Dotaz: DMZ a Linux

[Skellyus]

Hello, řeším už nějaký pátek jak rozchodit v naší firemní síti, konkrétně v DMZ jeden stroj s Debianem. Bohužel jsem narazil na hodně zajímavý problém, nemůžu ten stroj z vnitří sítě pingnout. Firewall (Juniper)je nastaven tak aby do DMZ rozsahu propouštěl. Všechny MS stroje v DMZ jdou pingnout jenom ten Debian si nedá říct.

Nevěděl by někdo na co bych se měl zaměřit. Osobně si myslím, že je to problém nastaveni Deb. ale jistý už si nejsem opravdu ničím.

Díky za každou radu.

M.

Odpovědi

[NN]

Tak poslouchej na rozhrani toho debian jestli nejake ICMP vubec prijde. Tim bych asi zacal..

NN

[Skellyus]

Tak to jsem taky zkousel. iptables do logu a nic tam na to rozhrani neprijde.

[Skellyus]

A to je prave to strasne divny. Kdyz na tu samou IP povesim MS stroj tak ten ping normalne projde.. :S

[NN]

Tak to si dost odporuje, takze neco delas blbe. Pocitam, ze to dojde, ale uz neodejde..

tcpdump -i eth0 -n -p 'icmp'

NN

[Skellyus]

Diky, uz tam neco vidim. 481063 IP 93.153.xxx.xxx > 93.153.xxx.xxx ICMP echo request, id 5165

tak ze na tom debianu to ted jsem schopny zachytit ale odpoved zpet nedostanu. Nejaky napad proc by to tak mohlo byt?

[pht]

Zkuste

cat /proc/sys/net/ipv4/icmp_echo_ignore_all

jestli tam je 1 tak změňte na 0.

[NN]

Nesmysl, je videt ze echo k tobe dorazi, ale odpoved neodejde, takze si to blokujes sam.

iptables -L -n

Mas tam nejak pravidla ? Jakou mas "policy" ?

NN

[Skellyus]

Diky za reakce, server je ciste naistalovan nic na nem nebezi. Ma jednu NIC nastavenou na branu a ta je spravne. icmp_echo_ignore_all je 0 iptables jsou prazdny jeste jsem na ne ani nesahl.

[Skellyus]

Jeste bych se zeptal jde nejak zjistit jestli server posle odpoved na ten ICMP a zjistit header toho echa.

[Max]

Špatně nastavená brána, nebo firewall (na linuchu)?
Zdar Max

[Skellyus]

Cau, tak vychozi brana je urcite spravna, je nastavena presne tak jak by mela byt a nastaveni se shoduje se vsema MS serverama v DMZ.

[MMichal]

Nema server vice zapojenych sitovych rozhrani ?

M.

[Skellyus]

Ne, server bezi virtualizovane v vmware. Ma jedinou NIC nastavenou do DMZ se statickymi zaznamy.

M.

[Max]

A nemá ten virtuální server náhodou stejnou MAC na síťovce jako jiný server v síti?
Zdar Max

[Skellyus]

Tak to nemá,prolezl jsem ručně všechny servery co máme ve firmě v DMZ i mimo ní.

[NN]

Jakou mas vychozi politiku v iptables ?

Jakou mas routovaci tabulku ?

NN

[vencour]

Ještě bych ověřil, zda neni v provozu 802.1x i zda vidí něco na L2, tj. arp záznam.

Základ je, že by si měl na bránu pingnout.

[Skellyus]

Radius nám ve firmě neběží, zatím. V Debianu po netinstallu ho taky nastavený nenajdu. Bránu samozřejmě pingnout jde.

[vencour]

V linuxu jde bránu pingnout? A jiný provoz jinam neproleze? Co píše traceroute na požadovanou adresu?

Mimochodem vazbu "ip route get IP_adresa" znáte? Přijde mi jednoznačnější, ve velké tabulce se občas hůř hledá/přehlédne.

[Skellyus]

Bránu jde pingnout do internetu propingnu vše. Samozřejmě z DMZ nejde pingnout vnitřní sít (nastaveno politikou v Juniperu) z vnitřní sítě jde pingnout vše v DMZ kromě Debianu ať už ho v DMZ dám na jakoukoliv adresu. ip route get moc neznám zkoušel jsem jako IP gateway

93.153.125.225 dev eth0  src 93.153.125.236
cache  mtu 1500 advmss 1460 hoplimit 64

[Skellyus]

Ahoj posilam copy/paste

iptables:

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

 

route:

ernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
localnet        *               255.255.255.240 U     0      0        0 eth0
default         fw.dicholding.c 0.0.0.0         UG    0      0        0 eth0

 

network interfaces

# The primary network interface
allow-hotplug eth0
iface eth0 inet static
address 93.153.125.236
netmask 255.255.255.240
network 93.153.125.224
broadcast 93.153.125.239
gateway 93.153.125.225
# dns-* options are implemented by the resolvconf package, if installed
dns-nameservers 192.168.50.10
dns-search dicholding.com

[NN]

Muzes tu tabulku vypsat bez hostname?

route -n

Protoze fw.dicholding.cz resolvuje na 77.78.126.24 coz by neodpovidalo brane 93.153.125.225 podle konfigurace rozhrani.

NN

[Skellyus]

tak tady to je

 

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
93.153.125.224  0.0.0.0         255.255.255.240 U     0      0        0 eth0
0.0.0.0         93.153.125.225  0.0.0.0         UG    0      0        0 eth0

[CIJOML]

iptables -L -n kdyz nic neukaze, tak potom bych hledal nejaky zakaz v SELinuxu.

[Skellyus]

Tak to je prázdné. Tak že ten SELinux,

nejaké návrhy co tam hledat?

[stativ]

Pro začátek začni přepnutím SELinuxu do permissive režimu. Zjistíš tím, zda je to SELinuxem a pokud se nepletu, SELinux by měl v permissive režimu vypisovat do logu warningy, pokud se mu něco nelíbí.

[Skellyus]

Příloha:

• log.log (20943 bytů)

Podařilo se mi dostat nějaký výpis do wiresharku, poznáte v tom někdo nějakou chybu?

[FF]

V tom wiresharku je zdrojova adresa 93.153.125.224, podle tvé konfigurace výše je to ale adresa site( whatmask me to potvrzuje), a tedy žádné PC by takovou adresu nemělo mít. Podle mě máš na tom kompu ze kterého je ten výpis špatně nastavenou IP adresu.

[Skellyus]

To máš pravdu,

všiml jsem si toho úplně na začátku ale:

na Juniperu je interface pro DMZ takto:

Interface: bgroup0 (IP/Netmask: 93.153.125.224/28)

[Skellyus]

A ješte jsem se dočetl, že na ten Juniper pokud chci aby to korektně běhalo s Linuxem bych měl mít nějaký VPN tunel

[FF]

V tom případě máš nesprávně nastavený jupiner. Ono sice asi možná půjde nějakým nastavením donutit jádro aby to šlo viz. někdě výše možnosti v /proc. Ale jinak správné řešení je nemít na interfacech adresy sítí či broadcasty. Tedy opravit si konfiguraci na jupineru. Takové Cisco by ti to myslím ani nepovolilo takhle zkonfigurovat. Viz výpis whatmask. Adresy interfaců jsou použitelné od First usable do Last usable. S VPN tohle nesouvisí vůbec a je to blbost. Přečti si jak vůbec funguje IP protokol, adresování, atd.

pepa@linuxmail:~$ whatmask 93.153.125.224/28

------------------------------------------------
           TCP/IP NETWORK INFORMATION
------------------------------------------------
IP Entered = ..................: 93.153.125.224
CIDR = ........................: /28
Netmask = .....................: 255.255.255.240
Netmask (hex) = ...............: 0xfffffff0
Wildcard Bits = ...............: 0.0.0.15
------------------------------------------------
Network Address = .............: 93.153.125.224
Broadcast Address = ...........: 93.153.125.239
Usable IP Addresses = .........: 14
First Usable IP Address = .....: 93.153.125.225
Last Usable IP Address = ......: 93.153.125.238

[Skellyus]

Myslim ze jsme nasli chybu v routovaci tabulce Juniper bohuzel v plnem provozu si nemuzu dovolit ji na tvrdo zmenit.

*	93.153.125.224/28		bgroup0	C			Root		-
*	93.153.125.224/32		bgroup0	H			Root		-

C Connected   H Host Route

Host Route by podle meho nazoru mela byt na 93.153.125.225/32 proto dostavam ping z 224 atd.

Zkusim to v nedeli vecer, jen by me zajimalo jestli tohle by mohla byt ta chyba.

[FF]

Protože tam máš nesprávnou IP adresu, proto máš i bordel v tomhle.

[vencour]

Že jste to vy ... Juniper, TN25 a jak natovat, čili snad si poradíte, jak s tim pingem, budete-li mít zájem, chuť a výdrž

[Skellyus]

OK diky zkusim to

[FF]

A vůbec. není ten pro tebe jupiner gateway ? v tom případě dle tvé konfigurace by měl mít IP 93.153.125.225/28. Chtělo by to obrázek zapojení a pěkně popsat kde máš jaké sítě či IP. Lidi tady nemají křišťálové koule, a chceěli pomoct musíš taky dát dost informací. A nikoho nebaví to z tebe po jednom tahat.

[vencour]

Co máte s tim Juniperem? ScreenOs mi masku IP adresu sítě na interfejsu pobere, Junos protestuje ...

A) junos ...

# commit check 
[edit interfaces ge-0/0/3 unit 0 family inet]
 'address 93.153.125.224/28'
    Cannot assign address 0 on subnet
error: configuration check-out failed

[edit]

B) ScreenOs

set int untrust ip  93.153.135.224 255.255.255.240

get int untrust
Interface untrust:
 description untrust
 number 1, if_info 88, if_index 0, mode route
 link up, phy-link up/full-duplex
 vsys Root, zone Untrust, vr trust-vr
 dhcp client disabled
 PPPoE disabled
 admin mtu 0, operating mtu 1500, default mtu 1500
 *ip 93.153.135.224/28   mac zzzz.yyyy.xxxx
 *manage ip 93.153.135.224, mac zzzz.yyyy.xxxx