abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 06:00 | Zajímavý projekt

    Jack Dorsey představil (𝕏, Nostr) svůj nový projekt bitchat. Jedná se o bezpečnou decentralizovanou peer-to-peer aplikaci pro zasílání zpráv bez potřeby internetu, serverů a telefonních čísel. Využívá se Bluetooth Mesh Network. Detaily v technické dokumentaci. Zdrojové kódy jsou k dispozici pod licencí Unlicense.

    Ladislav Hagara | Komentářů: 3
    dnes 04:22 | Nová verze

    Hudební přehrávač Amarok byl vydán v nové verzi 3.3 "Far Above the Clouds". Nově je postaven na Qt6/KF6 a využívá GStreamer místo Phononu.

    Ladislav Hagara | Komentářů: 0
    včera 18:11 | IT novinky

    Společnost IBM představila novou generaci svých serverů: IBM Power11.

    Ladislav Hagara | Komentářů: 1
    včera 15:33 | Komunita

    Multiplatformní digitální pracovní stanice pro práci s audiem Ardour byla postavena na GTK2. Vývojáři neplánovali její portaci na GTK3 nebo GTK4. Naopak, v lednu loňského roku si vytvořili vlastní fork GTK2 s názvem YTK. Ten v únoru letošního roku přestal být volitelným a nově byla zcela odstraněna podpora GTK2.

    Ladislav Hagara | Komentářů: 15
    včera 11:33 | Nová verze

    Byla vydána nová verze 6.4 linuxové distribuce Parrot OS (Wikipedie). Jedná se o linuxovou distribuci založenou na Debianu a zaměřenou na penetrační testování, digitální forenzní analýzu, reverzní inženýrství, hacking, anonymitu nebo kryptografii. Přehled novinek v příspěvku na blogu.

    Ladislav Hagara | Komentářů: 0
    včera 11:22 | Pozvánky

    Společnost initMAX pořádá sérii bezplatných webinářů věnovaných novému Zabbixu 7.4. Podrobnosti a registrace na webu initMAX.

    … více »
    Heřmi | Komentářů: 0
    včera 03:44 | Nová verze

    Byla vydána verze 7.0 open source platformy pro správu vlastního cloudu OpenNebula (Wikipedie). Kódový název nové verze je Phoenix. Přehled novinek v poznámkách k vydání v aktualizované dokumentaci.

    Ladislav Hagara | Komentářů: 1
    včera 00:11 | Nová verze

    E-mailový klient Thunderbird byl vydán ve verzi 140.0 ESR „Eclipse“. Jde o vydání s dlouhodobou podporou, shrnující novinky v upozorněních, vzhledu, správě složek a správě účtů. Pozor, nezaměňovat s průběžným vydáním 140.0, které bylo dostupné o týden dříve.

    Fluttershy, yay! | Komentářů: 15
    7.7. 15:11 | IT novinky

    Organizace Video Games Europe reprezentující vydavatele počítačových her publikovala prohlášení k občanské iniciativě Stop Destroying Videogames.

    Ladislav Hagara | Komentářů: 0
    7.7. 13:22 | IT novinky

    Společnost Raspberry Pi nově nabzí Raspberry Pi Camera Module 3 Sensor Assembly, tj. samostatné senzorové moduly z Raspberry Pi Camera Module 3.

    Ladislav Hagara | Komentářů: 0
    Jaký je váš oblíbený skriptovací jazyk?
     (60%)
     (27%)
     (7%)
     (2%)
     (1%)
     (1%)
     (3%)
    Celkem 374 hlasů
     Komentářů: 16, poslední 8.6. 21:05
    Rozcestník

    Dotaz: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site

    otasomil avatar 24.2.2021 16:58 otasomil | skóre: 39 | blog: puppylinux
    IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Přečteno: 430×
    Zdravim ve spolek. Po nejakej dobe nasazuji FW s pomoci iptables a ip6tables a mam tu jednu osvedcenou konfiguraci z minulosti a tak si rikam jestli je porad adekvatne pouzitelna, bezpecna apod... Nechci precejen IPv6 vynechat, uz je tu dlouho, jen nechci aby stroj byl dostupny z Internetu.
    Cilem je aby PC (server) mohl kamkoliv ven po IPv4 a IPv6 avsak byl dostupny pouze z adres v siti v ktere se nachazi. Z poznamek mam toto:
    # Sekce IPv6:
    ip6tables -P INPUT DROP
    ip6tables -A INPUT -i lo -j ACCEPT
    ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
    ip6tables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    ip6tables -A INPUT -m state --state INVALID -j DROP
    ip6tables -A INPUT -s 2a02:339:2f:7a::/64 -j ACCEPT
    ip6tables -A INPUT -j REJECT --reject-with icmp6-adm-prohibited
    
    
    
    # Sekce IPv4:
    iptables -P INPUT DROP
    iptables -A INPUT -i lo -j ACCEPT
    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    iptables -A INPUT -m state --state INVALID -j DROP
    iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
    iptables -A INPUT -p icmp -j ACCEPT
    iptables -A INPUT -j REJECT --reject-with icmp-admin-prohibited
    
    S tim ze podleva techto pravidel bude server dostupny na IPv4 pouze z adres:
    192.168.1.0 - 192.168.1.254
    
    A na IPv6 pouze z tohoto rozsahu adres:
    2a02:339:2f:7a:0000:0000:0000:0001 - 2a02:339:2f:7a:ffff:ffff:ffff:ffff
    
    IPv6 adresa ze zamerne zmenena na nahodno. Diky za info, zkusenosti, elegantnejsi reseni.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý

    Řešení dotazu:


    Odpovědi

    24.2.2021 19:21 Andrej | skóre: 51 | blog: Republic of Mordor
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    IPtables IPv6…

    <offtopic>Firewall v Linuxu se dnes jmenuje nftables. Použití různých legacy rozhraní je všeho všudy akumulace technologického dluhu.</offtopic>

    Server nebude dostupný na zavřených portech, kde nic neposlouchá. To je sice chabá útěcha, pokud se něco uvnitř serveru nechová korektně, ale přece jenom bych doporučoval nepřeceňovat význam firewallu.

    Pokud jde o klasický „trik“ s příjmem related, established a ničeho jiného, ten je popsaný třeba tady.

    otasomil avatar 25.2.2021 19:40 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Sken portu z VPS na onen server (IPv6) vypise na vsech portech FILTERED. S vychozim stavem ip6tables je vse CLOSE a porty kde opravdu neco posloucha (80, 443) jsou OPEN Asi to necham s nastavenim jak jsem uvedl v dotazu, zabranim tak zpristupneni jakekoli naslouchajici sluzby z Internetu.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    26.2.2021 00:22 trekker.dk | skóre: 72
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Škodíte ostatním. Děkujeme pěkně.
    Quando omni flunkus moritati
    otasomil avatar 26.2.2021 04:52 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Cili lepsi nastaveni?
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    otasomil avatar 26.2.2021 05:13 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    # Sekce IPv6:
    ip6tables -P INPUT DROP
    ip6tables -A INPUT -i lo -j ACCEPT
    ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
    ip6tables -A INPUT -m state --state ESTABLISHED -j ACCEPT
    ip6tables -A INPUT -m state --state INVALID -j DROP
    ip6tables -A INPUT -s 2a02:339:2f:7a::/64 -j ACCEPT
    ip6tables -A INPUT -j DROP --reject-with icmp6-adm-prohibited
    
    A obdobne i pro IPv4?
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    26.2.2021 09:32 trekker.dk | skóre: 72
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Když už jste pevně rozhodnutý nepřekonat lenost a nepřepsat těch 6 pravidel pro nftables, tak ip6tables -A INPUT -j DROP . Žádné reject-with . Důvod máte v #4
    Quando omni flunkus moritati
    otasomil avatar 26.2.2021 16:46 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    OK diky za info. Nftables prozkoumam. Aktualne davam iptables, ip6tables dle Vaseho doporuceni. Kdoviproc takovouto jak pisete nevhod konfiguraci napsal, mam to nekde z netu uz ani nevim odkud, je to uz hafo let.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    24.2.2021 23:08 X
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Vzhledem k tomu, ze ten server neroutuje a je schovany v lokalni siti s nim stejne nikdo jiny nez lokalni zarizeni komunikovat ani nemuze..
    25.2.2021 08:46 MP
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    A vsiml jste si te ipv6 adresy?
    25.2.2021 18:53 Peter Golis | skóre: 65 | blog: Bežné záležitosti | Bratislava
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Veď písal že ju zmenil na náhodno.
    otasomil avatar 25.2.2021 19:24 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Veď písal že ju zmenil na náhodno.
    Na nahodno jsem ji zmenil sem do poradny abyste na stroj nezacali tlouct protoze IPv6 adresy jsou globalne dostupne - router je tak nastaven. Jinak je tam samozrejme adresa z rozsahu co dava router.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    26.2.2021 07:38 j
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Tak nejen ze tu blaboli Andrejko ... mame tu i dasiho, dokonalyho veleblba!

    S libovolnym strojem v libovolny lokalni siti lze navazat bez dalsiho komunikaci. A to samozrejme i pres NAT.

    2otasomil: Vazne tam chces ten reject? De o to, ze kdyz ti na ten stroj dorucim paket, tak posle, klidne na jinej stroj (v zavislosti na src) odpoved. Takze za DOSujiciho utocnika budes ty.

    Ten reject ma smysl tak do vnitrni site, coz ale nechces, takze lepsi je nechat proste drop.

    ---

    Dete s tim guuglem dopice!
    26.2.2021 08:43 X
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    S libovolnym strojem v libovolny lokalni siti lze navazat bez dalsiho komunikaci. A to samozrejme i pres NAT.
    Mohl by si prosimte navazat komunikaci s mim strojem na 192.168.0.136. Necham tu otevrene SSH, uzivatel 'jecko', heslo bude 'jasne'..
    otasomil avatar 26.2.2021 17:04 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Globalni dostupnost stroje se toci okolo IPv6 protoze jeho IP6 je dosazitelna z Internetu a to nepotrebujeme proto chceme zabednit, zatlouct zvenci, v ramci LAN aby si komunikovali dle potreby. Chtel jsem se vyhnout nenadalemu zpristupneni systemu, uzivatelskych dat pouhym spustenim malinkeho httpd treba v Pythonu, Busyboxu apod (i pod beznym uzivatelem s portem nad 1024) nacez by mohlo byt snadno vse pristupne zvenci.
    IPv4 ktere taky uvadim je spis pro uplnost.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    otasomil avatar 26.2.2021 16:48 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Netusim proc takovou konfiguraci s REJECT kdo napsal takze si nechavam poradit.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    Řešení 1× (otasomil (tazatel))
    25.2.2021 09:25 trekker.dk | skóre: 72
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    ip6tables -A INPUT -j REJECT --reject-with icmp6-adm-prohibited
    Tohle je někde na pomezí mezi zbytečné a škodlivé. Pokud nechcete, aby se s vámi komunikovalo s internetu, tak je IMO lepší to dropnout, protože a) reject je výchozí chování i bez firewallu a b) představte si, kdy na vás někdo bude útočit z IP adres, které mu nepatří - vaše reject pravidlo bude posílat ICMP pakety tomu nešťastníkovi, jehož IP adresy byly zneužity

    Totéž pro IPv4

    Ohledně RELATED vám bude kernel nadávat, že automatické přiřazování helperů je deprecated, tj. - pokud jsem to správně pochopil - že byste měl zadat specifická pravidla pro ty protokoly, u kterých chcete related spojení sledovat, příklad:

    ct state related ct helper "ftp"

    A jinak druhý hlas: přepište to pro nft. Používání iptables v tomhle případě nemá žádné výhody.
    Quando omni flunkus moritati

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.