abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

včera 00:33 | Zajímavý článek

Správce nástroje curl Daniel Stenberg na GitHubu průběžně vytváří svou novou knihu Uncurled, v níž shrnuje své dlouhodobé zkušenosti s údržbou open-source projektu: od odpozorovaných pouček po vtipné a ne až tak vtipné příklady e-mailů od uživatelů.

Fluttershy, yay! | Komentářů: 2
včera 00:22 | Nová verze

Byla vydána nová major verze 25.0 programovacího jazyka Erlang (Wikipedie) a související platformy OTP (Open Telecom Platform, Wikipedie). Přehled novinek v příspěvku na blogu.

Ladislav Hagara | Komentářů: 3
včera 00:11 | Nová verze

Deno (Wikipedie), běhové prostředí (runtime) pro JavaScript a TypeScript, bylo vydáno ve verzi 1.22. Přehled novinek v poznámkách k vydání.

Ladislav Hagara | Komentářů: 0
18.5. 18:22 | Nová verze

Společnost Red Hat oznámila vydání Red Hat Enterprise Linuxu (RHEL) 9.0. Vedle nových vlastností a oprav chyb přináší také aktualizaci ovladačů a předběžné ukázky budoucích technologií. Podrobnosti v poznámkách k vydání.

Ladislav Hagara | Komentářů: 7
18.5. 14:00 | Komunita

Lars Knoll oznámil, že po 25 letech v ekosystému Qt, z toho 22 let pracující pro různé společnosti vlastnící Qt, odchází ze společnosti The Qt Company do malého norského startupu.

Ladislav Hagara | Komentářů: 6
18.5. 13:22 | Zajímavý projekt

Na Kickstarteru běží kampaň na podporu mini ITX desky Turing Pi 2 Cluster Computer. Vložením 4 výpočetních modulů, podporovány jsou Raspberry Pi 4, Turing RK1 a Nvidia Jetson, lze získat 4uzlový cluster. Cena desky je 219 dolarů.

Ladislav Hagara | Komentářů: 2
18.5. 10:00 | Pozvánky

Spolek OpenAlt zve příznivce otevřených řešení a přístupu na 198. brněnský sraz, který proběhne v pátek 20. května tradičně od 18 hodin v Pivovarské restauraci Moravia.

Ladislav Hagara | Komentářů: 2
18.5. 07:00 | Zajímavý software

Byla vydána nová verze 0.25 herního enginu Fyrox, původně rg3d. Přehled novinek s kódy, náhledy i videi v příspěvku na blogu.

Ladislav Hagara | Komentářů: 1
18.5. 00:11 | Nová verze

Multiplatformní audio přehrávač Qmmp (Wikipedie) byl vydán ve verzi 2.1.0. Z novinek lze zmínit například podporu XDG Base Directory Specification.

Ladislav Hagara | Komentářů: 0
17.5. 23:22 | Komunita

Letošní konference LibreOffice proběhne 28. září až 1. října v Bolzanu. The Document Foundation hledá přednášející.

Zdeněk Crhonek | Komentářů: 0
Na sociálních sítích nebo jiných webových diskuzích vystupuji pod
 (59%)
 (16%)
 (25%)
Celkem 283 hlasů
 Komentářů: 26, poslední dnes 15:03
Rozcestník


Dotaz: NAS QNAP firewall a LXC s nmapem

16.12.2020 09:09 alfonz
NAS QNAP firewall a LXC s nmapem
Přečteno: 337×
Ahojte,

zjistil jsem, že LXC v NASu od QNAPu je zřejmě omezováno firewallem přímo v NASu. Vyexportoval jsem si přes iptables-save nastavení firewallu, ale nedaří se mi zjistit, které pravidlo omezování dělá.

$iptables-save
*nat
:PREROUTING ACCEPT [2509:235072]
:INPUT ACCEPT [729:113753]
:OUTPUT ACCEPT [377:27269]
:POSTROUTING ACCEPT [375:24984]
:DOCKER - [0:0]
:SYSDOCKER - [0:0]
:SYSNAT - [0:0]
:VPNNAT - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j SYSDOCKER
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT -m addrtype --dst-type LOCAL -j SYSDOCKER
-A OUTPUT -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -o lxcbr0 -m addrtype --src-type LOCAL -j MASQUERADE
-A POSTROUTING -o docker0 -m addrtype --src-type LOCAL -j MASQUERADE
-A POSTROUTING -m mark ! --mark 0x0/0xffff -j MASQUERADE
-A POSTROUTING -j VPNNAT
-A POSTROUTING -j SYSNAT
-A SYSNAT -s 10.0.5.0/24 ! -o docker0 -j MASQUERADE
-A SYSNAT -s 10.0.3.0/24 ! -o lxcbr0 -j MASQUERADE
COMMIT
# Completed on Wed Dec 16 07:55:13 2020
# Generated by iptables-save v1.4.21 on Wed Dec 16 07:55:13 2020
*mangle
:PREROUTING ACCEPT [20390:6727754]
:INPUT ACCEPT [6335:1827388]
:FORWARD ACCEPT [13129:4835279]
:OUTPUT ACCEPT [5621:801748]
:POSTROUTING ACCEPT [18840:5650624]
:CHECKHOST - [0:0]
:VPNCHECKHOST - [0:0]
:VPNCUSSETMARK - [0:0]
:VPNDEFSETMARK - [0:0]
:VPNSETMARKENTRANCE - [0:0]
-A INPUT ! -d 169.254.0.0/16 -j CHECKHOST
-A INPUT -j CONNMARK --save-mark --nfmask 0xffffffff --ctmask 0xffffffff
-A OUTPUT -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
-A OUTPUT -m set --match-set HOSTSET dst -j MARK --set-xmark 0x10000/0xf0000
-A CHECKHOST -m set --match-set NATSET src -j MARK --set-xmark 0x10000/0xf0000
-A VPNCHECKHOST -m set --match-set VPNSET src -j MARK --set-xmark 0x10000/0xf0000
-A VPNCUSSETMARK -m set --match-set vpndocker0 src -j MARK --set-xmark 0x500/0xff00
-A VPNCUSSETMARK -m set --match-set vpnlxcbr0 src -j MARK --set-xmark 0x600/0xff00
-A VPNCUSSETMARK -m set --match-set vpnwlan0 src -j MARK --set-xmark 0x300/0xff00
-A VPNSETMARKENTRANCE -j VPNCUSSETMARK
-A VPNSETMARKENTRANCE -m mark --mark 0x0/0xffff -j VPNDEFSETMARK
COMMIT
# Completed on Wed Dec 16 07:55:13 2020
# Generated by iptables-save v1.4.21 on Wed Dec 16 07:55:13 2020
*filter
:INPUT ACCEPT [6533:1842995]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [5821:817800]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
:SYSDOCKER - [0:0]
:SYSDOCKER-ISOLATION-STAGE-1 - [0:0]
:SYSDOCKER-ISOLATION-STAGE-2 - [0:0]
:SYSDOCKER-USER - [0:0]
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o lxcbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o lxcbr0 -j DOCKER
-A FORWARD -i lxcbr0 ! -o lxcbr0 -j ACCEPT
-A FORWARD -i lxcbr0 -o lxcbr0 -j ACCEPT
-A FORWARD -j SYSDOCKER-USER
-A FORWARD -j SYSDOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j SYSDOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A OUTPUT -m set --match-set BRNOIPSET src,dst -j DROP
-A DOCKER-ISOLATION-STAGE-1 -i lxcbr0 ! -o lxcbr0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o lxcbr0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
-A SYSDOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j SYSDOCKER-ISOLATION-STAGE-2
-A SYSDOCKER-ISOLATION-STAGE-1 -j RETURN
-A SYSDOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A SYSDOCKER-ISOLATION-STAGE-2 -j RETURN
-A SYSDOCKER-USER -j RETURN
COMMIT
# Completed on Wed Dec 16 07:55:13 2020
Nmap zobrazuje často např.
$nmap -p- --reason -oN - 10.0.3.1 -vv -dd

Ultrascan DROPPED probe packet to 10.0.3.1 detected
A rychlost nmapu při -vvv -ddd ukazuje po chvilce např. 20 paketu/s což je opravdu dost pomalé. Děje se to i při skenu dalších počítačů na lokální sítí. Když to udělám na jiném počítači, tak je to chvilka a je dokončeno. Chtěl jsem mít v LXC běžící kontejner na monitoring a hledání otevřených portů jednou za den na serverech co s spravuji, ale takhle to vypadá, že to na jednom serveru doběhne za několik hodin a tedy to nebude moc použitelné.

Tušíte, jak najít, které pravidlo za to může?

Odpovědi

16.12.2020 11:58 X
Rozbalit Rozbalit vše Re: NAS QNAP firewall a LXC s nmapem
Ve firewally zdane omezeni nevidim. Problem bych videl v tom nampu. Co je to presne za verzi?
16.12.2020 16:04 alfonz
Rozbalit Rozbalit vše Re: NAS QNAP firewall a LXC s nmapem
nmap  --version

Nmap version 7.60 ( https://nmap.org )
Platform: arm-unknown-linux-gnueabihf
Compiled with: liblua-5.3.3 openssl-1.1.0g nmap-libssh2-1.8.0 libz-1.2.8 libpcre-8.39 libpcap-1.8.1 nmap-libdnet-1.12 ipv6
Compiled without:
Available nsock engines: epoll poll select
Na notebooku mám tu samou verzi a tam to jde hodně rychle např. do minuty až dvou. Někdy cca 10 minut. Ale s touhle rychlostí co je v tom lxc, tak to vypadá na hodiny.
16.12.2020 16:48 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
Rozbalit Rozbalit vše Re: NAS QNAP firewall a LXC s nmapem
Vypni ten firewall a uvidíš, podle mě za to můžou ty pravidla kolem dockeru na izolaci.

Prostě nmap nenavazuje komunikaci a tak než to proskáče sem tam přes ty pravidla kdoví kde se to kousne a čeká na timeout protože se zablokuje odpověď atd.....

I když nevidím smysl tvého počínání.

Na routeru má být firewall a tam pouze povolené to co používáš.
16.12.2020 17:54 alfonz
Rozbalit Rozbalit vše Re: NAS QNAP firewall a LXC s nmapem
To je NAS > není to router. A v tom nasu mám lxc co dělá monitoring a přitom chci aby to kontrolovalo i otevřené porty na serverech (na kterých je ideálně minimálně věcí co jde)
16.12.2020 21:04 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
Rozbalit Rozbalit vše Re: NAS QNAP firewall a LXC s nmapem
Chápu ale musíš pochopit že firewall má být na routeru a chránit síť.
17.12.2020 08:30 j
Rozbalit Rozbalit vše Re: NAS QNAP firewall a LXC s nmapem
Megablabol roku...

firewall ma byt na kazdym jednom stroji.

Tenhle navic nedela vubec nic, kdybys nebyl slepej, tak vidis ze pres nejmin pulku tech pravidel vubec nic netece.

A jako bonus, natovat privatni IPcka na jiny privatni IPcka muze vazne leda uchyl. A protoze predpokladam, ze za tohle nemuze puvodni tazatel, ale debilni tvurce, tak si davam na seznam mezi sracky, ktery mi nesmej do baraku.

---

Dete s tim guuglem dopice!
17.12.2020 09:19 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
Rozbalit Rozbalit vše Re: NAS QNAP firewall a LXC s nmapem
Ty tady blábolíš nesmysly proč by měl být na každém stroji firewall? Můžeš mi vysvětlit proč by tam byl?

Příklad budu mít firewall na stroji na kterém mám www server co má poskytovat data takže tam dám firewall který bude propouštět port 80,443 (www) takže pro www se to chová že tam nic není.

Takže proč tam je ? Když tam nebude a já se na ten stroj budu chtít nabourat tak zase se dostanu pouze na porty 80,443 na kterých běží ten www server na ostatních to nebude na nic reagovat protože tam jiný server nemám.

Takže to tam chce nastavit správně pouze ten www server.

Pokud ten www server nemá být dostupný z internetu tak se má blokovat přístup z internetu už přímo na routeru.

Ten firewall na stroji pouze ukonejší tvou nevědomost však tam mám firewall tak je to bezpečné.

A to že se tam provádí NAT na jednom stroji pro kontejnery tak to je slavný pozůstatek z toho že IPv4 nejsou a měl by být už dávno zrušen atd..... Ale to je na jinou diskuzi ohledně uzavřených systémů atd.....
16.12.2020 17:56 alfonz
Rozbalit Rozbalit vše Re: NAS QNAP firewall a LXC s nmapem
jinak zkoušel jsem ten firewall vypnout, ale pak většina věcí nejde. Je na něm postavené asi web ui to nasu.
16.12.2020 21:08 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
Rozbalit Rozbalit vše Re: NAS QNAP firewall a LXC s nmapem
Samozřejmě nesmíš vypnout ten NAT co to dělá pro ty kontejnery.
16.12.2020 18:11 alfonz
Rozbalit Rozbalit vše Re: NAS QNAP firewall a LXC s nmapem
Tak po delším testování, jsem nakonec udělal to, že nmapem vždy jedu rozsah po 1000 portech tzn 0-1000, 1000-2000 atd a na všech serverech postupně s krátkou prodlevou a pak znovu další rozsah. Tento postup vypadá, že firewall obejde a celé skenování všech asi zabere půlhodinu. Tzn lepší než přímo celý rozsah v nmapu. Nyní to vychází že 1000 portů tímto postupem je asi 10 sec tzn asi 100 testu za sekundu.

Není to sice rychlost co jsem chtěl, ale vzhledem k tomu, že jsou všechny servery najednou, tak to aspoň není několik hodin.

Díky za rady. Jinak pokud by ještě někdo věděl, které z těch pravidel to může být, tak sem s tím. Díky.
16.12.2020 21:48 X
Rozbalit Rozbalit vše Re: NAS QNAP firewall a LXC s nmapem
Nmap ktery pouzivas je pomerne stary. Verze 7.80 a vyzsi obsahuje opravu straty paketu, ktera by mohla vyresit tvuj problem..

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.