abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 17:44 | Nová verze

Společnost PINE64 stojící za telefonem PinePhone, notebooky Pinebook a Pinebook Pro, IP kamerou PineCube, hodinkami PineTime, páječkou (pájecím perem) Pinecil, zdroji PinePower nebo RISC-V vývojovou deskou PineCone publikovala na svém blogu květnový souhrn novinek (YouTube). Zmínit lze například prototyp klávesnice k PinePhonu, vybraný název PineDio pro PINE64 LoRA ekosystém nebo Fedora Linux na Pinebooku Pro.

Ladislav Hagara | Komentářů: 0
dnes 16:33 | Zajímavý software

V prosinci loňského roku byl představen Rizin, fork frameworku pro reverzní inženýrství a analýzu binárních souborů radare2 (r2). Vývojáři Rizinu si vzali s sebou Cutter, do té doby grafickou nadstavbu nad radare2 (r2). Vývojáři radare2 (r2) tedy přejmenovali svou nadstavbu na r2cutter. Dnes je to už ale iaito. Vývojáři se vrátili ke jménu projektu (iaito), ze kterého vznikl Cutter.

Ladislav Hagara | Komentářů: 0
dnes 09:00 | Nová verze

Byla vydána nová verze 12.0.0 open source webového aplikačního frameworku Angular (Wikipedie). Přehled novinek v příspěvku na blogu.

Ladislav Hagara | Komentářů: 2
včera 14:00 | Nová verze

Po osmi letech vývoje byla vydána verze 3 programovacího jazyka Scala (Wikipedie). Přehled novinek v aktualizované dokumentaci.

Ladislav Hagara | Komentářů: 0
včera 11:00 | Komunita

O víkendu 15. a 16. května probíhá AlpineConf 2021, tj. online konference vývojářů a uživatelů Alpine Linuxu.

Ladislav Hagara | Komentářů: 0
včera 08:00 | IT novinky

Byl spuštěn, zatím jenom v USA, předprodej v únoru představeného modulárního notebooku Framework. Cena sestaveného notebooku (Framework Laptop) začíná na 999 dolarech. Cena stavebnice (DIY Edition) bez Windows 10 a také bez paměti, disku a Wi-Fi začíná na 749 dolarech.

Ladislav Hagara | Komentářů: 17
13.5. 18:11 | IT novinky

Společnost System76 prodávající počítače s předinstalovaným Pop!_OS nebo Ubuntu spustila předprodej své open source klávesnice Launch. Její cena je 285 dolarů.

Ladislav Hagara | Komentářů: 25
13.5. 18:00 | Nová verze

Vývojáři PostgreSQL oznámili vydání verzí 13.3, 12.7, 11.12, 10.17 a 9.6.22. Opraveno je více než 45 chyb. Řešeny jsou také 3 bezpečnostní chyby (CVE-2021-32027, CVE-2021-32028 a CVE-2021-32029). Upstream podpora verze 9.6 končí 11. listopadu letošního roku.

Ladislav Hagara | Komentářů: 0
13.5. 09:00 | Zajímavý software

Vývojáři Sequoia PGP, tj. implementace OpenPGP v programovacím jazyce Rust, na svém blogu představili certifikační autoritu pro OpenPGP OpenPGP CA. Nejnovější verzi 0.10.1 lze instalovat z crates.io. Zdrojové kódy jsou k dispozici na GitLabu.

Ladislav Hagara | Komentářů: 0
13.5. 08:00 | Nová verze

Byly vydány nové major verze webového frameworku Flask (Wikipedie) napsaného v Pythonu a souvisejících knihoven. Podrobnosti v příspěvku Flask 2.0, Werkzeug 2.0, Jinja 3.0, Click 8.0, ItsDangerous 2.0 a MarkupSafe 2.0 na blogu Pallets Projects.

Ladislav Hagara | Komentářů: 0
Transakční aktualizace
 (18%)
 (4%)
 (6%)
 (3%)
 (9%)
 (60%)
Celkem 176 hlasů
 Komentářů: 0
Rozcestník

Dotaz: Apache nenaslouchá?

21.4. 16:08 semtex | skóre: 23 | blog: semtex
Apache nenaslouchá?
Přečteno: 339×
Ahoj, kamarád chtěl něco nastavit na pronajatém virtuálním serveru s CentOS.

Nainstaloval jsem tam apache, port 80 je otevřený, přímo ze serveru "lynx localhost" se na stránky dostanu, ovšem zvenku se tváří, že je port zavřený:
root@mail:~# nmap -p 80 ipaddr

Starting Nmap 6.47 ( http://nmap.org ) at 2021-04-21 15:59 CEST
Nmap scan report for name (ipaddr)
Host is up (0.011s latency).
PORT   STATE    SERVICE
80/tcp filtered http

Nmap done: 1 IP address (1 host up) scanned in 1.37 seconds
Firewall tam není. Mám pocit, že jsem asi zapomněl na nějakou blbost v konfiguraci apache, ale nějak na to nemůžu přijít.

Dík za kopanec.

Řešení dotazu:


Odpovědi

21.4. 16:13 jiwopene | skóre: 28 | blog: Od každého trochu…
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
To znamená že nejen nenaslouchá, ale ani neřekne nic o tom, že tam nikdo nenaslouchá. Opravdu tam není firewall, resp. nějaké pravidlo iptables/…?

Jak vypadá nmap localhostu z daného stroje?

Jak vypadá Listen v konfigraci Apache?
.sig virus 3.2_cz: Prosím, okopírujte tento text do vaší patičky.
21.4. 16:26 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
v konf. apache je toto:

Listen 80

a výstup nmap je:
nmap localhost
Starting Nmap 7.70 ( https://nmap.org ) at 2021-04-21 16:25 CEST
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000070s latency).
Other addresses for localhost (not scanned): ::1
Not shown: 997 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
3306/tcp open  mysql

Nmap done: 1 IP address (1 host up) scanned in 1.66 seconds
21.4. 16:17 Filip Jirsák | skóre: 67 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Není Apache nastaven, aby naslouchal jen na localhostu? Co vypíše následující příkaz?
netstat -nltp
21.4. 16:18 Filip Jirsák | skóre: 67 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Ten příkaz netstat spusťte na tom počítači s Apachem…
21.4. 16:24 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
toto:
netstat -nltp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:5355            0.0.0.0:*               LISTEN      1143/systemd-resolv
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      19468/sshd
tcp        0      0 0.0.0.0:10050           0.0.0.0:*               LISTEN      26215/zabbix_agentd
tcp        0      0 0.0.0.0:10051           0.0.0.0:*               LISTEN      27311/zabbix_server
tcp6       0      0 :::3306                 :::*                    LISTEN      25877/mysqld
tcp6       0      0 :::5355                 :::*                    LISTEN      1143/systemd-resolv
tcp6       0      0 :::80                   :::*                    LISTEN      84076/httpd
tcp6       0      0 :::22                   :::*                    LISTEN      19468/sshd
tcp6       0      0 :::10050                :::*                    LISTEN      26215/zabbix_agentd
tcp6       0      0 :::10051                :::*                    LISTEN      27311/zabbix_server
tcp6       0      0 :::33060                :::*                    LISTEN      25877/mysqld
21.4. 17:05 j
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
A mas IPv6? Zkus to po ni, v LAN nepotrebujes ani verejny adresy, stacej ti linkovy (fe80::).

Tenhle vypis je totiz takovej meh ... jak muzes sam videt.

Trebas sshd je krasnej priklad, kdy ho vidis jak na ipv4 tak na ipv6(+ipv4) ...

Totizto :: by spravne melo znamenat vse, vcetne IPv4, coz je presne pripad toho apache, kterej tam vidis prave jen na tom (a ze to tak je, sis overil sam tim nmapem na localhost, protoze sel na IPv4).

Jinak se da predpokladat, ze mas v ceste nejakej firewall (ten nemusi byt nutne na stroji, na kterym mas toho apache). Odladit to muzes tak, ze si pustis trebas tcpdump (na tom stroji s apachem a zafiltrovanej na port 80). Minimalne uvidis, jestli dorazi pakety od klienta, pripadne zda mu jsou odeslany nejaky odpovedi.

---

Dete s tim guuglem dopice!
21.4. 17:51 PetebLazar | skóre: 26 | blog: l_eonardovo_odhodlani
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
U těch :: je vpředu zmíněno tcp6, v případě funkčního IPv4 poslechu na všech IP adresách bych očekával ve výpisu řádek s tcp .... 0.0.0.0:80 .... LISTEN .....
21.4. 18:21 j
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Mno vis, ono je to i tim, ze tenhle nastroj stejne jako trebas ifconfig ... nefunguje. Respektive co ti ukaze zalezi na ruznych okolnostech a neni to uplne koser. Spravne bys mel pouzit ss. Jenze to zas generuje pomerne hnusny vystup, a tohle vetsinou staci.

Co bys ocekaval je pak nepodstatny, je to jak sem napsal a muzes si to klidne overit. Apache (a dalsi servisy) vzdy podle tohodle vypisu nasloucha na :: ale to neznamena, ze neni na IPv4. A spravne je tam i to tcp6 ... protoze i to v sobe obsahuje celou Ipv4. Je to tak navrzeny.

Kdyz si pustis to spravny ss, tak ti to samo rozepise spravne.

---

Dete s tim guuglem dopice!
Jendа avatar 21.4. 17:00 Jendа | skóre: 77 | blog: Jenda | JO70FB
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Firewall tam není.
Opravdu? Ne CentOSu býval defaultně zapnutý a všechno zakázáno.

iptables-save

tcpdump -i eth0 port 80

traceroute -Tp 80 stroj
21.4. 18:45 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
hmm, je tam toto, default policy ACCEPT:
iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
f2b-SSH    tcp  --  anywhere             anywhere             tcp dpt:ssh
ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere             state NEW tcp dpt:ssh
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain f2b-SSH (1 references)
target     prot opt source               destination
REJECT     all  --  147.139.135.49       anywhere             reject-with icmp-port-unreachable
REJECT     all  --  218.92.0.175         anywhere             reject-with icmp-port-unreachable
REJECT     all  --  221.181.185.153      anywhere             reject-with icmp-port-unreachable
REJECT     all  --  221.181.185.135      anywhere             reject-with icmp-port-unreachable
REJECT     all  --  101.6.64.76          anywhere             reject-with icmp-port-unreachable
RETURN     all  --  anywhere             anywhere
21.4. 20:51 j
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Default je nezajimavej ...

Z toho vypisu:

Mas tam vymenovany IPcka, kterym to nepovoli SSH, coz ti tam generuje f2b. To je prvni pravidlo. Pak mas povoleni uz navazanych pripojeni. Mas kompletne povoleny ICMP (coz neni na ipv4 dobre). Pak mas povoleno vse, coz znamena, ze tim koncis a dal se paket nedostane. Ty dalsi pravidla jsou tam uplne knicemu jedno povoluje ssh, duhy zase !naprosto spatne! ** vse odmita).

Takze prakticky jediny pravidlo ktery tam dava nejakej smysl je jen to prvni, ostatni jsou nanic.

Na outputu nic nemas, takze tohle by pouziti http branit nemelo.

Mas zakazany routovani, coz je ovsem blbost delat takhle, protoze DROP na chainu je mnohem prihodnejsi. Takhle muzes tak akorat slouzit jako forwarder nejakyho toho ddosu.

Spis se mrkni na iptables -nvL, to ti zobrazi i citace (zajimaji te pocty paketu) u jednotlivych pravidel + dalsi podrobnosti.

**

Pamatuj si, ze na verejne dostupny siti nema reject v prakticky 100% pripadu vubec co pohledavat. Protoze tim docilis pouze toho, ze kdyz ti ja poslu paket from prezident ... tak ty posles prezidentovi, ze paket neprijimas. A tvoje IP skonci na nejakym blacklistu. Verejnej firewall by vzdy mel mit policy (ten default) na drop. Proste kdyz dorazi neco co nechces, tak to potichu zahodis. Mimochodem to samo naprosto blbe dela i ten f2b. Coz je kapitola sama pro sebe, v tyhle podobe (tak jak se chova tobe) ti na tvuj stroj udelat DOS je naprosta trivka, behem par minut ti vygeneruju miliony pravidel a tvuj firewall se z toho podela.

****

Ad ten zbytek co z nej nejsi moudrej, nebudu z toho delat dalsi prispevek zasratymu guuglu, takze posilas pakety na port 80 a v ty druhy casti vidis, ze prichazeji, ale neni tam zadna odezva, coz je spatne.

Kdyby to fungovalo spravne, bude tam neco jako:

...IP mail.vidocq.cz.34359 > ZABBIX-SPRINC.http:...
...IP ZABBIX-SPRINC.http > mail.vidocq.cz.34359:...

Tzn ty posles pozadavek na server a on ti odpovi. Tudiz problem je jednoznacne na strane toho serveru, protoze neodpovi.

Takze co me napada jsou dve veci, posilas odpoved jinam nez na eth0. Mas blbe nakonfigurovanej apache. V obou pripadech bys ale mel v logu apache videt nejaky pokusy, takze se tam podivej, jestli tam neco je, tak to znamena, ze ty pozadavky mu dojdou.

---

Dete s tim guuglem dopice!
21.4. 21:00 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Že je fw divně nakonfigurovaný jsem si všiml, jen jsem ho neřešil, protože ten si konfiguroval kamarád nebo to je nějaký defaultní,netuším. Každodenně toho rejectu na konci jsem si zezačátku nevšiml.
21.4. 20:52 jejda | skóre: 14 | blog: jejda
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
To jestli ten port 80 něco zvenku neblokuje se dá hezky zjistit netcatem. První na webserveru preventivně vypnout httpd a pustit něco takového:
echo "test portu 80" | nc -l 80
a potom rychle na nějakém venkovním stroji:
nc ipadresa 80
pokud se venku nevypíše hláška "test portu 80" nebo to zůstane viset tak je port zablokovaný. Když se hláška vypíše, tak připojení zvenku funguje a třeba hledat chybu u apache.
21.4. 18:49 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Tak jsem to zkusil a bohužel z toho nejsem moudrej :-( poradíš?

Stroj zvenku:
traceroute -Tp 80 185.33.146.22
traceroute to 185.33.146.22 (185.33.146.22), 30 hops max, 60 byte packets
 1  80.188.65.49 (80.188.65.49)  2.140 ms  2.134 ms  2.129 ms
 2  80.188.61.133 (80.188.61.133)  6.691 ms  6.814 ms *
 3  194.228.21.248 (194.228.21.248)  7.017 ms  7.048 ms  7.079 ms
 4  nix1.forpsi.net (91.210.16.165)  7.253 ms  7.361 ms  7.392 ms
 5  primary.ant-core.forpsi.net (81.2.192.17)  11.206 ms  11.234 ms primary.bee-core.forpsi.net (81.2.192.18)  11.266 ms
 6  ant-cloud.cloud-ant-bee.forpsi.net (81.2.192.86)  11.296 ms  10.609 ms  10.815 ms
 7  22.146.forpsi.net (185.33.146.22)  10.085 ms !X  9.945 ms !X  9.964 ms !X
Stroj CentOS:
18:48:56.484873 IP mail.vidocq.cz.34359 > ZABBIX-SPRINC.http: Flags [S], seq 640284538, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492723 IP mail.vidocq.cz.38677 > ZABBIX-SPRINC.http: Flags [S], seq 1554297249, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492804 IP mail.vidocq.cz.45342 > ZABBIX-SPRINC.http: Flags [S], seq 1673059401, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492870 IP mail.vidocq.cz.44436 > ZABBIX-SPRINC.http: Flags [S], seq 3673617351, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492935 IP mail.vidocq.cz.57813 > ZABBIX-SPRINC.http: Flags [S], seq 1654734469, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492978 IP mail.vidocq.cz.59228 > ZABBIX-SPRINC.http: Flags [S], seq 3665897472, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493042 IP mail.vidocq.cz.33107 > ZABBIX-SPRINC.http: Flags [S], seq 356597788, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493061 IP mail.vidocq.cz.35851 > ZABBIX-SPRINC.http: Flags [S], seq 355393615, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493092 IP mail.vidocq.cz.47913 > ZABBIX-SPRINC.http: Flags [S], seq 2167892113, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493218 IP mail.vidocq.cz.35822 > ZABBIX-SPRINC.http: Flags [S], seq 4228978800, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493241 IP mail.vidocq.cz.34692 > ZABBIX-SPRINC.http: Flags [S], seq 3918852924, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493330 IP mail.vidocq.cz.37764 > ZABBIX-SPRINC.http: Flags [S], seq 183296150, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493353 IP mail.vidocq.cz.54639 > ZABBIX-SPRINC.http: Flags [S], seq 2909460348, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
Řešení 1× (Filip Jirsák)
21.4. 20:39 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Všechno špatně, beru zpět. Jsem lama :-( Až teď jsem si všiml, že na konci fw je pravidlo všechno REJECT.

Omlouvám se.
21.4. 22:17 Filip Jirsák | skóre: 67 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
To pravidlo ACCEPT all, které je předtím, bude mít nejspíš ještě nějaké další podmínky, které v tomhle výpisu nejsou vidět – např. rozhraní. Doporučuju do výpisu iptables přidávat -v. A také se hodí přidávat tam -n, nejsem ve výpisu iptables zvědav na DNS názvy, a ještě na to čekat, než se to přeloží… Takže automaticky píšu iptables -nvL.
Jendа avatar 21.4. 22:22 Jendа | skóre: 77 | blog: Jenda | JO70FB
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Proto jsem mu říkal, že má použít iptables-save, což vypíše kompletní pravidla tak jak byla přidávána… (a třeba i včetně dalších tabulek, které se jinak musí explicitně vyžadovat (např. -t nat)).

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.