August 2002 - zorp-hu - lists.balabit.hu

ForgeClientSourceNAT + linux 2.4
by Czakó Krisztián 15 Aug '02

15 Aug '02

Sziasztok, Ha 2.4-es kernelen akarok Zorp-ban Service(....,snat=ForgeClientSourceNAT())-ot, akkor azon kívül, hogy felteszem a kernelre a tproxy patch-et kell valamit tenni? Ugyanis akár van patch, akár nincs, közli a bindto(), hogy 'Operation not permitted' :( Nem modulos kernel, minden ipv4 netfilter opció bekapcsolva, a tproxy kernel része tele is szemeteli a logot alaposan. pótkérdés: miért loggolja nosession-ként a Plug a forgalomstatisztikát? Slapic

1 0

virtualis ip cimak hasznalata ?
by nagy_l＠vaxst2.tii.matav.hu 13 Aug '02

13 Aug '02

Udv! Az alabbi problemanak mi a legegyszerubb megoldasa szerintetek ? adva van egy tozfal rajta tobb zona :A, B, C, D Az A es B zona vedett zona, itt vannak a szerverek. A C es D zona nem annyira vedet innen jonnek a kliensek. A C az internet a D az intranet. Az A-bol es B-bol megyunk az internet es az internet fele is a szerverekrol. Azt kellene megoldani, hogy amikor az A ill B zonabol megyunk kifele, akkor a szervrek "virtualis" ip cimegel menjen ki a kapcsolat. tehat ha az internetre megyunk, akkor egy internetes cim a forras, es arra jon a valsz ha az intranetre megyunk, akkor egy intranetes cim a forras es arra jon majd valasz. Befele pedig az internetrol egy internetes virtualis cimmel, mig az intranetrol egy intranetes virtualis cimmel latszanak a szerverek. webszerver1 : - igazi cime : 192.168.10.1 - intra virtualis cime : 10.100.10.1 - internetes cime : 195.128.9.10 es a tobbi szerver is valahogy igy nez ki. Amikor azonban az A zonabol a B zonaba megyunk, akkor nem hasznalunk virtualis cimeket, hanem egyszeruen atmegy a tuzfal vagy a sajat cimevel a csomag. A szolgaltatasok kulonbozo portokat hasznalnak : a webszerverre a 80-as portra http/proxy, a 443-as portra sima plug. a 80-as porta erkezo csomagokat a 7000-re mig a 443-ra erkezoket a 7010-re kell kuldeni az internet es az intranet iranyabol is. A webszerver a 2000 es a 2002-es porton eri el az atmeneti szervert. A webszerver az A zonaban van az atmeneti szerver a B zonaban. forrascim allitasnal az snat-ot lehet hasznalni, de akkor minden gepre minden portra egy kulon Service-t kell felhuzni vagy lehet valahogy egybe is kezelni ? vannak olyzn szlgaltatasok, melyeket az intranetrol erjuk el virtualis cimeken tobb gepet is erint es tobb portot is ugyanugy kezelunk. Erre milyen szaba;yt lehetne felvenni, hogy egy csokorba tudjam kezelni ezeket a gepeket (krealjak egy kulon class-t es ott programozzam le a virtualis cimeket ?) A pelda nem elmeleti, az egyik rendszer nagyon hasonloan mukodik most. Kerdes, hogy ha at akarom allitani zorp-ra akkor azt hogy kellene megoldani. Mi legyen a kulon class felvtelenek szabalyai ? Minden hasznos otletet szivesen meghallgatok. A kikotes, hogy minel egyszerubb, attekinthetobb es standardabb legyen a konfig :) Udv! Lajos

1 0

ICQ
by Ifj. Darvas Istvan 12 Aug '02

12 Aug '02

sziasztok, ZORP GPL-es eszkozokkel meg tudom oldani, hogy a belso halon lehessen ICQ-zni? Most eppen socksV5-el megy, de ha mar belevagtam ebbe az egeszbe, akkor amit ki lehet hozni a GPL-es Zorp-bol, azt en ki szeretnem hozni. ;-] a message mod az sima ugy, mert a ICQ-t ki tudom engedni a szerver fele azon az egy porton sima egyszeru Servivice, PlugProxy parossal, de ha szeretnek direkt kapcsolatot is? ahol ugye a port az valtakozik akkor milyen lehetosegeim vannak? Ha mar itt tartok, akkor azt hogyan tudom megoldani (egytalan meg lehet e ezt oldani?), hogy pl jatekok, amik ugye kifele nyitnak egy kapcsolatot es a valaszban megkapjak, hogy hol milyen porton megy majd a kommunikacio hasznalhatok legyenek? sziasztok, Istvan ui.: Lehet, hogy nem voltam eleg vilagos, de azert remnyekedem, hogy nagyjabol ertitek mit szeretnek. ;-]

4 3

Ismét Zorp tanfolyam!
by Gyorko Zoltan 08 Aug '02

08 Aug '02

Sziasztok! Ismét Zorp Adminisztrátor tanfolyam a BalaBitnál! A tanfolyam időpontja: 2002. szeptember 2-3-4. A tanfolyamok helyszíne: Budapest, XI. ker. Csurgói út 20/B (BalaBitHQ) A tanfolyam díja: 100.000 Ft /fő Jelentkezési határidő: 2002. augusztus 28. Kapcsolat: Szabó Gyöngyvér e-mail: szabo.gyongyver(a)balabit.hu tel: 1-371-0540 fax: 1-208-0875 Bővebb információ és jelentkezési lap: http://www.balabit.hu/hu/support/training/ -- Györkő Zoltán BalaBit IT Biztonságtechnikai Kft. tel:(36-1)-371-05-40 1116 Bp., Csurgói út 20/b fax:(36-1)-208-08-75 http://www.balabit.hu/

1 0

upd proxyzasa
by Kosa Attila 01 Aug '02

01 Aug '02

Hello! A konfigom: from Zorp.Core import * from Zorp.Plug import * Zorp.firewall_name = 'zorp@egy' InetZone("zona1", "192.168.5.2", inbound_services=["db_ldap"], outbound_services=[]) InetZone("zona2", "192.168.82.10", inbound_services=[], outbound_services=["db_ldap"]) InetZone("internet", "0.0.0.0/0", inbound_services=[], outbound_services=[]) class DBLdap(PlugProxy): pass def init(name): debug(0, "Policy init, name=%s" % name) Service("db_ldap", PlugProxy, router=DirectedRouter(SockAddrInet("192.168.5.2", 132)), snat=ForgeClientSourceNAT()) Receiver(SockAddrInet("192.168.82.254", 50132), "db_ldap") A Service sort probaltam ugy is, hogy a PlugProxy helyere DBLdap -ot irtam. Mindket esetben a kovetkezo a hibauzenet a syslogban: Aug 1 12:54:40 fw zorp-egy[11503]: (zorp/nosession): getsockname() failed; fd='-1', error='Bad file descriptor' Erdekes, hogy ennek ellenere mukodik, atviszi a kapcsolatot. Tehat arra lennek kivancsi, hogy mire is utal a hibauzenet, kell-e vele foglalkozni, illetve mit lehet vele csinalni? 8-as debug levelen sem arult el tobbet. -- Udvozlettel Zsiga

3 4

DatagramProxy HOGYAN?
by Ifj. Darvas Istvan 01 Aug '02

01 Aug '02

Sziasztok, Egy bind-ot szeretnek a belso halon beproxy-zni a firewall-on keresztul. sajna most meg gyenge kezdemenyezesem sincsen, mert nem igazan ertem, hogy mivel tudok a tuzfalon UDP portot nyini? a listener az tcp portot nyit. vagy tevedek? mas ehhez gondolom a DatagramProxy-t kell majd hasznalnom, de azt mivel tudom ralancolni a belso halon egy gepre? A DirectedChainerre probalkoztam megint, de szintaktikai hibara hivatkozott es nem ment tovabb a kov konfig mellett tovabbra sem foglalkoztam azzal ki milyen szolgaltatassal honnan jon egyenlore csak az alapokat probalgatom, hogy a proxy-kat, hogyan lehet letrehozni. ezt azert irom, ha valaki megbotrankozna a InetZone konfigokon - egyebkent megtudnam erteni. --policy.py-- from Zorp.Core import * from Zorp.Proxy import DatagramProxy from Zorp.Router import * Zorp.firewall_name = 'Zorp@FireWall' InetZone("localnet", "192.168.1.0/24", inbound_services=["*"], outbound_services=["*"]) InetZone("internet", "0.0.0.0/0", inbound_services=["*"], outbound_services=["*"]) def Inet2Intra(): Service("intra_bind", DirectedChainer(self, SockAddr(192.168.1.1,53), SockAddrInet("195.38.115.47",53) forge_addr=0), DatagramProxy) --syslog-- Jul 30 18:42:35 tractor Inet2Intra[5430]: Verbosity level: 5 Jul 30 18:42:35 tractor Inet2Intra[5430]: zorp version 1.4.4 starting up Jul 30 18:42:35 tractor Inet2Intra[5432]: (zorp/nosession): File "/etc/zorp/policy.py", line 20 Jul 30 18:42:35 tractor Inet2Intra[5432]: (zorp/nosession): SockAddr(192.168.1.1,53), Jul 30 18:42:35 tractor Inet2Intra[5432]: (zorp/nosession): ^ Jul 30 18:42:35 tractor Inet2Intra[5432]: (zorp/nosession): SyntaxError: invalid syntax Jul 30 18:42:35 tractor Inet2Intra[5430]: (zorp/nosession): Error opening policy file /etc/zorp/policy.py Jul 30 18:42:35 tractor Inet2Intra[5430]: zorp version 1.4.4 going down. A DirectedRouter az mar megint gondolom nem jo (probaltam de nem mukodott ;-) , mert tcp kapcsolatot nyit...en legalabbis ugy vettem ki. szoval jol jonne egy kis segitseg. egy szep peldanak nagyon tudnek orulni ;-] sziasztok, Istvan

4 7

Most eppen ezzel szivok HTTPS! ;-]
by Ifj. Darvas Istvan 01 Aug '02

01 Aug '02

sziasztok, Ma szinte egesz nap egy HTTPS Proxy-t probaltam beizzitani, ami a belso halorol kezdemenyezett https kereseket transzparensen proxy-zna. Eloszor is vegig banyasztam az archivumot es talaltam par peldat ami eleg reszletesen ecsetelgette ezt a dolgot + meg megneztem GStartedG-ben a pedat es az alapjan osszehoztam egy olyan konfigot, ami ugyan elindul, szintaktikailag helyes lehet, de valami gaz van a szemantikajaban. ugyanis nem kozveti. Gondolom az is fontos lesz, hogyan hoztam leszre a tanusitvanyokat, a default beallitsokat hagytam egyenlore a openssl.cnf-ben es a kovetkezoket tettem. cd /etc/zorp/ CA.pl -newca (kitoltottem szepen a kerdeseket) openssl req -newkey rsa:2048 -keyout zorp.key -out zorp.csr (szinten kitoltogettem) openssl ca -in zorp.csr -out zorp.crt ezutan inditottam a zorp-ot a kov konfiggal --policy.py-- from Zorp.Core import * from Zorp.Http import * from Zorp.Pssl import * Zorp.firewall_name = 'Zorp@Celsus' InetZone("localnet", "192.168.1.0/24", inbound_services=["*"], outbound_services=["*"]) InetZone("internet", "0.0.0.0/0", inbound_services=["*"], outbound_services=["*"]) class Intra2InterHTTPS(PsslProxy): class EmbeddedHttp(HttpProxy): def config(self): HttpProxy.config(self) def config(self): PsslProxy.config(self) self.client_need_ssl = TRUE self.client_cert = "/etc/zorp/zorp.crt" self.client_key = "/etc/zorp/zorp.key" self.server_need_ssl = TRUE self.server_ca_directory = "/etc/zorp/demoCA" self.server_crl_directory = "/etc/zorp/demoCA/crl" self.server_verify_type = SSL_VERIFY_REQUIRED_TRUSTED self.stack_proxy = self.EmbeddedHttp def Intra2Inter(): Service("intra2interHTTPS", Intra2InterHTTPS) Listener(SockAddrInet("192.168.1.1",50443),"intra2interHTTPS") Majd amikor megprobaltam megnyitni egy https-es oldalt, akkor ezt a syslog-ot generalta: --syslog-- Jul 31 17:55:36 tractor Intra2Inter[11797]: (Zorp@Celsus/intra2interHTTPS:0): Starting proxy instance; client_fd='11', client_address='AF_INET(192.168.1.4:1647)', client_zone='Zone(localnet, 192.168.1.0/24)', client_local='AF_INET(213.222.165.148:443)' Jul 31 17:55:36 tractor Intra2Inter[11797]: (Zorp@Celsus/intra2interHTTPS:0/pssl): Proxy starting; class='Intra2InterHTTPS', module='pssl' Jul 31 17:55:36 tractor Intra2Inter[11814]: (Zorp@Celsus/intra2interHTTPS:0/pssl): Server connection established; server_fd='14', server_addr='AF_INET(213.222.165.148:443)', server_zone='Zone(internet, 0.0.0.0/0)', server_local='AF_INET(195.38.115.47:4172)' Jul 31 17:55:36 tractor Intra2Inter[11814]: (Zorp@Celsus/intra2interHTTPS:0/pssl): Error loading private key; keyfile='/etc/zorp/zorp.key', error='error:0906406D:PEM routines:lib(9):DEF_CALLBACK:func(100):problems getting password:reason(109)' Jul 31 17:55:36 tractor Intra2Inter[11814]: (Zorp@Celsus/intra2interHTTPS:0/pssl): Error initializing SSL session on the client side; Jul 31 17:55:36 tractor Intra2Inter[11814]: (Zorp@Celsus/intra2interHTTPS:0/pssl): Proxy ending; class='Intra2InterHTTPS', module='pssl' Jul 31 17:55:36 tractor Intra2Inter[11814]: (Zorp@Celsus/intra2interHTTPS:0): client: accounting info; duration='0', sent='0', received='0' Jul 31 17:55:36 tractor Intra2Inter[11814]: (Zorp@Celsus/intra2interHTTPS:0): server: accounting info; duration='0', sent='0', received='0' Jul 31 17:55:36 tractor Intra2Inter[11797]: (Zorp@Celsus/intra2interHTTPS:1): Starting proxy instance; client_fd='11', client_address='AF_INET(192.168.1.4:1648)', client_zone='Zone(localnet, 192.168.1.0/24)', client_local='AF_INET(213.222.165.148:443)' Jul 31 17:55:36 tractor Intra2Inter[11797]: (Zorp@Celsus/intra2interHTTPS:1/pssl): Proxy starting; class='Intra2InterHTTPS', module='pssl' Jul 31 17:55:36 tractor Intra2Inter[11815]: (Zorp@Celsus/intra2interHTTPS:1/pssl): Server connection established; server_fd='14', server_addr='AF_INET(213.222.165.148:443)', server_zone='Zone(internet, 0.0.0.0/0)', server_local='AF_INET(195.38.115.47:4174)' Jul 31 17:55:36 tractor Intra2Inter[11815]: (Zorp@Celsus/intra2interHTTPS:1/pssl): Error loading private key; keyfile='/etc/zorp/zorp.key', error='error:0906406D:PEM routines:lib(9):DEF_CALLBACK:func(100):problems getting password:reason(109)' Jul 31 17:55:36 tractor Intra2Inter[11815]: (Zorp@Celsus/intra2interHTTPS:1/pssl): Error initializing SSL session on the client side; Jul 31 17:55:36 tractor Intra2Inter[11815]: (Zorp@Celsus/intra2interHTTPS:1/pssl): Proxy ending; class='Intra2InterHTTPS', module='pssl' Jul 31 17:55:36 tractor Intra2Inter[11815]: (Zorp@Celsus/intra2interHTTPS:1): client: accounting info; duration='0', sent='0', received='0' Jul 31 17:55:36 tractor Intra2Inter[11815]: (Zorp@Celsus/intra2interHTTPS:1): server: accounting info; duration='0', sent='0', received='0' Szoval a kerdesem az lenne milyen lepest hagytam ki vagy hol hibaztam a konfigban? sziasztok, Istvan

3 4