July 2002 - zorp-hu - lists.balabit.hu

DatagramProxy HOGYAN?
by Ifj. Darvas Istvan 01 Aug '02

01 Aug '02

Sziasztok, Egy bind-ot szeretnek a belso halon beproxy-zni a firewall-on keresztul. sajna most meg gyenge kezdemenyezesem sincsen, mert nem igazan ertem, hogy mivel tudok a tuzfalon UDP portot nyini? a listener az tcp portot nyit. vagy tevedek? mas ehhez gondolom a DatagramProxy-t kell majd hasznalnom, de azt mivel tudom ralancolni a belso halon egy gepre? A DirectedChainerre probalkoztam megint, de szintaktikai hibara hivatkozott es nem ment tovabb a kov konfig mellett tovabbra sem foglalkoztam azzal ki milyen szolgaltatassal honnan jon egyenlore csak az alapokat probalgatom, hogy a proxy-kat, hogyan lehet letrehozni. ezt azert irom, ha valaki megbotrankozna a InetZone konfigokon - egyebkent megtudnam erteni. --policy.py-- from Zorp.Core import * from Zorp.Proxy import DatagramProxy from Zorp.Router import * Zorp.firewall_name = 'Zorp@FireWall' InetZone("localnet", "192.168.1.0/24", inbound_services=["*"], outbound_services=["*"]) InetZone("internet", "0.0.0.0/0", inbound_services=["*"], outbound_services=["*"]) def Inet2Intra(): Service("intra_bind", DirectedChainer(self, SockAddr(192.168.1.1,53), SockAddrInet("195.38.115.47",53) forge_addr=0), DatagramProxy) --syslog-- Jul 30 18:42:35 tractor Inet2Intra[5430]: Verbosity level: 5 Jul 30 18:42:35 tractor Inet2Intra[5430]: zorp version 1.4.4 starting up Jul 30 18:42:35 tractor Inet2Intra[5432]: (zorp/nosession): File "/etc/zorp/policy.py", line 20 Jul 30 18:42:35 tractor Inet2Intra[5432]: (zorp/nosession): SockAddr(192.168.1.1,53), Jul 30 18:42:35 tractor Inet2Intra[5432]: (zorp/nosession): ^ Jul 30 18:42:35 tractor Inet2Intra[5432]: (zorp/nosession): SyntaxError: invalid syntax Jul 30 18:42:35 tractor Inet2Intra[5430]: (zorp/nosession): Error opening policy file /etc/zorp/policy.py Jul 30 18:42:35 tractor Inet2Intra[5430]: zorp version 1.4.4 going down. A DirectedRouter az mar megint gondolom nem jo (probaltam de nem mukodott ;-) , mert tcp kapcsolatot nyit...en legalabbis ugy vettem ki. szoval jol jonne egy kis segitseg. egy szep peldanak nagyon tudnek orulni ;-] sziasztok, Istvan

4 7

IntraHTTP HOGYAN? ;-]
by Ifj. Darvas Istvan 30 Jul '02

30 Jul '02

sziasztok, a lenti konfig mellett a Zorp-GPL miert produkalja nekem azt, hogy DirectedChainer-t nem hajlando beimportalni? egyebkent azt szeretnem csinalni, hogy a tuzfal gep 80-as portjat at szeretnem loni a belso halo 200-as gepenek 80-as portjara egyenlore szures nelkul! ;-] Sajna meg elindulni sem hajlando! ;-( Mit cseszek el? egy-ket plusz info: 2.2.20-as kernel, a zorp-ot csomagbol tettem fel debian linux 3.0-ra. sziasztok, Istvan instances.conf ------------------ Inet2Intra --verbose=5 --policy /etc/zorp/policy.py policy.py ------------- from Zorp.Core import * from Zorp.Http import * from Zorp.Chainer import DirectedChainer Zorp.firewall_name = 'Zorp@FireWall' InetZone("localnet", "192.168.1.0/24", inbound_services=[], outbound_services=["*"]) InetZone("internet", "0.0.0.0/0", inbound_services=["*"], outbound_services=["*"]) class IntraHttp(HttpProxy): def config(self): HttpProxy.config(self) def Inet2Intra(): Service("intra_http", DirectedChainer(SockAddrInet("192.168.1.200", 80), forge_addr=1), HttpProxy) Listener(SockAddrInet("195.38.103.209", 80), "intra_http") syslog ---------- Jul 29 19:16:21 tractor Inet2Intra[3013]: Verbosity level: 5 Jul 29 19:16:22 tractor Inet2Intra[3013]: zorp version 1.4.4 starting up Jul 29 19:16:22 tractor Inet2Intra[3015]: (zorp/nosession): Traceback (innermost last): Jul 29 19:16:22 tractor Inet2Intra[3015]: (zorp/nosession): File "/etc/zorp/policy.py", line 3, in ? Jul 29 19:16:22 tractor Inet2Intra[3015]: (zorp/nosession): from Zorp.Chainer import DirectedChainer Jul 29 19:16:22 tractor Inet2Intra[3015]: (zorp/nosession): ImportError: cannot import name DirectedChainer Jul 29 19:16:22 tractor Inet2Intra[3013]: (zorp/nosession): Error opening policy file /etc/zorp/policy.py Jul 29 19:16:22 tractor Inet2Intra[3013]: zorp version 1.4.4 going down.

3 3

Doksi?
by Ifj. Darvas Istvan 29 Jul '02

29 Jul '02

sziasztok, Abban a referencia konyvben amit en letoltottem, abban nem szerepelt DirectedRouter sehol. Van valakinek ujabb referencia-ja? vagy hol lehet az elerheto modulok teljes referenciajahoz hozzajutni? termeszetesen a a GPL-es proxy-k erdekelnek csak, mert sajna nincsen penzunk egyenlore megvenni meg a teljes verziot. ;-( Bar jo lenne. ;-] sziasztok, Istvan

2 1

pop3 + attachementek szurese
by Kosa Attila 24 Jul '02

24 Jul '02

Hello! Lehetseges-e a pop3 proxyval megszurni az e-mailekben "megbujo" attachementeket? Arra gondolok, hogy bizonyos kiterjesztesu fajlokat nem szeretnem, ha megkapnanak a userek. Ugy erzem, hogy igy meg jobban lehetne szukiteni a beerkezo virusok szamat. -- Udvozlettel Zsiga

1 0

benazok
by Gabor Halasz 19 Jul '02

19 Jul '02

Ezt talaltam ki: class Http_C(HttpProxy): def config(self): HttpProxy.config(self) self.transparent_mode = 1 self.request["GET"] = (HTTP_REQ_POLICY, self.filterURL) def filterURL(self, method, url, version): debug(0, "Request: '%s %s %s'" % (method, url, version)) if ("http://webmail.xxx.hu" == url): self.request_url = "http://129.184.93.3/" return HTTP_REQ_ACCEPT if ("http://www.xxx.hu:8080/" == url): debug(0, "Request2: '%s %s %s'" % (method, url, version)) self.request_url = "http://129.184.93.2/" return HTTP_REQ_ACCEPT self.error_info = "Our firewall under construction!" return HTTP_REQ_DENY A log: Jul 19 12:58:35 thewall Http[3910]: (tower.xxx.hu/Http_S:4): Starting proxy instance; client_fd='11', client_address='AF_INET(194.88.xx.xx:38499)', client_zone='Zone(internet, 0.0.0.0/0)', client_local='AF_INET(194.88.xx.xx:8080)' Jul 19 12:58:35 thewall Http[3910]: (tower.xxx.hu/Http_S:4/http): Proxy starting; class='Http_C', module='http' Jul 19 12:58:35 thewall Http[3933]: (zorp/nosession): Request: 'GET http://www.xxx.hu:8080/ HTTP/1.0' Jul 19 12:58:35 thewall Http[3933]: (tower.xxx.hu/Http_S:4/http): An error occurred, serving error file; filename='/usr/share/zorp/http/policyviolation.html' Jul 19 12:58:35 thewall Http[3933]: (tower.xxx.hu/Http_S:4/http): Proxy ending; class='Http_C', module='http' Jul 19 12:58:35 thewall Http[3933]: (tower.xxx.hu/Http_S:4): client: accounting info; duration='0', sent='607', received='330' A nyavajaim: Miert nem lesz igaz a feltetel, amikor a string megegyezik az url-lel? Hogyan tudnek oda regezpet rakni? Inbandrouter-rel tudom a ket masik hostra kuldeni a forgalmat?

4 7

benazok
by unknown＠example.com 19 Jul '02

19 Jul '02

Ezt talaltam ki: class Http_C(HttpProxy): def config(self): HttpProxy.config(self) self.transparent_mode = 1 self.request["GET"] = (HTTP_REQ_POLICY, self.filterURL) def filterURL(self, method, url, version): debug(0, "Request: '%s %s %s'" % (method, url, version)) if ("http://webmail.domain.hu" == url): self.request_url = "http://129.184.93.3/" return HTTP_REQ_ACCEPT if ("http://www.domain.hu:8080/" == url): debug(0, "Request2: '%s %s %s'" % (method, url, version)) self.request_url = "http://129.184.93.2/" return HTTP_REQ_ACCEPT self.error_info = "Our firewall under construction!!" return HTTP_REQ_DENY Es ez az eredmeny: Jul 19 12:58:35 thewall Http[3910]: (tower.domain.hu/Http_S:4): Starting proxy instance; client_fd='11', client_address='AF_INET(194.88.xx.xx:38499)', client_zone='Zone(internet, 0.0.0.0/0)', client_local='AF_INET(194.88.xx.xx:8080)' Jul 19 12:58:35 thewall Http[3910]: (tower.domain.hu/Http_S:4/http): Proxy starting; class='Http_C', module='http' Jul 19 12:58:35 thewall Http[3933]: (zorp/nosession): Request: 'GET http://www.domain.hu:8080/ HTTP/1.0' Jul 19 12:58:35 thewall Http[3933]: (tower.domain.hu/Http_S:4/http): An error occurred, serving error file; filename='/usr/share/zorp/http/policyviolation.html' Jul 19 12:58:35 thewall Http[3933]: (tower.domain.hu/Http_S:4/http): Proxy ending; class='Http_C', module='http' Jul 19 12:58:35 thewall Http[3933]: (tower.domain.hu/Http_S:4): client: accounting info; duration='0', sent='607', received='330' W A problemak: Miert nem lesz igaz a feltetel, amikor a string es az url megegyezik? Hogyan lehetne regexp-pel ellenorizni az url-t? Inbandrouter-rel kell tovabbkuldeni a masik ket host-nak?

1 0

Zorp http filterURL
by Kosa Attila 18 Jul '02

18 Jul '02

Hello! Halasz Gabor kert meg, hogy tovabbitsam ezt a levelet a listara, mert jelenleg nem tud irni ide. Allitasa szerint a tab/szokoz dolgok jok, nem azzal van a problema. Az "if" reszek nelkul mukodik a konfigja. -- Udvozlettel Zsiga

3 4

Lotus Domino WebMail
by Gabor Halasz 18 Jul '02

18 Jul '02

Zorp 1.4.3-1-en keresztul, es eleg fura lesz az eredmeny: a lap kozepen a previous/next stb linkek nem mukodnek, azonkivul minden, viszont igy nehez hasznalni. A Zorp konfigja: class LotusNotesWebMail_C(PlugProxy): def config(self): PlugProxy.config(self) self.transparent_mode = 1 def init(name): Service("LotusNotesWebMail_S", LotusNotesWebMail_C, DirectedRouter(SockAddrInet("129.184.xx.xx", 80)), snat=ForgeClientSourceNAT()) Listener(SockAddrInet("194.88.xx.xx", 8080), "LotusNotesWebMail_S") Ugyanez az eredmeny HTTP proxyval es snat nelkul is. Valmi otlet?

2 3

benchmark (Zorp 600MBit!)
by Balazs Scheidler 17 Jul '02

17 Jul '02

Egy kis csemege: ab-bigfile-80.txt:Transfer rate: 43511.69 [Kbytes/sec] received ab-bigfile-82.txt:Transfer rate: 81620.74 [Kbytes/sec] received ab-k-bigfile-80.txt:Transfer rate: 57123.91 [Kbytes/sec] received ab-k-bigfile-81.txt:Transfer rate: 58070.11 [Kbytes/sec] received ab-k-bigfile-82.txt:Transfer rate: 84042.16 [Kbytes/sec] received ab-k-mediumfile-80.txt:Transfer rate: 46780.05 [Kbytes/sec] received ab-k-mediumfile-81.txt:Transfer rate: 50427.26 [Kbytes/sec] received ab-k-mediumfile-82.txt:Transfer rate: 77882.35 [Kbytes/sec] received ab-k-smallfile-80.txt:Transfer rate: 16491.81 [Kbytes/sec] received ab-k-smallfile-81.txt:Transfer rate: 24495.35 [Kbytes/sec] received ab-k-smallfile-82.txt:Transfer rate: 40841.31 [Kbytes/sec] received ab-mediumfile-81.txt:Transfer rate: 17114.91 [Kbytes/sec] received ab-mediumfile-82.txt:Transfer rate: 62904.04 [Kbytes/sec] received ab-smallfile-80.txt:Transfer rate: 2228.95 [Kbytes/sec] received ab-smallfile-81.txt:Transfer rate: 2238.59 [Kbytes/sec] received ab-smallfile-82.txt:Transfer rate: 23522.93 [Kbytes/sec] received Kis magyarazat: --------------- A teszt ab-vel keszult (apache bench), a szerveren apache futott, 30-as keepalive limittel. a vas: gigabit ethernet kartyakkal (1500-as MTU) kliens: 900Mhz Celeron, 256MB RAM, 32 bit PCI tuzfal: Intel alaplap, 2x PIII 1.26Ghz server proci, 512MB RAM, 64bit PCI szerver: Compaq Proliant DL380 (1x PIII 1Ghz), 512MB RAM, 64bit PCI A filenevek igy epulnek fel: ab- konstans -k ha van, akkor az ab hasznal HTTP keep-alive-t smallfile 10k-s file mediumfile 100k-s file bigfile 1M-s file -<szam> a szam egy portszam 3 lehetseges ertekkel: 80: Zorp HTTP proxy 81: Zorp Plug proxy 82: forwarding, conntrack-el Az eredmenyeken tisztan latszik, hogy a proxy tuzfal session inditasa eleg draga, de ha egyszer mar megy (foleg a keepalive-s eredmenyeknel), akkor eleg jol felveszi a versenyt a csomagszurokkel is. A session inditas netfilternek is eleg draga, ez latszik a nem keepalive-os teszten. A Zorp legjobb eredmenye: 58070 kByte/sec (plug), ami majdnem 600MBit !!! Ugyanez a teszt HTTP proxy eseten alig valamivel alacsonyabb 57123 kB/sec A legrealisabb terhelest webszerver elott az ab-k-smallfile jelenti (keepalive, 10k-s filemeret) itt is kb 160MBit-et kepes atvinni teljes protokoll elemzessel. Masodik processzor eseten meg van mit javitanunk (a Zorp-on illetve a kernelen) Magas lock contention eseten ugyanis erosen romlik a teljesitmeny. -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1

8 24

http es https
by Kosa Attila 10 Jul '02

10 Jul '02

Hello! Adott egy olyan helyzet, amikor egy benti webszervert (ami csak http-t tud), kintrol https-en szeretnek elerni. A gond az, hogy az oldalakon levo hivatkozasok "be vannak egetve" az oldalakba, es http:// -vel kezdodnek. Van-e lehetosegem arra, hogy ezeket "ropteben" lecsereljem https:// -re? Ha igen, mikeppen? -- Udvozlettel Zsiga

2 2