abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 07:00 | Nová verze

Po půl roce od vydání verze 2.33 byla vydána nová verze 2.34 knihovny glibc (GNU C Library). Přehled novinek v poznámkách k vydání.

Ladislav Hagara | Komentářů: 1
včera 16:00 | Komunita

V září 2018 byl představen web data.firefox.com s veřejnými daty o Firefoxu. Aktuální počet aktivních uživatelů (Monthly Active Users) je 197 miliónů. Před rokem to bylo 211 miliónů. Před dvěma roky 223 miliónu. Nejvíce, 253 miliónů, to bylo v lednu 2019. Od té doby tedy pokles o 55 miliónů uživatelů.

Ladislav Hagara | Komentářů: 23
včera 13:00 | IT novinky

Digitální knihovna Internet Archive / Wayback Machine letos slaví 25 let od svého vzniku. Virtuální oslava proběhne 21. října.

Ladislav Hagara | Komentářů: 4
včera 12:00 | Zajímavý článek

Dragos Barosan ve svém článku New in Git: switch and restore popisuje dva nové příkazy verzovacího systému git. Původně k přepnutí pracovního stromu do jiné větve i k zahození lokálních změn v souborech sloužil příkaz git checkout, což bylo nepřehledné pro nové uživatele. Nyní pro tyto dvě akce přibyly dva nové jednoúčelné příkazy, které práci s gitem mají zjednodušit.

Harvie.CZ | Komentářů: 3
včera 08:00 | IT novinky

Společnost Valve aktualizovala přehled o hardwarovém a softwarovém vybavení uživatelů služby Steam. Podíl uživatelů Linuxu aktuálně činí 1,00 %. Před měsícem to bylo 0,89 %. Nejčastěji používanou linuxovou distribucí je Ubuntu 20.04.2 LTS 64 bit. Přehled her oficiálně podporujících SteamOS a Linux na stránkách Steamu. Přehled her pro Windows běžících na Linuxu díky Protonu na stránkách ProtonDB.

Ladislav Hagara | Komentářů: 0
včera 07:00 | Zajímavý projekt

Na Humble Bundle byla spuštěna akce Humble RPG Heroes Bundle. Za 1 euro lze koupit počítačovou hru Delver. Za 7 euro lze koupit navíc hry Tower of Time a Swords & Souls: Neverseen. Za 8 euro navíc Dreadlands, Slasher's Keep a Quest Hunter. Hry Delver, Tower of Time a Quest Hunter běží na Linuxu přímo. Zbylé tři s využitím Protonu nebo Wine.

Ladislav Hagara | Komentářů: 0
včera 06:00 | Zajímavý článek

Jiří Eischmann v příspěvku Elektronický podpis a Linux v roce 2021 na svém blogu řeší získání kvalifikovaného certifikátu pro elektronický podpis u České pošty a možnosti jeho využití v Linuxu.

Ladislav Hagara | Komentářů: 0
31.7. 16:55 | Nová verze

Nová čísla časopisů od nakladatelství Raspberry Pi: MagPi 108 (pdf), HackSpace 45 (pdf) a Wireframe 52 (pdf).

Ladislav Hagara | Komentářů: 0
31.7. 16:44 | Zajímavý projekt

Jeff Geerling, který se věnuje mj. testování kompatibility různých komponent s Raspberry Pi, oznamuje, že se mu podařilo dosáhnout povolení SATA ve výchozí konfiguraci jádra Raspberry Pi OS, oficiální distribuce pro Raspberry Pi. Zavádění systému ale zatím není připraveno na start ze SATA úložiště.

Fluttershy, yay! | Komentářů: 3
31.7. 16:33 | Zajímavý projekt

Emmanuele Bassi oznámil spuštění nového webu s dokumentací pro vývojáře aplikací pro desktopové prostředí GNOME. Web je generován pomocí nástroje Sphinx. Starý web je stále dostupný.

Fluttershy, yay! | Komentářů: 0
Jak synchronizujete data mezi zařízeními?
 (17%)
 (21%)
 (10%)
 (17%)
 (35%)
Celkem 48 hlasů
 Komentářů: 6, poslední dnes 08:19
Rozcestník



Dotaz: Apache nenaslouchá?

21.4. 16:08 semtex | skóre: 23 | blog: semtex
Apache nenaslouchá?
Přečteno: 340×
Ahoj, kamarád chtěl něco nastavit na pronajatém virtuálním serveru s CentOS.

Nainstaloval jsem tam apache, port 80 je otevřený, přímo ze serveru "lynx localhost" se na stránky dostanu, ovšem zvenku se tváří, že je port zavřený:
root@mail:~# nmap -p 80 ipaddr

Starting Nmap 6.47 ( http://nmap.org ) at 2021-04-21 15:59 CEST
Nmap scan report for name (ipaddr)
Host is up (0.011s latency).
PORT   STATE    SERVICE
80/tcp filtered http

Nmap done: 1 IP address (1 host up) scanned in 1.37 seconds
Firewall tam není. Mám pocit, že jsem asi zapomněl na nějakou blbost v konfiguraci apache, ale nějak na to nemůžu přijít.

Dík za kopanec.

Řešení dotazu:


Odpovědi

21.4. 16:13 jiwopene | skóre: 28 | blog: Od každého trochu…
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
To znamená že nejen nenaslouchá, ale ani neřekne nic o tom, že tam nikdo nenaslouchá. Opravdu tam není firewall, resp. nějaké pravidlo iptables/…?

Jak vypadá nmap localhostu z daného stroje?

Jak vypadá Listen v konfigraci Apache?
.sig virus 3.2_cz: Prosím, okopírujte tento text do vaší patičky.
21.4. 16:26 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
v konf. apache je toto:

Listen 80

a výstup nmap je:
nmap localhost
Starting Nmap 7.70 ( https://nmap.org ) at 2021-04-21 16:25 CEST
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000070s latency).
Other addresses for localhost (not scanned): ::1
Not shown: 997 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
3306/tcp open  mysql

Nmap done: 1 IP address (1 host up) scanned in 1.66 seconds
21.4. 16:17 Filip Jirsák | skóre: 68 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Není Apache nastaven, aby naslouchal jen na localhostu? Co vypíše následující příkaz?
netstat -nltp
21.4. 16:18 Filip Jirsák | skóre: 68 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Ten příkaz netstat spusťte na tom počítači s Apachem…
21.4. 16:24 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
toto:
netstat -nltp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:5355            0.0.0.0:*               LISTEN      1143/systemd-resolv
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      19468/sshd
tcp        0      0 0.0.0.0:10050           0.0.0.0:*               LISTEN      26215/zabbix_agentd
tcp        0      0 0.0.0.0:10051           0.0.0.0:*               LISTEN      27311/zabbix_server
tcp6       0      0 :::3306                 :::*                    LISTEN      25877/mysqld
tcp6       0      0 :::5355                 :::*                    LISTEN      1143/systemd-resolv
tcp6       0      0 :::80                   :::*                    LISTEN      84076/httpd
tcp6       0      0 :::22                   :::*                    LISTEN      19468/sshd
tcp6       0      0 :::10050                :::*                    LISTEN      26215/zabbix_agentd
tcp6       0      0 :::10051                :::*                    LISTEN      27311/zabbix_server
tcp6       0      0 :::33060                :::*                    LISTEN      25877/mysqld
21.4. 17:05 j
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
A mas IPv6? Zkus to po ni, v LAN nepotrebujes ani verejny adresy, stacej ti linkovy (fe80::).

Tenhle vypis je totiz takovej meh ... jak muzes sam videt.

Trebas sshd je krasnej priklad, kdy ho vidis jak na ipv4 tak na ipv6(+ipv4) ...

Totizto :: by spravne melo znamenat vse, vcetne IPv4, coz je presne pripad toho apache, kterej tam vidis prave jen na tom (a ze to tak je, sis overil sam tim nmapem na localhost, protoze sel na IPv4).

Jinak se da predpokladat, ze mas v ceste nejakej firewall (ten nemusi byt nutne na stroji, na kterym mas toho apache). Odladit to muzes tak, ze si pustis trebas tcpdump (na tom stroji s apachem a zafiltrovanej na port 80). Minimalne uvidis, jestli dorazi pakety od klienta, pripadne zda mu jsou odeslany nejaky odpovedi.

---

Dete s tim guuglem dopice!
21.4. 17:51 PetebLazar | skóre: 27 | blog: l_eonardovo_odhodlani
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
U těch :: je vpředu zmíněno tcp6, v případě funkčního IPv4 poslechu na všech IP adresách bych očekával ve výpisu řádek s tcp .... 0.0.0.0:80 .... LISTEN .....
21.4. 18:21 j
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Mno vis, ono je to i tim, ze tenhle nastroj stejne jako trebas ifconfig ... nefunguje. Respektive co ti ukaze zalezi na ruznych okolnostech a neni to uplne koser. Spravne bys mel pouzit ss. Jenze to zas generuje pomerne hnusny vystup, a tohle vetsinou staci.

Co bys ocekaval je pak nepodstatny, je to jak sem napsal a muzes si to klidne overit. Apache (a dalsi servisy) vzdy podle tohodle vypisu nasloucha na :: ale to neznamena, ze neni na IPv4. A spravne je tam i to tcp6 ... protoze i to v sobe obsahuje celou Ipv4. Je to tak navrzeny.

Kdyz si pustis to spravny ss, tak ti to samo rozepise spravne.

---

Dete s tim guuglem dopice!
Jendа avatar 21.4. 17:00 Jendа | skóre: 77 | blog: Jenda | JO70FB
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Firewall tam není.
Opravdu? Ne CentOSu býval defaultně zapnutý a všechno zakázáno.

iptables-save

tcpdump -i eth0 port 80

traceroute -Tp 80 stroj
Je to vlastně jenom taková obyčejná mikrovlnka, jenom otevřená ven.
21.4. 18:45 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
hmm, je tam toto, default policy ACCEPT:
iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
f2b-SSH    tcp  --  anywhere             anywhere             tcp dpt:ssh
ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere             state NEW tcp dpt:ssh
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain f2b-SSH (1 references)
target     prot opt source               destination
REJECT     all  --  147.139.135.49       anywhere             reject-with icmp-port-unreachable
REJECT     all  --  218.92.0.175         anywhere             reject-with icmp-port-unreachable
REJECT     all  --  221.181.185.153      anywhere             reject-with icmp-port-unreachable
REJECT     all  --  221.181.185.135      anywhere             reject-with icmp-port-unreachable
REJECT     all  --  101.6.64.76          anywhere             reject-with icmp-port-unreachable
RETURN     all  --  anywhere             anywhere
21.4. 20:51 j
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Default je nezajimavej ...

Z toho vypisu:

Mas tam vymenovany IPcka, kterym to nepovoli SSH, coz ti tam generuje f2b. To je prvni pravidlo. Pak mas povoleni uz navazanych pripojeni. Mas kompletne povoleny ICMP (coz neni na ipv4 dobre). Pak mas povoleno vse, coz znamena, ze tim koncis a dal se paket nedostane. Ty dalsi pravidla jsou tam uplne knicemu jedno povoluje ssh, duhy zase !naprosto spatne! ** vse odmita).

Takze prakticky jediny pravidlo ktery tam dava nejakej smysl je jen to prvni, ostatni jsou nanic.

Na outputu nic nemas, takze tohle by pouziti http branit nemelo.

Mas zakazany routovani, coz je ovsem blbost delat takhle, protoze DROP na chainu je mnohem prihodnejsi. Takhle muzes tak akorat slouzit jako forwarder nejakyho toho ddosu.

Spis se mrkni na iptables -nvL, to ti zobrazi i citace (zajimaji te pocty paketu) u jednotlivych pravidel + dalsi podrobnosti.

**

Pamatuj si, ze na verejne dostupny siti nema reject v prakticky 100% pripadu vubec co pohledavat. Protoze tim docilis pouze toho, ze kdyz ti ja poslu paket from prezident ... tak ty posles prezidentovi, ze paket neprijimas. A tvoje IP skonci na nejakym blacklistu. Verejnej firewall by vzdy mel mit policy (ten default) na drop. Proste kdyz dorazi neco co nechces, tak to potichu zahodis. Mimochodem to samo naprosto blbe dela i ten f2b. Coz je kapitola sama pro sebe, v tyhle podobe (tak jak se chova tobe) ti na tvuj stroj udelat DOS je naprosta trivka, behem par minut ti vygeneruju miliony pravidel a tvuj firewall se z toho podela.

****

Ad ten zbytek co z nej nejsi moudrej, nebudu z toho delat dalsi prispevek zasratymu guuglu, takze posilas pakety na port 80 a v ty druhy casti vidis, ze prichazeji, ale neni tam zadna odezva, coz je spatne.

Kdyby to fungovalo spravne, bude tam neco jako:

...IP mail.vidocq.cz.34359 > ZABBIX-SPRINC.http:...
...IP ZABBIX-SPRINC.http > mail.vidocq.cz.34359:...

Tzn ty posles pozadavek na server a on ti odpovi. Tudiz problem je jednoznacne na strane toho serveru, protoze neodpovi.

Takze co me napada jsou dve veci, posilas odpoved jinam nez na eth0. Mas blbe nakonfigurovanej apache. V obou pripadech bys ale mel v logu apache videt nejaky pokusy, takze se tam podivej, jestli tam neco je, tak to znamena, ze ty pozadavky mu dojdou.

---

Dete s tim guuglem dopice!
21.4. 21:00 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Že je fw divně nakonfigurovaný jsem si všiml, jen jsem ho neřešil, protože ten si konfiguroval kamarád nebo to je nějaký defaultní,netuším. Každodenně toho rejectu na konci jsem si zezačátku nevšiml.
21.4. 20:52 jejda | skóre: 14 | blog: jejda
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
To jestli ten port 80 něco zvenku neblokuje se dá hezky zjistit netcatem. První na webserveru preventivně vypnout httpd a pustit něco takového:
echo "test portu 80" | nc -l 80
a potom rychle na nějakém venkovním stroji:
nc ipadresa 80
pokud se venku nevypíše hláška "test portu 80" nebo to zůstane viset tak je port zablokovaný. Když se hláška vypíše, tak připojení zvenku funguje a třeba hledat chybu u apache.
21.4. 18:49 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Tak jsem to zkusil a bohužel z toho nejsem moudrej :-( poradíš?

Stroj zvenku:
traceroute -Tp 80 185.33.146.22
traceroute to 185.33.146.22 (185.33.146.22), 30 hops max, 60 byte packets
 1  80.188.65.49 (80.188.65.49)  2.140 ms  2.134 ms  2.129 ms
 2  80.188.61.133 (80.188.61.133)  6.691 ms  6.814 ms *
 3  194.228.21.248 (194.228.21.248)  7.017 ms  7.048 ms  7.079 ms
 4  nix1.forpsi.net (91.210.16.165)  7.253 ms  7.361 ms  7.392 ms
 5  primary.ant-core.forpsi.net (81.2.192.17)  11.206 ms  11.234 ms primary.bee-core.forpsi.net (81.2.192.18)  11.266 ms
 6  ant-cloud.cloud-ant-bee.forpsi.net (81.2.192.86)  11.296 ms  10.609 ms  10.815 ms
 7  22.146.forpsi.net (185.33.146.22)  10.085 ms !X  9.945 ms !X  9.964 ms !X
Stroj CentOS:
18:48:56.484873 IP mail.vidocq.cz.34359 > ZABBIX-SPRINC.http: Flags [S], seq 640284538, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492723 IP mail.vidocq.cz.38677 > ZABBIX-SPRINC.http: Flags [S], seq 1554297249, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492804 IP mail.vidocq.cz.45342 > ZABBIX-SPRINC.http: Flags [S], seq 1673059401, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492870 IP mail.vidocq.cz.44436 > ZABBIX-SPRINC.http: Flags [S], seq 3673617351, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492935 IP mail.vidocq.cz.57813 > ZABBIX-SPRINC.http: Flags [S], seq 1654734469, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.492978 IP mail.vidocq.cz.59228 > ZABBIX-SPRINC.http: Flags [S], seq 3665897472, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493042 IP mail.vidocq.cz.33107 > ZABBIX-SPRINC.http: Flags [S], seq 356597788, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493061 IP mail.vidocq.cz.35851 > ZABBIX-SPRINC.http: Flags [S], seq 355393615, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493092 IP mail.vidocq.cz.47913 > ZABBIX-SPRINC.http: Flags [S], seq 2167892113, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493218 IP mail.vidocq.cz.35822 > ZABBIX-SPRINC.http: Flags [S], seq 4228978800, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493241 IP mail.vidocq.cz.34692 > ZABBIX-SPRINC.http: Flags [S], seq 3918852924, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493330 IP mail.vidocq.cz.37764 > ZABBIX-SPRINC.http: Flags [S], seq 183296150, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
18:48:56.493353 IP mail.vidocq.cz.54639 > ZABBIX-SPRINC.http: Flags [S], seq 2909460348, win 5840, options [mss 1460,sackOK,TS val 4184538989 ecr 0,nop,wscale 2], length 0
Řešení 1× (Filip Jirsák)
21.4. 20:39 semtex | skóre: 23 | blog: semtex
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Všechno špatně, beru zpět. Jsem lama :-( Až teď jsem si všiml, že na konci fw je pravidlo všechno REJECT.

Omlouvám se.
21.4. 22:17 Filip Jirsák | skóre: 68 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
To pravidlo ACCEPT all, které je předtím, bude mít nejspíš ještě nějaké další podmínky, které v tomhle výpisu nejsou vidět – např. rozhraní. Doporučuju do výpisu iptables přidávat -v. A také se hodí přidávat tam -n, nejsem ve výpisu iptables zvědav na DNS názvy, a ještě na to čekat, než se to přeloží… Takže automaticky píšu iptables -nvL.
Jendа avatar 21.4. 22:22 Jendа | skóre: 77 | blog: Jenda | JO70FB
Rozbalit Rozbalit vše Re: Apache nenaslouchá?
Proto jsem mu říkal, že má použít iptables-save, což vypíše kompletní pravidla tak jak byla přidávána… (a třeba i včetně dalších tabulek, které se jinak musí explicitně vyžadovat (např. -t nat)).
Je to vlastně jenom taková obyčejná mikrovlnka, jenom otevřená ven.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.