abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 01:33 | IT novinky

    Microsoft se vyhnul pokutě od Evropské komise za zneužívání svého dominantního postavení na trhu v souvislosti s aplikací Teams. S komisí se dohodl na závazcích, které slíbil splnit. Unijní exekutivě se nelíbilo, že firma svazuje svůj nástroj pro chatování a videohovory Teams se sadou kancelářských programů Office. Microsoft nyní slíbil jasné oddělení aplikace od kancelářských nástrojů, jako jsou Word, Excel a Outlook. Na Microsoft si

    … více »
    Ladislav Hagara | Komentářů: 0
    včera 14:00 | Nová verze

    Samba (Wikipedie), svobodná implementace SMB a Active Directory, byla vydána ve verzi 4.23.0. Počínaje verzí Samba 4.23 jsou unixová rozšíření SMB3 ve výchozím nastavení povolena. Přidána byla podpora SMB3 přes QUIC. Nová utilita smb_prometheus_endpoint exportuje metriky ve formátu Prometheus.

    Ladislav Hagara | Komentářů: 0
    včera 12:00 | Zajímavý článek

    Správcovský tým repozitáře F-Droid pro Android sdílí doporučení, jak řešit žádosti o odstranění nelegálního obsahu. Základem je mít nastavené formální procesy, vyhrazenou e-mailovou adresu a být transparentní. Zdůrazňují také důležitost volby jurisdikce (F-Droid je v Nizozemsku).

    🇵🇸 | Komentářů: 12
    včera 05:33 | Bezpečnostní upozornění

    Byly publikovány informace o další zranitelnosti v procesorech. Nejnovější zranitelnost byla pojmenována VMScape (CVE-2025-40300, GitHub) a v upstream Linuxech je již opravena. Jedná se o variantu Spectre. KVM host může číst data z uživatelského prostoru hypervizoru, např. QEMU.

    Ladislav Hagara | Komentářů: 0
    11.9. 22:00 | Komunita

    V červenci loňského roku organizace Apache Software Foundation (ASF) oznámila, že se částečně přestane dopouštět kulturní apropriace a změní své logo. Dnes bylo nové logo představeno. "Indiánské pírko" bylo nahrazeno dubovým listem a text Apache Software Foundation zkratkou ASF. Slovo Apache se bude "zatím" dál používat. Oficiální název organizace zůstává Apache Software Foundation, stejně jako názvy projektů, například Apache HTTP Server.

    Ladislav Hagara | Komentářů: 11
    11.9. 17:33 | Nová verze

    Byla vydána (𝕏) srpnová aktualizace aneb nová verze 1.104 editoru zdrojových kódů Visual Studio Code (Wikipedie). Přehled novinek i s náhledy a videi v poznámkách k vydání. Ve verzi 1.104 vyjde také VSCodium, tj. komunitní sestavení Visual Studia Code bez telemetrie a licenčních podmínek Microsoftu.

    Ladislav Hagara | Komentářů: 0
    11.9. 15:33 | IT novinky

    Spotify spustilo přehrávání v bezztrátové kvalitě. V předplatném Spotify Premium.

    Ladislav Hagara | Komentářů: 0
    11.9. 15:00 | IT novinky

    Spoluzakladatel a předseda správní rady americké softwarové společnosti Oracle Larry Ellison vystřídal spoluzakladatele automobilky Tesla a dalších firem Elona Muska na postu nejbohatšího člověka světa. Hodnota Ellisonova majetku díky dnešnímu prudkému posílení ceny akcií Oraclu odpoledne vykazovala nárůst o více než 100 miliard dolarů a dosáhla 393 miliard USD (zhruba 8,2 bilionu Kč). Hodnota Muskova majetku činila zhruba 385 miliard dolarů.

    Ladislav Hagara | Komentářů: 5
    10.9. 21:22 | Nová verze

    Bylo vydáno Eclipse IDE 2025-09 aneb Eclipse 4.37. Představení novinek tohoto integrovaného vývojového prostředí také na YouTube.

    Ladislav Hagara | Komentářů: 0
    10.9. 18:22 | IT novinky

    T-Mobile od 15. září zpřístupňuje RCS (Rich Communication Services) zprávy i pro iPhone.

    Ladislav Hagara | Komentářů: 3
    Pro otevření více webových stránek ve webovém prohlížečí používám
     (83%)
     (7%)
     (2%)
     (2%)
     (4%)
     (2%)
    Celkem 167 hlasů
     Komentářů: 12, poslední 10.9. 13:00
    Rozcestník

    Where the de-SNAT actually takes place?

    22.8.2006 09:45 | Přečteno: 1291×

    Následující citace z USENET skupiny gmane.comp.security.firewalls.netfilter.general vysvětluje, proč ne všechny [de-]{S,D}NATované pakety procházejí {PRE,POST}ROUTING řetězcem.

    longraider a écrit :
    >
    > linux-2.6.14.2 with imq patch
    > eth0 - iface where two inet connections are attached
    > eth1 - server
    > eth2 - LAN
    > There is SNAT involved on one net connection. The other conn is for
    > servers, and there is proxy-arp active (at eth0 and eth1).
    >
    > I type:
    > iptables -t nat -A PREROUTING -i eth0 -j LOG
    > And after that, dmesg shows something like that:
    > 17:08:53 IN=eth0 OUT= SRC=some_remote_IP DST=IP_of_the_linux_box
    >
    > Shouldn't be there DST=10.0.0.5 for example (ie. de-SNATed)?
    
    This packet probably does not belong to a SNAT-ed or MASQ-ed connection.
    Actually, with this rule you won't see the return packets belonging to your
    SNAT-ed connection. In short, the 'nat' table chains only see the first packet 
    of a "connection", and only if it has the state NEW (not RELATED). All the 
    subsequent valid packets belonging or related to that connection (state NEW, 
    ESTABLISHED, or RELATED) don't go through theses chains. The action taken by 
    these packets is automatically determined by the NAT operation applied to the 
    first packet and the direction of the packet.
    
    For instance, with this rule :
    iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 1.2.3.4
    
    The first 'direct' packet of an outgoing connection on eth0 goes through the nat
    POSTROUTING chains and matches this rule, so the SNAT operation is applied.
    Instead of going through the POSTROUTING chain, the subsequent direct packets 
    (in the same direction) of the connection will automatically be applied the
    same SNAT operation. The return packets (in the opposite direction) of the 
    connection will automatically be applied the de-SNAT operation instead of going 
    through the nat PREROUTING chain. By the way, the subsequent packets of the 
    connection don't need to go in or out eth0 (funny, huh ?) to be properly NATed.
    
    > And all that I want to do is ingress queuing using IMQ. I want to fwmark
    > packets according to their de-SNATed destination adress (and some other
    > things also), and then put them into the IMQ ingress queue.
    > I could use the packet matching available in the ingress queue itself
    > (by ip tool), but I don't know if the packets that go into IMQ are
    > de-SNATed or not.
    >
    > So, where the de-SNAT actually takes place?
    
    De-SNAT takes place in the NF_IP_PRE_ROUTING Netfilter hook at the same place as
    the nat PREROUTING chain, after the mangle PREROUTING chain and before the 
    input routing decision.
    
    For DNAT which occured in the PREROUTING chain, de-DNAT takes place in the 
    NF_IP_POST_ROUTING Netfilter hook, at the same place as the nat POSTROUTING 
    chain, after the mangle POSTROUTING chain.
    
    For DNAT which occured in the OUTPUT chain, I observed that de-DNAT takes place 
    in the NF_IP_LOCAL_IN Netfilter hook, after the mangle and filter INPUT chains.
    
    
    > BTW is this diagram correct?
    > http://www.docum.org/docum.org/kptd/
    
    I think so, at least for the pure Netfilter part which matches my own diagram
    http://www.plouf.fr.eu.org/bazar/netfilter/schema_netfilter.txt. I don't know
     about the IMQ and QoS parts.
    
    > I think not, since traversing the magle PREROUTING can't occur
    > simulatenously with de-MASQ.
    
    Incoming packets traverse the mangle PREROUTING chain just before being 
    de-MASQ-ed if needed.
    
    > And is this de-MASQUERADE a de-SNAT also?
    
    Yes. Actually MASQUERADE and SNAT are similar, the only difference being in the 
    choice of the new source address.
    
    De-MASQ and de-SNAT both are destination address rewrite operations, so it is 
    consistent that they take place in the same place as the nat PREROUTING chain 
    which performs DNAT. But keep in mind that they take place *instead* of 
    trversing the nat PREROUTING chain, so you will never see packets being 
    de-MASQ-ed or de-SNAT-ed in any nat chain.
    
           

    Hodnocení: 56 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    22.8.2006 13:52 maleprase | skóre: 28
    Rozbalit Rozbalit vše Re: Where the de-SNAT actually takes place?
    tohle je presne to co sem potreboval vedet

    resil jsem nekolik dni padani cdma. problem byl v tom ze i pres pravidlo -A POSTROUTING -o ppp0 -j MASQUERADE dochazelo k tomu ze se na ppp0 objevovaly sem tam pakety s neprelozenou adresou a modem zavesil.

    zjistil sem ze je to tim ze pakety ve stavu INVALID pres retezec POSTROUTING vubec neprochazi a je tudiz nutne je filtrovat na FORWARDu.
    22.8.2006 15:15 petr_p | skóre: 59 | blog: pb
    Rozbalit Rozbalit vše Re: Where the de-SNAT actually takes place?
    Ja vim, taky mi trvalo, nez jsem na to prisel :-[
    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.