October 2001 - zorp-hu - lists.balabit.hu

Re: [zorp-hu] Zorp konfiguralasa
by MG 11 Oct '01

11 Oct '01

On 09-Oct-2001 Peter Danoczy wrote: >> >#instance arguments >> >#zorp-http --verbose=5 --policy /etc/zorp/policy-http.py >> >#zorp-plug --policy /etc/zorp/policy-plug.py >> > zorp-http --policy --verbose=5 >> > > > intra --verbose=5 --policy /usr/local/zorp/etc/zorp/policy.py > Ha mar intrakent definialtad. > Hi! Hat igen, nem tudom mi az instance.conf fajl lenyege. De meg nem homalyostott fel senki. A doksikban se talaltam rola semmit. :) Szoval ebbe miket kell irogatni? Bye! ---------------------- Linux RedHat 6.2/7.1 ----------------------

2 2

GThread-ERROR
by Kosa Attila 10 Oct '01

10 Oct '01

Hello! Megallt a http proxy a kovetkezo hibauzenettel: Oct 10 10:51:17 fw zorp-web[31070]: GThread-ERROR **: file gthread-posix.c: line 279 (g_thread_create_ posix_impl): error Resource temporarily unavailable during pthread_create (thread, &attr, (void* (*)(v oid*))thread_func, arg) Oct 10 10:51:17 fw zorp-web[31070]: aborting... ii zorp 0.8.6-1 An advanced stateful proxy firewall ii zorp-libs 0.8.6-1 Libraries needed by Zorp to run. ii zorp-modules 0.8.6-1 Proxy modules shipped with Zorp 70 nap mukodes utan eloszor :) Otlet? -- Udvozlettel Zsiga

3 8

Re: [zorp-hu] Zorp alapok
by MG 08 Oct '01

08 Oct '01

Hi! Nezegetem a doksit, de angol nyelvu es az angol tudosam nemileg hianyos. Mind1... Szeretnem leforditani a zorp-ot (0.9.1), de termeszetesen elszall a make-nel: ... io.c:191: (Each undeclared identifier is reported only once io.c:191: for each function it appears in.) io.c:191: parse error before `)' io.c: In function `z_io_connect_start': io.c:242: `self' undeclared (first use in this function) io.c:242: parse error before `)' io.c: In function `z_io_connect_new': io.c:309: `self' undeclared (first use in this function) io.c:309: parse error before `)' io.c: In function `z_io_connect_free_func': io.c:349: `self' undeclared (first use in this function) io.c:349: parse error before `)' io.c: In function `z_io_connect_free': io.c:372: `self' undeclared (first use in this function) io.c:372: parse error before `)' io.c: In function `z_io_connect_ref': io.c:389: `self' undeclared (first use in this function) io.c:389: parse error before `)' io.c:391: warning: implicit declaration of function `g_static_rec_mutex_lock' io.c:393: warning: implicit declaration of function `g_static_rec_mutex_unlock' io.c: In function `z_io_connect_unref': io.c:399: `self' undeclared (first use in this function) io.c:399: parse error before `)' io.c: At top level: io.c:429: parse error before `GStaticRecMutex' io.c:429: warning: no semicolon at end of struct or union io.c:430: warning: type defaults to `int' in declaration of `ZIORealListen' io.c:430: warning: data definition has no type or storage class io.c: In function `z_io_listen_accept': io.c:440: `self' undeclared (first use in this function) io.c:440: parse error before `)' io.c: In function `z_io_listen_new': io.c:508: `self' undeclared (first use in this function) io.c:508: parse error before `)' io.c: In function `z_io_listen_start': io.c:561: `self' undeclared (first use in this function) io.c:561: parse error before `)' io.c: In function `z_io_listen_free_func': io.c:581: `self' undeclared (first use in this function) io.c:581: parse error before `)' io.c: In function `z_io_listen_free': io.c:603: `self' undeclared (first use in this function) io.c:603: parse error before `)' io.c: In function `z_io_listen_ref': io.c:619: `self' undeclared (first use in this function) io.c:619: parse error before `)' io.c: In function `z_io_listen_unref': io.c:629: `self' undeclared (first use in this function) io.c:629: parse error before `)' make[3]: *** [io.lo] Error 1 make[3]: Leaving directory `/home/gabor/TMP/zorp-0.9.1/lib' make[2]: *** [all-recursive] Error 1 make[2]: Leaving directory `/home/gabor/TMP/zorp-0.9.1/lib' make[1]: *** [all-recursive] Error 1 make[1]: Leaving directory `/home/gabor/TMP/zorp-0.9.1' make: *** [all-recursive-am] Error 2 -------------------------------------------------------------------- Mivel tudnam orvosolni a problemat? Vagy tudna esetleg valaki kuldeni egy leforditott zorp-ot RH ala. :) Masik dolog: A zorp-ban hol lehet beallitani hogy az IP csomagokban az adat reszben mit szurjon. Mit lehet benne szurni? Tudom ez mar konfiguralas tema. Esetleg egy egyszeru pelda... :) Pl. a www.microsoft.com a cim http porton, akkor ezt ne engedje tovabbitani a celgepre? :) Ezt lehet pl. beallitani vele? Thanx! Bye! ---------------------- Linux RedHat 7.1 ----------------------

7 27

Zorp alapok
by MG 03 Oct '01

03 Oct '01

Sziasztok! Gabor vagyok. Nemreg iratkoztam fel a listara, mert erdekel ez a zorp nevu tuzfal progi. A honlapon talalhato magyar ismertetot elolvastam, de nem egeszen stimmel hogyan mukodik ez a zorp ill. hogyan kell konfiguralni. A lenyeg: - ipchains mellett szeretnem hasznalni proxy tuzfalnak. - RH ala hogyan tudnam leforditani, honnan lehet 3.0-as gcc-t szerezni (ha lehet rpm-ben)? Azt olvastam hogy csak ezzel tudnam leforditani. - mit tud pontosan ez a zorp? Ha nem kerdeztem sok hulyeseget, akkor homalyositsatok fel a zorp alapjairol! Ha mar uncsi a dolog, akkor maganban irjatok. Elore is kosz a segitseget! Bye! ---------------------- Linux RedHat 7.1 ----------------------

2 6

Re: [zorp-hu] Zorp alapok
by Balazs Scheidler 03 Oct '01

03 Oct '01

On Tue, Oct 02, 2001 at 10:55:36AM +0200, LAZAR Imre wrote: > > > On Tue, 2 Oct 2001, Balazs Scheidler wrote: > > > Szia! > > > > On Sat, Sep 29, 2001 at 12:10:13AM +0200, MG wrote: > > > Gabor vagyok. Nemreg iratkoztam fel a listara, mert erdekel ez a zorp nevu > > > tuzfal progi. > > > A honlapon talalhato magyar ismertetot elolvastam, de nem egeszen stimmel > > > hogyan mukodik ez a zorp ill. hogyan kell konfiguralni. A lenyeg: > > > > igen, a honlapon talalhato dokumentacio nagyon regi. Viszont amugy is > > szivesen vennenk visszajelzeseket az uj doksirol, ugyhogy elkuldenem neked > > maganban. > > > > Opsz, van uj doksitok? En is szivesen beleneznek. Ki tudod tenni a > balabit.hu-ra? kiraktam a /downloads/zorp/gettings_started.ps neven. -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1

1 0

[bazsi@balabit.hu: Re: PIX<->Zorp]
by Balazs Scheidler 02 Oct '01

02 Oct '01

> ha azt mondanak neked, hogy a halozatotok vedelmere CISCO PIX-et kell > hasznalnod, milyen erveket, ellenerveket hoznal fel egy masik tuzfal, vagy > eppen a Zorp alkalmazasara? Szia! A kerdes nem egyszeru, megprobalom roviden osszefoglalni, hogy nem technikai ember ebbol mit ert meg, az jo kerdes. Talan az ismeretlen tamadasi kiserleteket... (ld lentebb) jo olvasast :) Szamos kulonbozo tuzfal technologia letezik, a Zorp es a PIX ket kulonbozo technologiat valosit meg. Lassuk eloszor a PIX-et: A PIX egy allapottarto csomagszuro, ami annyit tesz, hogy a beerkezo csomagokat (itt fontos, hogy _csomagokrol_ van szo) megprobalja kapcsolathoz rendelni (ehhez a csomag fejlec informacioit hasznalja fel, pl: IP forras celcim, TCP flagek, portok), es ha ez az osszerendeles sikeres (tehat megtalalja a csomaghoz tartozo kapcsolatot, es az a kapcsolat engedelyezett), akkor a csomagot - altalaban valtozatlan formaban (majd mindjart latjuk a kiveteleket) - tovabbitja a vedett halozat fele. A PIX a csomag adatreszevel _NEM_ vagy csak nagyon kis mertekben foglalkozik (itt is mindjart latjuk a peldakat). Az elobb azt irtam, hogy a csomagokat nem mindig valtozatlan formaban tovabbitjak, ez annyit jelent, hogy a PIX kepes a TCP fejlecben az sequence numbereket kicserelni, a gyenge ISN (initial sequence number) elkerulesere, valamint kepes az FTP-ben az adatkapcsolatra vonatkozo adatokat megpatchelni. A csomagok azonban nagyreszt _valtozatlan_ formaban jutnak at a vedett halozatra. Azt is mondtam, hogy a csomagok adatreszevel a PIX nem, vagy csak nagyon kicsit foglalkozik. A nagyon kicsi altalaban az a minimum, amivel egy NAT jellegu funkcionalitas elerheto. Pl. az FTP protokoll adatcsatornajanak megnyitasahoz a tuzfalnak tudnia kell, hogy a kliens ill. a szerver milyen cimet adott, illetve ezt meg kell patchelni. Ez azt jelenti, hogy a PIX ismeri az FTP PORT es PASV parancsait/valaszait. Tehat az allapottarto tuzfal tulajdonsaga az, hogy a leheto legtobbet megteszi a szures erdekeben, de szinte kizarolag a csomagok fejreszevel foglalkozik. Sajnos nehany csomagszintu tamadast sem kepes elharitani, hiszen alapvetoen router funkciokat lat el: az engedelyezett csomagokat forwardolja. Nagy problema SPF-nel, hogy nem mindig eldontheto egy csomagrol, hogy az egy adott sessionbe tartozik, vagy nem (pl ha elveszik egy csomag egy TCP sessionbol, attol az az koveto darabot erdemes atengedni, feltetelezve, hogy majd a hianyzo darabot is ujraadja a kliens), tovabbi hatrany lehet, hogy IP stackek kozott lehetnek kulonbsegek: peldaul atlapolo fragmentek kezeleseben/ertelmezeseben, igy elkepzelheto, hogy a tuzfal mas forgalmat "lat", mint a kapcsolat valos vegpontja. (ugyanez a problema amugy elokerulhet Network IDS-nel is) Ennyit eloljaroban az SPF-ekrol. A Zorp, mint azt valoszinuleg tudod, alkalmazas szintu atjarokbol, un. proxykbol all. Ez egy teljesen mas tuzfal technologia, es a kovetkezo modon mukodik: A tuzfal egy specialis (de userspace-bol futo, ellentetben az SPF-ekkel, ahol a teljes feldolgozas kernelben tortenik) program, ami kapcsolatokat fogad (itt fontos, hogy _kapcsolatrol_ van szo), majd a kliens neveben tovabb kapcsolodik a szerver fele, majd a ket kapcsolat kozott kereseket kozvetit. Itt tehat nem egy kapcsolatrol van szo, amit a tuzfal ertelmez, hanem ket fuggetlen kapcsolatrol: 1. a kliens es a tuzfal kozott, 2. a tuzfal es a szerver kozott. Eredetileg a proxy tuzfalak nem transzparensek voltak, a modernebbek mar egytol egyig transzparensek, bar ehhez modositott IP stackre van szukseg. (a Linux ezt alapbol tartalmazza) A ket kapcsolatbol kovetkezoen a csomagszintu tamadasok jo resze mar nem is jatszik, a kapcsolat adatreszerol a fejleceket levagjuk, majd egy ujabb kapcsolatba "beleontjuk", az eredetitol fuggetlen csomagokat hozva letre. A proxy tuzfal _soha_ nem tovabbit csomagokat (legalabbis, ha a proxy funkcioit nezzuk, termeszetesen az IP forward es a proxy megferhet egymas mellett, bar nagyon specialis esetekben). Tovabbi finomitas a proxy tuzfalakban, hogy a fejlecekrol levalasztott adatreszt formai/biztonsagi ellenorzesnek vetik ala. Ennek az ellenorzesnek a megvalositasa az, hogy a proxyk _ismerik_ az alkalmazasi protokollokat, igy minden protokollhoz kulonbozo proxy kell. Osszehasonlitani lehet tuzfalakat peldaul az ellenorzes melysege szerint. A Zorpnal alapveto tervezesi szempont volt a default DENY hozzaallas, tehat _minden_ protokoll elemet ismernunk kell, ami a protokoll mukodesehez elengedhetetlen. Ismert FTP parancsok szama: iptables/ipchains masq: 2 (PORT, PASV) PIX: bizonytalan, valoszinuleg 2 (PORT, PASV) TIS fwtk: 30 korul, de a parancsok parametereit/valaszait nem ellenorzi, a lehetseges parancsok nem bovithetok Zorp: 34, a parancsok parametereit _is_ ellenorzi, a lehetseges valaszkodokkal egyutt. Mind a parancsok, mind a valaszok halmaza bovitheto. Annak, hogy protokoll ellenorzes tortenik szamos elonye van: * egy megnyitott adatcsatornan tenyleg csak az engedelyezett protokoll hasznalhato (pl: nem lehet IRC protokollt hasznalni a megnyitott 80-ason, illetve a bekuldott trojai program nem fog tudni kimenni a kuldojehez a 443-on) * mivel az alkalmazasi szintu tamadasok joresze megserti a protokollt, ezert ezek megfoghatok _ismeretlenul_ is (pl: a CodeRed nem ment keresztul egy Zorp-os HTTP proxyn, a legutolso BSD-s telnetd exploit szinten nem, de azert ez nem csodaszer, mert a NIMDA viszont igen, ilyenkor fel kell kesziteni a tuzfalat a tamadas ismeretere) * ha a tuzfal arra kepes (a Zorp nyilvan igen) lehetoseg van a protokollok IBSZ-nek megfelelo szukitesere (pl: FTP ugyan engedelyezett, de csak anonymous felhasznaloknak, es azoknak is csak letoltesre) Zorp specifikus proxy funkcio, hogy a kulonbozo protokollokat ismero proxykat tetszoleges strukturaba ossze lehet fogni => bonyolult egymasba agyazasok is lekezelhetok, mint pl: HTTPS, pop3s. Tovabbi Zorp ujitas, hogy az adminisztrator kepes a donteseit egy programozasi nyelven megfogalmazni. Termeszetesen ehhez csak akkor kell nyulnia, ha az alapbol nyujtott szolgaltatasok nem elegendoek. Osszefoglalva tehat: PIX Zorp fejlec tartalma alapjan dont a kapcsolat vegpontjai, _ES_ az adatfolyam tartalma alapjan dont erzekeny lehet csomagszintu a csomagszintu tamadasok max. a tuzfalat tamadasokra erhetik nem kepes a protokollok programozasi nyelv all rendelkezesre a melyebb ellenorzesere, igy protokoll ellenorzes finomitasara, nincs lehetoseg protokoll ha erre szukseg van (az alapertelmezestol elemek tiltasara persze nem muszaly elternunk) _nem_ kepes ismeretlen A tamadasi modszerek joresze megfoghato tamadasokat megfogni, sot ismeretlenul is, de felkeszitheto alapbol IDS nelkul meg ismerteket sem nem megfogott, de ismertte valt biztonsagi hibak ismeretere, IDS itt is hasznos termeszetesen. -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1

1 0