Už nikdy nejebat kernel na dálku

27.1.2006 23:35 | Linux | poslední úprava: 28.1.2006 05:00

Jelikož jsem šťoural, neřídím se pravidlem dokud to funguje, nevrtej do toho. Tak jsem se rozhodl pro kompilaci nového kernelu. Chtěl jsem si rozjet IPSec. Idea jasná.

Na serveru běžel kernel vanilla-2.6.12.1 a modul hostap_pci pro připojení wifinou "ven". Zkompiloval jsem ten sám kernel s tím rozdílem, že jsem zatrhl všechny důležité volby pro IPSec. Vše přes ssh. Make->make modules_install->make install. Dodělávky v grubu a reboot. Všechno jsem dělal naprosto intuitivně, protože nějaké zkušenosti mám. A nic Ping mlčí...

Takže jsem sestru navigoval po telefonu, ať zjistí, co se děje. "make modules_install" smazal ten původní modul hostap. Takže cd /usr/src/hostap->make->make install->modprobe hostap_pci->invalid module format. To vše provedla sestra, která viděla terminál poprvé. Ale net nejede a dokud nepřijedu domů, tak nepojede. Ach jo

       

Komentáře

[Jiří (BoodOk) Kadeřávek]

Takova zkusenost je neprijemna, na druhou stranu velmi hodnotna. Byt tebou, mam z toho radost.

[Jiří (BoodOk) Kadeřávek]

Promin, zapomnel jsem emotikon

[diverman]

Jé není to poprvé, jednou jsem si odříznul spojení, když jsem se hrabal v iptables

[Jiří (BoodOk) Kadeřávek]

Jednou jsem jel v sobotu v 9h vecer do Prahy. Na druhou stranu se mi jednou podarilo udelat na dalku z RedHata Debian. A ty nervy, kam se hrabe Superstar

[diverman]

Někdy má člověk víc štěstí než rozumu

[Jiří (BoodOk) Kadeřávek]

Presne to jsem si tehdy rikal.

[Radek Hladik]

Uz pomerne dlouho pouzivam upravenou verzi skriptu na nastavovani iptables, ktery, pokud se spusti pres SSH, za dve minuty prepne firewall do nouzoveho rezimu, pokud do te doby nesmazu soubor, ktery se vytvoril v tempu, coz mi uz usetrilo docela dost neprijemnych vyletu k serverum, ktere kvuli jednomu radku v iptables prestaly delat, to co delat mely...

Radek

P.S. Dlouha zamotana spojeni ja rad :)

[Radek Hladik]

s/spojeni/souveti :)

[Jiří (BoodOk) Kadeřávek]

Ja to delam jinak.
/etc/init.d/firewall start && sleep 10 && /etc/init.d/firewall stop

[Radek Hladik]

Driv jsem to delal podobne. Ale jednou mi to stihlo sestrelit spojeni a tim padem i bezici shell driv, nez ubehnul ten sleep :(

Radek

[Jiří Němec]

Nestačilo by to pustit ve screenu?

[Radek Hladik]

Urcite by to stacilo, ale jsem zastancem automatizovanych reseni. T.j. pokud nepouzivam na veskerou praci screen (jakoze nepouzivam ), tak chci neco automatickeho, na co se neda zapomenout... A na smazani semafor souboru nezapomenu, protoze mi to ten script pripomene na terminalu :)

Radek

[mato]

taktiez sa da testovat fw na dialku tak, ze na testovanom chain-e zostane default policy accept a pridaju sa pravidla a potom cez iptables -v sa pozrem ci tie pakety prechadzaju tak ako maju ..netvrdim, ze je to riesenie na vsetko, ale takztiez pomoze 8-)

[Jiří Němec]

V linuxu to není takový problém.

Spolubydlící na koleji má na win xp nějaký podivný firewall. Nedávno zrovna když měli odevzdávat nějaký projekt a potřeboval používat své ftp na koleji z domu, tak prostě ten firewall dostal krámy a totálně nic nechtěl pouštět k sobě. Tak mi Petr psal z domu na jabber akorát když jsem vyrážel na vlak. Stihnul jsem mu jen vypnout ten firewall a nainstalovat vnc.

Další týden mi popisoval jak si nastavoval ten firewall na dálku. Opravdu jsem mu nezáviděl. Prý nakonec sehnal jakýsi prográmek, do kterého si nahrál pohyby myši a klikání, aby ten fw po pár minutách vypnul. To všechno na domácím pomalém připojení, takže občas čekal čtvrt minuty na zobrazení okna.

Mimochodem není to jediná věc, kterou takhle zajímavě řešil. Jeho ftp nastartuje až při přihlášení, takže řešil autologin, kdyby vypadla elektřina.

Buďme rádi, že máme unix-like systém a můžeme vše docela jednoduše nascriptovat a tak se dá docela bezpečně vyřešit i výměna jádra, někteří tak šťastní nejsou. Na druhou stranu nepotřebují adrenalinové sporty, každý den takového programátora na 100MBit lince se statickou adresou, děravým systémem a pseudointeligentním firewallem je adrenalinový sport.

[diverman]

Myslíte, že byste sem ten skript mohl hodit?

[Sinuhet]

firehol (i kdyz to je neco trochu vetsiho)

[Radek Hladik]

Celej ho sem hodit nemuzu, je tam spousta bordelu a pod. Ale tu hlavni myslenku z toho muzu vybrat.

V souboru /etc/firewall:

SUPERACCESS="127.0.0.1 1.2.3.4"
ONEMERGENCY="superaccess" #can be open (disables firewall completely) or superaccess (enables firewall and open it for superaccess chain)
AUTOEMERGENCY=on #whether execute delayed emergency fire after every firewall execution from ssh.
EMERGENCYTIMEOUT=120
EMERGENCYSEMAPHORE=/tmp/firewallisok

A potom skript /sbin/setfire:

. /etc/firewall #load configuration

pravidla pro iptables.......


if ! [ "$AUTOEMERGENCY" == "" ] ; then
       if  /usr/bin/tty | grep -q '/dev/pts' ; then
         touch "$EMERGENCYSEMAPHORE"
         echo "Executing from SSH. Please delete semaphore file $EMERGENCYSEMAPHORE if the firewall is ok in $EMERGENCYTIMEOUT secs."  1>&2
         nohup /sbin/emergencyfire 2>/dev/null 1>/dev/null &
         else
           logger -t "setfire" "Not activating autoemergency because setfire is not running on SSH console"
         fi;

fi;

No a nakonec skript /sbin/emergencyfire:

  if [ -f "$EMERGENCYSEMAPHORE" ] ; then
  logger -t "setfire" "Sleeping for $EMERGENCYTIMEOUT secs because semaphore file $EMERGENCYSEMAPHORE exists"

  sleep "$EMERGENCYTIMEOUT"
  if ! [ -f "$EMERGENCYSEMAPHORE" ] ; then
  logger -t "setfire" "Firewall status confirmed, emergencyfire will NOT be executed"
  exit 0;
  fi;
    logger -t "setfire" "Firewall status NOT confirmed, executing emergency script"
  fi;

  case "$ONEMERGENCY" in
  open)
     /sbin/unsetfire
   ;;
  superaccess)
     #superaccess chain
     iptables -F superaccess 2>/dev/null
     iptables -N superaccess 2>/dev/null

     for addr in $SUPERACCESS ; do
     iptables -A superaccess -s $addr -j ACCEPT
     done;

     #logdeny chain
     iptables -F logdeny 2>/dev/null
     iptables -N logdeny 2>/dev/null
     iptables -A logdeny -j LOG
     iptables -A logdeny -j DROP


     iptables -F INPUT
     iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
     iptables -A INPUT -m state --state RELATED -j ACCEPT
     iptables -A INPUT -j superaccess
     iptables -A INPUT -j logdeny
     iptables -F FORWARD
     iptables -A FORWARD -m state --state ESTABLISHED -j ACCEPT
     iptables -A FORWARD -m state --state RELATED -j ACCEPT
     iptables -A FORWARD -j superaccess
     iptables -A FORWARD -j logdeny


  ;;
 esac

No a nakonec ve skriptu /sbin/unsetfire je kompletni vypnuti firewallu (pokud se pouziva volba onemergency=open).

A cele to volam z init skriptu firewall, ktery pri start vola /sbin/setfire a pri stop /sbin/unsetfire

Radek

[xxx]

Hehe takz uy jsem jednou testoval prayskz nocni tramvaje, kdzy se na servru menenila IP adresa.

[Ruža Becelin]

cd /usr/src/hostap->make->make install->modprobe hostap_pci->invalid module format

Presne tohle se mi stalo taky, pomohlo dat v prvni fazi

make clean

[diverman]

Zřejmě si make bere špatnou cestu KERNEL_PATH a bije se to se zdrojáky jiného jádra, které tam mám rozbalené. Prostě konflikt verzí.

Tak jsem jí SMSkou poslal další instrukce:

cd /usr/src/hostap-driver-0.3.9
make clean
make KERNEL_PATH=/usr/src/linux
make install

Pak rozhodně napíšu, jak to dopadlo

[diverman]

Tak jsem to po telefonu restartoval (uz no nového kernelu), zkompiloval hostap, modproboval ho a restartoval networking. A jede toooooo! To mám skvělou sestřičku

[Ruža Becelin]

)

[David Watzke]

To mám skvělou sestřičku

To se třeba o mojí sestře říct nedá...

[Heron]

A o té mojí už vůbec...

[David Watzke]

Jakto?

[Heron]

Tady to probírat snad nebudem...

[David Watzke]

To ne. Čekal jsem, že to bude podobný jako u mně. Já totiž žádnou sestru nemám, takže není skvělá

[Heron]

Jo tak Sakra chlape, já ty tvoje vtípky nějak nedávám...

[David Watzke]

Já jsem to nechtěl dát najevo, myslel jsem, že bude sranda

[xvasek]

Kdyby to bylo na mě, tak by měl mít sestru každý. Já mám dvě a nemůžu si to vynachválit. Balme your parents.