Inzerujte na AbcPráce.cz od 950 Kč

napište » Zprávičky

18.7. 14:22 | Nová verze

HollowByte je zranitelnost typu Denial of Service (DoS) v kryptografické knihovně OpenSSL. Útočník může odesíláním škodlivého payloadu o velikosti pouhých 11 bajtů zaplnit paměť serveru. OpenSSL před ověřením dat vyhradí nepřiměřený blok paměti (až 131 KB). Server pak čeká na data, která nepřišla. Zranitelnost je opravena ve verzích OpenSSL 4.0.1, 3.6.3, 3.5.7, 3.4.6 a 3.0.21.

Ladislav Hagara | Komentářů: 0

GUADEC 2026

18.7. 13:44 | Komunita

Ve španělské A Coruñě probíhá GUADEC 2026, tj. letošní konference vývojářů a uživatelů desktopového prostředí GNOME. Videozáznamy přednášek jsou k dispozici na YouTube.

Ladislav Hagara | Komentářů: 0

Collabora s Valve vyvíjí Holo Core, tj. port Arch Linuxu pro ARM64 procesory (AArch64)

18.7. 13:22 | Komunita

Společnost Collabora ve spolupráci s Valve vyvíjí Holo Core, tj. port Arch Linuxu pro ARM64 procesory (AArch64), který bude pohánět VR headset Steam Frame. Pro testování Arch Linuxu pro AArch64 jsou k dispozici binární balíčky, zdrojové kódy i kontejner pro Docker nebo Podman.

Ladislav Hagara | Komentářů: 1

Mikroprocesor Zilog Z80 byl oficiálně uveden na trh před 50 lety

18.7. 13:00 | IT novinky

Mikroprocesor Zilog Z80 byl oficiálně uveden na trh před 50 lety, tj. v červenci 1976. Výroba mikroprocesoru skončila v roce 2024.

Ladislav Hagara | Komentářů: 0

11 zapomenutých UEFI shim zavaděčů, které umožňují útočníkům obejít Secure Boot

18.7. 02:55 | Bezpečnostní upozornění

Výzkumníci ze společnosti ESET objevili 11 zapomenutých UEFI shim zavaděčů, které byly podepsány společností Microsoft, a které umožňují útočníkům obejít ochranu UEFI Secure Boot na většině zařízení. Microsoft je zneplatnil (přidal jejich hash do databáze dbx) v rámci aktualizace Patch Tuesday dne 9. června 2026. Uživatelé Linuxu mohou databází aktualizovat pomocí LVFS. Ověřit zneplatnění zavaděčů lze pomocí skriptu uefi-dbx-audit. Jedná se o CVE-2026-8863 a CVE-2026-10797.

Ladislav Hagara | Komentářů: 3

pico-usb-wifi

17.7. 16:55 | Zajímavý software

pico-usb-wifi je open source firmware pro Raspberry Pi Pico W, který jej promění v USB Wi-Fi adaptér. Po připojení k počítači se objeví jako zařízení USB CDC-NCM.

Ladislav Hagara | Komentářů: 0

Google bude muset v EU otevřít služby konkurenci v AI, rozhodla komise

17.7. 16:00 | IT novinky

Americká společnost Google ze skupiny Alphabet bude muset podle nových požadavků Evropské unie umožnit společnosti OpenAI i dalším konkurentům v oblasti umělé inteligence (AI) a internetových vyhledávačů přístup ke svým službám. Ve svém rozhodnutí o tom včera informovala Evropská komise (EK). Opatření má zajistit dodržování pravidel, jejichž cílem je omezit v EU tržní sílu velkých technologických firem. Google s tím nesouhlasí.

… více »

Ladislav Hagara | Komentářů: 0

Firefox od září přechází na dvoutýdenní cyklus vydávání verzí

17.7. 04:55 | Komunita

Nové verze webových prohlížečů Chrome a Firefox jsou vydávány každé 4 týdny. Aktuální verze Chrome je 150. Aktuální verze Firefoxu je 152. V březnu bylo oznámeno, že od září přejde Chrome na dvoutýdenní cyklus vydávání verzí. To by znamenalo, že Chrome v číslování verzí Firefox brzy přeskočí. Vývojáři Firefoxu proto také od září přecházejí na dvoutýdenní cyklus vydávání verzí. :-)

Ladislav Hagara | Komentářů: 7

Microsoft Comic Chat je dnešním dnem open source

17.7. 00:22 | Zajímavý software

Microsoft Comic Chat (Wikipedie), tj. grafický IRC klient z devadesátek, který převáděl konverzace na IRC do podoby komiksových panelů, a který zpopularizoval font Comic Sans, je dnešním dnem open source. Zdrojové kódy jsou k dispozici na GitHubu pod licencí MIT.

Ladislav Hagara | Komentářů: 3

OPNsense 26.7 Xenial Xenops

16.7. 19:55 | Nová verze

Byla vydána (𝕏) nová verze 26.7 open source firewallové a routovací platformy OPNsense (Wikipedie). Jedná se o fork pfSense postavený na FreeBSD. Kódový název OPNsense 26.7 je Xenial Xenops. Přehled novinek v příspěvku na fóru.

Ladislav Hagara | Komentářů: 0

Centrum | Napsat | Starší

navrhněte » Anketa

Komentářů: 30, poslední 3.4. 20:20

Rozcestník

AbcLinuxu

HDmag.cz

AbcLinuxu:/ Poradna / Linuxová poradna / iptables pravidla

Štítky: firewally, Internet, iptables, LAN, NAT, pravidla, problém, sítě, VPN

Dotaz: iptables pravidla

29.5.2011 21:18 kunago
iptables pravidla

Přečteno: 446×

Odpovědět | Admin

Příloha:

schema.png (101776 bytů)

Potřeboval bych poradit od nějakého zkušeného administrátora; sám bohužel zatím nemám tolik zkušeností s nastavováním iptables.

Starám se o 4 LAN (172.17.1.0/24, 172.17.2.0/24, 172.17.3.0/24, 172.17.4.0/24), které jsou spojené do jedné VPN (172.17.10.0/24). Všichni klienti spolu můžou v rámci VPN sítě komunikovat (viz. ilustrace).

Musím upravit pravidla iptables pro jednu z LAN sítí; pro klienty, kterým je přidělovaná adresa v rozsahu 172.17.2.150 - 172.17.2.199. U těchto klientů potřebuji, aby:

mohli komunikovat pouze mezi sebou,
se dostali na internet

Chci jim zakázat jakoukoli komunikaci v rámci VPN s dalšími klienty.

Dal jsem dohromady následující pravidla a byl bych rád, kdyby se na ně někdo podíval zkušeným okem a poradil mi, jestli nevidí nějaký problém.

iptables -A FORWARD -m iprange --src-range 172.17.2.150-172.17.2.199 --destination 172.17.1.0/255.255.255.0 -j DROP
iptables -A FORWARD -m iprange --src-range 172.17.2.150-172.17.2.199 --destination 172.17.2.0/255.255.255.0 -j DROP
iptables -A FORWARD -m iprange --src-range 172.17.2.150-172.17.2.199 --destination 172.17.3.0/255.255.255.0 -j DROP
iptables -A FORWARD -m iprange --src-range 172.17.2.150-172.17.2.199 --destination 172.17.4.0/255.255.255.0 -j DROP
iptables -A FORWARD -m iprange --src-range 172.17.2.150-172.17.2.199 --destination 172.17.10.0/255.255.255.0 -j DROP
iptables -A FORWARD -m iprange --src-range 172.17.2.150-172.17.2.199 -m iprange --dst-range 172.17.2.150-172.17.2.199 -j ACCEPT
iptables -A FORWARD -m iprange --src-range 172.17.2.150-172.17.2.199 -d 0/0 -o eth0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Řešení dotazu:

Komentář #6 (kunago, 1 hlasů)

Nástroje: Začni sledovat (2) ?

Odpovědi

29.5.2011 22:12 NN
Rozbalit Rozbalit vše Re: iptables pravidla

Pokud nespecifikujes destination je to to same jako -d 0/0. Maskarada je obecna, takze sem nepatri. Pokud by jsi pouzival rozumnejsi subnety obejdes se i bez iprange. Pokud volas modul tak to staci udelat jednou. Jelikoz plati pravidlo, co neni povoleno je zakazano(pokud nemas jinou politiku) tak staci povolit komunikaci mezi sebou a ven. Takze celkove staci:

iptables -A FORWARD -m iprange --src-range 172.17.2.150-172.17.2.199 --dst-range 172.17.2.150-172.17.2.199 -j ACCEPT
iptables -A FORWARD -m iprange --src-range 172.17.2.150-172.17.2.199 -o eth0 -j ACCEPT

30.5.2011 11:24 kunago
Rozbalit Rozbalit vše Re: iptables pravidla

Jedná se o nastavení pravidel iptables na routeru s DD-WRT, kde spíš platí opačná politika; tedy co není zakázáno, je povoleno. Těmi pravidly se pokouším izolovat návštěvníky mé sítě, kterým nechci umožnit přístup jinam než ven ze sítě.

Pokud jsem to tedy správně pochopil, pro mé účely je vhodných prvních 5 pravidel, kde se komunikace blokuje. Správně?

30.5.2011 01:32 tajny_007 | skóre: 8 | /dev/null
Rozbalit Rozbalit vše Re: iptables pravidla

nevím, jestli to potřebuješ, ale zkus se kouknout na tohle

http://www.northsun.net/vpn/

HP Elitebook 8440p

30.5.2011 11:30 kunago
Rozbalit Rozbalit vše Re: iptables pravidla

Díky za dokument, ale VPN mi běží bez problému. Abych to upřesnil, každá LAN má vlastní bránu, přes kterou se přistupuje na internet. VPN server je potom bránou jen při propojování jednotlivých LAN mezi sebou.

V této situaci potřebuju blokovat nejen všechny vzdálené LAN (172.17.1.0, 172.17.3.0, 172.17.4.0) a VPN (172.17.10.0), ale i klienty na LAN, přes kterou se uživatelé budou připojovat (172.17.2.0), kde VPN nehraje roli.

30.5.2011 11:36 chutracek
Rozbalit Rozbalit vše Re: iptables pravidla

Pokud koukam spravne, projde to prvnim pravidlem kde se packet dropne a do toho acceptu to uz neproleze - chce je to prohodit mezi sebou nebo u druhyho misto 'A'ppend dat 'I'nsert

iptables -A FORWARD -m iprange --src-range 172.17.2.150-172.17.2.199 --destination 172.17.2.0/255.255.255.0 -j DROP iptables -A FORWARD -m iprange --src-range 172.17.2.150-172.17.2.199 -m iprange --dst-range 172.17.2.150-172.17.2.199 -j ACCEPT

Řešení 1× (kunago (tazatel))

31.5.2011 22:34 kunago
Rozbalit Rozbalit vše Re: iptables pravidla

Prakticky fungující řešení nakonec vypadá nakonec trochu odlišně.

Router s DD-WRT spoustu komunikace automaticky propouští, proto jsem vybral pouze DROP pravidla. Protože na router na síti 172.17.2.0 jsou napojená 3 APčka, vytvořil jsem 2 izolované virtuální sítě přímo v administraci DD-WRT (první VLAN zahrnuje 1 AP, druhá VLAN se týká 2 AP). Tu část sítě, kterou jsem chtěl izolovat, jsem umístil na vlastní rozsah IP adres (172.17.20.0/24). Pravidla pro omezení komunikace pro klienty připojované s dynamickou IP adresou přidělovanou DHCP jsou následující:

iptables -I FORWARD -s 172.17.21.160/255.255.255.224 -d 172.17.10.0/255.255.255.0 -j DROP
iptables -I FORWARD -s 172.17.21.160/255.255.255.224 -d 172.17.4.0/255.255.255.0 -j DROP
iptables -I FORWARD -s 172.17.21.160/255.255.255.224 -d 172.17.3.0/255.255.255.0 -j DROP
iptables -I FORWARD -s 172.17.21.160/255.255.255.224 -d 172.17.2.0/255.255.255.0 -j DROP
iptables -I FORWARD -s 172.17.21.160/255.255.255.224 -d 172.17.1.0/255.255.255.0 -j DROP

Klienti mohou komunikovat pouze na vlastní síti (172.17.20.0/24) a druhá část sítě (172.17.2.0/24) připojená na stejný router jim není dostupná. Stejně tak jim je nedostupný celý zbytek VPN. Jediné, co jsem nedokázal vyřešit, je zamezení přístupu k AP a routeru (samozřejmě jsou zaheslované, takže se nejedná o velký problém).

Za zmínku taky stojí skutečnost, že DD-WRT zpracovává pravidla v opačném pořadí, než jak jsou zadávaná v příslušné části administrace.

31.5.2011 22:36 kunago
Rozbalit Rozbalit vše Re: iptables pravidla

Přirozeně se nejedná o síť 172.17.20.0/24, ale o 172.17.21.0/24 (překlep). DHCP přiděluje adresy v rozsahu 172.17.21.161-190.

Založit nové vlákno • Nahoru

Tiskni Sdílej: