abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 04:55 | Nová verze

    Byla vydána verze 4.0 multiplatformního integrovaného vývojového prostředí (IDE) pro rychlý vývoj aplikaci (RAD) ve Free Pascalu Lazarus (Wikipedie). Přehled novinek v poznámkách k vydání. Využíván je Free Pascal Compiler (FPC) 3.2.2.

    Ladislav Hagara | Komentářů: 0
    dnes 00:33 | Komunita

    Podpora Windows 10 končí 14. října 2025. Připravovaná kampaň Konec desítek (End of 10) může uživatelům pomoci s přechodem na Linux.

    Ladislav Hagara | Komentářů: 4
    včera 23:22 | Pozvánky

    Již tuto středu proběhne 50. Virtuální Bastlírna, tedy dle římského číslování L. Bude L značit velikost, tedy více diskutujících než obvykle, či délku, neboť díky svátku lze diskutovat dlouho do noci? Bude i příští Virtuální Bastlírna virtuální nebo reálná? Nejen to se dozvíte, když dorazíte na diskuzní večer o elektronice, softwaru, ale technice obecně, který si můžete představit jako virtuální posezení u piva spojené s učenou

    … více »
    bkralik | Komentářů: 0
    včera 22:33 | IT novinky

    Dle plánu dnes končí služba Skype. Uživatelé mohou pokračovat v Microsoft Teams.

    Ladislav Hagara | Komentářů: 0
    včera 21:44 | IT novinky

    Český statistický úřad rozšiřuje Statistický geoportál o Datový portál GIS s otevřenými geografickými daty. Ten umožňuje stahování datových sad podle potřeb uživatelů i jejich prohlížení v mapě a přináší nové možnosti v oblasti analýzy a využití statistických dat.

    Ladislav Hagara | Komentářů: 1
    včera 12:33 | Zajímavý projekt

    Kevin Lin zkouší využívat chytré brýle Mentra při hraní na piano. Vytváří aplikaci AugmentedChords, pomocí které si do brýlí posílá notový zápis (YouTube). Uvnitř brýlí běží AugmentOS (GitHub), tj. open source operační systém pro chytré brýle.

    Ladislav Hagara | Komentářů: 1
    včera 12:11 | Pozvánky

    Jarní konference EurOpen.cz 2025 proběhne 26. až 28. května v Brandýse nad Labem. Věnována je programovacím jazykům, vývoji softwaru a programovacím technikám.

    Ladislav Hagara | Komentářů: 0
    4.5. 21:44 | Komunita

    Na čem aktuálně pracují vývojáři GNOME a KDE Plasma? Pravidelný přehled novinek v Týden v GNOME a Týden v KDE Plasma.

    Ladislav Hagara | Komentářů: 0
    4.5. 14:22 | IT novinky

    Před 25 lety zaplavil celý svět virus ILOVEYOU. Virus se šířil e-mailem, jenž nesl přílohu s názvem I Love You. Příjemci, zvědavému, kdo se do něj zamiloval, pak program spuštěný otevřením přílohy načetl z adresáře e-mailové adresy a na ně pak „milostný vzkaz“ poslal dál. Škody vznikaly jak zahlcením e-mailových serverů, tak i druhou činností viru, kterou bylo přemazání souborů uložených v napadeném počítači.

    Ladislav Hagara | Komentářů: 29
    3.5. 22:33 | Nová verze

    Byla vydána nová major verze 5.0.0 svobodného multiplatformního nástroje BleachBit (GitHub, Wikipedie) určeného především k efektivnímu čištění disku od nepotřebných souborů.

    Ladislav Hagara | Komentářů: 2
    Jaký filesystém primárně používáte?
     (58%)
     (1%)
     (8%)
     (21%)
     (4%)
     (2%)
     (2%)
     (0%)
     (1%)
     (3%)
    Celkem 526 hlasů
     Komentářů: 22, poslední včera 10:06
    Rozcestník

    Dotaz: Jak nastavit jednoduchy firewall a nat na debianu?

    19.4.2009 18:40 DennyNet | skóre: 7 | Praha
    Jak nastavit jednoduchy firewall a nat na debianu?
    Přečteno: 4519×

    Zdravim,

    mam linux stroj (dve sitove karty) s verejnou ip (eth0) (neverejnou ip na eth1) a potrebuju poradit jak nastavit fw s natem

    staci napsat par radku... pro fw porty ktere potrebuju mit otevrene si tam jiz zadam sam
    a radek pro nat.

    Diky DennyNet

    ps: pouzivam distribuci debian leny

    Odpovědi

    19.4.2009 21:48 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Firewall i NAt se nastavuje příkazem iptables. Vřele doporučuju něco si o tom přečíst, jinak vám stejně bude firewall k ničemu. Pokud přesto chcete jen něco nastavit a chcete jen opsat nějaké příkazy, aniž byste jim rozuměl, budete stejně muset napsat, co chcete nastavit – neexistuje něco jako „základní nastavení fireallu“ nebo „firewall on/off“.
    19.4.2009 22:03 NN
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Viz nahore, prectete si navody na ofcialnich strankach iptables, kde jsou i nejake ukazky. TAkova jednoducha kostra:

    -PROMENNE (IP=...) -MODY (modprobe ipv6) -NASTAVENI (echo 1 > /proc/sys/net ) -FLUSH (iptables -FXZ) -DEFAULT POLICY (iptalbes -P) INTERFACE ( -i eth1) MTU (..) TOS ( -j TOS) DSCP ( -j DSCP) ICMP ( -p icmp) DHCP (..) IP ( blokovani znamich rozsahu ) TCP (-p tcp) UDP ( -p udp) NAT IN ( -t nat -A PREROUTING -j DNAT) FORWARD ( -A FORWARD) NAT OUT ( -t nat -A POSTROUTING -j SNAT) OUTPUT (-A OUTPUT) DEFAULT DENY ( -j DROP)

    NN
    20.4.2009 00:30 jirkamailto | skóre: 31
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    Dobry den,

    vrele doporucuji firehol firehol.sf.net . Na te strance najdete i tutorial, je to velmi jednoduche, vrele doporucuji. Jen pripominam, ze pro spousteni fireholu po startu je nutne v /etc/default/firehol zmenit start_firehol na YES.

    20.4.2009 00:03 kato
    Rozbalit Rozbalit vše ipmasq ;-)

    apt-get install ipmasq ;)

    20.4.2009 14:27 Xerces
    Rozbalit Rozbalit vše Re: ipmasq ;-)

    Ahoj zkusil jsem jak různý firewally shorewall, arno ... ale nakonec taky doporučuju pro tenhle jednoduchej a typickej případ instalaci ipmasq teda pokud jedeš na Debianu. V defaultní instalaci nastavuje i NAT. Takže opravdu stačí jen nainstalovat a pak už to funguje automaticky. Ale opravdu si o iptables něco přečti a nebo si počkej až budou nftables ať se to neučíš dvakrát :-D
     

    20.4.2009 07:56 mozog | skóre: 28
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    A co treba si o tom neco precist a pak se ptat s konkretnim problemem?
    20.4.2009 08:45 Petr
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    NAT zapneš jednoduše:

    echo 1 > /proc/sys/net/ipv4/ip_forward

    iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

    a firewall si udělej dle návodu na rootu.

    20.4.2009 09:01 R
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    aptitude install arno-iptables-firewall
    BigWrigley avatar 21.4.2009 11:04 BigWrigley | skóre: 33
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Ano, tohle je pomerne jednoduche a funguje hezky, kdyz to potrebujete rychle. Jen neumi IPv6 ;-) Kadopadne ale doporucuji nastudovat primo iptables.

    Ales
    Linux is like a wigwam - no windows, no gates and Apache inside.
    20.4.2009 16:27 jano
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    cat /proc/sys/net/ipv4/ip_forward ak ti odpovie "1" tak smerovanie beží, ak nie tak až potom to echo 1........

     

    mimochodom kdesi je tu návod na Linuxovú bránu

    21.4.2009 16:06 DennyNet | skóre: 7 | Praha
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    o iptables jsem jiz cetl hodne, ale porad nechapu jejich "tabulky"

    dokonce mam i knizku kompletni kniha o linux snad i treti vydani

    jenze iptables jsou pro me tak slozity, ze bych si to musel cist a cist cist porad dokola a to 24 hodin denne, a stejne bych se nic nenaucil.

    naucim se jedine kdyz mi nekdo napise priklad ja si ho opisu a pak zkousim dalsi "mutace" toho prikazu..

    ramcove vim co iptables umi - umi omezovat a povolovat prchod paketu, mozna se s nim da delat i qos ikdyz na to je asi lepsi jiny prikaz, dale nat

    jako ip pot

    21.4.2009 16:55 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    Tabulka má vždy skupinu řetězců pravidel, přičemž každý paket projde jedním nebo několika řetězy pravidle v té tabulce. Běžně se setkáte s tabulkou filter (ta se použije, pokud nezvolíte jméno jiné tabulky), a to je klasický firewall, který pakety buď propustí dál nebo je zastaví. Dál se běžně používá tabulka nat (jak je patrné z názvu, jde o NAT, tedy přepisování adres). Další tabulky mangle nebo raw asi nepoužijete.

    Pokud chcete příklady, napište příklady čeho. Když vám tady napíšu pár příkladů pravidel, asi vám to k ničemu nebude. Klidně to zkusím
    iptables -A FORWARD -p tcp --dport 22 -j ACCEPT
    
    Povolí průchozí pakety (nemají zdroj ani cíl na tomto PC) protokolu TCP, které mají cílový port 22. To jsou typicky pakety SSH spojení od klienta k serveru (pakety od serveru ke klientovi mají port zdroje 22).
    iptables -A INPUT -p udp --dport 53 -j ACCEPT
    
    Povolí příchozí pakety (jejich cíl je tento PC) protokolu UDP s cílovým portem 53 (typicky to jsou DNS dotazy).
    iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
    
    Ještě před routováním přepíše (NAT) všem paketům TCP směřujícím na port 80 cílový port na port 8080. (Lze použít např. pokud webový server nechcete spouště pod rootem, ale chcete umožnit uživatelům (klientům webového serveru) používat port 80, coý je standardní port pro HTTP.)
    22.4.2009 00:45 DennyNet | skóre: 7 | Praha
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

    dekuji tomu rikam odpoved ;-)

    btw: jeste v tom presmerovani 80 na port 8080 se musi nekde psat zdroj a cil cili kam bych mel napsat eth0 a eth1 nebo on to linux pozna sam?

    btw2: prosim napiste mi prikaz jak vse zakazat tj. ze bych :

    - nejdriv na verejnou sitovku eth0 zakladal vsechno prichozi
    a pak postupne zadaval radek po radku na jaky porty povolim pristup

    jmenovite: 21-ftp,443-ssl, 22 ssh, 80 web, 53 dns, 5190 icq, 110, 25 (mail) atd.

    22.4.2009 09:59 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
    jeste v tom presmerovani 80 na port 8080 se musi nekde psat zdroj a cil cili kam bych mel napsat eth0 a eth1 nebo on to linux pozna sam?
    Síťová zařízení tam být uvedená nemusí, pak se to týká kteréhokoli zařízení. Zařízení se tedy uvádějí jen v případě, kdy chcete pravidla uplatnit jen na nějaké konkrétní zařízení. Např. pokud víte, že pouze jedno rozhraní je připojené do internetu, můžete pravidla proti útokům z internetu nastavit jen na tomto zařízení.
    - nejdriv na verejnou sitovku eth0 zakladal vsechno prichozi a pak postupne zadaval radek po radku na jaky porty povolim pristup

    jmenovite: 21-ftp,443-ssl, 22 ssh, 80 web, 53 dns, 5190 icq, 110, 25 (mail) atd.
    To se dělá tak, že řetězci INPUT nastavíte jako výchozí politiku DROP (zahazování paketů), a pak pomocí jednotlivých pravidel povolíte jednotlivé porty. Firewall pak prochází jednotlivá pravidla, pokud se nějaké uplatní a má cíl ACCEPT, REJECT nebo DROP, procházení skončí a další pravidla se neuplatňují. Pokud nevyhoví žádné z pravidel, uplatní se výchozí politika příslušného řetězce.

    Ještě je potřeba správně zacházet s tím, že pakety v jednom TCP spojení (případně UDP dotaz–odpověď) jdou ve dvou směrech a je nutné mít na firewallu povolené oba směry. Pokud chcete filtrovat jen příchozí provoz, dělá se to zpravidla tak, že filtrujete jen v řetězci INPUT a v OUTPUT necháte vše povolené. Záleží pak na tom, zda předpokládáte nějakou komunikaci zahajovanou z vašeho počítače, nebo ne. Ale minimálně DNS dotazy tam asi budete chtít mít povolené, možná i přístup na web atd.

    Ještě je dobré si rozmyslet, zda budete pakety odmítat DROPem (paket pouze zahodí a nedá odesílateli žádnou zprávu), nebo REJECETem (paket zahodí, ale pošle zpět ICMP paket port nedostupný, jak je to správně podle doporučení). REJECT je sice správnější a vstřícnější k omylům druhé strany, ale zase hrozí, že váš počítač zaplaví nějakého chudáka falešnými zprávami (stačí, že někdo na váš počítač z mnoha počítačů pošle požadavek na zahájení spojení se zfalšovanou zdrojovou IP adresou).
    #na výstupu nic nefiltrovat, na vstupu jen povolené
    iptables -P INPUT DROP
    iptables -P OUTPUT ACCEPT
    
    #povolení příchozího řídícího spojení pro FTP – neřeší datové spojení. Pokud je povolen OUTPUT a na INPUTU navázaná spojení, bude fungovat nepasivní mód FTP
    iptables -A INPUT -p tcp --dport 21 -j ACCEPT
    
    #povolit příchozí spojení SSH, SMTP, HTTP, POP3, HTTPS
    iptables -A INPUT -p tcp --dport 22 -j ACCEPT
    iptables -A INPUT -p tcp --dport 25 -j ACCEPT
    iptables -A INPUT -p tcp --dport 80 -j ACCEPT
    iptables -A INPUT -p tcp --dport 110 -j ACCEPT
    iptables -A INPUT -p tcp --dport 443 -j ACCEPT
    
    #povolit příchozí dotazy DNS přes UDP; přes TCP na stejném portu se dělá transfer zóny, je nutné povolit, pokud se používá tato technologie přenosu na záložní DNS servery nebo k testovacím nástrojům
    iptables -A INPUT -p udp --dport 53 -j ACCEPT
    
    #povolit pakety související s existujícím spojením – typicky příchozí pakety spojení navázaného z tohoto PC, tím se umožní libovolný odchozí TCP provoz
    iptables -A INPUT -p tcp --state ESTABLISHED, RELATED -j ACCEPT 
    
    #povolit příchozí odpovědi DNS
    iptables -A INPUT -p udp --sport 53 -j ACCEPT 
    

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.