December 2000 - zorp-hu - lists.balabit.hu

zorp 0.7.9 released
by Balazs Scheidler 28 Dec '00

28 Dec '00

Hi, We have released zorp-0.7.9, here's the NEWS entry: zorp 0.7.9 * new protocol proxy: finger * new option: --version, displays version and compilation info (try: zorpctl version) * POSIX 1003.1e capabilities support, Zorp drops all capabilities, and enables them only when needed. (for now only CAP_NET_BIND_SERVICE (for binding low numbered ports) and CAP_NET_ADMIN (for transparent proxying) is used) * HTTP: implemented CONNECT method, needed to use HTTP in nontransparent mode with https urls. * proxies written in python actually work, an example: doc/examples/python_proxy.py was added which implements a finger proxy (alternative to the one implemented in Zorp) * new flexible Zone class, backported from the 0.9 branch. Changes policy interface. * updated documentation and examples to reflect changes in policy interface * moving towards the new logging mechanism (look at --log-spec and --log-tags in zorp(8)) * and as always: bugfixes Debian package building is currently broken at the moment. It'll be fixed in the next release. -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1 url: http://www.balabit.hu/pgpkey.txt

1 0

zorp 0.7.8 released
by Balazs Scheidler 21 Dec '00

21 Dec '00

Hi, zorp version 0.7.8 released with the following changes: zorp 0.7.8 Thu, 21 Dec 2000 17:18:56 +0100 User visible changes: * Services need not be stored in a Python variable any more, Listeners refer to Services by their name. * FTP fixes, ftp data address autodetection * HTTP implements the '*' header and method in policy hashes * PSSL cleanups, it's possible to set client/server side certificate/key files independently, added timeout possibility * Plug cleanups, removed unused code, added timeout possibility * Improved docstring documentation, a generated version of the python docstring documentation is available at doc/reference.html.tar.gz, it's generated using a custom version of pythondoc. Fixes to pythondoc will be sent to its author. * default init() function provided by Zorp * new doc/examples directory to contain some examples * bugfixes -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1 url: http://www.balabit.hu/pgpkey.txt

1 0

Re: [zorp] Plug proxy es dokumentaciok
by Balazs Scheidler 19 Dec '00

19 Dec '00

> A forraskodon kivul van mar valami mas doksi is? Mag irt valamit egy 180 > oldalas doksirol. elerheto az valahol? The above means in English: is there any documentation besides the source? Mag has written something about a 180 pages doc, is it available somewhere? My answer is: that documentation is written into docstrings in Python, which can be used to generate .html or .ps docs using pythondoc. I'm however not satisfied with the way it looks like, so I'm currently trying to hack pythondoc a bit. For the time being, you can generate reference docs using: cd pylib/Zorp mkdir html find . -name \*.py | grep -v __init__ | xargs pythondoc -i -d html -f HTML4 The generated docs will be found in the ./html subdirectory. -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1 url: http://www.balabit.hu/pgpkey.txt

1 0

Re: [zorp-hu] Egy pelda-konfig
by SZALAY Attila 19 Dec '00

19 Dec '00

On 2000 Dec 19, Kosa Attila wrote: > > > > # Ha transzparensnek allitom be a pop3 service-t, akkor a > > > # klienseknek a tuzfalat kell megadnom pop3 szerverkent? > > > > Nem, a valódi pop3 szervert. Ha azt akarod hogy ne is tudják hol van > > igaziból, vagy nem route-olható helyen van, akkor DirectedChainert > > használj. > > Akkor nem is kell transzparensnek beallitanom? Ha nem akarom, hogy > tudjak, hogy hol van, akkor is a valodi pop3 szervert kell megadni > a klienseknek, vagy akkor mar a tuzfalat (DirectedChainer hasznalata > eseten)? Szoval, van ket lehetoseg. Az egyik, hogy a DMZ-ben "valodi" IP cimeket hasznalsz. Ekkor kivulrol ezek direktben megcimezhetoek. Ilyenkor erdemes TransparentChainer-t hasznalni. A masik lehetoseg, es ez a preferalt, hogy a DMZ-ben nem route-olhato IP cimeket hasznalsz. Ekkor ezek kozvetlenul nem cimezhetoek, ezert aztan a tuzfalnak kell megmonani (DirectedChainer segitsegevel), hogy merre menjen tovabb. Ilyenkor kivulrol a tuzfal IP cimet kell hasznalni. (vagy esetleg a tuzfalra aggatni egy masik IP cimet is) > Az archivumban talaltam egy 0.5.26-ra vonatkozo ftp-s reszt: > # Mit is csinal ez a proxyallow? > class MyFtp(Ftp.FtpProxyAllow): Az FtpProxyAllow osztaly engedelyezi az osszes ftp-vel kapcsolatos rfc (765, 959, stb.)-ben leirt utasitast. Es persze a hozzajuk tartozo valaszt is. > def config(self): > # Mit csinal a debug? > Zorp.debug(0, "MyFtp startUp()") debug, error, es messages fuggvenyek a nevuknek megfelelo tipusu uzenetek kiirasat vegzi. Jelen esetben kiirja a logba (ha a debug engedelyezve van), hogy MyFtp startUp() > # Az ncftp kulonleges allatfajta, hogy ilyen elbanasban > # reszesul? Ha squid proxyn keresztul nyomulnak a kliensek, > # akkor is kell ilyen specialis "segitseget" nyujtani? > # ncftp kliens > self.FtpAnswerENABLE("500", "CLNT") Igen. Az ncftpd-be beleraktak uj parancsokat. Es amilyen intelligensek, ezeket nem SITE <parancs> formajaban tettek. Es raadasul az ncftp-be beepitettek, hogy ezeket a parancsokat hasznalja is. Ilyen pl. a CLNT parancs, amit minden bejelentkezeskor kuld a szerver fele. Erre persze egy jolnevelet szerver 500-as valaszt kuld, hogy az utasitast nem ismeri. De mivel ez semmilyen rfc-ben nincs benne, ezert ezt igy kulon engedelyezni kell. Ha squid-en keresztul mesz (ncftp tud hasznalni squid-et?), akkor nem kell, mert a squid ftp programja nem hasznal ilyen lokott utasitasokat. > # Ez micsoda? > self.proxy_state = 1 Ez a proxy transzparensseget kapcsolja. (0 eseten transzparens a proxy, 1 eseten nem. Ebben javit a 0.7-es Zorp, ahol ez, es az ehhez hasonlo beallitasi lehetosegek egysegesek, es sokkal intuitivabbak.) -- SaSa

1 0

zorp 0.7.7 released
by Balazs Scheidler 15 Dec '00

15 Dec '00

As we promised earlier, we released the first member of the unstable branch we were working the last couple of weeks. Here's the NEWS entry: zorp 0.7.7 Fri, 15 Dec 2000 18:26:31 +0100 The first release in the 0.7.x branch. New features: * cleaned up (rewritten) FTP and HTTP proxies with new, simpler policy interface (pylib/Zorp/Http.py and pylib/Zorp/Ftp.py) * new log subsystem * english documentation (pylib/Zorp/*.py, doc/sgml/tutorial.sgml) * cleanups, bugfixes This release should be quite stable, at least it works for us. -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1 url: http://www.balabit.hu/pgpkey.txt

1 0

Egy pelda-konfig
by Kosa Attila 15 Dec '00

15 Dec '00

Hello! Uj vagyok a listan, ezert eloszoris udvozlok mindenkit. Egy nagyon hosszu levellel kezdek, amelyben egy konkret konfiguracion keresztul szeretnem kerni a segitsegeteket, illetve megtanulni (legalabbis megprobalni) a Zorp konfiguralasat. Akkor jojjon a konfig: from Zorp import Zorp, SockAddr, Listener, Zone, Service, Chainer from Zorp import Stream, Plug, POP3, AnyPy, Ftp, Session, Sink from Zorp import Receiver, Http, Auth from Zorp.Zorp import * from Zorp.LabelSet import LabelSet # Ez a tuzfal neve. Zorp.firewall_name = 'proba1(a)shinwa.hu' # Definialom az intranet zonat (192.168.0.0/255.255.255.0), # es a belulrol a DMZ-be engedni kivant szolgaltatasokat. # Egyelore http, ftp, ssh, pop3 es smtp kellene. Az # smtp-vel kapcsolatban: felteszek egy csak tovabbito # modban mukodo smtp-szervert a tuzfalra - ekkor kell-e # valamilyen Zorp service-t vagy ipchains szabalyt definialnom? Zorp.zones= [ Zone.InetZone("intranet","192.168.0.0","255.255.255.0", None, outbound_services["BDHttp","BDFtp","BDSsh","BDPop"], inbound_services[]), # Definialom a DMZ zonat (192.168.1.0/255.255.255.0), # es a belso halozatra iranyulo szolgaltatasokat. Zone.InetZone("DMZ", "192.168.1.0", "255.255.255.0", None, outbound_services[], inbound_services["BDHttp","BDFtp","BDSsh","BDPop"]) ] # A belso halorol a DMZ fele iranyulo http keresek # iranyitasara szolgal. # Ha azt szeretnem, hogy csak a belso proxy-szerveren # keresztul erhessek el a DMZ-t is, akkor fel kell # venni egy zonat a proxy-szervernek, es csak onnan # engedelyezni a szolgaltatast. Peldaul: # Zone.InetZone("proxy","192.168.0.210","255.255.255.0",None, # outbound_services["PDHttp","PDFtp"], # inbound_services[])] # Ekkor a "DMZ inbound_services"-be fel kell venni a # "PDHttp"-t es a "PDFtp"-t, valamint ki kell venni a # "BDHttp"-t es a "BDFtp"-t a DMZ-bol es az intranetbol is. # Ha "transparent_mode = 1" (ebben az esetben), akkor a # belso-proxyn nem kell beallitanom semmit. Ha viszont 0, # akkor be kell allitani, hogy o a gyermek-proxy, es a # tuzfal a szulo-proxy. # Ha transzparens, akkor kell egy redirect ipchains # szabaly hozza. class BDHttp(Http.HttpProxy): def config(self): self.transparent_mode = 1 # A belso halorol a DMZ fele iranyulo ftp keresek # iranyitasara szolgal. # A command_accept-ben megadott ftp parancsokat tudja # hasznalni a kliens. A NAT = 1 azt jelenti, hogy # maszkolom a kereseket. # Ha azt szeretnem, hogy csak a belso proxy-szerveren # keresztul erhessek el a DMZ-t is, akkor fel kell # venni egy zonat a proxy-szervernek, es csak onnan # engedelyezni a szolgaltatast. A fenti peldahoz tartozo # classok ugyanazok, mint a "BDFtp" es a "BDHttp", csak # a nevuk valtozik meg? Illetve a "def"-juk is ugyanaz, # ott is csak a nevuket kell megvaltoztatni? # # Az external_data_address a tuzfal DMZ feloli laba, az # internal_data_address pedig a tuzfal belso halozat # feloli laba. class BDFtp(Ftp.FtpProxy): def config(self): self.command_accept = 0x00000000 self.NAT = 1 self.fw_external_data_address="192.168.1.1" self.fw_internal_data_address="192.168.0.250" # A belso halorol a DMZ fele iranyulo ssh keresek # iranyitasara szolgal. class BDSsh(Plug.PlugProxy): def config(self): pass # A belso halorol a DMZ fele iranyulo pop3 keresek # iranyitasara szolgal. class BDPop(Plug.PlugProxy): def config(self): pass # Szolgaltatasok definicioi. def init(name): BDPop_service = \ Service.Service("BDpop", # Ha transzparensnek allitom be a pop3 service-t, akkor a # klienseknek a tuzfalat kell megadnom pop3 szerverkent? # A transzparensseg miatt kell ipchains redirect? # A "None,0" azt jelenti, hogy ne irja at a kliens cimet? Chainer.TransparentChainer(None,0), BDPop) BDHttp_service = \ Service.Service("BDHttp", # Ha nem transzparens http-t szeretnek, akkor InbandChainer-t # kell hasznalnom? A "None,1" azt jelenti, hogy nem adunk meg # cimet, es a kliens eredeti cime latszodjon? # A transzparensseg miatt kell ipchains redirect? Chainer.TransparentChainer(None,1), BDHttp) BDFtp_service = \ Service.Service("BDFtp", # Ha nem transzparens ftp-t szeretnek, akkor InbandChainer-t # kell hasznalnom? A "None,1" azt jelenti, hogy nem adunk meg # cimet, es a kliens eredeti cime latszodjon? # A transzparensseg miatt kell ipchains redirect? Chainer.TransparentChainer(None,1), BDFtp) BDSsh_service = \ Service.Service("BDSsh", # A transzparensseg miatt kell ipchains redirect? A "None,1" # azt jelenti, hogy nem adunk meg cimet, es a kliens eredeti # cime latszodjon? Chainer.TransparentChainer(None,1), BDSsh) # A 192.168.0.250 a tuzfal belso halo fele eso laba, de miert # ezek a portszamok vannak megadva? Ide irhatok nekem tetszo # portszamokat is, csak az ipchains redirect-et kell ezekre # beallitanom? Listener.Listen( SockAddr.SockAddrInet("192.168.0.250",2110), BDPop_service) Listener.Listen( SockAddr.SockAddrInet("192.168.0.250",3080), BDHttp_service) Listener.Listen( SockAddr.SockAddrInet("192.168.0.250",3021), BDFtp_service) Listener.Listen( SockAddr.SockAddrInet("192.168.0.250",3022), BDSsh_service) Elnezest kerek, ha tul hosszura nyult a levelem. A kovetkezok mar (remelhetoleg) rovidebbek lesznek :) -- Udvozlettel Zsiga

2 2

English Getting Started documentation
by Balazs Scheidler 14 Dec '00

14 Dec '00

Hi, The first version of the "Zorp Getting Started" documentation has been released on our web site. It describes version 0.7, but it should apply to 0.6 with a few changes as well. http://www.balabit.hu/products/zorp/tutorial/book1.html PS and PDF versions will be available in the tarball. We have a show-stopping bug in FTP now I'll try to fix tomorrow, and release 0.7.7. -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1 url: http://www.balabit.hu/pgpkey.txt

1 0

[sd209@hszk.bme.hu: Zorp (volt: [Security-l] Suli)]
by Kis-Szabo Andras 14 Dec '00

14 Dec '00

----- Forwarded message from Sickboy <sd209(a)hszk.bme.hu> ----- From: Sickboy <sd209(a)hszk.bme.hu> Ha mar igy irtal, kerdezek egyet. Hol van doksi, ami alapjan meg lehet csinalni azt a python configfilet egy "sima" http proxyhoz ? Amit leszedtem Zorp (.deb) , abban a doksi hianyosnak tunik. Vagy ez minden, ebbol kell epitkezni ? ;) .SiCk of IT. ----- End forwarded message ----- -- Kis-Szabo Andras Budapest University of Technology and Economics ---------------------------/ Schonherz Dormitory kisza(a)sch.bme.hu /---------------------------------333-->>>>.Info

2 1

zorp-0.6.0
by Balazs Scheidler 11 Dec '00

11 Dec '00

Sziasztok! Ezennel szeretnem bejelenteni, hogy a Zorp elso stabil valtozatat kiadtuk 0.6.0-as verzioszammal, mivel az elmult hetekben nem talaltunk szamottevo stabilitasi problemakat. Bar ez a verzio nem tartalmaz minden altalunk elkepzelt lehetosegeket, a rendelkezesre allo valtozat is hasznalhato tapasztalataink szerint. Az altalunk uzemeltetett rendszereken nem tapasztaltunk stabilitasi problemat. A valtoztatasok rovid kivonata megtalalhato a NEWS fileban, reszletesebben pedig a ChangeLog-ban. Bar mostanaban nagy volt a csond a mi reszunkrol, nem hagytuk abba a munkat. Tovabbi fejleszteseink talalhatok meg a zorp 0.7-es agaban, melyet rovidesen kiadunk. A dokumentacio teren sajnos ebben a valtozatban nincs nagy valtoztatas, man lapokat irtunk a legfontosabb komponensekhez. Ezen a helyzeten a 0.7-es agban kivanunk segiteni. Udv, -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1 url: http://www.balabit.hu/pgpkey.txt

1 0

roadmap
by Balazs Scheidler 04 Dec '00

04 Dec '00

Hello, This message is intended to inform you about the planned short-term roadmap of Zorp development. * 0.5.x branch: it's in feature freeze state now and only bugfixes are applied. If no new bugs show up for some time it becomes 0.6. * 0.7.x branch: while trying to keep compatibilty with 0.5.x (access control), proxy functionality is improved (configurability, stability and robustness) Policy interface of proxies were revised, and parts of them were rewritten with usability in mind. no public release of this was done yet, though it'll change soon * 0.9.x branch: revised access control using CC LSPP (TCSEC class B) mandatory and discretionary access control We are under the process in branching 0.9.x, and then release the first 0.7.x version by 10th December, 2000. -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1 url: http://www.balabit.hu/pgpkey.txt

1 0