December 2004 - zorp-hu - lists.balabit.hu

RE: [zorp-hu] RE: [zorp-hu] RE: [zorp-hu] Hüje Ekszplorer
by Makay Kalman 15 Dec '04

15 Dec '04

> szerverek-kliensek bergisztraljak a rekordjaikat. Fontos, > hogy a bind-od olyan verzioju legyen ami tamogatja az SRV > rekordokat. Majdnem ugyanaz mintha forwardolnak a Windows DNS > fele a kereseket....talan igy gyorsabb. > he-he, igen, ez ilyen verziójú, ahogy lekérdeztem a szervert > kozvetlenul. kezdunk nagyon offtopic lenni, de MS DNS-nel ez alapbol be van kapcsolva (de kikapcsolhato). Bind-nal kulon kell engedelyezni es ra kell beallitani a klienseket es szervereket. Megsporolod amig a kliensek a bind; a bind az MS DNS fele fordul. Nagyobb a hibalehetoseg es a halozati forgalom. En csak jot akartam. > stb.......2003 eseteben sok mas beallitas is lehetseges ami > keresztbe tehet. > a 2003-at hanyagoljuk. Másik helyen érdekesen működik, ha > standard srrver edition es IIS es SQL van rajta.... OK. Ez azon is mulhat ki rakja ossze. Ezt kar itt kibeszelni. > > offtopic, de nem tul huzos egy DC-t hasznalni? > ld fentebb. Nem én döntök - amire nekik kell azt meg tudták > volna oldani > Samba+PDC-vel és pgina-val. Akkor már stabil volt mindkettő. > De erős MS > rkonszenv alakult ki az informatikai vezetésben. De nem is a > srác dönt, ő csak végrehajt. Nekem nincs bajom az MS rokonszenvvel :). Mindegyik platformnak megvan az erossege :). Udv., Makay Kalman

1 0

RE: [zorp-hu] RE: [zorp-hu] Hüje Ekszplorer
by Makay Kalman 15 Dec '04

15 Dec '04

> nem, nem soha! soha, soha, soha ne bízzatok meg egy már > lerakott Active Directorys, win2000-n működő kiszolgálóban. > Amint kivettem a játékból és a kliensek direktben a tűzfalhoz > kapcsolódnak, nem pedig a win2k-hoz ami elméletileg routeolja > a nem található DNS neveket a tűzfal felé - aki pedig enged > rekurzív stb lekérdezést belülről - akkor megy minden. > A megoldás: a bind átalakítása olyan módon, hogy minden > kimegy, kivéve a belső DNS neveket, azokat a kéréseket a > tűzfal bindja belülről kérdezi le. Ha akarod cifrazni, akkor engeded a DDNS-t es a windows szerverek-kliensek bergisztraljak a rekordjaikat. Fontos, hogy a bind-od olyan verzioju legyen ami tamogatja az SRV rekordokat. Majdnem ugyanaz mintha forwardolnak a Windows DNS fele a kereseket....talan igy gyorsabb. > most minden működik. mondjuk nem tudom mitől szállt el, igaz, > most át lett alakítva a belső tartomány, eddig plusz két gép > volt, akik ki le lettek választva a doménből, most egyedüli a > szerver, de ttől meg kell zakkania? Valakinek volt ilyen tapasztalata? Sok oka lehet a megzakkanasnak (sok ilyen tapasztalat van). Kerdes, hogy a DNS szerverek hogyan voltak bekonfigolva: forwarder, lokalis interfesz nevfeloldasi sorrendjei stb.......2003 eseteben sok mas beallitas is lehetseges ami keresztbe tehet. Ha leallitottak a DC-ket es csak 1 DNS szerver lett elerheto a klienseknek akkor elofordulhat, hogy szerencsetlen modon a megmaradt szerver a kliensek fele csak masodlagos DNS szervernek lett megadva (lassabb valaszido, mert az elsovel probalkozik). Ha ugyanez a szerver meg le is van jol terhelve, akkor timeout-hat is a kliensnek...amit adott esetben nslookup alatt veletlenszeruen tudsz csak eszrevenni. offtopic, de nem tul huzos egy DC-t hasznalni? Udv., Makay Kalman

2 1

RE: [zorp-hu] Hüje Ekszplorer
by Makay Kalman 15 Dec '04

15 Dec '04

> láttatok olyat, hogy Explorer alatt nem minden nevet old fel a tűzfal? > > A felállás: > - Zorp: HTTP proxy, sima, transzparens, dns cacheing es forwarding a > szerveren, pop3 proxy, az is transzparens > - kliensek: win2000 és win XP SP1 és SP2 > - Böngésző: Explorer 5.x, 6.x (sp1...x) > - Levelező: Outlook Express 6 Szia, nincs olyan a bongeszo proxy beallitasainal beallitva, hogy a proxy konfiguracio alatt, hogy "beallitasok automatikus eszlelese"? Nem lehet, hogy a DNS szervered kicsit tul van hardeningolva? Mas gepen is elofordul a hiba? Leiras alapjan elsore ezekre gondolok, de lehet tobb mas ok is. Probald meg mas bongeszovel is megnezni, ammiatt ,hogy kideritsd egyaltalan web specifikus-e a hiba. Emeld fel Zorp alatt a weblog szintjet, ott jol lehet latni a kommunikaciot. Esetleg probalj telnettel webezni, ott is kijohetnek a hibak. Udv., Makay Kalman

2 2

Szures IP cimreszlet alapján
by Nemeth Gyorgy 14 Dec '04

14 Dec '04

Olyan proxyt kellene definiálnom, ami pl. 10.99.x.243 címekre enged kapcsolódni. Az x. elég sok lehet, ha nem muszáj, nem vennék fel emiatt >100 címet egy zónába. Plug proxy. -- Friczy 'Death is not a bug, it's a feature'

3 10

RE: [zorp-hu] RE: [zorp-hu] Hüje Ekszplorer
by Makay Kalman 14 Dec '04

14 Dec '04

> Makay Kalman <makay.kalman(a)traco.hu> irta: > > nincs olyan a bongeszo proxy beallitasainal beallitva, hogy > a proxy konfiguracio alatt, hogy "beallitasok automatikus eszlelese"? > nincs. Bocs, nem nagykepusegbol jegyzem meg, de egyebkent nem > szokott problemam lenni a beallitasokkal :-) En ezt nem tudhatom, azert irtam :) > > Nem lehet, hogy a DNS szervered kicsit tul van > hardeningolva? Mas gepen is elofordul a hiba? Leiras alapjan > elsore ezekre gondolok, de lehet tobb mas ok is. Probald meg > mas bongeszovel is megnezni, ammiatt ,hogy kideritsd > egyaltalan web specifikus-e a hiba. > Lehet, hogy nem eleg egyertelmu voltam az elobb: kliensek > adottak. pop3 barmely kulso hosztra név alapjan megy. > egyebkent FTP is. http nem megy. > Most inband routerrel es direktben megy, a rendszergazda > gepen le lett probalva. OK. Latszodik, hogy nem a klienssel van baj (pedig ezt is szamitasba vetted az elso level alapjan) akkor syslogbol kiolvashato minden. Tuzfalad jol feloldja gepneveket? Ott is futtass egy nslookup-ot, vagy dig-et. > > Emeld fel Zorp alatt a weblog szintjet, ott jol lehet latni > a kommunikaciot. Esetleg probalj telnettel webezni, ott is > kijohetnek a hibak. > azt hiszem azt is megirtam( vagy nem?), hogy cmd-bol > nslookup-pal siman felold barmilyen nevet.... en teljesen masrol beszelek. Ha tudsz http-ul, akkor a telnet hasznalataval nezheted a folyamatot. Esetleg kapsz uzenetet, de mondjuk az Explorered nem irja ki (tipikusan akkor, ha az "Egyeni HTTP uzenetek" beallitas meg van bolygatva).....helyettesitve, de nem potolva a loggolast. Marad a log analizis. Udv., Kalman

2 1

Hüje Ekszplorer
by Deim Agoston 14 Dec '04

14 Dec '04

sziasztok, láttatok olyat, hogy Explorer alatt nem minden nevet old fel a tűzfal? A felállás: - Zorp: HTTP proxy, sima, transzparens, dns cacheing es forwarding a szerveren, pop3 proxy, az is transzparens - kliensek: win2000 és win XP SP1 és SP2 - Böngésző: Explorer 5.x, 6.x (sp1...x) - Levelező: Outlook Express 6 Böngészőben nem mindig oldja fel a neveket (10% igen, 90% nem), d e Outlook-ból minden külső pop3 látszik, akármit állítok be, olyat is, ami nem volt előtte cacheben biztosan (előtte tettem fel a gépre tesztből a pop3-at). A kliensek adottak. Ha cmd-tindítok és nslookup-ot, akkor látok minden név visszaoldást. Annyi ötletem van, hogy inband router és nem transzaparens módú működés, de group policyba nem tudom berakatni, ezért minden hoszton külön kell engedélyezni az ott lévő rendszergazdinak. üdv, Ago ----------- Deim Ágoston LSC Linux Support Center Kft. e-mail: deim.agoston(a)lsc.hu Tel/fax:06-1/341-0457

1 0

Re: [zorp-hu] Zorp+tproxy=endless loop?
by kkk lll 13 Dec '04

13 Dec '04

> valoszinuleg a Zorp nem jol detektalta a tproxy verziodat. Igen, ez volt a gond! Nagyon szepen koszonom a segitseget. Tovabbi szep estet: KL

1 0

hülye kérdés - Zorp pro ügyfél VBuster nélkül
by Deim Agoston 13 Dec '04

13 Dec '04

sziasztok, helyzet: Zorp verziónál Pro, VBuster licenc nélkül, MX rekord a tűzfalon, SMTPProxy használata a cél. Kétféle megoldás villan fel előttem: a.) programnak "kiadni" a feldolgozást, jellemzően ClamAV-nak, de a tűzfalon végezve ezt is b.) a továbbított, de nem vírusellenőrzött levelek ClamSMTP vagy hasonló szűrőbe bújtatása, aztán átadása postfixnek (relay és domain check már megvolt a SMTPProxynál) Van aki használja/ta a.) és b.) megoldást is és tud teljesítmény/megbízhatósági adatokat mondani? BalaBit mérnökök? Mit szóltok ehhez? Levelek száma kb napi max 2000-2200, ebből nagy része szemét - mostani statisztika szerint durván 70% - a tűzfal egyéb funkciói HTTPS és HTTP proxy, max 24 embernek (ennyi van engedélyezve), kapcsolat 1 128k-s bérelt vonal ( terv szerint bővítve lesz 512k-ra az MX rekord miatt). a.) megoldás esetén persze bejöhet a képbe a HTTP és HTTPS forgalom ClamAV-val történő szűrése. üdv, Ago ----------- Deim Ágoston LSC Linux Support Center Kft. e-mail: deim.agoston(a)lsc.hu Tel/fax:06-1/341-0457

3 3

Zorp+tproxy=endless loop?
by kkk lll 13 Dec '04

13 Dec '04

Hi A segitsegeteket szeretnem kerni 1 aprocska problema megoldasban: adott egy 2.0.8-os zorp GPL a kov. konfiggal: from Zorp.Core import * from Zorp.Http import * InetZone('intra', '192.168.1.0/24', outbound_services=['*']) InetZone('inter', '0.0.0.0/0', inbound_services=['*']) def intra(): Service('intra_HTTP', HttpProxy, router=TransparentRouter()) Listener(SockAddrInet('192.168.1.1', 50080), 'intra_HTTP') def inter(): pass valamint egy tproxy patch-el ellatott 2.4.27-es kernel, es 1.2.7a-s szinten tproxy patch-es iptables. A gond csak annyi, hogy nem enged csatlakozni, a logban ennyi van: Dec 13 18:34:15 ax intra[3024]: (zorp/intra_HTTP): Starting service; name='intra_HTTP' Dec 13 18:34:15 ax intra[3024]: (zorp/intra_HTTP:1): Starting proxy instance; client_fd='17', client_address='AF_INET(192.168.1.2:1074)', client_zone='Zone(intra, 192.168.1.0/24)', client_local='AF_INET(192.168.1.1:50080)' Dec 13 18:34:15 ax intra[3024]: (zorp/intra_HTTP:1/http): Proxy starting; class='HttpProxy', module='http' Dec 13 18:34:15 ax intra[3024]: (intra@zorp/nosession): accept count; accepts='1' Dec 13 18:34:15 ax intra[3620]: (zorp/intra_HTTP:1): Inbound service not permitted (cached); service='intra_HTTP', zone='Zone(intra, 192.168.1.0/24)' Dec 13 18:34:15 ax intra[3620]: (zorp/intra_HTTP:1/http): DAC policy violation; Dec 13 18:34:15 ax intra[3620]: (zorp/intra_HTTP:1/http): Proxy ending; class='HttpProxy', module='http' Dec 13 18:34:15 ax intra[3620]: (zorp/intra_HTTP:1): Ending proxy instance; Dec 13 18:34:15 ax intra[3620]: (zorp/intra_HTTP:1/http/client): accounting info; type='stream', duration='0', sent='843', received='417' Ha viszont engedelyezem mindket zonaban az in/outbound-ot, akkor timeout-tal kilep, es a netstat szerint visszatcsatlakozik a sajat (50080) portjara. Az iptables konfig ide vonatkozo resze: iptables -A INPUT -m tproxy -j ACCEPT iptables -A INPUT -i eth0 -s 192.168.1.0/24 -p tcp --dport 50080 -j ACCEPT iptables -A INPUT -i eth0 -s 192.168.1.0/24 -p udp --dport 50080 -j ACCEPT iptables -A INPUT -i ppp0 -p tcp --dport 1024:65535 --sport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -i ppp0 -p udp --dport 1024:65535 --sport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT (u. ez kifele, OUTPUT-nal) iptables -t tproxy -A PREROUTING -i eth0 -s 192.168.1.0/24 -d ! 192.168.1.1 -p tcp --dport 80 -j TPROXY --on-port 50080 iptables -t tproxy -A PREROUTING -i eth0 -s 192.168.1.0/24 -d ! 192.168.1.1 -p udp --dport 80 -j TPROXY --on-port 50080 iptables -t nat -A PREROUTING -i eth0 -s 192.168.1.0/24 -j ACCEPT iptables -t nat -A POSTROUTING -p tcp -o ppp0 --dport 80 -j ACCEPT iptables -t nat -A POSTROUTING -p udp -o ppp0 --dport 80 -j ACCEPT iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.1.0/24 -j MASQUERADE iptables -t nat -A OUTPUT -p tcp -o ppp0 --dport 80 -j ACCEPT iptables -t nat -A OUTPUT -p udp -o ppp0 --dport 80 -j ACCEPT Probaltam mar megadni a forras/celcimeket egyenkent kezzel, eddig semmi eredmeny... A jelenseg u.ez sima NAT-os REDIRECT eseten is. A furcsa csak annyi, hogy u.ezzel a konfiggal egy transzparens POP3 proxy gond nelkul mukodik... Segitsegeteket elore is koszonom: KL

2 1

időszakos redirekt
by Szűcs Tibor 13 Dec '04

13 Dec '04

Üdv Mindenkinek Van egy standard http class om szeretném úgy átalakítani hogy bizonyos időnként (pl 5-10 percenként) Irányítsa át klienset egy másik web oldalra. A sima átirányítás megy de hogy tudnám ezt időhöz kötni? A mente következő lenne Kliens böngészik átirányítás valahova ott kattint egy gombra majd átirányítódik az eredetileg lekért oldalra Majd ez 5 percenként ismétlődik. (Így szeretnék figyelmeztetni néhány embert az elmaradásaira) Üdv Robit

2 1