Základní konfigurace Linux firewallu pomocí Iptables

4.10.2009 16:48 | Přečteno: 33115× | | poslední úprava: 10.10.2009 12:38

Cílem dnešního příspěvku je popsat základní konfiguraci Iptables a to tak, že by měla dostačovat k zabezpečení osobního PC. V případě námitek nebo konstruktivních poznámek máte možnost vyjádřit je v diskuzi. O Iptables toho bylo napsáno poměrně dost, ale nikde jsem nenašel ucelený, krátký a stručný přehled jak Iptables fungují a jak je nastavit – o toto se pokusím v dnešním příspěvku. Ještě bych chtěl dodat, že toto není rozhodně náhrada za manuál k Iptables. Budou popsány jen ty nejpoužívanější parametry a nastavení. PC zároveň slouží jako NAT pro další PC v LAN, která se prostřednictvím jeho připojují do internetu.

Teoretická část

Netfilter(firewall)
Nejprve něco k Linuxovému firewallu. Firewall je integrován v jádře, je nazýván Netfilter a konfiguruje se pomocí programu Iptables popřípadě je možného nastavovat ho v GUI(např. SW Firestarter – konfigurace je intuitivní - to je ale mimo rámec tohoto příspěvku.). Netfilter je stavový firewall což znamená,že umí sledovat spojení (tj. nehodnotí jen samotný paket, ale i spojení, ke kterému patří). Každý paket který dojde až k linuxovému jádru musí projít alespoň jedním z řetězců které jsou součástí tabulek.

Konfigurace Iptables

Blokové schéma firewallu a NATu[1]

Syntaxe příkazu Iptables: iptables [tabulka] [akce] [řetězec] [pravidla] [cíl].
Nadále budou popsány jednotlivé běžně užívané parametry parametry Iptables.

Tabulka:
filter: jen tato tabulka se používá k filtrování paketů. Pokud v iptables je hodnota tabulka vynechána tak se automaticky bere, že je tam právě filter.
nat: tuto tabulku použijeme pokud chceme používat přepis adres
mangle: zpracovává hlavičky paketů, dále nebude rozebírána – používá se např. při nastavování QoS)

Akce (nejčastěji používané jsou následující čtyři, ostatní méně používané jsou odděleny čarou):
-A: nakonec řetězce se přidá nové pravidlo
-P: zadání hlavního pravidla (politika)
-L: slouží k vypsání pravidel
-F: slouží k vymazání pravidel
-----------------------------------------------------------------------------------
-I: nové pravidlo se přidá na začátek řetězce
-D: slouží k smazání pravidla
Pomocí následujících akcí můžeme zakládat vlastní řetězce
-N: založení nového řetězce
-X: smazání námi vytvořeného řetězce
-E: přejmenování řetězce

Řetězce (pro tabulku filter):
INPUT: vstupní řetězec do kterého vstupují všechny pakety, které vstupují do počítače.
OUTPUT: výstupní řetězec, do něhož vstupují všechny pakety, které z počítače odcházejí.
FORWARD: určuje co bude s daty která nejsou určena pro tento PC. Tato data prochází pouze FORWARDem (nikoliv INPUTem nebo OUTPUTem). Forwarding je nejprve nutno v povolit v jádře příkazem: echo „1“ > proc/sys/net/ipv4/ip_forward.

Řetězce(pro tabulku nat)
PREROUTING: používá se pro port forwarding (DNAT) změna cílové adresy
POSTROUTING: používá se pro SNAT(MASQUERADE) změna zdrojové adresy
Ohledně NATu se jistě bude hodit routovací tabulka. Ta se vypíše buď:ip route a nebo netstat -r.

Pravidla(budou popsána ta nejběžnější):
-s: zdrojová IP paketu, popřípadě rozsah adres, adresa může být doplněna maskou
-d: cílová IP paketu a nebo rozsah adres
-i: vstupní zařízení, kterým paket přijde do PC např. eth0
-o: výstupní zařízení, kterým odejde paket z PC
--sport: zdrojový port paketu
--dport: port na který paket putuje

Cíl(určuje co se s paketem stane):
K určení cíle používáme parametr -j za kterým následuje konkrétní akce a ty jsou následující.
ACCEPT: akceptuje paket, nechá ho projít filtrem
REJECT: paket bude zahozen a zdrojový PC o tom bude informován
DROP: paket bude také zahozen, ale zdrojový PC nebude informován

Praktická část

Nyní přejdeme od teorie k praxi a ukážeme si praktickou konfiguraci Iptables na domácím PC. Nejprve zjistíme jak jsou Iptables nastaveny, to provedeme příkazem: iptables -L. Pokud jste je nikdy nekofigurovali tak pravděpodobně nalezneme, že všechny řetězce(INPUT, FORWARD, OUTPUT) budou mít politiku nastavenu na accept. To znamená, že náš FW je otevřený a vše povoluje(nic neblokuje). Pravidla budeme psát do textového souboru, který pak použijeme jako skript. Jako první nastavíme politiky tak aby FW blokoval příchozí pakety. Pakety odcházející z našeho PC povolíme. A povolíme také pakety procházející. Dále budeme nastavovat jednotlivá pravidla. Ta jsou vyhodnocována od shora dolů tak jak bývá u FW zvykem. Ješte dodám, že PC má dvě rozhraní a to eth0 a eth1. Eth0 je LAN rozhraní, eth1 je WAN rozhraní.

#politiky FW
/sbin/iptables -P INPUT DROP # vše co jde na vstup PC zahoď
/sbin/iptables -P FORWARD DROP # vše co chce jen projít počítačem zahoď
/sbin/iptables -P OUTPUT ACCEPT # vše co odchází z PC nech odejít

#NAT
echo "1" > /proc/sys/net/ipv4/ip_forward # povolení forwardingu v jádře
/sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE # změna zdrojové LAN adresy na zdrojovou WAN adresu
/sbin/iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT #povolí vše z eth0 směřující na eth1
/sbin/iptables -A FORWARD -i eth1 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT #povolí přeposílání z rozhraní WAN na rozhraní LAN u existujících a nebo souvisejících spojení

#FW pravidla
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT # propust spojeni která byla inicializovaná zevnitř
/sbin/iptables -A INPUT -i lo -j ACCEPT #propust na vstup vše pokud je vstupní rozhraní loopback
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT #HTTP server, propustí vstupní data na port 80
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT #SSH server, propustí vstupní data na port 22
/sbin/iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT # FTP server, povolen rozsah portů 20-21
/sbin/iptables -A INPUT -p udp --dport 4672 -j # aMule , povolen UDP port 4672
/sbin/iptables -A INPUT -p tcp --dport 4662 -j # aMule , povolen TCP port 4662
/sbin/iptables -A INPUT -p ICMP --icmp-type echo-request -j ACCEPT

Sekce politiky: první pravidlo politiky říká, že všechny pakety určené pro náš PC budou zahozeny s výjimkou těch, které jsou povoleny v části FW pravidla a s výjimkou těch spojení která byla inicializována naším PC. Druhé pravidlo politiky přikazuje zahodit každý paket, který by chtěl naším PC jen projít. Třetí pravidlo politiky říká, že všechna odchozí spojení jsou povolena.

Sekce NAT: povoluje prvním příkazem podporu předávání paketů jádrem, druhým realizuje přepis zdrojových adres tak všem paketům vystupujícím z rozhraní eth1 bude změněna zdrojová adresa z LAN IP na WAN IP. Takové pakety pak mohou putovat do internetu a mohou být dále směrovány. Třetím a čtvrtým příkazem povoluje předávání paketů mezi síťovými rozhraními.

Sekce FW pravidla: první příkaz říká: propust z venku všechny pakety těch spojení jež byly inicializovány z vnitřní sítě LAN. Ostatní příkazy povolují vstoupit datům jež mají jako cílový port jeden z uvedených. Povoluje tak služby FTP, SSH, HTTP, aMule.

Jak můžete vidět jednotlivá pravidla se skládají poměrně jednoduše. Na běžnou konfiguraci PC si vystačíme bohatě s tím co jsme uvedl v teoretické části. Ještě bych dodal, že v jednotlivých pravidlech mám někdy uveden typ transportního protokolu např. -p tcp. Toto není vysvětleno v teoretické části, ale každý si asi domyslí co to je a z uvedených příkladů pochopí jak to použít. Další část toho článku se bude věnovat samotnému uložení a spuštění firewallu.

Zprovoznění konfigurace Iptables

Zprovoznění na systému CentOS(Red Hat, Fedora):
1)zastavíme službu iptables příkazem: „service iptables stop“
2)smažeme vše co je v iptables příkazem „iptables -F“
3)spustíme skript do kterého jsme napsali jednotlivá pravidla příkazem sh ./cesta/soubor. Pravidla se načtou do paměti.
4)Pravidla z paměti uložíme příkazem „service iptables save“ (uloží se do /etc/sysconfig/iptables)
5)Restartujeme iptables příkazem „service iptables restart“

Zprovoznění na systému Debian(pravděpodobně i Ubuntu):
1)spustíme skript ve kterém máme uloženy pravidla
2)příkazem iptables-save > /cesta/k/novemu/souboru/s/pravidly/pro/iptables uložíme pravidla do souboru ze kterého je bude iptables načítat. Ten má trochu jinou syntaxi než náš skript s pravidly.
3)například do souboru /etc/network/interfaces umístíme pre-up /sbin/iptables-restore < /cesta/k/novemu/souboru/s/pravidly/pro/iptables. Tím zajistíme, že při každém spuštění budou pravidla načtena.

Logování:
Na logování se používá samostatný daemon(není nutné ale je doporučeno výrobcem), který se musí doinstalovat. Daemon se jmenuje ULOGD a je dostupný ve většině distribucí jako balíček. Instalace u distribuce CentOS se provede příkazem: „yum install ulogd“, u Debianu by to bylo „aptitude install ulogd“. Konfigurace tohoto daemona se provádí v souboru /etc/ulogd.conf. Dále nebudu rozepisovat všechny direktivy tohoto konfiguračního souboru, ale uvedu 2 nejdůležitější:
1)logfile – určuje kde se budou logy ukládat
2)loglevel – určuje jak „podrobné“ logy budou

Diagnostické nástroje:
Jako diagnostické síťové nástroje jsem zvolil NMAP a TCPDUMP (můžete však použít i jiné dle uvážení).Kompletní soupis diagnostických a bezpečnostních nástrojů je na stránkách http://insecure.org/.V případě NMAPu odkazuji na manuálové stránky případně na jejich překlad do slovenštiny na http://nmap.org/man/sk/. V případě použití TCPDUMP odkazuji na manuálové stránky. Pro vypsání aktuálního obsahu iptables použijeme příkaz: iptables -L.

Jako studijní literaturu doporučuji (ve slovenském jazyce) http://deja-vix.sk/sysadmin/firewall.html#top. Dále jsou iptables poměrně dobře vysvětleny v knížce od autora Petra Krčmáře: Postavte si počítačovou síť. Nakonec uvádím poměrně přehledný tutoriál na adrese http://forums.debian.net/viewtopic.php?f=16&t=16166. Sice je to v angličtině, ale není se čeho bát – když jsme to zvládnul já zvládnete to i vy:)

Literatura:
[1] CALETKA, Ondřej. Osobní firewall s iptables : prezentace k semináři [online]. 2006 [cit. 2009-10-10].        

Anketa

Obrázky

Komentáře

[Heron]

V chainu INPUT chybí povolení ICMP packetů. Dále je vhodné použít -m state --state NEW u pravidel povolující přístup na port, nebo alespoň explicitně definovat, co se stane se spojeními v jiném než ESTABLISHED, RELATED stavu.

U natu vysvětlit k čemu je DNAT a hlavně SNAT pro forwardovaní portů.

Dál doporučuji doplnit target REJECT včetně ICMP hlášek a info o vlastních chainech.

[polo23]

 

 Dále je vhodné použít -m state --state NEW u pravidel povolující přístup na port, nebo alespoň explicitně definovat, co se stane se spojeními v jiném než ESTABLISHED, RELATED stavu.

 

 

Dál doporučuji doplnit target REJECT včetně ICMP hlášek a info o vlastních chainech.

Tady mi není jasny prvni krok... Pravidla pro pristup na konkretni porty tam prece mam a s -m state --state NEW jsem se jeste nesetkal(bohuzel). Taky bych byl rad kdyby jste objasnil co myslite tim REJECTEM vcetne ICMP hlasek. Snat a dnat jeste dopisu...


 

[Heron]

Pravidla pro pristup na konkretni porty tam prece mam a s -m state --state NEW jsem se jeste nesetkal(bohuzel).

Takhle:

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT

Packety ve stavu ESTABLISHED, RELATED máš ošéfované již nahoře. Takže ti zbývají packety ve (dnes dalších možných stavech - může se v budoucnu měnit) stavech NEW a INVALID. Těmi povolovacími pravidly pro služby jsi chtěl zcela jistě pouštět nová připojení a žádná jiná.

Taky bych byl rad kdyby jste objasnil co myslite tim REJECTEM vcetne ICMP hlasek.

Zahazování packetů pomocí DROP nutí klientskou stranu čekat na IP timeout. Odmítání pomocí REJECT pošle okamžitě ICMP hlášku, že je port z nějakého důvodu uzavřen a klient nemusí čekat. Iptables umožňují vybrat správnou ICMP hlášku. Zde je mj. jiné vidět, k čemu může vést zahazování ICMP na vstupu do sítě.

Např:

-j REJECT --reject-with tcp-reset
-j REJECT --reject-with icmp-port-unreachable

[Michal Kubeček]

Nebylo by jednodušší prostě INVALID pakety zahodit?

[polo23]

No jak pisete

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT

ja nechapu na co to je kdyz mi FW jede i bez toho... Kdyz se prihalsuju na 22 tak to jede neni s tim problem... Nebo je tu jeste nejaka finta o ktere nevim?

[Heron]

Ano jede ti to. Stejně tak to pojede, když dáš iptables -P INPUT accept .

Cílem je to co nejvíce zabezpečit. Můj příspěvek k bezpečnosti byl explicitně akceptovat pouze nová připojení. Což se v tomto případě rovná zahazovat INVALID, jak správně píše Michal. Ten skript by šel ještě vylepšit o ochranu proti spoofingu adres, proti DOS útokům atp. Pokud z toho bude nakonec článek, moc rád bych tam viděl i tyto věci. Firewallových skriptů jako je ten tvůj je po internetu tuna (tím jej nekritizuji), ale málokdo jde dál.

[polo23]

Tady porad nechapu co mate na mysli pod tim  iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT. ja tam mam ty pravidla vypsana vsechna az na to ze tam nemam to new. Nevim k cemu to NEW slouzi kdyz mi to funguje i bez toho. Nova pripojeni ny tyto porty jsou automaticky prijata podle mych pravidel.
 

[polo23]

Omlouvam se nevsimnul jsem si vysvetleni... Jen bych dodal.... co vlastne patri do INVALID? Muzete mi to prosim vysvetlit zpusobem ze napr. do INPUT retezce patri vse co prichazi? Do NEW nove vytvarena spojeni? Clanek z toho asi nebude... Vubec posledni dobou nemam cas. Jinak samozrejme jsem tam chtel dat dalsi prvky jako ping flood atd. ale z casovych duvodu jsem po tom uz nepatral.

 

[Filip Jirsák]

Do INVALID patří všechno, co nepatří jinam Typicky tam budou patřit pakety, které se tváří jako součást TCP/IP spojení, ale žádné takové spojení neexistuje, případně pakety, které sice odpovídají existujícímu TCP/IP spojení, ale nemohou do něj patřit logicky (např. se tváří, že přenáší data z rozsahu, který už byl dávno potvrzen).

[Heron]

Chyba:

4)Pravidla z paměti uložíme příkazem „iptables save“ (uloží se do /etc/sysconfig/iptables)
5)Restartujeme iptables příkazem „iptables restart“ 

Je to:

service iptables save
service iptables restart

Odstranit zmíňku o příkazu route, nebo upozornit, že je pouze pro kernely do verze 2.2.

[David Watzke]

Je to:

service iptables save
service iptables restart

No, zcela určitě ne obecně. Gentoo:

/etc/init.d/iptables save
# nebo
rc-service iptables save

[Heron]

Týká se to chyby v zápisku:

Zprovoznění na systému CentOS(Red Hat, Fedora):

[David Watzke]

Jasně... jen sem nedával pozor.

[Filip Jirsák]

Dále je chyba v pojmenování cíle – cíl, který paket zahodí, ale pošle zpět zprávu, se jmenuje REJECT, ne DENY. Stavový firewall není stavový proto, že rozlišuje příchozí a odchozí komunikaci, ale proto, že umí sledovat spojení (tj. nehodnotí jen samotný paket, ale i spojení, ke kterému patří). Bez toho by nebylo možné dělat třeba NAT. Překládat „NAT“ jako „překlad adres“ není vhodné (tento termín se používá pro překlad DNS adres na IP adresy), spíš se používá „přepis adres“. route je myslím pro kernely do verze 2.0.x, ve verzi 2.2 už bylo iproute2, tedy příkaz ip.

Možná by stálo za to doplnit, že příkazy pro uložení a obnovení stavu firewallu se jmenují iptables-save a iptables-restore – ty jsou ve všech distribucích, kde je iptables. Skripty zmíněné v příspěvku jsou pak distribučně závislá nadstavba nad těmito skripty.

[polo23]

REJECT a "prepis" - opraveno.

[Michal Kubeček]

Stavový firewall není stavový proto, že rozlišuje příchozí a odchozí komunikaci, ale proto, že umí sledovat spojení (tj. nehodnotí jen samotný paket, ale i spojení, ke kterému patří). Bez toho by nebylo možné dělat třeba NAT.

NAT by bez toho samozřejmě udělat šlo. Nešlo by bez toho udělat stavový překlad adres. Ve skutečnosti dokonce byla jakási podpora maškarády už v ipchains a jádře 2.2, tedy ještě před netfilterem a stavovou filtrací, ale byl to tak trochu bastl.

[Filip Jirsák]

Myslel jsem „klasický NAT“, jak se dnes běžně používá, tj. takový, kdy NATem N:1 bez problémů projdou TCP/IP spojení stovek počítačů za ním. Bezestavový NAT N:1 musí každé dvojici odchozí IP adresa : odchozí port podle nějaké hash tabulky přidělit odchozí port, a tam už by v případě velkého počtu spojení asi reálně hrozily kolize. Ale je pravda, že když budu IP adresu a/nebo port měnit třeba náhodně, je to taky NAT, a stav si pamatovat nepotřebuju…

[Michal Kubeček]

NAT znamená překlad adres, nic víc a nic méně. Překlad může být buď stavový nebo bezstavový. Jsou samozřejmě úlohy, které bezstavově řešit nejde, třeba maškaráda nebo load balancing. Tam, kde jde ale o mapování 1:1 (např. port forwarding), stavový překlad potřeba není. Trvzení, že stavový filtr je nutný, aby bylo možno provádět NAT, prostě není v obecnosti pravdivé, platí pouze pro stavové překlady (a i tam s určitými výhradami). V jádrech řady 2.4 např. existoval překlad adres realizovaný směrovací částí jádra, který byl zcela bezstavový (router žádné stavové informace neudržuje).

[polo23]

Route mi normalne funguje... zbytek jsem opravil...

[Heron]

Route mi normalne funguje

To je bohužel klamný dojem, který route podle vytváří. Hledej komentáře Michala Kubečka na toto téma a zjistíš, že a proč nefunguje.

[polo23]

OK smazu ho... verim Ti ...bohuzel nemam ca sna overovani a hledani. Mam na zitra dost prace:( podivam se na to pak.

[Grunt]

Jé, nádhera. Hlavně obrázek mě velice potěšil (Já znám jenom černobílý). Kdyby se trošičku zlepšila úprava, klidně z toho mohl být článek aby se to lépe hledalo.

[Grunt]

Teda až na ten detail, že když to v GIMPu ořezávám a mažu původního autora, tak si dám alespoň tu práci a uložím to do PNG.

[polo23]

No tak to se mi to pekne posr***:( nekritizujte vsichni ten obrazek .... je jen symbolicky...da se rict ze jsem kaslal jak to bude vypadat hlavne ze bude schematicky spravne... nechci aby se mi to tu zvrhlo v diskuzi o pravech. Uz jsem psal autorovi toho obrazku(asi pred rokem a pul jsem se s nim osobne setkal) o svoleni k pouziti kdyz teda jde tak moc o prava.

P.S. nemazal jsme puvodniho autora... kdyz si ten obrazek najdete na netu uvidite co jsme mazal...

[Grunt]

Já ho nekritizuju, mně osobně je to úplně jedno. Ba spíš naopak jsem potěšen, že alespoň něco, protože schémátko jak se zpracovávají pakety, když vlezou do toho black-boxu je jako šafránu a jeho neznalost nutí dělat nejednoho začátečníka pěkné psí kusy. No na druhou stranu, když někdo naleje vinařovi mošt do plechového barelu, tak asi také nebude zrovna v klidu.(spíš bude pěkně prskat)

[polo23]

Ohledne obrazku ...mam svoleni autora takze jsem ho akorat malinko poopravil a dal do formatu PNG.

[polo23]

No na to bych se chtel zeptat.... kdo muze na abclinuxu psat clanky? Nebo jakym zpusobem bych dosahl toho abych je mohl psat aj ja?

Diky

[David Watzke]

kdo muze na abclinuxu psat clanky?

Každý...

Nebo jakym zpusobem bych dosahl toho abych je mohl psat aj ja?

Domluvíš se s šéfredaktorem, jestli je o tvoje téma zájem, napíšeš článek, pošleš ho redaktorovi a je to.

[Heron]

Pošleš článek na adresu redakce a Robert jej buď schválí nebo odmítne s výhradami. Jinými slovy, psát může kdokoliv.

[Mrkva]

Tohle je vaše práce, nebo je ten obrázek vykradený?

[polo23]

No nevolil bych tak hruba slova jako vykradeny... Pouzil jsem obrazek co jsem nasel kdyz jsem sam mel za ukol nastudovat funkci iptables. Jinak bych dodal ze vse co jsem napsal v clanku jsem nekde nasel, precetl a udelal vhodny vycuc. Muj blog pisu proto abych zde zdokumentoval reseni problemu se kterymy jsmese setkal. Myslite ze ostatni prispevky si cucam z prstu? Samozrejme mam to nekde vyctene... z diskuzi, clanku atd. Tady se tomu snazim dat vhodnou formu ....dat to do jednoho celku a zpristupnit to ostatnim...neberu za to zadne penize nechlubim se tim...jen mi prislo zbytecne kdyz jsme nabyl urcitych znalosti je nechat jen tak zapomenout. To je vse...

P.S. Trochu jsme se bal ze se ozve nekdo takovy...co se tyce autorskych prav. V nejhorsim obrazek teda prekreslim.

[Mrkva]

Pardon, to je to věčné opakování "kradení hudby/software/filmů". Samozřejmě jsem měl na mysli okopírovaný :)

[Grunt]

Tak o tom žádná, ale zkopírovat, upravit a zveřejnit(a ještě tak hnusně JPEGem zničit) obrázek, který někdo namaloval bez výslovného svolení autora je už něco jiného a už to spadá pod Autorský zákon(a např. jako článek zde už by publikován být nemohl). No na druhou stranu je to také velice dobrý post k zamyšlení kde vůbec ještě leží ta hranice.

[polo23]

OK zkusme se ted bavit jako lidi kterym uz bylo 18 a kteri nejsou nejak zaujati. Podivejte ja nema zkusenost s publikovanim... nevedel jsem ze z jednoho obrazku bude takovy pruser. Takze to berme tak ze se to proste stalo. priste si dam pozor a ted udelam vse pro co nejrychlejsi napravu. Autorovi jsem napsal, pripadne teda uvedu zdroje ze kterych jsem "citoval." Jo to OK nebo jsem jeste neco opomenul?? Ukonceme prosim uz tema vykradani... pracuju na tom abych to napravil co nejdrive.

[Fluttershy, yay!]

OK zkusme se ted bavit jako lidi kterym uz bylo 18 a kteri nejsou nejak zaujati. Podivejte ja nema zkusenost s publikovanim... nevedel jsem ze z jednoho obrazku bude takovy pruser.

Neznalost zákona neomlouvá.

[polo23]

Mate pravdu a souhlasim s Vami. Ziskal jsem souhlas autora s publikovanim obrazku. Snad uz to je OK a tohle tema muzeme brat jako uzavrene.

[Fluttershy, yay!]

Samozřejmě. Ale proč to okecávání předtím?

[polo23]

Ted jsem Vas nepochopil... Co myslite tim okecavanim. Bylo to proste tak ze jsem pouzil vsech dostupnych zdroju co jsem mel a nasel k tomu abych napsal tento clanek. Nelamal jsem si hlavu s nejakyma pravama. Az jsem za to sklidil kritiku zacal jsem to resit. Napsal jsem autorovi obrazku a mam od neho svoleni k publokaci. Pokud myslite okecavanim to ze jsem se branil, ze jsem nevedel... tak co jsem na to mel rict? Snazim se uz jen o ukonceni tehle debaty o pravech, protoze za timto ucelem jsem clanek nenapsal a popravde neni to zrovna tema ktere by me zajimalo. Myslim ze chybu jsem uz uznal, napravil,  taky jsem se omluvil a ze uz se o tom nemusime bavit. Priste si dam samozrejme vetsi pozor na  to z ceho cerpam. Mam ale pocit ze nekteri proste budou porad rypat a starat se v tom ze jsem mel udelat to co uz tu bylo zmineno x-krat. Byl bych radeji za konstruktivni prinosne prispevky tykajici se tematu clanku a ne jeho "vedlejsich nasledku,"

[Fluttershy, yay!]

No nevolil bych tak hruba slova jako vykradeny... Pouzil jsem obrazek co jsem nasel kdyz jsem sam mel za ukol nastudovat funkci iptables. Jinak bych dodal ze vse co jsem napsal v clanku jsem nekde nasel, precetl a udelal vhodny vycuc. Muj blog pisu proto abych zde zdokumentoval reseni problemu se kterymy jsmese setkal. Myslite ze ostatni prispevky si cucam z prstu? Samozrejme mam to nekde vyctene... z diskuzi, clanku atd. Tady se tomu snazim dat vhodnou formu ....dat to do jednoho celku a zpristupnit to ostatnim...neberu za to zadne penize nechlubim se tim...jen mi prislo zbytecne kdyz jsme nabyl urcitych znalosti je nechat jen tak zapomenout. To je vse...

a

OK zkusme se ted bavit jako lidi kterym uz bylo 18 a kteri nejsou nejak zaujati. Podivejte ja nema zkusenost s publikovanim... nevedel jsem ze z jednoho obrazku bude takovy pruser. Takze to berme tak ze se to proste stalo. priste si dam pozor a ted udelam vse pro co nejrychlejsi napravu.

To jsou prostě kecy. Ale šlechtí tě, že to řešíš.

[polo23]

tak to nejsou kecy proste to byl komentar k memu pocinani... Neberte to jako vymluvy.

[Michal Kubeček]

OK zkusme se ted bavit jako lidi kterym uz bylo 18 a kteri nejsou nejak zaujati.

Právě lidé, kterým už bylo osmnáct, by měli mít aspoň nějaké základní právní (a hlavně morální) vědomí, které by jim mělo napovědět, že jen tak zkopírovat obrázek cizí práce do své není v pořádku.

[polo23]

No trochu jsme pocital s tim ze autorovi to tak vadit nebude. Ale jak uz jsem psal mam od neho svoleni.