abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

    dnes 08:00 | Nová verze

    Po půl roce vývoje od vydání verze 5.8 byla vydána nová verze 5.9 svobodného open source redakčního systému WordPress. Kódové označení Josephine bylo vybráno na počest jazzové zpěvačky, herečky, tanečnice a bojovnice za svobodu a rovnoprávnost Josephine Bakerové.

    Ladislav Hagara | Komentářů: 0
    dnes 07:00 | Bezpečnostní upozornění

    Byly zveřejněny informace o zranitelnosti PwnKit zneužitelné k lokální eskalaci práv, aneb rootem snadno a rychle, pomocí pkexec z balíčku polkit. Jedná se o CVE-2021-4034 s CVSS 7.8. Zranitelné jsou všechny verze pkexec od první verze vydané v květnu 2009, tj. posledních více než 12 let. V upstreamu je chyba již opravena.

    Ladislav Hagara | Komentářů: 5
    včera 16:55 | Nová verze

    Flameshot (GitHub), nástroj pro vytváření a úpravu snímků obrazovky postavený nad frameworkem Qt, byl vydán ve verzi 11.0.0. Změněno bylo číslování verzí. Verze 11 následuje po verzi 0.10.

    Ladislav Hagara | Komentářů: 2
    včera 09:00 | Komunita

    V pátek 28. ledna začíná 14. ročník konference DevConf.CZ. Jde o každoroční komunitní konferenci pro vývojáře, administrátory, DevOps inženýry, testery, autory dokumentace a další přispěvatele či uživatele technologií open source. Konference proběhne podruhé online, a to v termínu 28. - 29. ledna.

    … více »
    Dorka | Komentářů: 6
    včera 08:00 | Nová verze

    Byla vydána nová verze 2.35.0 distribuovaného systému správy verzí Git. Přispělo 93 vývojářů, z toho 35 nových. Přehled novinek v příspěvku na blogu GitHubu a v poznámkách k vydání.

    Ladislav Hagara | Komentářů: 1
    včera 07:00 | Zajímavý software

    Giada je open source minimalistický softwarový nástroj pro tvorbu hudby navržený pro diskžokeje, elektronické hudebníky a živou produkci. Vydána byla verze 0.20.0 aneb Alicanto. Vedle zdrojových kódů je ke stažení také balíček ve formátu AppImage.

    Ladislav Hagara | Komentářů: 0
    včera 06:00 | Nová verze

    Byla vydána první alfa verze nové major verze 4.0 multiplatformního open source herního enginu Godot (Wikipedie, GitHub). Přehled novinek v příspěvku na blogu.

    Ladislav Hagara | Komentářů: 3
    24.1. 18:11 | Komunita

    Vývojáři Ubuntu MATE oznámili vydání Ubuntu MATE 21.10 pro 8 palcový UMPC notebook GPD Pocket 3.

    Ladislav Hagara | Komentářů: 0
    24.1. 13:22 | Zajímavý software

    Počítačová hra Oil Rush (Wikipedie) od UNIGINE běžící také na Linuxu byla vydána 25. ledna 2012. K desátému výročí je hra na Steamu zdarma.

    Ladislav Hagara | Komentářů: 0
    24.1. 12:44 | Nová verze

    Byla vydána nová verze 1.10.0 multiplatformního frontendu k emulátorům, herním enginům a multimediálním přehrávačům RetroArch (Wikipedie). Přehled novinek v příspěvku na blogu. RetroArch je k dispozici také na Steamu.

    Ladislav Hagara | Komentářů: 0
    Jestliže jste používali distribuci CentOS Linux, jejíž konec byl oznámen před rokem, kam jste přešli?
     (30%)
     (1%)
     (8%)
     (20%)
     (1%)
     (4%)
     (36%)
    Celkem 214 hlasů
     Komentářů: 14, poslední 14.1. 14:44
    Rozcestník



    Dotaz: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site

    otasomil avatar 24.2.2021 16:58 otasomil | skóre: 39 | blog: puppylinux
    IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Přečteno: 334×
    Zdravim ve spolek. Po nejakej dobe nasazuji FW s pomoci iptables a ip6tables a mam tu jednu osvedcenou konfiguraci z minulosti a tak si rikam jestli je porad adekvatne pouzitelna, bezpecna apod... Nechci precejen IPv6 vynechat, uz je tu dlouho, jen nechci aby stroj byl dostupny z Internetu.
    Cilem je aby PC (server) mohl kamkoliv ven po IPv4 a IPv6 avsak byl dostupny pouze z adres v siti v ktere se nachazi. Z poznamek mam toto:
    # Sekce IPv6:
    ip6tables -P INPUT DROP
    ip6tables -A INPUT -i lo -j ACCEPT
    ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
    ip6tables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    ip6tables -A INPUT -m state --state INVALID -j DROP
    ip6tables -A INPUT -s 2a02:339:2f:7a::/64 -j ACCEPT
    ip6tables -A INPUT -j REJECT --reject-with icmp6-adm-prohibited
    
    
    
    # Sekce IPv4:
    iptables -P INPUT DROP
    iptables -A INPUT -i lo -j ACCEPT
    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    iptables -A INPUT -m state --state INVALID -j DROP
    iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
    iptables -A INPUT -p icmp -j ACCEPT
    iptables -A INPUT -j REJECT --reject-with icmp-admin-prohibited
    
    S tim ze podleva techto pravidel bude server dostupny na IPv4 pouze z adres:
    192.168.1.0 - 192.168.1.254
    
    A na IPv6 pouze z tohoto rozsahu adres:
    2a02:339:2f:7a:0000:0000:0000:0001 - 2a02:339:2f:7a:ffff:ffff:ffff:ffff
    
    IPv6 adresa ze zamerne zmenena na nahodno. Diky za info, zkusenosti, elegantnejsi reseni.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý

    Řešení dotazu:


    Odpovědi

    24.2.2021 19:21 Andrej | skóre: 49 | blog: Republic of Mordor
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    IPtables IPv6…

    <offtopic>Firewall v Linuxu se dnes jmenuje nftables. Použití různých legacy rozhraní je všeho všudy akumulace technologického dluhu.</offtopic>

    Server nebude dostupný na zavřených portech, kde nic neposlouchá. To je sice chabá útěcha, pokud se něco uvnitř serveru nechová korektně, ale přece jenom bych doporučoval nepřeceňovat význam firewallu.

    Pokud jde o klasický „trik“ s příjmem related, established a ničeho jiného, ten je popsaný třeba tady.

    otasomil avatar 25.2.2021 19:40 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Sken portu z VPS na onen server (IPv6) vypise na vsech portech FILTERED. S vychozim stavem ip6tables je vse CLOSE a porty kde opravdu neco posloucha (80, 443) jsou OPEN Asi to necham s nastavenim jak jsem uvedl v dotazu, zabranim tak zpristupneni jakekoli naslouchajici sluzby z Internetu.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    26.2.2021 00:22 trekker.dk | skóre: 71
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Škodíte ostatním. Děkujeme pěkně.
    Quando omni flunkus moritati
    otasomil avatar 26.2.2021 04:52 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Cili lepsi nastaveni?
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    otasomil avatar 26.2.2021 05:13 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    # Sekce IPv6:
    ip6tables -P INPUT DROP
    ip6tables -A INPUT -i lo -j ACCEPT
    ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
    ip6tables -A INPUT -m state --state ESTABLISHED -j ACCEPT
    ip6tables -A INPUT -m state --state INVALID -j DROP
    ip6tables -A INPUT -s 2a02:339:2f:7a::/64 -j ACCEPT
    ip6tables -A INPUT -j DROP --reject-with icmp6-adm-prohibited
    
    A obdobne i pro IPv4?
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    26.2.2021 09:32 trekker.dk | skóre: 71
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Když už jste pevně rozhodnutý nepřekonat lenost a nepřepsat těch 6 pravidel pro nftables, tak ip6tables -A INPUT -j DROP . Žádné reject-with . Důvod máte v #4
    Quando omni flunkus moritati
    otasomil avatar 26.2.2021 16:46 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    OK diky za info. Nftables prozkoumam. Aktualne davam iptables, ip6tables dle Vaseho doporuceni. Kdoviproc takovouto jak pisete nevhod konfiguraci napsal, mam to nekde z netu uz ani nevim odkud, je to uz hafo let.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    24.2.2021 23:08 X
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Vzhledem k tomu, ze ten server neroutuje a je schovany v lokalni siti s nim stejne nikdo jiny nez lokalni zarizeni komunikovat ani nemuze..
    25.2.2021 08:46 MP
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    A vsiml jste si te ipv6 adresy?
    25.2.2021 18:53 Peter Golis | skóre: 62 | blog: Bežné záležitosti | Bratislava
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Veď písal že ju zmenil na náhodno.
    otasomil avatar 25.2.2021 19:24 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Veď písal že ju zmenil na náhodno.
    Na nahodno jsem ji zmenil sem do poradny abyste na stroj nezacali tlouct protoze IPv6 adresy jsou globalne dostupne - router je tak nastaven. Jinak je tam samozrejme adresa z rozsahu co dava router.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    26.2.2021 07:38 j
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Tak nejen ze tu blaboli Andrejko ... mame tu i dasiho, dokonalyho veleblba!

    S libovolnym strojem v libovolny lokalni siti lze navazat bez dalsiho komunikaci. A to samozrejme i pres NAT.

    2otasomil: Vazne tam chces ten reject? De o to, ze kdyz ti na ten stroj dorucim paket, tak posle, klidne na jinej stroj (v zavislosti na src) odpoved. Takze za DOSujiciho utocnika budes ty.

    Ten reject ma smysl tak do vnitrni site, coz ale nechces, takze lepsi je nechat proste drop.

    ---

    Dete s tim guuglem dopice!
    26.2.2021 08:43 X
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    S libovolnym strojem v libovolny lokalni siti lze navazat bez dalsiho komunikaci. A to samozrejme i pres NAT.
    Mohl by si prosimte navazat komunikaci s mim strojem na 192.168.0.136. Necham tu otevrene SSH, uzivatel 'jecko', heslo bude 'jasne'..
    otasomil avatar 26.2.2021 17:04 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Globalni dostupnost stroje se toci okolo IPv6 protoze jeho IP6 je dosazitelna z Internetu a to nepotrebujeme proto chceme zabednit, zatlouct zvenci, v ramci LAN aby si komunikovali dle potreby. Chtel jsem se vyhnout nenadalemu zpristupneni systemu, uzivatelskych dat pouhym spustenim malinkeho httpd treba v Pythonu, Busyboxu apod (i pod beznym uzivatelem s portem nad 1024) nacez by mohlo byt snadno vse pristupne zvenci.
    IPv4 ktere taky uvadim je spis pro uplnost.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    otasomil avatar 26.2.2021 16:48 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Netusim proc takovou konfiguraci s REJECT kdo napsal takze si nechavam poradit.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    Řešení 1× (otasomil (tazatel))
    25.2.2021 09:25 trekker.dk | skóre: 71
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    ip6tables -A INPUT -j REJECT --reject-with icmp6-adm-prohibited
    Tohle je někde na pomezí mezi zbytečné a škodlivé. Pokud nechcete, aby se s vámi komunikovalo s internetu, tak je IMO lepší to dropnout, protože a) reject je výchozí chování i bez firewallu a b) představte si, kdy na vás někdo bude útočit z IP adres, které mu nepatří - vaše reject pravidlo bude posílat ICMP pakety tomu nešťastníkovi, jehož IP adresy byly zneužity

    Totéž pro IPv4

    Ohledně RELATED vám bude kernel nadávat, že automatické přiřazování helperů je deprecated, tj. - pokud jsem to správně pochopil - že byste měl zadat specifická pravidla pro ty protokoly, u kterých chcete related spojení sledovat, příklad:

    ct state related ct helper "ftp"

    A jinak druhý hlas: přepište to pro nft. Používání iptables v tomhle případě nemá žádné výhody.
    Quando omni flunkus moritati

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.