Dotaz: NAS QNAP firewall a LXC s nmapem

[alfonz]

Ahojte,

zjistil jsem, že LXC v NASu od QNAPu je zřejmě omezováno firewallem přímo v NASu. Vyexportoval jsem si přes iptables-save nastavení firewallu, ale nedaří se mi zjistit, které pravidlo omezování dělá.

$iptables-save
*nat
:PREROUTING ACCEPT [2509:235072]
:INPUT ACCEPT [729:113753]
:OUTPUT ACCEPT [377:27269]
:POSTROUTING ACCEPT [375:24984]
:DOCKER - [0:0]
:SYSDOCKER - [0:0]
:SYSNAT - [0:0]
:VPNNAT - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j SYSDOCKER
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT -m addrtype --dst-type LOCAL -j SYSDOCKER
-A OUTPUT -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -o lxcbr0 -m addrtype --src-type LOCAL -j MASQUERADE
-A POSTROUTING -o docker0 -m addrtype --src-type LOCAL -j MASQUERADE
-A POSTROUTING -m mark ! --mark 0x0/0xffff -j MASQUERADE
-A POSTROUTING -j VPNNAT
-A POSTROUTING -j SYSNAT
-A SYSNAT -s 10.0.5.0/24 ! -o docker0 -j MASQUERADE
-A SYSNAT -s 10.0.3.0/24 ! -o lxcbr0 -j MASQUERADE
COMMIT
# Completed on Wed Dec 16 07:55:13 2020
# Generated by iptables-save v1.4.21 on Wed Dec 16 07:55:13 2020
*mangle
:PREROUTING ACCEPT [20390:6727754]
:INPUT ACCEPT [6335:1827388]
:FORWARD ACCEPT [13129:4835279]
:OUTPUT ACCEPT [5621:801748]
:POSTROUTING ACCEPT [18840:5650624]
:CHECKHOST - [0:0]
:VPNCHECKHOST - [0:0]
:VPNCUSSETMARK - [0:0]
:VPNDEFSETMARK - [0:0]
:VPNSETMARKENTRANCE - [0:0]
-A INPUT ! -d 169.254.0.0/16 -j CHECKHOST
-A INPUT -j CONNMARK --save-mark --nfmask 0xffffffff --ctmask 0xffffffff
-A OUTPUT -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
-A OUTPUT -m set --match-set HOSTSET dst -j MARK --set-xmark 0x10000/0xf0000
-A CHECKHOST -m set --match-set NATSET src -j MARK --set-xmark 0x10000/0xf0000
-A VPNCHECKHOST -m set --match-set VPNSET src -j MARK --set-xmark 0x10000/0xf0000
-A VPNCUSSETMARK -m set --match-set vpndocker0 src -j MARK --set-xmark 0x500/0xff00
-A VPNCUSSETMARK -m set --match-set vpnlxcbr0 src -j MARK --set-xmark 0x600/0xff00
-A VPNCUSSETMARK -m set --match-set vpnwlan0 src -j MARK --set-xmark 0x300/0xff00
-A VPNSETMARKENTRANCE -j VPNCUSSETMARK
-A VPNSETMARKENTRANCE -m mark --mark 0x0/0xffff -j VPNDEFSETMARK
COMMIT
# Completed on Wed Dec 16 07:55:13 2020
# Generated by iptables-save v1.4.21 on Wed Dec 16 07:55:13 2020
*filter
:INPUT ACCEPT [6533:1842995]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [5821:817800]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
:SYSDOCKER - [0:0]
:SYSDOCKER-ISOLATION-STAGE-1 - [0:0]
:SYSDOCKER-ISOLATION-STAGE-2 - [0:0]
:SYSDOCKER-USER - [0:0]
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o lxcbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o lxcbr0 -j DOCKER
-A FORWARD -i lxcbr0 ! -o lxcbr0 -j ACCEPT
-A FORWARD -i lxcbr0 -o lxcbr0 -j ACCEPT
-A FORWARD -j SYSDOCKER-USER
-A FORWARD -j SYSDOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j SYSDOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A OUTPUT -m set --match-set BRNOIPSET src,dst -j DROP
-A DOCKER-ISOLATION-STAGE-1 -i lxcbr0 ! -o lxcbr0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o lxcbr0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
-A SYSDOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j SYSDOCKER-ISOLATION-STAGE-2
-A SYSDOCKER-ISOLATION-STAGE-1 -j RETURN
-A SYSDOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A SYSDOCKER-ISOLATION-STAGE-2 -j RETURN
-A SYSDOCKER-USER -j RETURN
COMMIT
# Completed on Wed Dec 16 07:55:13 2020

Nmap zobrazuje často např.

$nmap -p- --reason -oN - 10.0.3.1 -vv -dd

Ultrascan DROPPED probe packet to 10.0.3.1 detected

A rychlost nmapu při -vvv -ddd ukazuje po chvilce např. 20 paketu/s což je opravdu dost pomalé. Děje se to i při skenu dalších počítačů na lokální sítí. Když to udělám na jiném počítači, tak je to chvilka a je dokončeno. Chtěl jsem mít v LXC běžící kontejner na monitoring a hledání otevřených portů jednou za den na serverech co s spravuji, ale takhle to vypadá, že to na jednom serveru doběhne za několik hodin a tedy to nebude moc použitelné.

Tušíte, jak najít, které pravidlo za to může?

Odpovědi

[X]

Ve firewally zdane omezeni nevidim. Problem bych videl v tom nampu. Co je to presne za verzi?

[alfonz]

nmap  --version

Nmap version 7.60 ( https://nmap.org )
Platform: arm-unknown-linux-gnueabihf
Compiled with: liblua-5.3.3 openssl-1.1.0g nmap-libssh2-1.8.0 libz-1.2.8 libpcre-8.39 libpcap-1.8.1 nmap-libdnet-1.12 ipv6
Compiled without:
Available nsock engines: epoll poll select

Na notebooku mám tu samou verzi a tam to jde hodně rychle např. do minuty až dvou. Někdy cca 10 minut. Ale s touhle rychlostí co je v tom lxc, tak to vypadá na hodiny.

[Petr Šobáň]

Vypni ten firewall a uvidíš, podle mě za to můžou ty pravidla kolem dockeru na izolaci.

Prostě nmap nenavazuje komunikaci a tak než to proskáče sem tam přes ty pravidla kdoví kde se to kousne a čeká na timeout protože se zablokuje odpověď atd.....

I když nevidím smysl tvého počínání.

Na routeru má být firewall a tam pouze povolené to co používáš.

[alfonz]

To je NAS > není to router. A v tom nasu mám lxc co dělá monitoring a přitom chci aby to kontrolovalo i otevřené porty na serverech (na kterých je ideálně minimálně věcí co jde)

[Petr Šobáň]

Chápu ale musíš pochopit že firewall má být na routeru a chránit síť.

[j]

Megablabol roku...

firewall ma byt na kazdym jednom stroji.

Tenhle navic nedela vubec nic, kdybys nebyl slepej, tak vidis ze pres nejmin pulku tech pravidel vubec nic netece.

A jako bonus, natovat privatni IPcka na jiny privatni IPcka muze vazne leda uchyl. A protoze predpokladam, ze za tohle nemuze puvodni tazatel, ale debilni tvurce, tak si davam na seznam mezi sracky, ktery mi nesmej do baraku.

---

Dete s tim guuglem dopice!

[Petr Šobáň]

Ty tady blábolíš nesmysly proč by měl být na každém stroji firewall? Můžeš mi vysvětlit proč by tam byl?

Příklad budu mít firewall na stroji na kterém mám www server co má poskytovat data takže tam dám firewall který bude propouštět port 80,443 (www) takže pro www se to chová že tam nic není.

Takže proč tam je ? Když tam nebude a já se na ten stroj budu chtít nabourat tak zase se dostanu pouze na porty 80,443 na kterých běží ten www server na ostatních to nebude na nic reagovat protože tam jiný server nemám.

Takže to tam chce nastavit správně pouze ten www server.

Pokud ten www server nemá být dostupný z internetu tak se má blokovat přístup z internetu už přímo na routeru.

Ten firewall na stroji pouze ukonejší tvou nevědomost však tam mám firewall tak je to bezpečné.

A to že se tam provádí NAT na jednom stroji pro kontejnery tak to je slavný pozůstatek z toho že IPv4 nejsou a měl by být už dávno zrušen atd..... Ale to je na jinou diskuzi ohledně uzavřených systémů atd.....

[alfonz]

jinak zkoušel jsem ten firewall vypnout, ale pak většina věcí nejde. Je na něm postavené asi web ui to nasu.

[Petr Šobáň]

Samozřejmě nesmíš vypnout ten NAT co to dělá pro ty kontejnery.

[alfonz]

Tak po delším testování, jsem nakonec udělal to, že nmapem vždy jedu rozsah po 1000 portech tzn 0-1000, 1000-2000 atd a na všech serverech postupně s krátkou prodlevou a pak znovu další rozsah. Tento postup vypadá, že firewall obejde a celé skenování všech asi zabere půlhodinu. Tzn lepší než přímo celý rozsah v nmapu. Nyní to vychází že 1000 portů tímto postupem je asi 10 sec tzn asi 100 testu za sekundu.

Není to sice rychlost co jsem chtěl, ale vzhledem k tomu, že jsou všechny servery najednou, tak to aspoň není několik hodin.

Díky za rady. Jinak pokud by ještě někdo věděl, které z těch pravidel to může být, tak sem s tím. Díky.

[X]

Nmap ktery pouzivas je pomerne stary. Verze 7.80 a vyzsi obsahuje opravu straty paketu, ktera by mohla vyresit tvuj problem..