December 2001 - zorp-hu - lists.balabit.hu

Va: [zorp-hu] http_proxy
by Marady Arpad 21 Dec '01

21 Dec '01

Folraktam 0.8.8-as verziot de nem valtozott semmi The server you were trying to contact send an invalid response Possible reasons: The server violates the HTTP/1.1 protocol There's an interoperability problem between the server and this gateway Possible solutions: Contact your system administrator for assistance Contact your Zorp support for assistance Additional information: Page generated by Zorp version 0.8.8

2 1

http_proxy
by Marady Arpad 21 Dec '01

21 Dec '01

Van egy kis gondom a http proxy-val. Ha dmz-es http szerveremen van authentication akkor a zorp elutasit. A hiba: The server you were trying to contact send an invalid response zorp verzio: LD_LIBRARY_PATH=/usr/lib/zorp ZORP=/usr/lib/zorp/zorp Zorp 0.8.3 Compile-Date: Apr 18 2001 09:32:43 Trace: off Debug: on Caps: on config: class BHTTPP(HttpProxy): def config(self): HttpProxy.config(self) return Z_ACCEPT Marady Arpad

2 1

ipchains
by Marady Arpad 18 Dec '01

18 Dec '01

Fol vettem egy virtualis interfacet (pl eth0:17) es ennek egy ip cimet, erre az interface-re es ip cimre a 80 portra jovo csomagokat atdobom 50080-ra. De a problema az, hogy ezzek a csomagok nem az eth0:17 -re hanem a sima eth0 -ra erkeznek. Ez igy mukodik vagy en rontotam el valamit? Arpi

2 1

kernel-patch
by Marady Arpad 17 Dec '01

17 Dec '01

2.2.19pre17 kernel-hez kellenek ezzek a patch-ek es ha igen hol talalom oket?? >kernel: > 2.2.19 vagy 2.2.20 > openwall patch > logexec patch > lagrefd > largeproc >

2 1

postfix
by marady 14 Dec '01

14 Dec '01

Nezegetem a postfixet-et tenyleg jonak tunik. Ha van esetleg kialakult konfigod tuzfal "mail proxy" kialakitasara az sokat segitenne. Marady Arpad

2 1

zorp
by Marady Arpad 13 Dec '01

13 Dec '01

A zorpban van lehetoseg megadott hostok tiltasara es/vagy megadott celok tiltasara? (ipchainsben tudom, hogy megoldhato) Van valakinek egy egyszeru sendmail configja ami csak annyit csinal, hogy a megadott mail domanieket kikuldi illetve fogadja es beteszi a megfelelo mail szervere (mailertable)? Marady Arpad

3 2

Url szures es regularis kifejezesek
by KUN Arpad 13 Dec '01

13 Dec '01

Szia En nem nagyon (azaz egyelore nagyon nem) vagom a pythont, es az alap configon tul, hiaba ilesztettem, es probaltam helyesen indentalni bele uj rulet / ruleokat, syntax erroral mindig elhalt indulaskor, maga a pelda is. Biztos valamit elneztem, de nem jottem ra a nyitjara eddig. Itt akadtam el sajnos, pedig azt hiszem nem egy veszes dolog, amirol szo van. :) Mellekelem egy korabbi levelemet, Minden yot, KharpeeT -------------------------------------------------------------------- Fut a zorp, az alap funkciok mukodnek is. Vegigolvastam a share/zorp/pylib/Zorp/Http.py -t, hogy milyen funkciokra kepes, talaltam peldakat is. Igaz ezek elteroek voltak azoktol, amiket a zorp reference guide -ban olvastam. Gondolom azota valtozott nehany dolog. Nehany webserver elott transzparens szuresre szeretnem hasznalni a zorpot, es egy ket dologgal nem boldogultam eddig. Ami a problemam, hogy a megadott uj peldak nem nagyon akartak mukodni (konkretan az url szures). A kerdesem, hogy mitol lehet ez? (alul a reszletek) A masik, ami erdekelne, hogy lehetseges-e reguralis kifejezesek alapjan szurni? Pl http get-ekre szeretnek nehany rule-t felvinni, de a pyhton egyelore eleg elvarazsolt nekem. Tudnal egy-ket peldat mondani, hogy egymas ala hogy lehetne ezeket definialni? Valahogy igy kepzelem el: (persze lehet, hogy hibasan, de talan ertheto :) ) if (url == "^.*\/etc\/passwd.*$") return HTTP_REQ_ACCEPT self.error_info = 'Content denied by policy.' return HTTP_REQ_REJECT if (url == "http://www.ungabunga.hu") return HTTP_REQ_ACCEPT self.error_info = 'Content denied by policy2.' return HTTP_REQ_REJECT ----- Itt van a pillanatnyi config, amire a syslogba ezt a hibauzenetet szorja: ---------- log ---------- zorp-http[25450]: zorp version 1.4.0rc13 going down. zorp-http[25452]: (zorp/nosession): File "/usr/local/zorp/etc/zorp/policy.py", line 83 zorp-http[25452]: (zorp/nosession): if (url == "http://www.balabit.hu") zorp-http[25452]: (zorp/nosession): ^ zorp-http[25452]: (zorp/nosession): SyntaxError: invalid syntax ---------- A hibas configom ataccsban, mert levelben szetesik sajnos. ############################################################################ ## ## Copyright (c) 2000, 2001 BalaBit IT Ltd, Budapest, Hungary ## ## This program is free software; you can redistribute it and/or modify ## it under the terms of the GNU General Public License as published by ## the Free Software Foundation; either version 2 of the License, or ## (at your option) any later version. ## ## This program is distributed in the hope that it will be useful, ## but WITHOUT ANY WARRANTY; without even the implied warranty of ## MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the ## GNU General Public License for more details. ## ## You should have received a copy of the GNU General Public License ## along with this program; if not, write to the Free Software ## Foundation, Inc., 675 Mass Ave, Cambridge, MA 02139, USA. ## ## $Id: policy.py.sample,v 1.10.2.2.4.2 2001/11/08 11:20:48 bazsi Exp $ ## ############################################################################ # # sample firewall policy with transparent access to FTP, HTTP and CVS protocols. # For FTP and HTTP we use application level gateways, for CVS we use a plug. # (as long as CVS protocol proxy is not available) # # firewall internal network: 192.168.1.0/24 # firewall internal interface: 192.168.1.1 # firewall external interface: 193.225.235.6 # from Zorp.Core import * from Zorp.Http import * from Zorp.Plug import * from Zorp.Ftp import * Zorp.firewall_name = 'zorp@site' InetZone("site-net", "0.0.0.0/0", # list of allowed outbound services, '*' matches anything outbound_services=["intra_http", "intra_ftp"], # list of allowed inbound services, '*' matches anything inbound_services=[]), InetZone("local", "127.0.0.0/8", inbound_services=["*"], outbound_services=[]), InetZone("internet", "VEDETT/HALO", inbound_services=["*"], outbound_services=[]) # # Here's a proxy event handler definition. We are deriving from a # simple plug proxy, which is blindly copying in both directions. # # Instances of this class represent a "plug proxy". For a complete # documentation for the features and available attributes of plug see the # file /doc/modules/plug.txt # # # Let's define a transparent http proxy, which rewrites the user_agent # header to something different. # class IntraHttp(HttpProxy): def config(self): HttpProxy.config(self) self.transparent_mode = TRUE # self.request_header["User-Agent"] = (HTTP_HDR_CHANGE_VALUE, "Lynx/2.8.3rel.1") self.request["GET"] = (HTTP_REQ_POLICY, self.filterURL) def filterURL(self, method, url, version): if (url == "http://www.balabit.hu") return HTTP_REQ_ACCEPT self.error_info = 'Content denied by policy.' return HTTP_REQ_REJECT # return Z_REJECT here to reject this request # change self.request_url to redirect to another url # change connection_mode to HTTP_CONNECTION_CLOSE to force kept-alive connections to close log("http.info", 3, "%s: GET: %s" % (self.session.session_id, url)) return HTTP_REQ_ACCEPT class IntraFtp(FtpProxy): def config(self): FtpProxy.config(self) self.transparent_mode = TRUE # # name is passed to the Zorp instance with the --as command line option # you can use it to start different services for different names # In this simple policy we ignore it. # def init(name): # create services Service("intra_http", IntraHttp, router=TransparentRouter()) Service("intra_ftp", IntraFtp, router=TransparentRouter()) # bind services to listeners # you'll need the packet filter redirect these connections, and # to protect transparent listeners, since if you connect to # a transparent listener directly, Zorp reconnects to itself. Listener(SockAddrInet("FIREWALL", 50080), "intra_http") Listener(SockAddrInet("FIREWALL", 50021), "intra_ftp")

2 1

Re: Sendmail
by Marady Arpad 06 Dec '01

06 Dec '01

Koszi a segitseget. >Szia! > >Csak arra válaszolok, amire tudok: >> Egy InetZone -ban hogyan lehet tobb ip cim tartomanyt definialni? > >InetZone("intranet", ["192.168.0.0/24", > "192.168.2.0/32", > "192.168.34.222/28", > "192.168.8.34/24"], > admin_parent="szulozona", > inbound_services=[], > outbound_services=[ > "service_id_1", > "service_id_2"]) > >> Melyikbol milyen verziot ajanlotok (kernel,sendmail,libc,bind)? > >kernel: > 2.2.19 vagy 2.2.20 > openwall patch > logexec patch > lagrefd > largeproc > >sendmail: > a sendmail-nek auditált forráskódja van > ezért ajánljuk a 8.12.X > de nézz utána securityfocuson, hogy > melyiket érdemes választani > >libc: > az ami a potatoban van (2.1.3) > >bind: > mindig a lehető a legfrissebbet > szigoru chrootban capmentesitve, > a következő cap-ekkel: > cap_net_bind_service=pe > >Üdv, Höltzl Péter

1 0

zorp_1.4.0rc12-1
by KUN Arpad 06 Dec '01

06 Dec '01

Sziasztok Nemregen kezdtem foglalkozni zorppal. Mar nem emlekszem pontosan miert, mar akkor is, egy mirrorol szedtem le a forrast, es forgattam le (Zorp 1.4.0rc11). Ez a resze mukodott meg a dolognak. Most viszont ugyerzem elakadtam nemileg. Eddig egyszeruen nem tudtam ugy futasra birni, hogy bindeljen socketre. Anelkul mar sikerult egy alaposan kiherelt pelaconfiggal. (Egyertelmu, ez igy nemegeszen hasznalhato... ;) ) Azota vegigolvasgattam az archivumot, es ugyerzem egy helyen talaltam valamit, ami esetleg az en kinomat is okozhatja. Ha jolemlekszem, Narancs irta, hogy voltak problemak a policy.py es peldaconfiggal. Szerettem volna hozzajutni az ujabb verziohoz, (Bazsi irta, hogy javitotta) de eddig nem sikerult. A mirrorokon regi van fent, a hivatalos oldalrol meg nem elerheto: http://www.balabit.hu/hu/downloads/zorp-gpl/downloads/ Thu, 29 Nov 2001 11:36:55 +0100 zorp_1.4.0rc12-1.tar.gz --> Ez sajnos 404-ezik... Megoldhato a problema? Esetleg egy jo policy.py, csak hogy lassam hogyan fut, mert igy nem tudtam meg elindulni vele. Koszi szepen, KharpeeT -- system administrator kirowski 1075 Budapest, Karoly korut 9. www.kirowski.com | tel: +36 1 4112200 | fax: +36 1 4112299

1 0

Sendmail
by Marady Arpad 06 Dec '01

06 Dec '01

A sendmail-nek milyen capability-kre van szuksege a chroot-ban, hogy megfeleloen mukodjon? InetZone("intranet", "192.168.0.0/24", outbound_services=["intra_HTTP"], inbound_services=[]) Egy InetZone -ban hogyan lehet tobb ip cim tartomanyt definialni? Melyikbol milyen verziot ajanlotok (kernel,sendmail,libc,bind)? Koszi Arpad

3 2