abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

    dnes 17:22 | Nová verze

    Desktopové prostředí Cinnamon, vyvíjené primárně pro distribuci Linux Mint, dospělo do verze 6.0. Seznam změn obsahuje především menší opravy a v říjnovém přehledu novinek v Mintu avizovanou experimentální podporu Waylandu.

    Fluttershy, yay! | Komentářů: 0
    dnes 13:44 | Nová verze

    OpenZFS (Wikipedie), tj. implementace souborového systému ZFS pro Linux a FreeBSD, byl vydán ve verzích 2.2.2 a 2.1.14. Přináší důležitou opravu chyby vedoucí k možnému poškození dat.

    Ladislav Hagara | Komentářů: 0
    dnes 12:00 | Bezpečnostní upozornění

    V ownCloudu byly nalezeny tři kritické zranitelnosti: CVE-2023-49103, CVE-2023-49104 a CVE-2023-49105 s CVSS 10.0, 8.7 a 9.8. Zranitelnost CVE-2023-49103 je právě využívána útočníky. Nextcloudu se zranitelnosti netýkají.

    Ladislav Hagara | Komentářů: 0
    dnes 08:00 | IT novinky

    I letos vychází řada ajťáckých adventních kalendářů. Programátoři se mohou potrápit při řešení úloh z kalendáře Advent of Code 2023. Pro programátory v Perlu je určen Perl Advent Calendar 2023. Zájemci o UX mohou sledovat Lean UXmas 2023. Pro zájemce o kybernetickou bezpečnost je určen Advent of Cyber 2023

    Ladislav Hagara | Komentářů: 0
    dnes 07:00 | Nová verze

    Byla vydána verze 2.12 svobodného video editoru Flowblade (GitHub, Wikipedie). Přehled novinek v poznámkách k vydání. Videoukázky funkcí Flowblade na Vimeu. Instalovat lze také z Flathubu.

    Ladislav Hagara | Komentářů: 0
    včera 21:11 | Nová verze

    Armbian, tj. linuxová distribuce založená na Debianu a Ubuntu optimalizovaná pro jednodeskové počítače na platformě ARM a RISC-V, ke stažení ale také pro Intel a AMD, byl vydán ve verzi 23.11 Topi. Přehled novinek v Changelogu.

    Ladislav Hagara | Komentářů: 0
    včera 16:22 | Nová verze

    Po 4 měsících vývoje byla vydána nová verze 4.2 multiplatformního open source herního enginu Godot (Wikipedie, GitHub). Přehled novinek i s náhledy v příspěvku na blogu a na YouTube.

    Ladislav Hagara | Komentářů: 0
    včera 16:11 | Nová verze

    Byla vydána nová stabilní verze 23.11 linuxové distribuce NixOS (Wikipedie). Její kódové označení je Tapir. Podrobný přehled novinek v poznámkách k vydání. O balíčky se v NixOS stará správce balíčků Nix.

    Ladislav Hagara | Komentářů: 0
    včera 14:11 | Bezpečnostní upozornění

    Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) upozorňuje na hrozbu spojenou s používáním mobilní aplikace WeChat a její čínské verze Weixin (dále jen WeChat). Ta sbírá velký objem uživatelských dat, a právě to by – v kombinaci se způsobem jejich sběru – mohlo sloužit k přesnému zacílení kybernetických útoků.

    Ladislav Hagara | Komentářů: 1
    včera 14:00 | Zajímavý software

    LibreQoS je svobodná aplikace vhodná pro poskytovatele internetové připojení pro rezervaci a řízení datových toků zákazníků (QoS - Quality of Service, QoE - Quality of Experience). Zdrojové kódy jsou k dispozici na GitHubu pod licencí GPLv2. Aktuální verze je 1.4.

    Ladislav Hagara | Komentářů: 0
     (0%)
     (20%)
     (80%)
    Celkem 5 hlasů
     Komentářů: 0
    Rozcestník

    Dotaz: update servery - co zakazat pro omezeni trafficu?

    7.5.2012 15:04 xts | skóre: 10
    update servery - co zakazat pro omezeni trafficu?
    Přečteno: 645×
    zdarec,

    nemate nekdo svuj seznam/link na seznam nejcastejcich update serveru? Docela me prekvapuje ze o tom nejsem schopnej v dobe ruznych FUP apod skoro nic najit..

    mame nekolik routeru ktery se pouzivaji na mistech se pomalym pripojenim, muze na tom byt pomerne dost pocitacu a chci omezit co nejvic tenhle zombie traffic co bezi na pozadi a kazdej BFU ho ma automaticky zapnutej - windows/mac os update, google update, adobe..... necham asi jen antiviry. Spousta tech veci bezi na 80/443 takze je problem to nejak komplexne blokovat.

    Na jakykoliv dotaz o zablokovani update serveru konkretniho programu vyjede milion odkazu, ale nenasel jsem nic kde by se to resilo nejak vic zesiroka, nemate nekdo podobnej problem na pomalych linkach, prip. ruznych prenosnych mobilnich pripojenich, FUP atd? Jak jste to resili? Neni nekde dostupny seznam nejcastejsich programu a jejich update serveru?

    Vzhledem k tomu ze tam neni zadny security risk tak to asi budu blokovat jen pres dns ktery jede na tom routeru (napr. blokovat *windowsupdate.com).

    Vsechno je to hodne kratkodoby (max. nekolik dni) takze reseni ruznych cache apod je zbytecny, staci to jen zablokovat.
     
    diky za napady

    Řešení dotazu:


    Odpovědi

    7.5.2012 15:28 ewew | skóre: 40 | blog: ewewov_blog
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    Mohli by pomôcť QoS priority na základe cieľovej IP.
    Root v linuxe : "Root povedal, linux vykona."
    8.5.2012 10:46 xts | skóre: 10
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    QoS se mi nechce davat ze 2 duvodu:

    - na nekterych pripojenich muze byt fup ktera se bude zbytecne plytvat na updaty a tomu QoS moc nepomuze - jak pisu nize, pri vytizeni stoupaji latence (a to skoro linearne) a rozpada se spojeni, proto je chci zakazat at se to proste nestahuje vubec - i kdyz by to vytizilo dodatecny "nevytizeny" pasmo - pokud u rychlosti v radu desitek/stovek kbit vubec nejaky nevytizeny pasmo bude :)
    Řešení 1× (xts (tazatel))
    8.5.2012 10:58 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    V tom případě bych na routeru blokoval přístup na zvolené IP adresy na portech 80/443. Snad to ty updatovací systémy pochopí jako že není konektivita a zkusí to později znovu. Do DNS bych nezasahoval, s rozšiřováním DNSSEC to bude čím dál problematičtější a mohlo by to na klientském počítači spustit nějaký poplach. Problém bude s udržováním toho seznamu IP adres, asi to bude chtít udržovat seznam DNS názvů a ty pravidelně překládat na IP adresy.
    8.5.2012 11:17 xts | skóre: 10
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    hmm.. no jo sakra.. chtej jsem to udelat pres DNS ale na DNSSEC jsem nepomyslel. A blokovat to rucne bude alespon u velkych firem nerealny, stacilo mi videt na kolika ip a celych rozsahach jede facebook a furt se to meni presne jak pises. Takze tohle asi bude opravdu nejlepsi cesta - zjistovat z DNS aktualni IP a az ty zablokovat.

    Ale to jsme u jadra pudla - to co jsem psal v uplne prvnim postu - nenasel jsem jediny seznam pouzivanych update serveru pro nejcastejsi programy, dam dohromady ty co pouzivam nebo vymyslim ale to je tak vsechno. Existuje vubec nebo takovyho?
    8.5.2012 11:24 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    O ničem takovém nevím. A ani si moc nedovedu představit, jak by to vlastně vypadalo. Ten seznam by se musel neustále udržovat, muselo by tam být vysvětleno, pro co je která adresa určena -- jenže to bude často problém nějak věrohodně zjistit.
    8.5.2012 12:00 xts | skóre: 10
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    nemyslel jsem IP adresy, ale prave seznam serveru a jejich URL ktery pouzivaj znamy programy, jak je to napriklad uvedeno u microsoftu treba tady http://technet.microsoft.com/en-us/library/dd939870%28WS.10%29.aspx

    proste neco jako:

    Microsoft:
    windowsupdate.microsoft.com
    download.windowsupdate.com
    update.microsoft.com
    Apple:
    swscan.apple.com
    Adobe:
    xxx.adobe.com
    ...

    neprijde mi to jako tak netypicka uloha aby o tom google nenasel ani radku
    8.5.2012 12:23 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    Já jsem také myslel seznam URL, i ten by se musel udržovat. Myslím, že na ten seznam by měl každý trochu jiné požadavky, takže pokud si někdo takový seznam vytvoří, nemá důvod jej zveřejňovat.
    8.5.2012 18:11 xts | skóre: 10
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    asi to tak bude, zpusob mam a seznam dam nejak do kupy z toho co najdu. Kazdopadne dik.
    7.5.2012 15:35 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    Abys mě blokoval nějaké servery a já si nemohl stáhnout věci tak bych tě poslal někam....

    Podle mě není řešením blokovat, podle mě je řešením QoS a prostě ať si uživatel zapere přenosovej kanál pornem a pak tím pádem nebude fungovat třeba www.abclinuxu.cz :-)

    A potom si uživatel musí stanovit priority co stahovat jako důležité a pod....

    PS. I když je to podle vás dočasné tak pak bych tam QoS nechal napořád pouze pozvedal limity podle nového připojení.
    8.5.2012 10:26 xts | skóre: 10
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    poslat me user muze kam chce ale to je jediny co s tim udela :-) bezne po me chteji ve firmach blokovat p2p, facebooky, dokonce i veskerej internet krome par explicitne vybranych stranek.. o tom rozhoduje ten kdo to plati, a pokud je pozadavek udelat pripojeni co nejvic funkcni na spatnym signalu a co nejvic orezat ostatni traffic tak udelam i to, ostatne jak to funguje vysvetluju v prispevku nize.

    Pokud to bude potreba, at si klidne stahuje i porno - a plnou rychlosti co to da, neni problem ze by ti uzivatele byli dementi a stahovali porno, ale vetsina z nich neovlivni co ten pocitac stahuje na pozadi a ani po nich nemuzu chtit aby vypinali aktualizace apod. coz bych ostatne ani neudelal.

    dalsi vec je, ze nekde je dana FUP a zbytecne se plytva na aktualizace, kdyz ten pocitac bude za par hodin viset na rychlym internetu - a tam mi QoS nepomuze, proto to chci uplne zablokovat.
    7.5.2012 20:43 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    Když ty počítače budou zavirované, budou využívat přenosové pásmo daleko víc. Zablokovat automatické aktualizace operačního systému je zatím nejhorší nápad na blokování, který jsem kdy zaznamenal. Pokud máte v síti uživatele, kteří nechávají automatické aktualizace zapnuté, buďte rád -- já znám spíš uživatele, kteří je vypínají (protože tomu přeci rozumí), a pak se diví, proč mají počítač plný různých zviřátek.
    8.5.2012 10:09 xts | skóre: 10
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    ver mi, ze pokud se aktualizace nestahnou pres den ale az vecer doma nebo v kanclu na kabelu, klidne i dalsi den, nicemu, ale opravdu nicemu to nevadi u asi tak 99.99% myslitelnych pripadu.

    Ale evidentne si nerozumime, funkce a dulezitost aktualizaci je mi jasna, tak to jeste trochu upresnim: nejedna se samozrejme o nejaky omezovani uzivatelu ve firme na paterni optice, jedna se dost casto o ruzne zapadly mista kde nejlepsi varianta je nejaka pomala wifi, ale nejcasteji to jde jenom pres mobilni data. Tam kde je nejaka varianta 3G/4G to jeste celkem jde, ale tam kde je jenom gprs nebo cdma a jeste s blbym signalem to je opravdu peklo, stane se ze to bezi treba i 100-200kbit a pritom na tom visi nekolik lidi.

    Problem tehle mobilnich pripojeni (zejmena cdma) se spatnym signalem je ze v momente kdy se hodne/na maximum vytizej, extremne vzrostou latence (bezne 1000-3000ms) a po chvili se spojeni uplne rozpada takze je to skoro nepouzitelny. A ted si predstav, ze napr. Apple vyda update pro svuj OS X kterej ma skoro 1GB, a na siti jsou pripojeny 3 Macy...

    Jedna se v naprosty vetsine pripadu o nekolik hodin, malokdy to trva dyl nez 1 den, pak lidi odjedou do svych kanclu a dostahujou si co potrebujou na rychlym internetu.

    Urcite nebude nikdo z useru menit cokoliv ve svym pocitaci.

    Nechci blokovat/omezovat nic co by mohla byt vyzadana akce, klidne si muzou prehravat videa z youtube kdyz to bude potreba, ale je problem kdyz kazdej pocitac je schopnej tu linku vytizit updatama co bezej na pozadi - proste at se nepripojuje nic co neni explicitne vyzadany nejakou uzivatelskou akci.

    Abych jeste uvedl priklad - typicky to vypada tak ze tam ty lidi dopoledne prijedou, sedej na mailech, sem tam otevrou nejakou stranku (coz je i spatny pripojeni pomerne schopny pobrat) a odpoledne/vecer jedou zpatky do kanclu - tam se ty updaty v klidu a pohode dostahnou.
    8.5.2012 10:35 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    To ale dost podstatně mění situaci. Nicméně bál bych se ty updaty blokovat úplně, bůhví, jak by si to ten updatovací systém vyložil. Pro Windows Update je myslím možné zprovoznit server ve vlastní síti, ale to pravděpodobně bude vyžadovat spolupráci ze strany klientů.

    Asi bych to řešil nasazením transparentního proxy serveru (a to jsem obvykle proti), na kterém by se pro některé adresy výrazně omezila rychlost. Z logu proxy serveru bych si pak vytipovával adresy, které takhle omezovat. Problém je co s HTTPS, tam transparentní proxy server nepomůže -- určitě bych proxy server oznamoval i přes WPAD, takže zbývá dořešit ty případy, kdy je natvrdo zapnutý přímý přístup do sítě. Pak by bylo nutné asi zjistit, jak moc se tyhle nežádoucí věci stahují přes HTTPS -- a buď to nechat být, nebo HTTPS přímo zakázat a poskytnout návod, jak si nastavit proxy server.

    Obecné řešení to bohužel nemá. V Linuxu nebo třeba na Androidu aspoň je systémový správce aplikací, který se stará o updaty, ale pořád se některé aplikace vnucují svým řešením, třeba data (mapové podklady, jízdní řády) si ty aplikace pořád tahají sami. No a Mac nebo Windows, tam už je to úplná anarchie.

    Nicméně možná by to byl zajímavý námět pro nějakou školní práci, laboratoř CZ-NIC, Google Summer of Code nebo tak něco -- navrhnout nějaký systém, jak by se na různých WiFi třeba ve vlacích, autobusech, v restauracích nebo na benzínkách dalo třeba Androidímu mobilu nebo tabletu oznámit, že stahovat aktualizace přes tuhle konektivitu je nežádoucí.
    8.5.2012 11:02 xts | skóre: 10
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    na svych pocitacich jsem zkousel zablokovat *windowsupdate.com, update.microsoft.com atd a system se choval jako kdyby nebyl na internetu, prestoze vsude jinde internet normalne fungoval takze pouzitelny by to myslim bylo. S lokalnima updatama mas pravdu, to dela wsus ale musi bezet na windows server a jsem si skoro jisty ze ty pocitace musi byt v AD/domene.

    transparentni proxy tam mam, to byla prvni vec co jsem udelal k usetreni pasma, a vzhledem k tomu ze kazdej ma jako vychozi stranku seznam tak to funguje prekvapive dobre :) WPAD tam nemam ale zni mi to jako dobry napad, na to mrknu. HTTPS bych blokoval dost nerad, taky nevim co vsechno na nem bezi.

    Ten posledni odstavec je GENIALNI napad!! - divim se ze neco takovyho jeste neni
    8.5.2012 11:12 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    Zablokoval jste je na tom proxy serveru, v DNS nebo IP adresy na routeru? Tomu blokování DNS bych se spíš snažil vyhnout, dnes s čistými Windows to možná funguje, ale nikdo neví, za jak dlouho to začnou třeba antiviry kontrolovat. Zablokování těch IP adres na routeru mi připadá jako nejlepší řešení, i když je potřeba aktualizovat ten seznam IP adres -- protože to simuluje neexistující spojení. Blokace na proxy serveru by znamenala vracet třeba stavový kód 404 not found, a to už si ten aktualizační systém zase může vyložit všelijak.
    8.5.2012 11:48 xts | skóre: 10
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    blokoval jsem URL v proxy, nevim presne co to vraci za chybu ale myslim ze se to ani nespoji a vrati to connection refused, tedy bez stavovyho kodu. Blokovani IP bude asi opravdu lepsi reseni, zkusim vymyslet nejaky reseni jak se to bude aktualizovat z DNS.
    8.5.2012 11:59 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    Při blokování na proxy serveru se spojení klienta s proxy serverem naváže (a klient si myslí, že komunikuje s cílovým serverem), klient pošle požadavek a teprve pak proxy server zjistí, co klient vlastně chce, a může tedy zareagovat -- buď nějakým stavovým kódem, nebo ukončením spojení. Connection refused takhle tedy udělat nejde.
    8.5.2012 12:07 xts | skóre: 10
    Rozbalit Rozbalit vše Re: update servery - co zakazat pro omezeni trafficu?
    na tom neco je :) zjistim co to vraci, ale asi to bude ta 404.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.