Portál AbcLinuxu, 3. května 2025 18:50
Neverte vsem informacim napsanym v clanku. Clanek je napsany vcelku spravne, ale se spoustou chyb. Napr informace, ze iptables maji orezane fitrovani podle portu je nesmysl. Samozrejme ze je mozne pouzit port ve fitrovacim pravidle. A nejen to. Instalaci dalsich balicku muzete firtovat i podle obsahu packetu na ISO layer 7.
Add jffs2 (a trestuhodne zjednodusene): je to zurnalovaci souborovy system, ktery ale obsahuje pouze zurnal a ne soubory samostatne. Jednoduse se poprve soubor zapise do flash cely. Pri zapisovani zmeny soubor zustane jak je, ale do zurnalu se zapise zmena. Teprve pri cteni se soubor s pomoci zurnalu rekontruuje. Stejne tak mazani souboru znamena ze se do zurnalu zapise zmena ze soubor byl smazan, ale ve skutecnosti tam zatim zustava. Pri tomto pristupu samozrejme ve flash zustavaji cim dal tim rozsahlejsi oblasti plne dat, ktere jiz jsou jinde aktualizovany nebo smazany uplne (jffs2 oznaceni "dirty"). Pak prichazi na radu "garbage collector" ktery vytvori ze zurnalu soubor vcetne zmen, znova zapise takovyto soubor do flash a tim muze oznacit dalsi kousky jako "dirty". Pokus fyzicky sektor flash obsahuje pouze "dirty" casti, muze byt smazan a je pripraven na dalsi zapis zurnalu.
Jffs2 pouziva zlib kompresi
Tomu blaznu, ktery tem muj popis precetl az sem jsou uz nasledujici zajimave dusledky jasne:
19.12.2005 12:16
Petr Bravenec | skóre: 43
| blog: Bravenec
Díky za věcné připomínky - popis jffs2 je vynikající.
Uvažuju, co si mám uložit za trest za informaci o tom, že iptables v OpenWrt nefunguje, jak bych si představoval. Musím odvolat, co jsem napsal v článku, a hlasitě volat "iptables funguje, funguje, iptables funguje!. Nevím, jaký duševní zkrat mě tak dlouhou dobu udržoval v přesvědčení, že do pravidla:
iptables -A input_rule -p tcp --dport 22 -j ACCEPT
nemusím uvádět -p tcp. Podobných pravidel jsem jinde vytvořil stovky a najednou jako beran opakuju pořád do omrzení jednu chybu stále dokola. L7 pravidla jsem zkoušel taky - nicméně zdá se mi to moc velký kanón, když potřebuju od iptables pouze propustit dva pevné porty směrem dovnitř.
Sypu si popel na hlavu
Když jsem tuto informaci do článku psal (šlo to těžko, váhal jsem, instinktivně jsem cítil, že tak základní věc by nikdo nevyhazoval), doufal jsem, že mě někdo vyvede z omylu. Ať žijí komentáře pod články. Díky
V případě potřeby by mělo jít upravit rozdělení ethernetových portů - použít jeden port například pro připojení na internet, jeden port pro připojení demilitarizované zóny a zbývající tři porty spolu s wifi použít pro připojení lokální sítě.
Tak tohle by mne hodně zajímalo, tedy hlavně to, zda by to bylo možné softwarově nebo pouze hardwarovým zásahem. Ještě víc by mne ale spíš zajímalo, jestli na tom lze rozchodit proxy ARP.
27.12.2005 10:23
Petr Bravenec | skóre: 43
| blog: Bravenec
Bližší popis je k nalezení zde: http://wiki.openwrt.org/OpenWrtDocs/Configuration. Když to budete zkoušet, koukněte se ještě do souboru /etc/init.d/S05nvram. Já jsem byl se svými pokusy neúspěšný, ale protože to na nic to nepotřebuju, nehledal jsem příčiny. Pravděpodobně byl můj neúspěch způsobený tím, že ve výše uvedeném skriptu se přepisují některé nvram proměnné na defaultní hodnoty a já jsem to objevil až dodatečně.
27.12.2005 13:18
Petr Bravenec | skóre: 43
| blog: Bravenec
Něco z tohoto?
http://tracker.openwrt.org/search/?query=arp&b=search
problém je v tom, že nesmíš používat tabulku INPUT ale FORWARD
takže správně by mělo být:
iptables -A FORWARD -p tcp --sport 411 -j DROP
iptables -A FORWARD -p tcp --dport 411 -j DROP
Tiskni
Sdílej:
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.
19.12.2005 08:03