abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 20:11 | Nová verze

    Svobodný multiplatformní herní engine Bevy napsaný v Rustu byl vydán ve verzi 0.17. Díky 278 přispěvatelům.

    Ladislav Hagara | Komentářů: 0
    dnes 16:11 | Nová verze

    Bylo vydáno openSUSE Leap 16 (cs). Ve výchozím nastavení přichází s vypnutou 32bitovou (ia32) podporou. Uživatelům však poskytuje možnost ji ručně povolit a užívat si tak hraní her ve Steamu, který stále závisí na 32bitových knihovnách. Změnily se požadavky na hardware. Leap 16 nyní vyžaduje jako minimální úroveň architektury procesoru x86-64-v2, což obecně znamená procesory zakoupené v roce 2008 nebo později. Uživatelé se starším hardwarem mohou migrovat na Slowroll nebo Tumbleweed.

    Ladislav Hagara | Komentářů: 1
    dnes 16:00 | IT novinky

    Ministerstvo průmyslu a obchodu (MPO) ve spolupráci s Národní rozvojovou investiční (NRI) připravuje nový investiční nástroj zaměřený na podporu špičkových technologií – DeepTech fond. Jeho cílem je posílit inovační ekosystém české ekonomiky, rozvíjet projekty s vysokou přidanou hodnotou, podpořit vznik nových technologických lídrů a postupně zařadit Českou republiku mezi země s nejvyspělejší technologickou základnou.

    … více »
    Ladislav Hagara | Komentářů: 3
    dnes 12:55 | Nová verze

    Radicle byl vydán ve verzi 1.5.0 s kódovým jménem Hibiscus. Jedná se o distribuovanou alternativu k softwarům pro spolupráci jako např. GitLab.

    Ladislav Hagara | Komentářů: 3
    dnes 03:22 | IT novinky

    Společnost OpenAI představila text-to-video AI model Sora 2 pro generování realistických videí z textového popisu. Přesnější, realističtější a lépe ovladatelný než předchozí modely. Nabízí také synchronizované dialogy a zvukové efekty.

    Ladislav Hagara | Komentářů: 5
    včera 23:11 | Nová verze

    UBports, nadace a komunita kolem Ubuntu pro telefony a tablety Ubuntu Touch, vydala Ubuntu Touch 24.04-1.0, tj. první stabilní vydání založené na Ubuntu 24.04 LTS.

    Ladislav Hagara | Komentářů: 1
    včera 21:00 | Komunita

    Rakouská armáda přechází na LibreOffice. Ne kvůli licencím (16 000 počítačů). Hlavním důvodem je digitální suverenita. Prezentace v pdf z LibreOffice Conference 2025.

    Ladislav Hagara | Komentářů: 27
    včera 12:44 | Bezpečnostní upozornění

    Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) upozorňuje na sérii kritických zranitelností v Cisco Adaptive Security Appliance (ASA) a Firepower Threat Defense (FTD) a Cisco IOS, CVE-2025-20333, CVE-2025-20363 a CVE-2025-20362. Zneužití těchto zranitelností může umožnit vzdálenému neautentizovanému útočníkovi spustit libovolný kód (RCE). Společnost Cisco uvedla, že si je vědoma aktivního zneužívání těchto zranitelností.

    Ladislav Hagara | Komentářů: 16
    včera 12:11 | IT novinky

    Ochrana uživatelů a zároveň příznivé podmínky pro rozvoj umělé inteligence (AI). Ministerstvo průmyslu a obchodu (MPO) připravilo minimalistický návrh implementace evropského nařízení o umělé inteligenci, tzv. AI aktu. Český zákon zajišťuje ochranu občanům a bezpečné používání AI, ale zároveň vytváří pro-inovační prostředí, ve kterém se může AI naplno rozvíjet, firmy mohou využít jeho potenciál a nebudou zatíženy zbytečnou administrativou. Návrh je nyní v meziresortním připomínkovém řízení.

    Ladislav Hagara | Komentářů: 8
    včera 05:11 | Komunita

    Dle plánu Linus Torvalds odstranil souborový systém bcachefs z mainline Linuxu. Tvůrce bcachefs Kent Overstreet na Patreonu informuje, že bcachefs je nově distribuován jako DKMS modul.

    Ladislav Hagara | Komentářů: 2
    Jaké řešení používáte k vývoji / práci?
     (39%)
     (48%)
     (13%)
     (15%)
     (18%)
     (14%)
     (18%)
     (14%)
     (14%)
    Celkem 147 hlasů
     Komentářů: 9, poslední 24.9. 17:28
    Rozcestník

    Dotaz: Nastavení firewallu = filtrování blokování podle MAC adresy

    23.2.2018 09:10 PetrHL | skóre: 17 | blog: petr_h | Neratovice
    Nastavení firewallu = filtrování blokování podle MAC adresy
    Přečteno: 1958×
    Zdravím,

    mám domácí "server" a na něm tento firewall.
    
    INET_ADR=`ifconfig enp3s0 | grep 'inet addr:' | cut -d: -f2 | awk '{ print $1 }'`
    echo $INET_ADR
    
    #enp3s0 - venkovni sit enx0050b608da65
    #enp2s0 - vnitrni sit
    iptables -F
    iptables -X
    iptables -t nat -F
    iptables -t nat -X
    iptables -t mangle -F
    iptables -t mangle -X
    
    iptables -P OUTPUT ACCEPT
    iptables -P INPUT DROP
    iptables -P FORWARD DROP
    
    iptables -A POSTROUTING -t nat -o enp3s0 -j SNAT --to $INET_ADR
    
    iptables -A INPUT -i tap0 -j ACCEPT
    iptables -A FORWARD -i tap0 -j ACCEPT
    iptables -A POSTROUTING -t nat -o tap0 -j SNAT --to $INET_ADR
    
    iptables -A INPUT -i lo -j ACCEPT
    iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    iptables -A INPUT -i enp3s0 -p icmp -j ACCEPT
    
    iptables -A INPUT -i enp2s0 -j ACCEPT
    
    iptables -A INPUT -i enp3s0 -p tcp --dport 80 -j ACCEPT
    iptables -A INPUT -i enp3s0 -p tcp --dport 443 -j ACCEPT
    iptables -A INPUT -i enp3s0 -p tcp --dport 65022 -j ACCEPT
    iptables -A INPUT -i enp3s0 -p tcp --dport 22 -j ACCEPT
    
    #minecraft
    iptables -A INPUT -i enp3s0 -p tcp --dport 25565 -j ACCEPT
    iptables -A INPUT -i enp3s0 -p tcp --dport 25560 -j ACCEPT
    iptables -A INPUT -i enp3s0 -p tcp --dport 25550 -j ACCEPT
    iptables -A INPUT -i enp3s0 -p tcp --dport 25555 -j ACCEPT
    iptables -A INPUT -i enp3s0 -p tcp --dport 25500 -j ACCEPT
    
    
    iptables -A FORWARD -i enp3s0 -m state --state ESTABLISHED,RELATED -j ACCEPT
    iptables -A FORWARD -i enp2s0 -j ACCEPT
    
    echo "1" > /proc/sys/net/ipv4/ip_forward
    
    
    Vše mi funguje jak potřebuju, teď jsem ale narazil na nový požadavek ze strany manželky - blokovat určitá zařízení. Snažil jsem se to vyřešit pomocí řádku:
    
    iptables -A INPUT -i enp2s0 -m mac --mac-source mac_adresa -j REJECT
    
    
    který jsem strčil před #minecraft. Bohužel po reloadu script se nic nestalo a zařízení si komunikuje vesele dál.

    Zkusil jsem na jiném stroji použít ufw, povolil jsem všem přístup na port 80 a pak zkusil zařízení s určitou mac přístup zakázat. Zase se nic nestalo :-(. Jde to vůbec řešit nějak operativně abych nemusel vždy reloadnout celý script pro firewall? Kdyby náhodou někdo něco stahoval, asi se mu stahování přeruší.

    Do budoucna plánuji takto blokovat přístup pro určitá zařízení podle složitějších podmínek (denní doba, přístup jen v určitém časovém období atd.), proto bych potřeboval řešit nastavování pravidel bez restartu celého firewallu. Jde to? Jak? Možná jsem práci s iptables pochopil úplně blbě :-(, googloval jsem jako šílený, ale žádné příklady mi nefungovaly :-(.
    "Do, or do not. There is no 'try.'" -- Jedi Master Yoda | CQRLOG | CQRPROP | HamQTH | Domů

    Odpovědi

    23.2.2018 09:36 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Blokování dle MAC je hovadina.

    MAC se mění a bude vždy odpovídat poslednímu zařízení před serverem (předpokládám že tam je nějaký router a před ním jsou ty zařízení).

    Trochu se to dá v vlastní síti řešit pomocí DHCP serveru že budeš dle MAC přidělovat IP a pak blokovat příslušné IP.

    Možná kdyby jsi napsal proč to chceš dělat trochu podrobněji - co je účelem tak by možná někdo poradil něco lepšího.
    23.2.2018 09:51 PetrHL | skóre: 17 | blog: petr_h | Neratovice
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Tomu rozumím. Za serverem už je jen switch a pak nějaký TP link v bridge módu, nebo jak se to jmenuje. Na serveru běží DHCP server, který přiděluje IP adresy všem zařízením, včetně těch, která jsou na WiFi. Když si vypíšu z logu dhcp serveru přidělené adresy, vidím je včetně správných MAC adres daných zařízení.

    Proč to chci? Chtěl bych synátorům zablokovat přístup k Internetu na určitou dobu, případně jen k Minecraftu, časem třeba jen na YouTube a tak. To mohu i teď vytažením kabelu, ale omezí to i mě s manželkou, což je poněkud nežádoucí stav :-).
    "Do, or do not. There is no 'try.'" -- Jedi Master Yoda | CQRLOG | CQRPROP | HamQTH | Domů
    23.2.2018 10:15 MP
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Dejte je do jine site. Vycvicte manzelku. Problem solved :-)
    23.2.2018 11:59 PetrHL | skóre: 17 | blog: petr_h | Neratovice
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Manželka už vycvičená docela je, na notebooku dlouhé roky používá Ubuntu a kouzlí v Gimpu :-). Do jiné sítě je dát mohu, ale tím nevyřeším zakazování přístupu jednotlivě a na určitou dobu. Nějak to s IP tables jít musí, jen nevím jak :-(.
    "Do, or do not. There is no 'try.'" -- Jedi Master Yoda | CQRLOG | CQRPROP | HamQTH | Domů
    23.2.2018 13:00 lertimir | skóre: 64 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    INPUT pravidlo je pravidlo pro pakety, které "končí" v zařízení. Předpokládam, že jde o pravidlo pro router, který pakety dále předává do internetu. Pak je potřeba použít pravidlo FORWARD
    23.2.2018 14:34 PetrHL | skóre: 17 | blog: petr_h | Neratovice
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Pro začátek by mi stačilo i to, kdy končí v zařízení. Potřeboval bych pravidla nastavovat za běhu bez restartu firewallu :-(. Určitě nejsem sám, kdo něco takového řešil, jen se googlu asi špatně ptám :-(.
    "Do, or do not. There is no 'try.'" -- Jedi Master Yoda | CQRLOG | CQRPROP | HamQTH | Domů
    23.2.2018 18:49 Michal Kubeček | skóre: 71 | Luštěnice
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Použijte ipset, pokud ten blacklist bude trochu větší, poznáte to i na efektivitě.
    Pavel 'TIGER' Růžička avatar 23.2.2018 14:22 Pavel 'TIGER' Růžička | skóre: 54
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Já osobně na serveru virtualizuji IPFire. Ale existuje plno jiných distribucí k těmto účelům. Ano, zpohodlněl jsem. :-D
    24.2.2018 08:51 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Jak říkám pomocí MAC adres to nebude fungovat pokud tam kde to nastavuješ není i ta wifi - jak paket projde přes router/switch tak bude mít MAC toho routeru/switchu.

    Co nechápeš na tom aby tvůj DHCP server přiděloval IP svázané s MAC pak budou mít konkrétní zařízení konkrétní IP a můžeš je na routeru zablokovat.

    Ale prostě toto dělat je na hlavu.....to ti stejně nepomůže, vše se dá lehce obejít.

    Podle mě zbytečná práce.
    24.2.2018 11:55 Michal Kubeček | skóre: 71 | Luštěnice
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Jak říkám pomocí MAC adres to nebude fungovat pokud tam kde to nastavuješ není i ta wifi - jak paket projde přes router/switch tak bude mít MAC toho routeru/switchu.

    Citace ze včerejšího komentáře zazatele:

    Na serveru běží DHCP server, který přiděluje IP adresy všem zařízením, včetně těch, která jsou na WiFi. Když si vypíšu z logu dhcp serveru přidělené adresy, vidím je včetně správných MAC adres daných zařízení.

    Takže tam asi žádný router mezi nimi není (switch by MAC adresu nezměnil - pomineme-li, že některé firmy pro zmatení zákazníků routerům říkají "L3 switch").

    24.2.2018 12:20 lertimir | skóre: 64 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Navíc domácí prostředí není nijak moc dynamické a může tazatel mít všechny zařízení mít v DHCP zaneseny staticky a nepovolit dynamické přiřazení. Obejít to samozřejmě jde, ale ukáže se jak jsou dítka znalé sítí.
    26.2.2018 09:22 PetrHL | skóre: 17 | blog: petr_h | Neratovice
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Beru to tak - když budou umět blokování obejít, už nebude třeba. Nic složitejšího neplánuju. Původně jsem si říkal, že je budu blokovat podle IP adresy, ale musel bych řešit pevné přidělování adres podle MAC, nebo DHCP serveru nastavit delší timeout na změnu IP adresy.
    "Do, or do not. There is no 'try.'" -- Jedi Master Yoda | CQRLOG | CQRPROP | HamQTH | Domů
    23.2.2018 18:52 Michal Kubeček | skóre: 71 | Luštěnice
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Kromě toho, že budete potřebovat ošetřit INPUT i FORWARD, bych asi zkusil místo REJECT použít spíš DROP. Ono není moc jasné, jak přesně by se v tomhle případě (v kombinaci s podmínkou, která testuje linkovou hlavičku) ten REJECT vlastně měl chovat (to bych se musel podívat do zdrojáků a tolik času se mi nad tím trávit nechce).
    26.2.2018 09:26 PetrHL | skóre: 17 | blog: petr_h | Neratovice
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Děkuji, zkusím a dám vědět jak jsem dopadl.
    "Do, or do not. There is no 'try.'" -- Jedi Master Yoda | CQRLOG | CQRPROP | HamQTH | Domů
    vencour avatar 24.2.2018 12:40 vencour | skóre: 56 | blog: Tady je Vencourovo | Praha+západní Čechy
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Tohle jsem doma vyřešil Mikrotikem, umí access-listy na MAC adresu pro wifi a u něj i "od kdy do kdy co platí".
    Konkrétně: v managementu Mikrotiku vidím, kdo je na wifi, jakou má MAC adresu a pro ni přímo můžu aplikovat pravidlo, u pravidla můžu mít i description pro přehled. Pro přehlednost můžu i v oněch klientech nastavit natvrdo IP adresu a i takhle je identifikovat. Pro wifi lze zadat i zda se bude uživatel autentikovat (komunikovat s AP) a zda bude mít stav forward (dostane se dál ze svého zařízení).
    Umí to už ten snad nejlevnější Mikrotik.
    Ty nejhlubší objevy nečekají nutně za příští hvězdou. Jsou uvnitř nás utkány do vláken, která nás spojují, nás všechny.
    26.2.2018 09:25 PetrHL | skóre: 17 | blog: petr_h | Neratovice
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    To by teoreticky taky šlo. Původní idea byla udělat jednoduché klikátko, kdy se manželka připojí k serveru přes VNC, případně si otevře webovou stránku, a tam si jednoduše nakliká co potřebuje. Nebude muset nic vědět o MAC, uvidí tam jen název zařízení, které tam zadám a nastaví si čas, případně blokne některé weby.
    "Do, or do not. There is no 'try.'" -- Jedi Master Yoda | CQRLOG | CQRPROP | HamQTH | Domů
    26.2.2018 10:34 Peter Golis | skóre: 65 | blog: Bežné záležitosti | Bratislava
    Rozbalit Rozbalit vše Re: Nastavení firewallu = filtrování blokování podle MAC adresy
    Samozrejme ze by to išlo, veď presne toto sa montuje do moderných domácich routerov.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.