August 2002 - zorp-hu - lists.balabit.hu

ftps meg mindig
by Ifj. Darvas Istvan 31 Aug '02

31 Aug '02

sziasztok, ez a log bejegyzes egeszen pontosan mit ol lehet...? azt nagyjabol sejtem, hogy mit jelent. SSL handshake failed on the client side; error='error:0 0000000:(null):lib(0):(null):func(0):(null):reason(0)' Tehat meg mindig nem jon ossze a feloldalas ftps proxy ;-( Ha valaki csinalt mar ilyet, nagyvonalakban leirhatna a fo lepeseket.. En leirom mit csinaltam. 1. Van egy jol mukod FTP Proxy osztalyom 2. Ezt beagyaztam egy PSSL-be 3. raakasztottam ezt a szolgaltatatast 990-re 4. Beengedem a tuzfalra 990-et 5 inet-bol johet a szolg., es a dmz-be mehet a szolg. elore is koszonom a segitseget, sziasztok, ui.: Egy szep pedanak nagyon tudnek orulni.

1 0

Zorp GPL 1.4.6
by HOLTZL Peter 30 Aug '02

30 Aug '02

Sziasztok! Kinnt van a Zorp GPL 1.4.6. itt a news: Bugfixes: Core: * fixes a bug in Zone.setAddrParent SSL: * fixed an EOF handling bug triggered by SSL_accept and SSL_connect * do not log certificate verification errors when SSL_VERIFY_NONE is requested. Some minor new features: Core: * Kernel independent connection timeout. Set to 30 seconds. * Include 2.4 Transparent proxy patch handling. Höltzl Péter -- Ho:ltzl Pe'ter | Tel: +36 1 371-0540 | GnuPG Fingerprint: BalaBit IT Kft | Mobil: +36 20 366-9667 | DB30 5E5B 8777 C06F 5A1F holtzl.peter(a)balabit.hu | http://www.balabit.hu/ | 4586 CEAF 9678 4A89 CFD6

5 10

proci ido
by Balazs Scheidler 29 Aug '02

29 Aug '02

Sziasztok! Az 1.4.6 verzio kiadasa utan talaltunk egy kellemetlen problemat, ami noveli a Zorp altal hasznalt processzoridot, egyeb problemat nem okoz, ezert uj verziot nem adunk ki, majd az 1.4.7 tartalmazni fogja. diff -u -r1.44.2.12 -r1.44.2.13 --- lib/io.c 30 Jul 2002 14:46:40 -0000 1.44.2.12 +++ lib/io.c 29 Aug 2002 13:21:26 -0000 1.44.2.13 @@ -3,7 +3,7 @@ * Copyright (c) 2000, 2001 BalaBit IT Ltd, Budapest, Hungary * All rights reserved. * - * $Id: io.c,v 1.44.2.12 2002/07/30 14:46:40 bazsi Exp $ + * $Id: io.c,v 1.44.2.13 2002/08/29 13:21:26 bazsi Exp $ * ***************************************************************************/ @@ -56,7 +56,7 @@ if (fd->timeout_time != -1) { - *timeout = fd->timeout_time - current_time->tv_sec; + *timeout = (fd->timeout_time - current_time->tv_sec) * 1000; if (*timeout < 0) *timeout = 0; } -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1

1 0

windowsupdate
by Kosa Attila 27 Aug '02

27 Aug '02

Hello! A w2k-nak szuksege lenne egy frissitesre a netrol. Elso nekifutasra ugy tunik, hogy nem mukodik. Van olyan, akinek megy? Mert akkor en ronthattam el valamit. Sima plugon mukodik, de http-n nem. -- Udvozlettel Zsiga

6 29

woody install force
by Kapitany Robert 23 Aug '02

23 Aug '02

Hello Mindenkinek! Tudom, hogy volt mar rola a listan szo, hogy a zorp woody ala fel tud-e menni, de mar mindent felraktam ami kellett hozza, csak az openssl 0.9.5a -t nem ebbol magasabb verzioszamu van, es nem szeretnek tole megvalni (szukseges). Hogy installjam igy fel a zorpot. Elore is koszi! Captain

3 3

eredeti port (DirectedRouter)
by Balazs Scheidler 21 Aug '02

21 Aug '02

hali, ez a patch lehetove teszi azt, hogy 0-t adjunk meg celportkent, es az az eredeti celt fogja jelenteni. valoszinuleg a kovetkezo zorp release-ben benne lesz. diff -u -r1.5.2.4 Router.py --- pylib/Zorp/Router.py 25 Jun 2002 14:14:18 -0000 1.5.2.4 +++ pylib/Zorp/Router.py 21 Aug 2002 13:51:09 -0000 @@ -84,9 +84,11 @@ session -- session we belong to """ - session.setServer(SockAddrInet(session.client_dest.ip_s, session.client_dest.port)) if self.forced_port: - session.server_address.port = self.forced_port + addr = SockAddrInet(session.client_dest.ip_s, self.forced_port) + else: + addr = SockAddrInet(session.client_dest.ip_s, session.client_dest.port) + session.setServer(addr) session.server_address_inband = self.overrideable class DirectedRouter: -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1

1 0

Re: [zorp-hu] virtualis ip cimak hasznalata ?
by nagy_l＠vaxst2.tii.matav.hu 21 Aug '02

21 Aug '02

>SNAT osztalyt valahogy igy kell letrehoznod: >class MySNAT(AbstractNAT): > def performTranslation(self, session, addr, nat_type = NAT_SNAT): > return SockAddrInet('xxx.xxx.xxx.xxx', 12345) >a fuggveny testeben lehet barmi, ami pythonban engedelyezett. Tovabbi >peldakent a standard NAT osztalyokat megtalalod a NAT.py allomanyban. Ok, ezt ertem. Az SNAT-nal nincs jelentosege a forrasportnak nem ? Vagyis az 12345 helyett a 0 is jo ha jol gondolom. >> >> ha a cel cimet hamisitom, akkor : >> - router=TransparentRouter() (itt nem csinalok semmit, kerdes, hogy ha be >> kell irni a celportot, akkor azt hogy kell megcsinalni ?) >> vagy, ha virtualis cimra jott (egy gepeseten) : >> - router=DirectedRouter(SockAddrInet('192.168.253.11', ? )) >> (ide mit kell irni a celporthoz, ha ugyanaz mint amire jott ? ha nem ugyanaz, >> akkor termeszetesen beirom, hogy hova kell kuldeni...) >A portot jelenleg kotelezo kiirni, bar egy kb ket soros patch segitsegevel >megvalosithato, hogy 0-s port eseten az eredeti port a default. >Miert van erre szukseg? Azert mert elofordulhat, hogy egy port tartomanyt akarok atengedni (a 2100-tol a 3100-as portig egy csomo portot hasznal az alkalmazas es nem akarom mindet felsorolni, hanem csak megadom, hogy mettol meddig menjenek at a csomagok) Ebben az esetben kellene valahogy az eredeti port es azt tudnam betenni a DNAT-hoz vagy a DirectedRouterhez. pl port(orig(akarmi)) visszaadna azt a portot amire eredetileg ment a csomag. Ha egy port van , akkor ez nem problema, de ha tobb portot fel akarok solorlni, vagy egy port tartomanyt adok meg, akkor elore nem irhatom be, hogy melyik portra kell menni (arra kell menni, amire eredetileg ment a csomag) Ha egy konkret portra kell mindent atiranyitani azt persze meg tudom csinalni, de most nem ez a feladat. >> vagy, ha virtualis cimre jott (tobb gen eseten) >> - router=myDirectedRouter() >> >> (A 192.168.253.111 a virtualis cim) >> Itt is erdekelne, hogy ez a myDirectedRouter hogy nezzen ki. Attol fuggoean, >> hogy milyen cimre jott a csomag hova kell tovabbitani. Ezt valahogy le kellene >> vizsgalni es e szerint cselekedni. Az is kerdes, hogy a portot (ha ugyanaz, ill >> ha valtozik) hogy tudom betenni ? >A forras- ill. celnat-ot ugyanaz az osztaly vegzi, a nat_type argumentumban >megkapja, hogy konkretan mirol is van szo. Ok, de meg mindig nem vilagos, hogy ha egy proxyval akaok lekezelni tobb virtualis cimet, akkor azt hogy oldjam meg.(es nm mappingrol van szo) Valami if - else szeruseget kell betenni a myDNAT-ba, de nem tudom ennek mi a pontos szintaktikaja. (Persze meg is tanulhatnek pythonul, de gondoltam hatha megmondjatok, hogy ezt hogy kell betenni ide...) Ezt a feladatot pl Alf-ban eleg jol es egyszeruen le lehet kezelni. Gondolom itt sincs ez maskepp. Csak a szintaktikat nem tudom. (hova kell az if-eket irni...) Ezek az esetek nem agyafurt modon megkrealt szituacios gyakorlatok, hanem igy mukodik nehany rendszer. Arpi irt erre egy sajat 'Zorp'-pt,de en szeretnem a standard eljarasok segitsegevel megoldani a problemat, hogy ne kelljen minden tuzfalra raszabni a Zorpot, hanem egyfelekeppen le tudjunk kezelni minden lehetoseget. Igazabol mar odaig eljutottam, hogy a OneToOneMultiNAT alkalmazasara egy reszletes pelda is eleg lenne a virtualis cimek kezelesehez. Udv! Lajos -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1 _______________________________________________ zorp-hu mailing list zorp-hu(a)lists.balabit.hu https://lists.balabit.hu/mailman/listinfo/zorp-hu

2 1

Virtual HTTPS
by Ifj. Darvas Istvan 21 Aug '02

21 Aug '02

sziasztok, a kovetkezo dolgot szeretnem megcsinalni, de nem igazan tudom, hogy hogyan lehetne vagy hogy van-e ra lehetoseg: Adott a tuzfal gep es mogotte a vedeni kivant szerver. Ezen fut egy apache tobb virtual host-al, amig nem tettem ele a zorp-ot, addig minden site-hoz kulon csinltam egy cert-et es igy a kliensnel, ha egyszer elfogadta az en CERT-em, akkor utana mar nem irt ki semmit a bongeszo emberke explorere - a site neve nem stimmel - hanem siman rament a site-ra. De most, hogy a ZORP az apache elott van igy kicsit bonyolodott a helyzet. kicsit melle beszeltem az elejen, mert van egy mod, amire magamtol is rajotteml, de esetleg letezik egy hatekonyabb....en arra jottem ra, ha minden Site-hoz csinalok egy HTTPS Proxy-t amiben a megfelelo kulcsokat beallitom, akkor mukodik megint. de nekem kicsit tobb mint 30 Virtual Host-om van es igy a konfig file merete - szerintem feleslegesen - nagyra not plusz gondolom - ehhez mar vegkep nem ertek - memoria is feleslegesen van pocsekolva. Szoval a kerdesem az lenne, hogy tudnam GPL-es eszkozokkel feloldani ezt a problemat? sziasztok, Istvan

2 1

RE: [zorp-hu] virtualis ip cimak hasznalata ?
by nagy_l＠vaxst2.tii.matav.hu 21 Aug '02

21 Aug '02

Ok, felteszem a kerdest mashogy : eddig erre jutottam : (valami ilyesmit kell berakni...nem tudom a sortorest kell-e kulon jelezni ?) Service("zonac_1223_zonas", PlugProxy , router=DirectedRouter(SockAddrInet('192.168.253.11', )) , snat=StaticNAT(SockAddrInet('192.168.254.111', 0))) Listener(SockAddrInet("192.168.254.1", 10501), "zonac_1223_zonas") ha a forras cimet akarom allitani, akkor az vagy : - semmi, mert a tuzfal lesz a forras vagy a kliens eredeti cime lesz a forras : - snat=FakeClientSourceNAT()) vagy (ha egy cimrol van szo) virtualis cim hasznalatanal : - snat=StaticNAT(SockAddrInet('192.168.254.111', 0))) vagy (ha tobb cimrol van szo) virtualis cim hasznalatanal : - snat=mysnat() (a 192.168.254.111 a virtualis cim) Erdekelne , hogy konkretan attol fuggoen, hogy a gepnek mi az eredeti cime, hogy tudnam lekepezni a forras cimeket. a fuggvenyben legyen if, vagy valami hasonlo, ahol vizsgalom az egyes cimeket es a szerint helyettesitem be. (erre nagyon jo lenne valami pelda, mert a leirasok alapjan nem tudtam gyorsan kitalalni, hogy mi lenne a helyes szintaktika...) ha a cel cimet hamisitom, akkor : - router=TransparentRouter() (itt nem csinalok semmit, kerdes, hogy ha be kell irni a celportot, akkor azt hogy kell megcsinalni ?) vagy, ha virtualis cimra jott (egy gepeseten) : - router=DirectedRouter(SockAddrInet('192.168.253.11', ? )) (ide mit kell irni a celporthoz, ha ugyanaz mint amire jott ? ha nem ugyanaz, akkor termeszetesen beirom, hogy hova kell kuldeni...) vagy, ha virtualis cimre jott (tobb gen eseten) - router=myDirectedRouter() (A 192.168.253.111 a virtualis cim) Itt is erdekelne, hogy ez a myDirectedRouter hogy nezzen ki. Attol fuggoean, hogy milyen cimre jott a csomag hova kell tovabbitani. Ezt valahogy le kellene vizsgalni es e szerint cselekedni. Az is kerdes, hogy a portot (ha ugyanaz, ill ha valtozik) hogy tudom betenni ? Elore is kosz barmifele otletet. Udv! Lajos

2 1

ForgeClientSourceNAT + linux 2.4
by Czakó Krisztián 15 Aug '02

15 Aug '02

Sziasztok, Ha 2.4-es kernelen akarok Zorp-ban Service(....,snat=ForgeClientSourceNAT())-ot, akkor azon kívül, hogy felteszem a kernelre a tproxy patch-et kell valamit tenni? Ugyanis akár van patch, akár nincs, közli a bindto(), hogy 'Operation not permitted' :( Nem modulos kernel, minden ipv4 netfilter opció bekapcsolva, a tproxy kernel része tele is szemeteli a logot alaposan. pótkérdés: miért loggolja nosession-ként a Plug a forgalomstatisztikát? Slapic

1 0