January 2001 - zorp-hu - lists.balabit.hu

Re: [zorp-hu] Kezdjuk elolrol :)
by SZALAY Attila 17 Jan '01

17 Jan '01

Hi! On 2001 Jan 17, Kosa Attila wrote: > > Kerdes, hogy honnan probaltad? Ugye nem localhost-rol? > > Mas nem allt rendelkezesemre. Akkor a zorp ne a 192.168.X-es cimen figyeljen, hanem a 127.0.0.1-esen. Ugyanis a localhost-ra meno keresek oda futnak be. (Normal esetben) > Felvettem a maximalis 10-re, alig gyoztem olvasni :) 6-nal feljebb csak akkor erdemes rakni, ha valamennyire erted a belso mukodeset, mert ott mar _nagyon_ sok allapotinformaciot kozol, ami a csak akkor hasznosithato, ha belsoleg is ismered. (Arra jo, hogy hiba eseten megkonnyiti a munkankat, ugyanis leroviditi a hiba lokalizalasat. -- Szalay Attila BalaBit IT Biztonságtechnikai Kft. tel/fax:(36-1)-217-14-98 1092 Bp. Köztelek u. 4/b http://www.balabit.hu

1 0

Re: [zorp-hu] Kezdjuk elolrol :)
by SZALAY Attila 17 Jan '01

17 Jan '01

Hi! On 2001 Jan 17, Kosa Attila wrote: > > from Zorp.Zorp import * > from Zorp import Zorp > from Zorp.Zone import InetZone > from Zorp.Service import Service > from Zorp.SockAddr import SockAddrInet > from Zorp.Chainer import TransparentChainer, DirectedChainer, InbandChainer, FailoverChainer > from Zorp.Plug import PlugProxy > from Zorp import Http > from Zorp.Http import HttpProxy > from Zorp.Ftp import FtpProxyAllow, FtpProxyMinimal > from Zorp.Listener import Listener > > Zorp.firewall_name = 'zorp1(a)teszt.hu' > > > InetZone("kulso", "192.168.1.1/32", > inbound_services=[], > outbound_services=[]), > > InetZone("local", "127.0.0.0/8", > inbound_services=[], > outbound_services=[]), > > InetZone("internet", "0.0.0.0/0", > inbound_services=[], > outbound_services=[]) > > def init(name): > debug(5, "Policy init, name=%s" % name) > > Mivel a csillag a szolgaltatas helyen mindent engedelyez, > ebbol azt gondoltam, hogy az ures pedig semmit. De > elinditva ezt a konfigot ugyanugy tudom pingetni a > 127.0.0.1-et, es a 192.168.1.1-et is. Nem jol gondoltam? > Esetleg a kernelembol hianyzik valami? A ping nem megy keresztul a zorp-on. (A PING icmp csomag, a zorp pedig csak UDP-s es TCP-s csomagokkal foglalkozik) Viszont ez azt jeleti, hogy forward-olsz a ket halokartya kozott, ami nem jo otlet. A forward legyen alapbol DENY > Ezek utan gondoltam engedelyezek valamit (letrehozok egy > szolgaltatast). Beirtam a konfigba a kovetkezoket: > > class IDHttp(HttpProxy): > def config(self): > self.transparent_mode = 1 > > Service("id_http", DirectedChainer(SockAddrInet("192.168.1.1", 8080)), IDHttp) > ^^^ ^^^ > > Listener(SockAddrInet("192.168.1.1", 80), "id_http") > > Remenyeim szerint azt kellett volna csinalnia, hogy miutan > elinditottam az apache-ot a 8080-as porton (ellenoriztem, > tudtam hozza kapcsolodni, a 80-ason pedig nem), ez szepen > atteszi a 192.168.1.1 cim 80-as portjara erkezo kereseket > a 8080-as portra. Ehhez beirtam a konfigba az "id_http"-t. > A vegen kinomban mar minden zona out- es inboundjaba is, de > igy sem volt hajlando azt csinalni, amit szerettem volna. > Egyebkent hibauzenet nelkul elindult, de nem csinalta :( > Ejfelkor abbahagytam... Lehet, hogy a faradsagtol nem > vettem eszre valamit, de akkor mit? Elkelne egy kis > segitseg :) Kerdes, hogy honnan probaltad? Ugye nem localhost-rol? Egyebkent, ha valamilyen nyugje van a zorp-nak, akkor azt jelzi, felteve, hogy nem tul alacsony a verbosity level-je. (Az instances.conf-ban ellenorizheted. A default 3 mar megfelelo, de minel nagyobb ez az ertek, annal tobb mindent ir ki) -- Szalay Attila BalaBit IT Biztonságtechnikai Kft. tel/fax:(36-1)-217-14-98 1092 Bp. Köztelek u. 4/b http://www.balabit.hu

2 1

0.7.11-1 konfig
by Kosa Attila 15 Jan '01

15 Jan '01

Hello! A zonak ertelmes felosztasan meg el kell gondolkoznom :) Megprobaltam elinditani ezzel a konfiggal, de nem sikerult :( A hibauzenet: zorp-plug[16594]: File "/etc/zorp/policy-plug.py", line 29 zorp-plug[16594]: inbound_services[], zorp-plug[16594]: ^ zorp-plug[16594]: SyntaxError: invalid syntax zorp-plug[16592]: (noname/nosession): Error opening policy file /etc/zorp/policy-plug.py Lathatoan nem szereti az ures inbound_services[] (es az outbound-ot se!) reszeket. Tovabbment, ha ezt irtam [""]. Akkor eddig jutott: zorp-plug[16655]: Verbosity level: 3 zorp-plug[16657]: SyntaxError: non-keyword arg after keyword arg (line 49) zorp-plug[16655]: (noname/nosession): Error opening policy file /etc/zorp/policy-plug.py (Ez a web_mail zona outbound sora.) Es ezen mar nem tudtam atleptetni. Tehat el sem indult :( Jojjon a konfig: # A tuzfal belso halo feloli laba: 192.168.0.250 eth2 # A tuzfal DMZ feloli laba: 192.168.1.1 eth1 # A tuzfal internet feloli laba: 100.100.100.100 eth0 from Zorp.Zorp import * from Zorp import Zorp from Zorp.Zone import InetZone from Zorp.Service import Service from Zorp.SockAddr import SockAddrInet from Zorp.Chainer import TransparentChainer, DirectedChainer, \ InbandChainer, FailoverChainer from Zorp.Plug import PlugProxy from Zorp import Http from Zorp.Http import HttpProxy from Zorp.Ftp import FtpProxyAllow, FtpProxyMinimal from Zorp.Listener import Listener Zorp.firewall_name = 'zorp1(a)teszt.hu' #---------------------------------------------------------# #-----------------------ZONAK-----------------------------# #---------------------------------------------------------# # A zonak ertelmes felosztasan meg el kell gondolkoznom :) # Sajnos ebbol a verziobol kimaradt az umbrella :) Zorp.zones = \ [ InetZone("full", "192.168.0.0/24", None, inbound_services[""], outbound_services["bd_http"]), InetZone("levelezes", ["192.168.0.2", "192.168.0.3", "192.168.0.4"], None, inbound_services[""], outbound_services["bd_pop"]), InetZone("sshdmz", ["192.168.0.2"], None, admin_parent="full", inbound_services[""], outbound_services["bd_ssh"]), InetZone("sshki", ["192.168.0.1"], None, admin_parent="sshdmz", inbound_services[""], outbound_services["bi_ssh", "bi_pop"]), InetZone("web_mail", ["192.168.0.5", "192.168.0.6"], None, admin_parent="levelezes", inbound_services[""], outbound_services["bi_http", "bi_ftp"]), InetZone("DMZ", "192.168.1.0", "255.255.255.0", None, inbound_services["bd_http", "bd_ssh", "bd_pop", "id_http", "id_pop"], outbound_services[""]), InetZone("local", "127.0.0.0", "255.0.0.0", None, inbound_services=["*"], outbound_services=[""]), InetZone("internet", "0.0.0.0", "0.0.0.0", None, inbound_services["bi_http", "bi_ftp", "bi_pop", "bi_ssh"], outbound_services["id_http", "id_pop"]) ] #---------------------------------------------------------# #------------------CLASS-OK-------------------------------# #---------------------------------------------------------# # A belso halorol az internet elerese http-n keresztul class BIHttp(Http.HttpProxy): def config(self): HttpProxy.config(self) self.transparent_mode = TRUE # Errol kaphatnek egy kis infot? self.request["GET"] = (Http.HTTP_POLICY, self.filterURL) # Errol is jo lenne egy kis info :) def filterURL(self, method, url, version): log("http.info", 3, "%s: GET: %s" % (self.session.session_id, url)) # A belso halorol az internet elerese ftp-n keresztul class BIFtp(FtpProxyAllow): def config(self): FtpProxy.config(self) self.transparent_mode = TRUE # A belso halorol az internet elerese pop3-mon keresztul class BIPop(PlugProxy): def config(self): pass # A belso halorol a DMZ elerese pop3-mon keresztul class BDPop(PlugProxy): def config(self): pass # Az internetrol a DMZ elerese pop3-mon keresztul class IDPop(PlugProxy): def config(self): pass # A belso halorol a DMZ elerese http-n keresztul class BDHttp(HttpProxy): def config(self): self.transparent_mode = 1 # A belso halorol a DMZ elerese ssh-n keresztul class BDSsh(PlugProxy): def config(self): pass # A belso halorol az internet elerese ssh-n keresztul class BISsh(PlugProxy): def config(self): pass # Az internetrol a DMZ elerese http-n keresztul class IDHttp(HttpProxy): def config(self): self.transparent_mode = 1 #---------------------------------------------------------# #----------------INIT-EK----------------------------------# #---------------------------------------------------------# def init(name): debug(0, "Policy init, name=%s" % name) Service("bi_http", InbandChainer(), BIHttp) Service("bi_ftp", TransparentChainer(), BIFtp) Service("bi_pop", TransparentChainer(), BIPop) Service("bd_pop", TransparentChainer(), BDPop) Service("bd_http", TransparentChainer(), BDHttp) Service("bd_ssh", TransparentChainer(), BDSsh) Service("bi_ssh", TransparentChainer(), BISsh) # A 192.168.1.2 cimen a 80-as porton van a www szerver Service("id_http", DirectedChainer(SockAddrInet("192.168.1.2", 80), IDHttp)) # A 192.168.1.2 cimen a 110-es porton van a pop3 szerver Service("id_pop", DirectedChainer(SockAddrInet("192.168.1.2", 110), IDPop)) #---------------------------------------------------------# #----------------LISTENER-EK------------------------------# #---------------------------------------------------------# # ipchains -A input -i eth2 -s 192.168.0.0/24 -d 0/0 80 -j REDIRECT 3128 Listener(SockAddrInet("192.168.0.250", 3128), "bi_http") # Ha kesz lesz a proxy-szerver: # ipchains -A input -i eth2 -s proxy.ip.cim.e -d 0/0 80 -j REDIRECT 3128 # Ekkor a proxyn nem kell semmit beallitani. # Kulon zonat kell definialni a proxy miatt. # ipchains -A input -i eth2 -s 192.168.0.0/24 -d 0/0 21 -j REDIRECT 2021 # ipchains -A input -i eth2 -s 192.168.0.0/24 -d 0/0 1024: -j REDIRECT 0 Listener(SockAddrInet("192.168.0.250", 2021), "bi_ftp") # Ha kesz lesz a proxy-szerver: # ipchains -A input -i eth2 -s proxy.ip.cim.e -d 0/0 21 -j REDIRECT 2021 # ipchains -A input -i eth2 -s proxy.ip.cim.e -d 0/0 1024: -j REDIRECT 0 # Kulon zonat kell definialni a proxy miatt. # ipchains -A input -i eth2 -s 192.168.0.0/24 -d 0/0 110 -j REDIRECT 2110 Listener(SockAddrInet("192.168.0.250", 2110), "bi_pop") # ipchains -A input -i eth2 -s 192.168.0.0/24 -d 192.168.1.3 110 -j REDIRECT 3110 Listener(SockAddrInet("192.168.0.250", 3110), "bd_pop") # Ugye ide ertelmetlen ipchains REDIRECT-et tenni? Listener(SockAddrInet("100.100.100.100", 110), "id_pop") # A 192.168.1.2 80-as portjan figyel a www-szerver. # ipchains -A input -i eth2 -s 192.168.0.0/24 -d 192.168.1.2 80 -j REDIRECT 3080 Listener(SockAddrInet("192.168.0.250", 3080), "bd_http") # Ha ez is csak a proxy-n keresztul mehet, akkor nem kell az ipchains. # ipchains -A input -i eth2 -s 192.168.0.0/24 -d 192.168.1.0/24 22 -j REDIRECT 3022 Listener(SockAddrInet("192.168.0.250", 3022), "bd_ssh") # ipchains -A input -i eth2 -s 192.168.0.0/24 -d 0/0 22 -j REDIRECT 4022 Listener(SockAddrInet("192.168.0.250", 4022), "bi_ssh") # Ugye ide ertelmetlen ipchains REDIRECT-et tenni? Listener(SockAddrInet("100.100.100.100", 80), "id_http") -- Udvozlettel Zsiga

3 14

bocsanat
by Kosa Attila 12 Jan '01

12 Jan '01

Hello! Sajnos (vagy hal' istennek) van munkaido vege is :) Hetfon tudom folytatni, addig is koszonom a segitseget. -- Udvozlettel Zsiga

1 0

szukseges hardver
by Kosa Attila 12 Jan '01

12 Jan '01

Hello! Az erdekelne - mellekesen -, hogy egy P133, 48 MB RAM, 1,3 GB vinyoval eleg lenne-e egy hasonlo konfighoz (ami csak bovebb lehet ennel). -- Udvozlettel Zsiga

2 3

Konfiguralas
by Kosa Attila 12 Jan '01

12 Jan '01

Hello! Bocsanat, hogy mar megint ilyen hosszu levelet irok, de ugy latszik, kicsit nehez a felfogasom :) Igyekeztem belezsufolni mindent, amire szuksegem lehet, de megint van egy par kerdesem. Egy kupacba tettem az osszetartozo dolgokat, de csak a konnyebb erthetoseg (szamomra) miatt. Tudom, hogy a valosagban nem igy kell. # A tuzfal belso halo feloli laba: 192.168.0.250 eth2 # A tuzfal DMZ feloli laba: 192.168.1.1 eth1 # A tuzfal internet feloli laba: 100.100.100.100 eth0 # Egy altalanos kerdes: hogyan tudom szabalyozni, hogy # (ip-cim szerint) mely gepek milyen szolgaltatasokat # erhetnek el a tuzfalon keresztul? Ez a konfig melyik # zorp verzioval mukodik stabilan? Ugyanis ugy lattam, # hogy a 0.7.11-es verzional mar mas a konfig. from Zorp import Zorp, SockAddr, Listener, Zone, Service, Chainer from Zorp import Stream, Plug, POP3, AnyPy, Ftp, Session, Sink from Zorp import Receiver, Http, Auth from Zorp.Zorp import * Zorp.firewall_name = 'zorp1(a)teszt.hu' Zorp.zones = [ InetZone("intranet","192.168.0.0","255.255.255.0", None, outbound_services["BIHttp", "BIFtp", "BIPop", "BDHttp", "BDSsh", "BDPop"], inbound_services[]), InetZone("DMZ", "192.168.1.0", "255.255.255.0", None, outbound_services[], inbound_services["BDHttp", "BDSsh", "BDPop", "IDHttp", "IDPop"]), InetZone("internet", "0.0.0.0", "0.0.0.0", None, outbound_services["IDHttp", "IDPop"], inbound_services["BIHttp", "BIFtp", "BIPop"])] #---------------------------------------------------------# # A belso halorol az internet elerese http-n keresztul class BIHttp(Http.HttpProxy): def config(self): HttpProxy.config(self) self.transparent_mode = 1 # self.request["POST"] = (Http.HTTP_DROP) def init(name): BIHttp_service = \ Service("BIHttp", InbandChainer(), BIHttp) # A kesobbiekben szeretnek egy proxyt is kesziteni a belso # halozatra, de egyelore direktben szeretnem kiengedni a # usereket. Erdemes-e beletenni a "-s 192.168.0.0/24" reszt? # ipchains -A input -i eth2 -d 0/0 80 -j REDIRECT 3128 Listener(SockAddrInet("192.168.0.250", 3128), BIHttp_service) # Ha kesz lesz a proxy-szerver (squid), akkor csak az # atiranyitast kell megvaltoztatnom? Ahogy en gondolom: # ipchains -A input -i eth2 -s proxy.ip.cim.e -d 0/0 80 -j REDIRECT 3128 # Es ekkor a proxyn nem kell semmit beallitani, ugye? #---------------------------------------------------------# #---------------------------------------------------------# # A belso halorol az internet elerese ftp-n keresztul class BIFtp(FtpProxyAllow): def config(self): FtpProxy.config(self) self.fw_server_data.ip_s="100.100.100.100" self.fw_client_data.ip_s="192.168.0.250" NAT = 1 def init(name): BIFtp_service = \ Service("BIFtp", TransparentChainer(), BIFtp) # A Windowsos kliensek tudnak-e igy ftp-zni? # ipchains -A input -i eth2 -d 0/0 21 -j REDIRECT 2021 # ipchains -A input -i eth2 -d 0/0 1024: -j REDIRECT 0 Listener(SockAddrInet("192.168.0.250", 2021), BIFtp_service) # Ha kesz lesz a proxy-szerver (squid), akkor ezeket az # atiranyitasokat is at kell irni. Ahogy en kepzelem: # ipchains -A input -i eth2 -s proxy.ip.cim.e -d 0/0 21 -j REDIRECT 2021 # ipchains -A input -i eth2 -s proxy.ip.cim.e -d 0/0 1024: -j REDIRECT 0 # A Windowsos kliensek tudnak-e igy ftp-zni (proxyn # keresztul)? #---------------------------------------------------------# #---------------------------------------------------------# # A belso halorol az internet elerese pop3-mon keresztul class BIPop(PlugProxy): def config(self): pass def init(name): BIPop_service = \ Service("BIPop", TransparentChainer(), BIPop) # ipchains -A input -i eth2 -d 0/0 110 -j REDIRECT 2110 Listener(SockAddrInet("192.168.0.250", 2110), BIPop_service) # Ha korlatozni szeretnem, hogy mely gepek mehetnek ki ezen # a szolgaltatason keresztul, akkor azt hogyan kell # beallitani? Ha azt is korlatozni szeretnem, hogy mely # gepeket erhetik el a neten pop3-mal (pl. matav, elender), # akkor kulon kell bontanom a matavos es elenderes elerest, # es az ipchains-szel iranyitani a megfelelo porton figyelo # service-hez? Akkor megint felmerul az ip-cim szerinti # megkulonboztetes kerdese, illetve itt meg felmerul az is, # hogy mi a helyzet azzal, aki mindkettot szeretne # hasznalni? #---------------------------------------------------------# #---------------------------------------------------------# # A belso halorol a DMZ elerese pop3-mon keresztul class BDPop(PlugProxy): def config(self): pass def init(name): BDPop_service = \ Service("BDPop", TransparentChainer(), BDPop) # ipchains -A input -i eth2 -d 192.168.1.3 110 -j REDIRECT 3110 Listener(SockAddrInet("192.168.0.250", 3110), BIPop_service) #---------------------------------------------------------# #---------------------------------------------------------# # Az internetrol a DMZ elerese pop3-mon keresztul class IDPop(PlugProxy): def config(self): pass def init(name): IDPop_service = \ Service("IDPop", TransparentChainer(), IDPop) # ipchains -A input -i eth0 -d 192.168.1.3 110 -j REDIRECT 4110 Listener(SockAddrInet("100.100.100.100", 4110), BIPop_service) # Ezt inkabb DirectedChainer-rel kellene megoldani? #---------------------------------------------------------# #---------------------------------------------------------# # A belso halorol a DMZ elerese http-n keresztul class BDHttp(HttpProxy): def config(self): self.transparent_mode = 1 def init(name): BDHttp_service = \ Service("BDHttp", TransparentChainer(), BDHttp) # A 192.168.1.2 80-as portjan figyel a www-szerver. # ipchains -A input -i eth2 -d 192.168.1.2 80 -j REDIRECT 3080 Listener(SockAddrInet("192.168.0.250", 3080), BDHttp_service) #---------------------------------------------------------# #---------------------------------------------------------# # A belso halorol a DMZ elerese ssh-n keresztul class BDSsh(PlugProxy): def config(self): pass def init(name): BDSsh_service = \ Service("BDSsh", TransparentChainer(), BDSsh) # ipchains -A input -i eth2 -d 192.168.1.0/24 22 -j REDIRECT 3022 Listener(SockAddrInet("192.168.0.250", 3022), BDSsh_service) #---------------------------------------------------------# #---------------------------------------------------------# # Az internetrol a DMZ elerese http-n keresztul class IDHttp(HttpProxy): def config(self): self.transparent_mode = 0 def init(name): # A 192.168.1.2 cimen a 80-as porton van a www szerver IDHttp_service = \ Service("IDHttp", DirectedChainer(SockAddrInet("192.168.1.2", 80), IDHttp) Listener(SockAddrInet("100.100.100.100", 80), IDHttp_service) #---------------------------------------------------------# -- Udvozlettel Zsiga

4 14

Complex online zorpon at
by Szûcs Tibor 10 Jan '01

10 Jan '01

Udv Hasznal valaki complex online -t zorpon keresztul ? elvileg http 1.1 et hasznal a 80 as porton de valamiert nem megy at a HTTP proxy -n plug proxy val megy A zorp 0.7.11 es Udv Robit

3 2

telepitesi problema
by Kosa Attila 10 Jan '01

10 Jan '01

Hello! Ki szerettem volna probalni a 0.7.10-1-es verziot, de a zorp-libs dependel a libcap1-re. Es semmi ilyet nem talalok. Honnan lehet ilyet szerezni? -- Udvozlettel Zsiga

2 4

zorp 0.7.10 released
by Balazs Scheidler 02 Jan '01

02 Jan '01

Hi, We have released version 0.7.10 of Zorp, available at the usual places. Here's the NEWS entry. zorp 0.7.10 Tue, 2 Jan 2001 19:07:37 +0100 * ipchains support, zorp is now able to directly add/remove ipchains rules * bugfixes (we now use this release on our own firewall) http://www.balabit.hu/products/zorp/ -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1 url: http://www.balabit.hu/pgpkey.txt

1 0

Domain.py
by Szûcs Tibor 02 Jan '01

02 Jan '01

Probalom a 7.9 et es mintha hianyozna a Domain.py a pylib/Zorp/ konyvtarbol a Zone.py ban importalana az InetDomaint de nincs mibol hol talalok ilyet ? Udv Robit

2 1