abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 02:55 | Nová verze

    Google Chrome 142 byl prohlášen za stabilní. Nejnovější stabilní verze 142.0.7444.59 přináší řadu novinek z hlediska uživatelů i vývojářů. Podrobný přehled v poznámkách k vydání. Opraveno bylo 20 bezpečnostních chyb. Za nejvážnější z nich bylo vyplaceno 50 000 dolarů. Vylepšeny byly také nástroje pro vývojáře.

    Ladislav Hagara | Komentářů: 0
    dnes 01:22 | IT novinky Ladislav Hagara | Komentářů: 0
    včera 17:00 | Upozornění

    Národní identitní autorita, tedy NIA ID, MeG a eOP jsou nedostupné. Na nápravě se pracuje [𝕏].

    Ladislav Hagara | Komentářů: 8
    včera 16:44 | IT novinky

    Americký výrobce čipů Nvidia se stal první firmou na světě, jejíž tržní hodnota dosáhla pěti bilionů USD (104,5 bilionu Kč). Nvidia stojí v čele světového trhu s čipy pro umělou inteligenci (AI) a výrazně těží z prudkého růstu zájmu o tuto technologii. Nvidia již byla první firmou, která překonala hranici čtyř bilionů USD, a to letos v červenci.

    Ladislav Hagara | Komentářů: 4
    včera 14:11 | Komunita

    Po Canonicalu a SUSE oznámil také Red Hat, že bude podporovat a distribuovat toolkit NVIDIA CUDA (Wikipedie).

    Ladislav Hagara | Komentářů: 2
    včera 13:55 | Nová verze

    TrueNAS (Wikipedie), tj. open source storage platforma postavená na Linuxu, byl vydán ve verzi 25.10 Goldeye. Přináší NVMe over Fabric (NVMe-oF) nebo OpenZFS 2.3.4.

    Ladislav Hagara | Komentářů: 0
    včera 13:33 | Nová verze

    Byla vydána OpenIndiana 2025.10. Unixový operační systém OpenIndiana (Wikipedie) vychází z OpenSolarisu (Wikipedie).

    Ladislav Hagara | Komentářů: 0
    včera 13:22 | Zajímavý článek

    České základní a střední školy čelí alarmujícímu stavu kybernetické bezpečnosti. Až 89 % identifikovaných zranitelností v IT infrastruktuře vzdělávacích institucí dosahuje kritické úrovně, což znamená, že útočníci mohou vzdáleně převzít kontrolu nad klíčovými systémy. Školy navíc často provozují zastaralé technologie, i roky nechávají zařízení bez potřebných aktualizací softwaru a používají k nim pouze výchozí, všeobecně známá

    … více »
    Ladislav Hagara | Komentářů: 13
    včera 05:11 | Komunita

    Během tradiční ceremonie k oslavě Dne vzniku samostatného československého státu (28. října) byl vyznamenán medailí Za zásluhy (o stát v oblasti hospodářské) vývojář 3D tiskáren Josef Průša. Letos byly uděleny pouze dvě medaile Za zásluhy o stát v oblasti hospodářské, druhou dostal informatik a manažer Ondřej Felix, který se zabývá digitalizací státní správy.

    🇹🇬 | Komentářů: 39
    včera 04:44 | Nová verze

    Tor Browser, tj. fork webového prohlížeče Mozilla Firefox s integrovaným klientem sítě Tor přednastavený tak, aby přes tuto síť bezpečně komunikoval, byl vydán ve verzi 15.0. Postaven je na Firefoxu ESR 140.

    Ladislav Hagara | Komentářů: 3
    Jaké řešení používáte k vývoji / práci?
     (36%)
     (48%)
     (19%)
     (19%)
     (23%)
     (17%)
     (21%)
     (17%)
     (17%)
    Celkem 283 hlasů
     Komentářů: 14, poslední 14.10. 09:04
    Rozcestník

    Dotaz: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site

    otasomil avatar 24.2.2021 16:58 otasomil | skóre: 39 | blog: puppylinux
    IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Přečteno: 443×
    Zdravim ve spolek. Po nejakej dobe nasazuji FW s pomoci iptables a ip6tables a mam tu jednu osvedcenou konfiguraci z minulosti a tak si rikam jestli je porad adekvatne pouzitelna, bezpecna apod... Nechci precejen IPv6 vynechat, uz je tu dlouho, jen nechci aby stroj byl dostupny z Internetu.
    Cilem je aby PC (server) mohl kamkoliv ven po IPv4 a IPv6 avsak byl dostupny pouze z adres v siti v ktere se nachazi. Z poznamek mam toto:
    # Sekce IPv6:
    ip6tables -P INPUT DROP
    ip6tables -A INPUT -i lo -j ACCEPT
    ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
    ip6tables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    ip6tables -A INPUT -m state --state INVALID -j DROP
    ip6tables -A INPUT -s 2a02:339:2f:7a::/64 -j ACCEPT
    ip6tables -A INPUT -j REJECT --reject-with icmp6-adm-prohibited
    
    
    
    # Sekce IPv4:
    iptables -P INPUT DROP
    iptables -A INPUT -i lo -j ACCEPT
    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    iptables -A INPUT -m state --state INVALID -j DROP
    iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
    iptables -A INPUT -p icmp -j ACCEPT
    iptables -A INPUT -j REJECT --reject-with icmp-admin-prohibited
    
    S tim ze podleva techto pravidel bude server dostupny na IPv4 pouze z adres:
    192.168.1.0 - 192.168.1.254
    
    A na IPv6 pouze z tohoto rozsahu adres:
    2a02:339:2f:7a:0000:0000:0000:0001 - 2a02:339:2f:7a:ffff:ffff:ffff:ffff
    
    IPv6 adresa ze zamerne zmenena na nahodno. Diky za info, zkusenosti, elegantnejsi reseni.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý

    Řešení dotazu:


    Odpovědi

    24.2.2021 19:21 Andrej | skóre: 51 | blog: Republic of Mordor
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    IPtables IPv6…

    <offtopic>Firewall v Linuxu se dnes jmenuje nftables. Použití různých legacy rozhraní je všeho všudy akumulace technologického dluhu.</offtopic>

    Server nebude dostupný na zavřených portech, kde nic neposlouchá. To je sice chabá útěcha, pokud se něco uvnitř serveru nechová korektně, ale přece jenom bych doporučoval nepřeceňovat význam firewallu.

    Pokud jde o klasický „trik“ s příjmem related, established a ničeho jiného, ten je popsaný třeba tady.

    otasomil avatar 25.2.2021 19:40 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Sken portu z VPS na onen server (IPv6) vypise na vsech portech FILTERED. S vychozim stavem ip6tables je vse CLOSE a porty kde opravdu neco posloucha (80, 443) jsou OPEN Asi to necham s nastavenim jak jsem uvedl v dotazu, zabranim tak zpristupneni jakekoli naslouchajici sluzby z Internetu.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    26.2.2021 00:22 trekker.dk | skóre: 72
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Škodíte ostatním. Děkujeme pěkně.
    Quando omni flunkus moritati
    otasomil avatar 26.2.2021 04:52 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Cili lepsi nastaveni?
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    otasomil avatar 26.2.2021 05:13 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    # Sekce IPv6:
    ip6tables -P INPUT DROP
    ip6tables -A INPUT -i lo -j ACCEPT
    ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
    ip6tables -A INPUT -m state --state ESTABLISHED -j ACCEPT
    ip6tables -A INPUT -m state --state INVALID -j DROP
    ip6tables -A INPUT -s 2a02:339:2f:7a::/64 -j ACCEPT
    ip6tables -A INPUT -j DROP --reject-with icmp6-adm-prohibited
    
    A obdobne i pro IPv4?
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    26.2.2021 09:32 trekker.dk | skóre: 72
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Když už jste pevně rozhodnutý nepřekonat lenost a nepřepsat těch 6 pravidel pro nftables, tak ip6tables -A INPUT -j DROP . Žádné reject-with . Důvod máte v #4
    Quando omni flunkus moritati
    otasomil avatar 26.2.2021 16:46 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    OK diky za info. Nftables prozkoumam. Aktualne davam iptables, ip6tables dle Vaseho doporuceni. Kdoviproc takovouto jak pisete nevhod konfiguraci napsal, mam to nekde z netu uz ani nevim odkud, je to uz hafo let.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    24.2.2021 23:08 X
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Vzhledem k tomu, ze ten server neroutuje a je schovany v lokalni siti s nim stejne nikdo jiny nez lokalni zarizeni komunikovat ani nemuze..
    25.2.2021 08:46 MP
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    A vsiml jste si te ipv6 adresy?
    25.2.2021 18:53 Peter Golis | skóre: 65 | blog: Bežné záležitosti | Bratislava
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Veď písal že ju zmenil na náhodno.
    otasomil avatar 25.2.2021 19:24 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Veď písal že ju zmenil na náhodno.
    Na nahodno jsem ji zmenil sem do poradny abyste na stroj nezacali tlouct protoze IPv6 adresy jsou globalne dostupne - router je tak nastaven. Jinak je tam samozrejme adresa z rozsahu co dava router.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    26.2.2021 07:38 j
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Tak nejen ze tu blaboli Andrejko ... mame tu i dasiho, dokonalyho veleblba!

    S libovolnym strojem v libovolny lokalni siti lze navazat bez dalsiho komunikaci. A to samozrejme i pres NAT.

    2otasomil: Vazne tam chces ten reject? De o to, ze kdyz ti na ten stroj dorucim paket, tak posle, klidne na jinej stroj (v zavislosti na src) odpoved. Takze za DOSujiciho utocnika budes ty.

    Ten reject ma smysl tak do vnitrni site, coz ale nechces, takze lepsi je nechat proste drop.

    ---

    Dete s tim guuglem dopice!
    26.2.2021 08:43 X
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    S libovolnym strojem v libovolny lokalni siti lze navazat bez dalsiho komunikaci. A to samozrejme i pres NAT.
    Mohl by si prosimte navazat komunikaci s mim strojem na 192.168.0.136. Necham tu otevrene SSH, uzivatel 'jecko', heslo bude 'jasne'..
    otasomil avatar 26.2.2021 17:04 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Globalni dostupnost stroje se toci okolo IPv6 protoze jeho IP6 je dosazitelna z Internetu a to nepotrebujeme proto chceme zabednit, zatlouct zvenci, v ramci LAN aby si komunikovali dle potreby. Chtel jsem se vyhnout nenadalemu zpristupneni systemu, uzivatelskych dat pouhym spustenim malinkeho httpd treba v Pythonu, Busyboxu apod (i pod beznym uzivatelem s portem nad 1024) nacez by mohlo byt snadno vse pristupne zvenci.
    IPv4 ktere taky uvadim je spis pro uplnost.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    otasomil avatar 26.2.2021 16:48 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    Netusim proc takovou konfiguraci s REJECT kdo napsal takze si nechavam poradit.
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    Řešení 1× (otasomil (tazatel))
    25.2.2021 09:25 trekker.dk | skóre: 72
    Rozbalit Rozbalit vše Re: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site
    ip6tables -A INPUT -j REJECT --reject-with icmp6-adm-prohibited
    Tohle je někde na pomezí mezi zbytečné a škodlivé. Pokud nechcete, aby se s vámi komunikovalo s internetu, tak je IMO lepší to dropnout, protože a) reject je výchozí chování i bez firewallu a b) představte si, kdy na vás někdo bude útočit z IP adres, které mu nepatří - vaše reject pravidlo bude posílat ICMP pakety tomu nešťastníkovi, jehož IP adresy byly zneužity

    Totéž pro IPv4

    Ohledně RELATED vám bude kernel nadávat, že automatické přiřazování helperů je deprecated, tj. - pokud jsem to správně pochopil - že byste měl zadat specifická pravidla pro ty protokoly, u kterých chcete related spojení sledovat, příklad:

    ct state related ct helper "ftp"

    A jinak druhý hlas: přepište to pro nft. Používání iptables v tomhle případě nemá žádné výhody.
    Quando omni flunkus moritati

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.