November 2002 - zorp-hu - lists.balabit.hu

BalaBit Tanfolyamok!
by Gyorko Zoltan 26 Nov '02

26 Nov '02

Tisztelt Hölgyem/Uram! Ezúton szeretnénk felhívni figyelmét az év utolsó BalaBit tanfolyamaira. 1. TCP/IP Linux hálózat A tanfolyam időpontja: 2002. december 10-11. 2. Zorp Adminisztrátor A tanfolyam időpontja: 2002. december 16-17-18. A tanfolyamok helyszíne: Budapest, XI. Ker. Csurgói út 20/B (BalaBitHQ) A tanfolyamok díja: TCP/IP: 60.000 Ft Zorp Adm.: 100.000 Ft Kapcsolat: Szabó Gyöngyvér e-mail: szabo.gyongyver(a)balabit.hu tel: 1-371-0540 Bővebb információ és jelentkezési lap: http://www.balabit.hu/hu/support/training/ Üdvözlettel -- Györkő Zoltán BalaBit IT Biztonságtechnikai Kft. tel:(36-1)-371-0540 1116 Bp. Csurgói út 20/b http://www.balabit.hu

1 0

SNAT
by Ifj. Darvas Istvan 21 Nov '02

21 Nov '02

sziasztok, A tproxy patch-el megpatcheltem a 2.4.19-es kernelemet, leforditottam majd betoltottem a tproxy modulbol. majd feltettem a 1.4.8-as zorpot a deb csomagbol, ami fent van a lapon... elkovettem a kov konfigot: .... from Zorp.NAT import * ..... class Inter_SSH_Intra(PlugProxy): pass .... def Test(): Service("inter_SSH_intra", Inter_SSH_Intra, router=DirectedRouter(SockAddrInet ("192.168.0.100",22)), snat=ForgeClientSourceNAT()) Listener(SockAddrInet(IP_OUT,30000), "inter_SSH_intra") es azt vartam volna hogy bevisz SSH-n a belso gepre ugy, hogy latom a belso gepen a konnektalo gep IP-jet... valamit elcseszhettem, mert azt irja a zorp a logba, hogy nem tudja bindelni a cimet....pedig tproxy-val megpactheltem a kernelt ;-( Mit cseszhettem el? sziasztok, Istvan log: Nov 19 21:38:41 stargate Test[2807]: (zorp/nosession): Incoming connection; remote='AF_INET(195.38.103.132:1216)', fd='9' Nov 19 21:38:41 stargate Test[2807]: (Zorp@StarGate/inter_SSH_intra): Connection accepted; client_address='AF_INET(195.38.10 3.132:1216)' Nov 19 21:38:41 stargate Test[2807]: (Zorp@StarGate/inter_SSH_intra:0): Starting proxy instance; client_fd='9', client_addre ss='AF_INET(195.38.103.132:1216)', client_zone='Zone(internet, 0.0.0.0/0)', client_local='AF_INET(213.222.165.148:30000)' Nov 19 21:38:41 stargate Test[2807]: (Zorp@StarGate/inter_SSH_intra:0/plug): Proxy starting; class='Inter_SSH_Intra', module ='plug' Nov 19 21:38:41 stargate Test[2807]: (zorp/nosession): Module successfully loaded; module='plug', file='/usr/lib/zorp/libplu g.so' Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): thread starting; Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): calling __config__() event; Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): calling config() event; Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): Config dump, attribute value; name='packet_stat s_interval', value='0' Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): Config dump, attribute value; name='copy_to_cli ent', value='1' Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): Config dump, attribute value; name='timeout', v alue='-1' Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): Config dump, attribute value; name='copy_to_ser ver', value='1' Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): calling __startup__() event; Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): calling startUp() event; Nov 19 21:38:41 stargate Test[2810]: (zorp/nosession): Connecting to remote host; local='AF_INET(195.38.103.132:0)', remote= 'AF_INET(192.168.0.100:22)' Nov 19 21:38:41 stargate Test[2810]: (zorp/nosession): Changing process capabilities; caps='= cap_net_bind_service+ep cap_ne t_admin+p' Nov 19 21:38:41 stargate Test[2810]: (zorp/nosession): Changing process capabilities; caps='= cap_net_bind_service,cap_net_a dmin+ep' Nov 19 21:38:41 stargate Test[2810]: (zorp/nosession): bind() failed; error='Cannot assign requested address' Nov 19 21:38:41 stargate Test[2810]: (zorp/nosession): Resetting process capabilities; caps='= cap_net_bind_service,cap_net_ admin+p' Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): Exception occurred during connection establishm ent; Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): calling __destroy__() event; Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): Proxy destroy; class='Inter_SSH_Intra', module= 'plug' Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0): client: Shutdown channel; fd='9', mode='2' Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0): client: Closing channel; fd='9' Nov 19 21:38:41 stargate Test[2810]: (Zorp@StarGate/inter_SSH_intra:0/plug): thread exiting; Nov 19 21:38:41 stargate Test[2807]: (Zorp@StarGate/inter_SSH_intra:0/plug): Proxy ending; class='Inter_SSH_Intra', module=' plug' Nov 19 21:38:41 stargate Test[2807]: (Zorp@StarGate/inter_SSH_intra:0): client: accounting info; duration='0', sent='0', rec eived='0'

3 4

WebDAV más címre
by Czakó Krisztián 15 Nov '02

15 Nov '02

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Hello, Nagyjából összejött, amit az lmekonfon beszéltünk, azaz: - - 1 IP-n sok virtualhost (standard apache namevirtualhost-ok) - - https - - WebDAv úgy, hogy a DAV kéréseket más címre küldjük, mint a normál https kéréseket Eygetlen mellékhatása van (kérdezze meg kezelőorvosát, gyógyszerészét:), hogy WebDAV kérés után a következő bárhonnan jövő kérést is a webdavos szervernek küld. De csak az elsőt, azaz ha az ilyenkor jövő authentikációs kérésre mégsemet mondok, bejön a kért lap. A megoldás annyira pofonegyszerű, hogy az már fáj :) A HttpProxy-ból származtaott osztályunkba ez kell: self.session.service.dnat="" self.request["OPTIONS"] = (HTTP_REQ_POLICY, self.filterDAV) self.request["PROPFIND"] = (HTTP_REQ_POLICY, self.filterDAV) self.request["PUT"] = (HTTP_REQ_POLICY, self.filterDAV) self.request["DELETE"] = (HTTP_REQ_POLICY, self.filterDAV) self.request["MKCOL"] = (HTTP_REQ_POLICY, self.filterDAV) self.request["PROPPATCH"] = (HTTP_REQ_POLICY, self.filterDAV) self.request["COPY"] = (HTTP_REQ_POLICY, self.filterDAV) self.request["MOVE"] = (HTTP_REQ_POLICY, self.filterDAV) self.request["LOCK"] = (HTTP_REQ_POLICY, self.filterDAV) self.request["UNLOCK"] = (HTTP_REQ_POLICY, self.filterDAV) A PUT esetét óvatosan, hátha kell "normál" módban is. A filterDAV: def filterDAV(self, method, url, version): self.session.service.dnat = StaticNAT(SockAddrInet("davserver-címe",9443)) return HTTP_REQ_ACCEPT Service-ben router=TransparentRouter() Ezzel el is van intézve. Fontos, hogy a session.service.dnat változót üresre állítsuk, különben úgymarad és folyton a davserverre irányít. A davservernél a port tetszőleges, nálam egy apache fut csak ssl módban, csak dav céllal, egyébként a "fő" apache-al azonos konfiggal. Slapic - -- Pilatus-Comp Ltd. HUNGARY * The Linux Expert * pilatuscomp(a)linux.co.hu http://www.linux.co.hu * Phone: +36-1-2481816 * Fax: +36-1-2481817 -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.0.6 (GNU/Linux) Comment: For info see http://www.gnupg.org iD8DBQE90EQlCF6okiny5rwRArW9AJ9rJPHC+fmBnxyohk33v2RjbteHQQCgonCe oQwezw1+7qS81oZbz3d8dRU= =X4Z9 -----END PGP SIGNATURE-----

2 12

1.4 es 2.0pre4 forditasi problemak
by Vasarhelyi asd Daniel 14 Nov '02

14 Nov '02

Udv, mivel nincs keresheto archivuma a listanak es a google-val sem talaltam semmit, kenytelen leszek valoszinuleg ezredszer feltenni a kerdest: miert nem kepes nallam a zorp lefordulni. A szukseges libek tudomasom szerint fent vannak, a configure viszont mintket esetben elhal. 1.4.8: $ ./confiugure: [...] checking for forkpty in -lutil... yes checking for Py_Finalize in -lpython1.5... no checking for Py_Finalize in -lpython2.1... yes Segmentation fault $ tail config.log: /* Override any gcc2 internal prototype to avoid an error. */ /* We use char because int might match the return type of a gcc2 builtin and then its argument prototype would still apply. */ char Py_Finalize(); int main() { Py_Finalize() ; return 0; } configure:6347: checking for Py_Finalize in -lpython2.1 configure:6366: gcc -o conftest -O2 -I/usr/include/python1.5 conftest.c -lpython2.1 -lutil -ldl -lpthread -lssl -lcrypto -lm -lnsl 1>&5 2.0pre4: $ ./configure: checking for zorplibll >= 1.5.49... gnome-config: not found gnome-config: not found Package zorplibll was not found in the pkg-config search path. Perhaps you should add the directory containing `zorplibll.pc' to the PKG_CONFIG_PATH environment variable No package 'zorplibll' found configure: error: Cannot find ZORP Lowlevel library version >= 1.5.49: is pkg-config in path? Mi az, hogy gnome-config ? (!!) Ezt a libet hol lehet letolteni? Kosz a segitseget, asd -- Daniel "asd" Vasarhelyi PGP key avaible at http://asd.musichello.com/gpg-pub.key and public keyservers Key fingerprint = EA00 AF4D A83C 1122 0967 DDF5 27BC 390F 181F 9954

6 14

DEB
by Ifj. Darvas Istvan 13 Nov '02

13 Nov '02

sziasztok, a 2.0-asnak a deb csomagjai valami zorp-pro-modules -ra hivatkoznak de ezt nem nagyon talaltam meg a letoltesek kozott....mit cseszhettem el? sziasztok, Istvan dpkg: dependency problems prevent configuration of zorp: zorp depends on zorp-pro-modules (= 2.0pre21-1); however: Package zorp-pro-modules is not installed. dpkg: error processing zorp (--install): dependency problems - leaving unconfigured dpkg: dependency problems prevent configuration of zorp-dev: zorp-dev depends on zorp (= 2.0pre21-1); however: Package zorp is not configured yet. dpkg: error processing zorp-dev (--install): dependency problems - leaving unconfigured dpkg: dependency problems prevent configuration of zorp-modules: zorp-modules depends on zorp; however: Package zorp is not configured yet. dpkg: error processing zorp-modules (--install): dependency problems - leaving unconfigured Errors were encountered while processing: zorp zorp-dev zorp-modules Tisztelettel, Ifj. Darvas Istvan www.DarviNET.Hu

2 1

Mi az új a 2.0-ás Zorpban
by Balazs Scheidler 13 Nov '02

13 Nov '02

Sziasztok, mivel már többen kérdeztétek, hogy mi is lesz az újdonság a 2.0-s Zorpban, ezért összedobtam egy nem végleges listát. Angolul van ugyan, de remélem ez nem probléma :) ebben nincsenek bent a commercialban újonnan megjelent proxyk, ezek: SQLNet (NET8), TFTP, LDAP Illetve rövidesen várható a PostgreSQL * kernel 2.4 support with a custom transparent proxy patch (available at http://www.balabit.hu/en/downloads/tproxy) * transition to glib 2.0 instead of 1.3.1 * transition to python 2.1 * rewritten, more robust UDP implementation * the same proxy can work on UDP and TCP transparently without changes (for example: plug) * it is theoretically possible to convert an UDP stream to a TCP stream on the fly, without the proxy knowing this fact * the introduction of fastpath connection establishment * proxies can register the connections they are interested in, and as a new connection arrives a callback is delivered (dispatch) * the possibility to support several subsessions in a single proxy instance (plug is currently the only one which supports this, see the documentation of the attributes secondary_mask & secondary_sessions) * it is now much easier to support protocols with multiple channels (e.g. FTP) * an effort was made to make log messages more consistent, log categories better selected * updated authentication framework, the possibility to use ZAS2 and Satyr2 -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1

1 0

packetStats()
by Balazs Scheidler 12 Nov '02

12 Nov '02

Sziasztok! A 2-es zorpban atszerveztem a plug/pssl/pssl2 mukodeset, ezert a packetStats() megvalositasa jelenlegi formaban nem trivialis, es egyszeru kompatibilitasi okokbol nem szivesen raknam vissza. A kerdes az, hogy kozuletek hasznalja-e valaki a Plug ill a Pssl packetStats esemenyet. Emlekeztetokent a packetStats() leirasa: def packetStats(self, client_bytes, client_pkts, server_bytes, server_pkts): """Function called when the packet_stats_interval is elapsed. This function is called whenever the time interval elapses (or as currently implemented the given number of packets were transmitted). this event receives packet statistics as parameters. It's useful for terminating connections with excessive bandwidth requirements (for instance to limit the impact of the covert channel opened when using plug instead of a protocol specific proxy). -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1

3 2

Http hiba
by Czako Krisztian 04 Nov '02

04 Nov '02

Hello, Ha egy üzlet beindul :) Találtam még egy hibának látszó tárgyat. Ezúttal http proxy, szintén Zorp 1.4.6 Debian woody. Itt csak 1 tűzfal van, nem az ftp-s felállás. Sima Http proxy, transzparens mód. Az alábbi címről indulva: http://202.84.162.115/intgrp/SilverStream/Pages/igfelprodcat_main.html Ha a baloldali "User login" linkre bökök, üres oldal jön be. Ez böngészőfüggetlennek tűnik. Zorp nélkül közvetlenül vagy akár Squid proxy-n át az oldal bejön. Slapic -- Pilatus-Comp Ltd. HUNGARY * The Linux Expert * pilatuscomp(a)linux.co.hu http://www.linux.co.hu * Phone: +36-1-2481816 * Fax: +36-1-2481817

5 9

TIME OUT vagy hogyan kene?
by Ifj. Darvas Istvan 02 Nov '02

02 Nov '02

sziasztok, a kovetkezo a helyzet: van egy zorp-os tuzfal, ami proxy-zik POP3-at Plug Proxy-val a belso gepnek. itt egy cyrus figyel, az a helyzet, ha megszakad a kapcsolat (teszem azt leszakadt a felhasnalo), akor a zorp nem bontja el idoben a kapcsolatot, hanem meg percekig fogja. es amikor ujra jon a fwlhasznalo, akkor ugye a cyrus nem engedheti be, mert meg o mindig ugy erzekeli, hogy letoltes van ugyanis a tuzfal-belso pop3 szerver kozott el a kapcsolat ezzel a felhaszanloval, holott elmeletileg mar megszunt. remelem ertheto vagyok ;-] a kerdesem az lenne, hogy meg tudok-e adni valami erteket a plug proxy-nak, hogy ha nincs forgalom a csatornaban bizonyos ideig, akkor bontsa el a csatornat...vagy van-e valami mas lehetoseg ennek a problemanak a kikuszobolesere. sziasztok, Istvan

1 0