November 2005 - zorp-hu - lists.balabit.hu

HTTP->HTTPS
by Tóth Imre 29 Nov '05

29 Nov '05

Látom mostanában előtérbe került a HTTPS. Egy olyan kérdés merült fel bennem, hogy lehetséges-e, hogy a tűzfal kifelé https-sel kommunikál, de a belső hálón már sima http-n folytatja az útját? Tehát az SSL-t csak kifelé teszi rá a kommunikációra. Ha igen, tudna valaki egy példa policy-t mutatni. Ugyanez megoldható az ftp-vel is? Köszi!

5 5

Re: FTP SSL / AUTH SSL <---> FTPS / Implicit SSL
by Ifj. Darvas Istvan 28 Nov '05

28 Nov '05

----- Original Message ----- From: "Ifj. Darvas Istvan" <darvas.istvan(a)aion.hu> To: "Magyar nyelvu Zorp levelezesi lista." <zorp-hu(a)lists.balabit.hu> Sent: Thursday, November 24, 2005 3:59 PM Subject: FTP SSL / AUTH SSL <---> FTPS / Implicit SSL > sziasztok, > > egyszer nagyon regen, meg kerdeztem, hogyan tudnam zorp GPL-el FTPS proxy-t > megcsinalni, mert sajnos ugye kulonben nem mukodik a juzereknek....sima > forwardinggal ez nem megy.. > > Szoval ket kerdesem lenne. > > Az elso, hogy a fentiek kozul melyiket tudom megcsinalni a zorppal? > > A masodik kerdesem az , hogy hogyan kene csinalni? ;) (ez a legnepszerubb > gondlom) > Helyezet: Az ftp ssl / auth ssl van tamogatva a szerverem altal ez mukodik > is ha nincsen tuzfal mogott a gep. > Ketfele keppen probalkoztam: (persze csak intuitivan) > > A.) > class DecryptPsslProxy(PsslProxy): > def config(self): > PsslProxy.config(self) > self.client_need_ssl = TRUE > self.client_cert = "/etc/zorp/cert/server.crt" > self.client_key = "/etc/zorp/cert/server.key" > self.client_verify_type = SSL_VERIFY_NONE > self.server_need_ssl = FALSE > > class CryptPsslProxy(PsslProxy): > def config(self): > PsslProxy.config(self) > self.client_need_ssl = FALSE > self.server_need_ssl = TRUE > self.server_key = "/etc/zorp/cert/server.key" > self.server_cert = "/etc/zorp/cert/server.crt" > > Service("ftps", > DecryptPsslProxy, > router=DirectedRouter(SockAddrInet("192.168.1.101",21)), > > chainer=SideStackChainer(FtpProxy,SideStackChainer(CryptPsslProxy))) > Listener(SockAddrInet("195.70.58.137",10021),"ftps") > > > B.) > class FtpSProxy(PsslProxy): > class EmbeddedFtp(FtpProxy): > pass > def config(self): > PsslProxy.config(self) > self.client_need_ssl = TRUE > self.client_cert = "/etc/zorp/cert/server.crt" > self.client_key = "/etc/zorp/cert/server.key" > self.server_need_ssl = FALSE > self.stack_proxy = self.EmbeddedFtp > > Service("ftps", > FtpSProxy, > router=DirectedRouter(SockAddrInet("192.168.1.101",21))) > Listener(SockAddrInet("195.70.58.137",10021),"ftps") > > > > Nos "B" verziot kiprobaltam nem feloldalasan is ugy sem mukodott..... > lvl8-as naplozas mellett semmit nem irt a logba a konnektalas utan csak > annyit hogy sikeresen betoltotte a cerificatetet. > > Kerlek ha van egy kis idotok, akkor segitsetek fontos lenne a szamomra nagyn > ;( probaltam kersni mas FTPS proxy-t is vagy pluggert, de semmi ertelmeset > nem talaltam meg a neten... > > Elore is koszonom, > Istvan >

1 0

post inst hiba
by Szűcs Tibor 25 Nov '05

25 Nov '05

Üdv mindenkinek! Egy szűz Sarge gépre gpl-zorp telepítésekor a következő hibát adja Setting up zorp (3.0.8) ... adduser: No options allowed after names. adduser: The user `zorp' does not exist. A hiba a zorp.postinst scriptben a következő sor adduser --quiet --system --no-create-home --home /var/lib/zorp zorp --ingroup zorp Így működött adduser --quiet --system --no-create-home --home /var/lib/zorp --ingroup zorp zorp Üdv Robit

1 0

3.0.8 + https
by Kosa Attila 24 Nov '05

24 Nov '05

Hello! Kernel 2.4.31, Sarge, 3.0.8 portolva Sarge-ra. Mukodni latszik egyelore. De a https reszenel elakadtam. Pontosabban a sajat generalasu certificate-ekkel van problema. A 2.1.8-as verzioban ez a policy mukodott: class IntraHttps(PsslProxy): class EmbeddedHttp(HttpProxy): def config(self): HttpProxy.config(self) self.transparent_mode = TRUE def config(self): self.server_need_ssl = TRUE self.server_verify_type = SSL_VERIFY_REQUIRED_TRUSTED self.server_ca_directory = '/etc/zorp/ca.crt' self.client_need_ssl = TRUE self.client_cert = '/etc/zorp/fw.crt' self.client_key = '/etc/zorp/fw.key' self.client_verify_type = SSL_VERIFY_NONE self.stack_proxy = self.EmbeddedHttp self.server_verify_depth = 2 Amelyik CA certificate-et beraktam a /etc/zorp/ca.crt konyvtarba, azt problema nelkul atengedte. Most nem :( Kiprobaltam egy olyan konfigot is, amely a fizetos 3.0.7-es verzioju zorppal mukodott, de az sem mukodik :( Ezt mondja: Nov 23 12:53:32 fw zorp_https[5117]: (Log thread): files = os.listdir(trusted_ip_dir) Nov 23 12:53:32 fw zorp_https[5117]: (Log thread): NameError: global name 'os' is not defined A kerdesem: hogyan lehet sajat magunk altal generalt certificate-et hasznalo webszerverekre iranyulo forgalmat atengedni? -- Udvozlettel Zsiga

7 25

2.4.31 + tproxy + zorp 2.1.8
by Kosa Attila 23 Nov '05

23 Nov '05

Hello! A kernel-patchtree-2.4.28-zorpos-13.1.tar.bz2 csomaggal patcheltuk a 2.4.25-os kernelt. A 2.1.8-as verzioju zorp szepen mukodott vele. A fenti patchtree-bol kiszedtuk 120-tol 240-ig a patcheket, es raraktuk a 2.4.31-es vanilla forrasra (minimalis reject volt, amelyet kezzel ki tudtunk javitani). Azota viszont a https oldalak nem mukodnek (sot, nehany http oldal sem jon be). A zorp eloszor "policy DAC violiton"-re panaszkodik (holott eddig mukodott ezzel a konfiggal), ezt "javitva" (foloslegesen engedelyezve) pedig "too many thread" uzenettel nem mukodnek a dolgok. Honnan lehet olyan tproxy patchet letolteni, amelyik ramegy a 2.4.31-es kernelre, es mukodik a 2.1.8-as zorppal? -- Udvozlettel Zsiga

3 7

tproxy+2.6.14
by Decsi László 18 Nov '05

18 Nov '05

A következő lenne a problémám: 2.6.14.2-es kernelt patcheltem cttproxy-2.6.14-2.0.3-val. Forgatásnál többször elakadtam, de azokra a hibákra találtam megoldást (pl pptp). De most tanácstalan vagyok, az alábbi hibával nem boldogulok: CC [M] net/ipv4/netfilter/iptable_tproxy.o net/ipv4/netfilter/iptable_tproxy.c: In function `ip_tproxy_setup_nat_bidir': net/ipv4/netfilter/iptable_tproxy.c:739: error: `info' undeclared (first use in this function) net/ipv4/netfilter/iptable_tproxy.c:739: error: (Each undeclared identifier is reported only once net/ipv4/netfilter/iptable_tproxy.c:739: error: for each function it appears in.) make[3]: *** [net/ipv4/netfilter/iptable_tproxy.o] Error 1 make[2]: *** [net/ipv4/netfilter] Error 2 make[1]: *** [net/ipv4] Error 2 make: *** [net] Error 2 Találkozott már valaki ilyennel?

2 2

zorp pro 2.1 + munin
by Zelei Tamas ELGI.HU NETWORK ADMINISTRATOR 16 Nov '05

16 Nov '05

Szeretnek feltenni egy munin statisztika keszito rendszert egy fenti verzioju tuzfalas gepre apt-get-el. apt-get install munin Reading Package Lists... Done Building Dependency Tree... Done The following extra packages will be installed: libc6 libdb1-compat libdb4.2 libfreetype6 libgd2-noxpm libgdbm3 libhtml-template-perl libpng12-0 librrd0 librrds-perl perl perl-base perl-modules zlib1g The following NEW packages will be installed: libdb1-compat libdb4.2 libgd2-noxpm libgdbm3 libhtml-template-perl libpng12-0 librrd0 librrds-perl munin 6 packages upgraded, 9 newly installed, 0 to remove and 148 not upgraded. Need to get 12.6MB of archives. After unpacking 18.6MB will be used. Do you want to continue? [Y/n] n Erdeklodnek, van e tapasztalata valakinek az uggyel kapcsolatban vagy ne is probalkozzam mert tonkrevagom valamelyik csomagot a telepitessel ? -- Zelei Tamas ELGI.HU NETWORK ADMINISTRATOR Magyar Allami Eotvos Lorand Geofizikai Intezet 1145. Budapest, Kolumbusz u. 17-23. Tel:252-4999/137,290. Fax: 363-7256 Mobil:06-302-255-255 E-mail: zelei(a)elgi.hu Subject to SMS: 2255255(a)westel900.net

3 2

pssl+https nyug
by Gabor HALASZ 16 Nov '05

16 Nov '05

Ezt kovettem el (illetve ezek a szignifikans reszei): class Decrypt_C(PsslProxy): def config(self): self.client_need_ssl = 1 self.server_need_ssl = 0 self.client_cert = '/etc/zorp/certificates/cert.pem' self.client_key = '/etc/zorp/certificates/key.pem' self.client_verify_type = SSL_VERIFY_NONE class Http_C(HttpProxy): def config(self): HttpProxy.config(self) self.max_url_length = 255 self.request['GET'] = (HTTP_REQ_POLICY, self.filterUrl) self.request['HEAD'] = (HTTP_REQ_POLICY, self.filterUrl) self.request['POST'] = (HTTP_REQ_POLICY, self.filterUrl) .... Service("HttpS_S", Decrypt_C, InbandRouter(), chainer=SideStackChainer (Http_C)) A filterurl a request_url_scheme es a request_url_host alapjan dont a kapcsolat sorsarol, de mire a filterurl-hez kerul a kapcsolat, a log szerint minden url_scheme http lesz. Mit lehet ezzel tenni? GPL, 3.0.4. -- Gabor HALASZ <halasz.g(a)freemail.hu>

1 0

Megjelent a Zorp GPL 3.0.8 verziója
by devel＠balabit.hu 08 Nov '05

08 Nov '05

------------------------------------------------------------------------------ CSOMAG : zorp VERZIÓ : 3.0.8 ÖSSZEFOGLALÁS : új stabil verzió DÁTUM : 2005. november 3. ------------------------------------------------------------------------------ LEÍRÁS: Megjelent a Zorp GPL (3.0.8) legújabb stabil kiadása. A hibajavítások miatt a 3.0.x ág használata esetén ennek a kiadásnak a futtatása javasolt. VÁLTOZÁSOK: Core: * Egy lehetséges Python hibaüzenet javítása, ami akkor fordulhat elő, ha egy ZoneListener vagy CSZoneListener ismeretlen service-re hivatkozott. * Egy lehetséges holtpont javítása az UDP forgalom kezelésében. * Egy új round_robin paraméter hozzáadása a FailoverChainer-hez, amivel explicit módon meg lehet adni, hogy a szerver kapcsolat kialakítása round-robin ill. failover módon történjen. * Hiba javítása az inbound ill. outbound service listával nem rendelkező umbrella zónák kezelésében. zorpctl: * Egy lehetséges elszállás javítása a "zorpctl szig" parancsban. Ftp: * Logüzenet hozzáadása a visszautasított belépési kérelmekről a kizárólag anonymous-t engedélyező FTP osztályokban. * Egy memóriafogyás megszüntetése, ami aktív módu adatkapcsolatok kialakításánál jelentkezett. * Egy lehetséges holtpont javítása az adatkapcsolat kiépítése közben. Pssl: * Az SSL handshake közbeni timeout kezelés javítása. * Egy új handshake_timeout nevű attribútum definiálása, ami az SSL handshake közbeni timeout értékét adja meg. * A beállítható CIPHER algoritmusok értékének megváltoztatása, hogy explicit módon tiltsa az authentikációt nem támogató algoritmusokat, mint amilyen például az anonymous-DH. Http: * Kérés és válasz csempészés (smuggling) elleni védelem megvalósítása. * Egy együttműködési hiba javítása, a proxy automatikusan újrakapcsolódik a szerverhez, ha az eldobta a kapcsolatot miközben a proxy a kliensre várakozott. FRISSÍTÉS MÓDJA: Frissítés apt-tal: ~~~~~~~~~~~~~~~~~~ Az apt forrásai közé vegyük fel a https://apt.balabit.hu/ URL-t a következő módon: Fűzzük a következő sort a /etc/apt/sources.list-hez: deb http://apt.balabit.com/zorp-gpl-os zorp-os-3.0/3.0 \ common-gpl zorp-gpl zorp-os zorp-os-extra majd adjuk ki a következő parancsokat root felhasználóként: # apt-get update; apt-get -u upgrade A parancsok hatására a legutóbbi frissítéseket az apt letölti, valamint feltelepíti.

1 0

cttproxy-2.0.2 nem fordul
by Gabor HALASZ 03 Nov '05

03 Nov '05

gcc -D__KERNEL__ -I/home/HalaszGabor/Work/Packages/kernel/2.4/linux-2.4.31/include -Wall -Wstrict-prototypes -Wno-trigraphs -O2 -fno-strict-aliasing -fno-common -fomit-frame-pointer -pipe -mpreferred-stack-boundary=2 -march=i686 -fno-unit-at-a-time -DMODULE -DMODVERSIONS -include /home/HalaszGabor/Work/Packages/kernel/2.4/linux-2.4.31/include/linux/modversions.h -nostdinc -iwithprefix include -DKBUILD_BASENAME=iptable_tproxy -c -o iptable_tproxy.o iptable_tproxy.c iptable_tproxy.c: In function `ip_tproxy_kill_related': /home/HalaszGabor/Work/Packages/kernel/2.4/linux-2.4.31/include/linux/netfilter_ipv4/ip_conntrack.h:258: sorry, unimplemented: inlining failed in call to 'ip_conntrack_put_R91623ba9': function body not available Mit csinaljak vele? -- Gabor HALASZ <halasz.g(a)freemail.hu>

2 2