abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

    včera 21:44 | Nová verze

    Byla vydána verze 10 linuxové distribuce Freespire (Wikipedie). Jedná se o bezplatnou linuxovou distribuci vyvíjenou společností PC/OpenSystems LLC stojící za komerční distribucí Linspire (Wikipedie), původně Lindows.

    Ladislav Hagara | Komentářů: 0
    včera 15:44 | Bezpečnostní upozornění

    Binarly REsearch před týdnem informoval o kritických zranitelnostech UEFI souhrnně pojmenovaných LogoFAIL. Tento týden doplnil podrobnosti. Útočník může nahradit logo zobrazováno při bootování vlastním speciálně upraveným obrázkem, jehož "zobrazení" při bootování spustí připravený kód. Pětiminutové povídání o LogoFAIL a ukázka útoku na YouTube.

    Ladislav Hagara | Komentářů: 2
    včera 00:11 | Nová verze

    Byla vydána listopadová aktualizace aneb nová verze 1.85 editoru zdrojových kódů Visual Studio Code (Wikipedie). Přehled novinek i s náhledy a animovanými gify v poznámkách k vydání. Ve verzi 1.85 vyjde také VSCodium, tj. komunitní sestavení Visual Studia Code bez telemetrie a licenčních podmínek Microsoftu.

    Ladislav Hagara | Komentářů: 16
    7.12. 13:33 | Komunita Ladislav Hagara | Komentářů: 2
    7.12. 13:22 | Komunita

    Richard Hughes na svém blogu oznámil, že počet aktualizací firmwarů pomocí služby LVFS (Linux Vendor Firmware Service) přesáhl 100 milionů. Přehled podporovaných zařízení, nejnovějších firmwarů nebo zapojených výrobců na stránkách LVFS.

    Ladislav Hagara | Komentářů: 0
    7.12. 12:55 | Nová verze

    Byla vydána nová stabilní verze 3.19.0, tj. první z nové řady 3.19, minimalistické linuxové distribuce zaměřené na bezpečnost Alpine Linux (Wikipedie) postavené na standardní knihovně jazyka C musl libc a BusyBoxu. Z novinek lze vypíchnou podporu Raspberry Pi 5.

    Ladislav Hagara | Komentářů: 0
    7.12. 12:22 | Zajímavý software

    Altap Salamander (Wikipedie), dvoupanelový správce souborů pro Windows, byl uvolněn jako open source pod názvem Open Salamander. Zdrojové kódy jsou k dispozici na GitHubu pod licencí GPLv2.

    Ladislav Hagara | Komentářů: 2
    7.12. 07:00 | IT novinky

    Společnost JetBrains představila (YouTube) svou umělou inteligenci JetBrains AI a nástroj AI Assistant v IDE.

    Ladislav Hagara | Komentářů: 10
    6.12. 22:33 | Nová verze

    Byla vydána nová verze 255 správce systému a služeb systemd (GitHub, NEWS). Z novinek lze vypíchnout například novou službu systemd-bsod.service.

    Ladislav Hagara | Komentářů: 0
    6.12. 18:44 | IT novinky

    Google představil Gemini, svůj největší a nejschopnější model umělé inteligence.

    Ladislav Hagara | Komentářů: 0
     (35%)
     (13%)
     (52%)
    Celkem 88 hlasů
     Komentářů: 2, poslední 6.12. 22:12
    Rozcestník

    Dotaz: "Špatná" IP adresa funguje

    11.1.2005 21:52 MichalK
    "Špatná" IP adresa funguje
    Přečteno: 462×
    Dobry den. Trápí mě následující problém.

    Mám linux router/firewall s třemi rozhraními:

    eth0 - vnitřní "drátová" síť (rozsah 192.168.0.0/24) - síť na tomto rozhraní je považována routerem/firewallem za absolutně bezpečnou, tj. přímí přístup do internetu,volný přístup do ostatních segmentů, dálková administrace routeru atd.

    wlan0 - karta nahozená přes Hostap do klientského režimu -spoj do internetu

    wlan1 - karta nahozená přes Hostap do AP režimu (rozsah 172.20.5.0/27) - vzhledem k povaze tohoto rozhraní (prostě APčko :-)) jsou na tento segment aplikována nejrůznější bezpečností opatření

    Pokud se přes notebook a wifi kartu naasociuju k AP, tedy na síť wlan1, ale nastavím IP notebooku v rozsahu sítě eth0, např. 192.168.0.30 (+ tomu odpovídající maska, gateway atd.), tak se notebook začne chovat jako by byl skutečně připojen do sítě eth0. Tedy těší se všem výše popsaným výhodám sítě na eth0 - COŽ ALE NETĚŠÍ MĚ. Router pro tuto IP hlásí, že je regulérně připojena na rozhraní eth0 (arp výpis).

    Poraďte prosím, co je špatně. Jak zajistit, aby se dalo do sítí připojit skutečně jen s odpovídající IP pro dané rozhraní.

    Pro upřesnění, běží to na Debianu.

    Díky moc za odpovědi.

    Odpovědi

    11.1.2005 22:09 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
    Rozbalit Rozbalit vše Re: "Špatná" IP adresa funguje
    Jednoduše man iptables a z příslušných rozhraní povolovat pouze příslušné IP.
    $IPTABLES -A IN_FW -i $LAN1_IFACE -s 192.168.0.0/16 -j logdrop
    $IPTABLES -A IN_FW -i $INET_IFACE -s 10.0.0.0/8 -j logdrop
    $IPTABLES -A IN_FW -s 172.16.0.0/12 -j logdrop
    $IPTABLES -A IN_FW -s 96.0.0.0/4 -j logdrop
    $IPTABLES -A IN_FW -s 127.0.0.0/8 -j logdrop
    
    Prostě na $LAN1_IFACE se nesmí vyskytnout IP 192.168.0.0/16 a na $INET_IFACE se nesmí vyskytnout 10.0.0.0/8 no a ostatni se nesmí vyskytnout nikde.

    Inspirovat se třeba tady.
    11.1.2005 22:11 Michal Marek (twofish) | skóre: 55 | blog: { display: blog; } | Praha
    Rozbalit Rozbalit vše Re: "Špatná" IP adresa funguje
    Jinak tohle by měl dělat i rp filter (pokud je zapnutý).
    dmnc_net avatar 4.2.2010 11:16 dmnc_net | skóre: 12 | blog: dmnc
    Rozbalit Rozbalit vše Re: "Špatná" IP adresa funguje
    kdo by referoval ke skriptu firewallu, tak POZOR, obrovsky pool 96.0.0.0/4 uz nejakou dobu neni rezervovany (http://www.iana.com/assignments/ipv4-address-space) a nektere rozsahy jsou dokonce pouzity na uzemi CR.
    11.1.2005 22:18 8an | skóre: 30
    Rozbalit Rozbalit vše Re: "Špatná" IP adresa funguje
    Tak tohle je hodně podezřelé. Jako první se podívej do /etc/network/options, jestli tam je "spoofprotect=yes". Také bys mohl do pravidel firewallu dávat -o nebo -i (specifikace rozhraní).

    Ale to nic nemění na tom, že tohle by prostě fungovat nemělo (minimálně kvůli ARP). Nemáš tam nějaký bridge nebo tak něco? Zajímalo by mě jak se něco takového může stát, pořád tomu moc nevěřím.
    If you build an operating system that even an idiot can use, only idiots will use it.
    11.1.2005 22:31 MichalK
    Rozbalit Rozbalit vše Re: "Špatná" IP adresa funguje
    to Petr Šobáň: tohle mě taky napadlo, ale podle routeru ta adresa není na adapteru z kterého realně přichází, tj. wlan1 ale na adapteru eth0, kam sice svým rozsahem patří, ale fyzicky tam prostě připojená není.

    to Lukáš Turek: spoofprotect=yes jsem už taky kontroloval, na "no" i "yes" se to chová vždy stejně. (po každé změně jsem dával . networking restart - ještě jsem to nezkoušel restartovat celé - asi to raději udělám).

    Zatím moc díky
    11.1.2005 22:23 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
    Rozbalit Rozbalit vše Re: "Špatná" IP adresa funguje
    Ještě mě napadlo zda tam nemá nějak blbě nastavenej NAT ?
    11.1.2005 23:27 MichalK
    Rozbalit Rozbalit vše Re: "Špatná" IP adresa funguje
    Tak, po rebootu s nastaveným spoofprotect=yes se nic nezměnilo. ANI NEMOHLO. Je to totiž někde úplně jinde.

    Trochu mě na to přivedl pan Turek svou otázkou "Nemáš tam nějaký bridge nebo tak něco?"

    Na segmentu eth0 (jen pro pořádek - se správnou IP pro tento segment)jede totiž Dlink DWL-900AP+ (FW 3.07) v režimu KLIENT (opravdu klient, tedy ne Access Point, ne Wireless Bridge, ne Multi-point Bridge, ne Repeater, opravdu klient - několikrát jsem to ověřil) asociovaný na naše AP/Router/Firewall (tedy wlan1). Neptejte se proč tam ten Dlink mám - není to stálá konfigurace, něco jsem testoval :-)) Pokud je zapnutý, chová se to tak jak jsem popsal. Když nejede - vše běží jak má.

    Nechal jsem notebook pingat nějakou IP, pakety procházeli perfektně do doby než jsem Dlink vytáhnul ze zdi. Pak to okamžitě přestalo. Po opětovném zapnutí Dlinku to sice hned nepokračovalo, ale stačilo reasociovat kartu v NB (vyndat/zandat :-)) a vše se zase pěkně rozjelo.

    Absolutně nechápu, co se to vlastně dělo. Karta v NB byla skutečně asociovaná na správné AP (alespoň podle MAC). Dlink v logu nehlásil nic kromě toho, že je úspěšně asociovan také na správné AP. Výpis připojených klientů měl prázdný (taky aby ne, když jede v režimu klient, že:)). Prostě to NECHÁÁÁPU. Nicméně problém je odstraněn.

    Ten Dlink je za daných okolností velmi pěkná díra do systému. Pochybuju, že se do podobný konfigurace někdy někdo dostanete v realném provozu, ale bacha na to.

    Děkuji všem za jejich čas, díky.
    11.1.2005 23:13 Míra
    Rozbalit Rozbalit vše Re: "Špatná" IP adresa funguje
    ...no já nevím, jak NAT, ale přímí - jako mladý...

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.