March 2005 - zorp-hu - lists.balabit.hu

GPL Zorp.3 P4 fagyogatas
by Tuska Viktor 06 Apr '05

06 Apr '05

Udv, Eppen egy Zorp verziot installalgatok egy P4-es gepre, amin erdekes modon a regi zorp(zorpos 1.x, kernel 2.2.21) ugy nez ki jol mukodik, azonban az ujabb zorp(debian, zorp-gpl 3.0.3, kernel 2.4.29+grsecurity+tproxy patch) viszont par ora utan merevre fagy. Valaki talalkozott mar ehhez hasonloval? Esetleg letezik valamilyen kernelbeallitas ami szukseges/nem szukseges? (Hyperthreading/SMP, APIC?) Koszontem, Viktor

2 3

port tartomány
by Gabor HALASZ 29 Mar '05

29 Mar '05

Korlátoznom kellene, milyen portokról indíthat kapcsolatot egy proxy. Lehet ilyet?

3 4

certificate chain is too long
by Megyeri Zoltan 16 Mar '05

16 Mar '05

Sziasztok! Zorp 2.0.9 GPL-t hasznalok, a mogotte levo win2003 server windows update-je hibaval leall. A zorp túl hosszú cert láncra panaszkodik. Van rá valami megoldásotok? Köszi, Zoli Mar 11 16:51:48 fw1 intra[24991]: (hirado@fw/intra_HTTPS:2/pssl): Certificate chain is too long; subject='/CN=Microsoft Internet Authority', issuer='/C=US/O=GTE Corporation/CN=GTE CyberTrust Root' depth='2' maxdepth='1' Mar 11 16:51:48 fw1 intra[24991]: (hirado@fw/intra_HTTPS:2/pssl): Certificate verification error; subject='/CN=Microsoft Internet Authority', issuer='/C=US/O=GTE Corporation/CN=GTE CyberTrust Root', errcode='22', error='certificate chain too long'

2 2

trans.local proxy - tproxy 2?
by Bencsath Boldizsar 04 Mar '05

04 Mar '05

Sziasztok! Köszönöm a múltkori fordítási hibás választ. Mióta tproxy 2-vel és 2.4.29-el próbálkozom, van egy másik gondom is. Van olyan gép, ahol a zorp nem egy másik gép előtt áll, hanem magán a webszerveren csücsül. Ennek ellenére transparent proxy módban próbálom használni, hogy a webszerver is szépen tudjon logolni. Eddig ezt úgy csináltam, hogy felhúztam loopback interfészt megfelelő számozással, és arra küldtem tovább a dolgokat. Ez a korábbi tproxyval 2.4.27-el szépen működött is. Most azonban az új zorppal (3.0.3) meg tproxyval (2.) invalid packet-et dob a conntrack, ha pedig a nat reservations supportot (nem tudván igazán hogy mire jó) is bekapcsolom (beleforditva, nem modulként mint a tproxy) , akkor viszont a tproxyt sem ismeri fel a zorp. No mármost ez a conntrack hülyesége lehet vajon (láttam ilyesmi utalást valamilyen window tracking ügyre), vagy miként oldható meg a helyzet, esetleg nem szupportált? Ja és a 3-as zorppal kijavult az a korábbi hibám, amikor egyes speciális kérésekre a válasz megszakadt és a letöltés félbemaradt (a legutóbbi 2.4.27-ben + tproxy nem 2-es még hibázott ...), és amiről a hosszú logok ellenére nem sikerült többet kideríteni... boldizsár -------------------------------- Bencsath Boldizsar boldi(a)mail2003.etl.hu --------------------------------

2 1

url rewrite probléma
by Gabor HALASZ 02 Mar '05

02 Mar '05

Egy accelerator proxy mögött levő outlook web access szervert kellene elérni (idáig megy is a dolog), amit valamiért úgy állítottak be, hogy a /exchange/ kell az url mögé, és ezt szeretném a feledékeny userek számára pótolni (2.0.7 Pro). Ezzel próbálkoztam: class HttpS_C(HttpProxy): def config(self): HttpProxy.config(self) self.max_url_length = 200 self.parent_proxy = "172.16.80.1" self.parent_proxy_port = 8080 self.permit_proxy_requests = TRUE self.rewrite_host_header = TRUE self.request["GET"] = (HTTP_REQ_POLICY, self.filterURL) self.transparent_mode = FALSE def filterURL(self, method, url, version): self.request_url = 'http://owa.domain.int/exchange/' return HTTP_REQ_ACCEPT class Owa_C(PsslProxy): def config(self): PsslProxy.config(self) self.client_need_ssl = TRUE self.client_cert = "/etc/zorp/owacert.pem" self.client_key = "/etc/zorp/owakey.pem" self.client_verify_type = PSSL_VERIFY_NONE self.client_ssl_method = PSSL_METHOD_ALL self.client_ssl_cipher = PSSL_CIPHERS_ALL self.server_need_ssl = FALSE self.server_verify_type = PSSL_VERIFY_NONE self.stack_proxy = HttpS_C Service("Owa_S", Owa_C, Router=DirectedRouter(SockAddrInet("172.16.80.1", 80))) Listener(SockAddrInet("xxx.xxx.xxx.xxx", 443), "Owa_S") Mire az accelerator proxy logjából az látszik, hogy /exchange lett a request. Mi nem jó? -- Gabor HALASZ <halasz.g(a)freemail.hu>

3 7

RE: [zorp-hu] url rewrite probléma
by Makay Kalman 02 Mar '05

02 Mar '05

> Nincs további ötletetek? Idegeskedik az ügyfél... > Vettek 3ast is már, ha updateljük, javulhat a helyzet? Figy, ha gyors megoldast akarsz csinalj egy lapot ami automatikusan atdobja a /exchangre -re. Ez egy mezei html kod, ha kell atkuldom....talan meg megvan. Utana tudtok hegeszteni a hatterben. Udv., Makay Kalman

2 1

RE: [zorp-hu] DHCP problema
by Kucsera László 01 Mar '05

01 Mar '05

Koszonom! Qcsera

1 0

RE: [zorp-hu] DHCP problema
by Kucsera László 01 Mar '05

01 Mar '05

> >illetve tudtommal raw socketeket hasznal, amit mindenkeppen latni fog >(tcpdump-olni is tudsz, akkor is ha minden-t elDROP-olsz) > >-- >Bazsi Akkor iptablessel nem is lehet szurni? Qcsera

2 1

RE: [zorp-hu] DHCP problema
by Kucsera László 01 Mar '05

01 Mar '05

>> Feb 28 22:36:32 merlin-new kernel: PF: filter/inbound ESTABIN=eth0 OUT= MAC=00:a0:24:32:37:4a:00:08:02:6e:98:b5:08:00 >> SRC=192.168.200.60 DST=192.168.200.11 LEN=48 TOS=0x00 PREC=0x00 TTL=128 ID=468 DF PROTO=ICMP TYPE=0 CODE=0 ID=37921 SEQ=0 > >Ilyen logolo sor nem is volt a konfigodban, akkor hogyhogy ilyen jon a >logba?? > >MCS Volt egy olyan fazis, amikor mar mindent logoltam (Az elso szabalyt is.) Qcsera

1 0

DHCP problema
by Qcsera 01 Mar '05

01 Mar '05

Udv Mindenkinek! A problemam csak annyibol zorp specifikus, hogy itthon szeretnek egy gpl zorpot osszerakni, probalgatni. Egyenlore meg csak egy halokartya van a gepben. Kene egy dhcp szerver a belso lan fele. Felraktam a dhcp szervert. Bekonfiguraltam az ip tables-t igy: # iptables -vnL Chain INPUT (policy DROP 18 packets, 4265 bytes) pkts bytes target prot opt in out source destination 250 19898 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0 0 0 ACCEPT tcp -- * * 192.168.200.0/24 0.0.0.0/0 tcp dpt:22 flags:0x16/0x02 18 4265 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 LOG flags 0 level 4 prefix `PF: filter/input DROP' Chain FORWARD (policy DROP 0 packets, 0 bytes) pkts bytes target prot opt in out source destination Chain OUTPUT (policy ACCEPT 322 packets, 45919 bytes) pkts bytes target prot opt in out source destination Velemenyem szerint nem kene tudnia a dhcp szervernek ip cimet kiosztania, az iptables alapjan. De megis sikerul neki. A syslog-ba ez kerul: Feb 28 22:36:31 merlin-new dhcpd-2.2.x: DHCPDISCOVER from 00:08:02:6e:98:b5 via eth0 Feb 28 22:36:31 merlin-new kernel: PF: filter/input DROPIN=eth0 OUT= MAC=ff:ff:ff:ff:ff:ff:00:08:02:6e:98:b5:08:00 SRC=0.0.0.0 DST=255.255.255.255 LEN=328 TOS=0x00 PREC=0x00 TTL=128 ID=466 PROTO=UDP SPT=68 DPT=67 LEN=308 Feb 28 22:36:32 merlin-new dhcpd-2.2.x: DHCPOFFER on 192.168.200.60 to 00:08:02:6e:98:b5 via eth0 Feb 28 22:36:32 merlin-new dhcpd-2.2.x: DHCPREQUEST for 192.168.200.60 from 00:08:02:6e:98:b5 via eth0 Feb 28 22:36:32 merlin-new kernel: PF: filter/input DROPIN=eth0 OUT= MAC=ff:ff:ff:ff:ff:ff:00:08:02:6e:98:b5:08:00 SRC=0.0.0.0 DST=255.255.255.255 LEN=336 TOS=0x00 PREC=0x00 TTL=128 ID=467 PROTO=UDP SPT=68 DPT=67 LEN=316 Feb 28 22:36:32 merlin-new dhcpd-2.2.x: DHCPACK on 192.168.200.60 to 00:08:02:6e:98:b5 via eth0 Feb 28 22:36:32 merlin-new kernel: PF: filter/inbound ESTABIN=eth0 OUT= MAC=00:a0:24:32:37:4a:00:08:02:6e:98:b5:08:00 SRC=192.168.200.60 DST=192.168.200.11 LEN=48 TOS=0x00 PREC=0x00 TTL=128 ID=468 DF PROTO=ICMP TYPE=0 CODE=0 ID=37921 SEQ=0 Ugy tunik, hogy az iptables eldobalja a dhcpnek szolo csomagokat, de a dhcp szerver megis megkapja. Tudna valaki segiteni? (A tproxy es a nat tablakban minden policy ACCPET) Udv: Kucsera Laszlo

4 3