NA.SE.IP.ADRESA) 1400(1428) bytes of data. --- NA.SE.IP.ADRESA ping statistics --- 1 packets transmitted, 0 received, 100% packet loss, time 0ms ---CUT---
Normální ping
ale projde.
---CUT--- $> ping -c1 NA.SE.IP.ADRESA PING NA.SE.IP.ADRESA (NA.SE.IP.ADRESA) 56(84) bytes of data. 64 bytes from NA.SE.IP.ADRESA: icmp_seq=1 ttl=58 time=12.6 ms --- NA.SE.IP.ADRESA ping statistics --- 1 packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = 12.632/12.632/12.632/0.000 ms ---CUT---
Stejně tak projde mtr
bez změny parametrů (používá ICMP pakety, které se ve výchozím nastavení vejdou do specifikovaného rozsahu, mají velikost 64 bytů). Zkusíme-li ale mtr -i 0.1 NA.SE.IP.ADRESA
, tak už náš stroj bude vykazovat ztrátovost paketů.
Dokument vytvořil: vladka, 29.8.2005 12:13 | Poslední úprava: Nicky726, 26.3.2009 16:32 | Další přispěvatelé: ©, hmm | Historie změn | Zobrazeno: 12673×
Tiskni Sdílej: