April 2006 - zorp-hu - lists.balabit.hu

Zorp Mérnöki Vizsgák
by Gyorko Zoltan 24 Apr '06

24 Apr '06

Zorp mérnöki vizsgák május 8-án A Zorp mérnöki képzés korábban bejelentett átalakulásának utolsó lépéseként bevezetjük a kétszintű vizsgarendszert, melyben BCZA és BCZE oklevelet szerezhetnek a hallgatók. Az új partnerek már csak vizsgázott mérnökökkel nyújthatnak Zorp támogatást, meglévő partnereinknek 2006 év végéig van idejük arra, hogy Zorp mérnökeik levizsgázzanak. A jelentkezők számára felkészítő tananyagot biztosítunk. További információ Böröcz Róbert i érhető el a +36 1 371 0540 telefonszámon vagy a borocz.robert(a)balabit.hu e-mail címen. Bővebben: BCZA vizsga http://www.balabit.hu/services/tanfolyam/exam_bcza.bbq BCZE vizsga http://www.balabit.hu/services/tanfolyam/exam_bcze.bbq -- Györkő Zoltán <gyorkoz(a)balabit.hu>

1 0

SIP proxy kérdés
by Deim Agoston 24 Apr '06

24 Apr '06

hali, örömteli számomra, hogy van már SIP proxy. Ehhez kapcsolódna egy kérdésem, amihez egy diaban készített Móricka ábrát is csatoltam. A kérdés: ha a(z egyik) DMZ-ben van a SIP-es server, a kliensek pedig egy másik zónában, a LAN-ban, akkor Sip proxy lekezeli ezt? Ha jól tudom és látom, akkor most minden megfelelően kezdeményezett SIP kapcsolat lekezeléséhez létrejön egy iptables szabály. Mivel az RTP-n történő kommunikációt a kliensek már egymás között végzik, ezért ehhez kapcsolódóan kell létrehozni az iptables szabályokat is. Ezt az alapbeállításokkal meg tudja majd tenni a zorp vagy bele kell túrnom az osztályokba és sajátot kell készítenem? Ha erősebben nézem a .py-t akkor amit benne látok az openStream és closeStream-re, abban az iptables résznél nincs definiálva interface csak címek s a portok. Esetleg elég csak a permit_trp_zones-ba megadni a zónákat? (internet + LAN)? Elnézést, hogy nem fordítottam rá most több időt, nem szokásom így bedobni a kérdést, elég egy igen, nem RTFM, aztán megoldom onnatól, csak az irányt jelöljétek ki. üdv, Ago

1 0

IAX/IAX2 proxyzása
by Deim Agoston 21 Apr '06

21 Apr '06

hello, fent nevezett protokollokra előreláthatólag plug-ot használhatok csak, igaz? üdv, Ago

4 6

Átviteli képesség
by Szalai Ákos 18 Apr '06

18 Apr '06

Helló! A következő kérdésem lenne: Adva van egy tűzfalpár, aminek nagyon komoly mennyiségű kapcsolatot kellene kezelnie. A nagyon komoly itt azt jelent, hogy bár rövid (kb 5-10kbyte-os) maga a kapcsolat, viszont ebből most 500-1000 conn/sec van, később akár 2000-3000 conn/sec is lehet. Eddigi teszteléseim szerint sima plug proxy-val is csak 500-600-at tudott benyelni (dual Xeon 2.8GHz, 2Gbyte RAM), efölé nem tudtam menni. Van bármilyen lehetőség arra, hogy valamilyen finomhangolással emelni tudjam a befogadott/átvitt kapcsolatok számát, vagy maradjak az iptables-nél? (iptables-el 3500-4000 kapcsolatot tudtam kreálni, bár itt már a teszter gép is a határaira ért) Üdv: -- Szalai Ákos <akos.szalai(a)indextools.com> Tensa Ltd

2 1

kernel-patchtree-2.4.32-zorpos-14.0.7
by Kosa Attila 12 Apr '06

12 Apr '06

Hello! Ratoltam egy 2.4.32-es vanilla forrasra a subjectet, hiba nelkul ra is ment (egy csomo Hunk-ot leszamitva). Viszont a kovetkezo hibaval meghal a forditas: ip_conntrack_dynexpect.c: In function `dynexpect_mapping_alloc': ip_conntrack_dynexpect.c:311: warning: implicit declaration of function `__ip_nat_reserved_new_hash' ip_conntrack_dynexpect.c:311: warning: assignment makes pointer from integer without a cast ip_conntrack_dynexpect.c:331: warning: implicit declaration of function `__ip_nat_reserved_unhash' ip_conntrack_dynexpect.c:331: warning: assignment makes pointer from integer without a cast ip_conntrack_dynexpect.c:335: warning: implicit declaration of function `__ip_nat_reserved_free' ip_conntrack_dynexpect.c: In function `dynexpect_mapping_destroy': ip_conntrack_dynexpect.c:595: warning: assignment makes pointer from integer without a cast ip_conntrack_dynexpect.c: In function `dynexpect_nat_expected': ip_conntrack_dynexpect.c:974: error: `IP_NAT_RANGE_USE_RESERVED' undeclared (first use in this function) ip_conntrack_dynexpect.c:974: error: (Each undeclared identifier is reported only once ip_conntrack_dynexpect.c:974: error: for each function it appears in.) make[3]: *** [ip_conntrack_dynexpect.o] Error 1 make[3]: Leaving directory `/usr/src/linux-2.4.32-zorpos/net/ipv4/netfilter' make[2]: *** [_modsubdir_ipv4/netfilter] Error 2 make[2]: Leaving directory `/usr/src/linux-2.4.32-zorpos/net' make[1]: *** [_mod_net] Error 2 make[1]: Leaving directory `/usr/src/linux-2.4.32-zorpos' make: *** [stamp-build] Error 2 Tudtok errol valamit? -- Udvozlettel Zsiga

3 7

zorp config, fizetek erte
by Pásztor Lénárd Zoltán 12 Apr '06

12 Apr '06

Sziasztok! Az alabbi megoldasra lenne szuksegem, melynek megvalositasa 5.000 Ft-ot is meg er nekem. A 272.0242-es szamon napkozben elerhettek. A zorpnak az alabbi modon kell mukodnie: A bejovo kereseket (http/https) transzparens modon osztja a belso applikacios szerverek fele. Tudnia kell donteni arrol, hogy mely applikacios szerverek kaphatjak meg a kerest az alabbi modon: Az applikacios szerverek csoportokra oszthatok. A csoportok elemei kozt (pl app szerver ip:port) kozott sulyozva kell tudni valasztani. Az eppen elerheto applikacios szervereket egy fajlbol olvassa csoport_azonosito:ip:port formatumban. Eloszor megvizsgalja a GET utani reszt, itt keres tobb mintara. Az egyes mintakra illeszkedes alapjan azonnal tud donteni hogy mely rendelkezesre allo applikacios szervernek kaphatjak meg a kerest. Ha nincs elerheto applikacios szerver a keresett csoporthoz (pl ures a file) ugy egy elore definialt urlre redirektal. Ha egy mintara sem tortent illeszkedes akkor megnezi, hogy egy masik cookie erteke illeszkedik-e meghatarozott mintakra.Ha igen akkor a megfelelo applikacios szerver csoportot valassza ki. Amennyiben nem szerepelt egyben sem ugy redirektalja a klienst egy elore definialt url-re. En igy programoznam le, ha tudnek programozni pythonban, vagy ha hasznalhato dokumentaicoja lenne... url_mintak=1:csoport1, 2:csoport2, 3:csoport3... szerverek=csoport1:/etc/zorp/group1,csoport2:/etc/zorp/group2... cookie=string cookie_mintak=1:csoport1, 2:soport2, 3:csoport3... http(s) request erkezik | url illeszkedik az url_mintakban megfogalmazott regexpek barmelyikere? | +igen | | | kivalasztja a csoportot. van a csoportban hasznalhato szerver(ip:port)? | | | +igen | | | | | tobb szerver is van? | | | | | +igen | | | | | | | random valaszt egyet | | | | | +nem | | | | | kivalasztja az egy elerhetot | | | +nem | | | elore definialt url-re redirectel | +nem | a 'string' nevu cookie illeszkedik a cookie_mintakban megfogalmazott regexpek barmelyikere? | +igen | | | kivalasztja a csoportot. van a csoportban hasznalhato szerver(ip:port)? | | | +igen | | | | | tobb szerver is van? | | | | | +igen | | | | | | | random valaszt egyet | | | | | +nem | | | | | kivalasztja az egy elerhetot | | | +nem | | | elore definialt url-re redirectel | +nem | elore definialt url-re redirectel Koszi! -- Pásztor Lénárd Zoltán

7 15

3.0.9 nem fordul amd64-en
by Gabor HALASZ 11 Apr '06

11 Apr '06

gcc -DHAVE_CONFIG_H -I. -I. -I.. -I/usr/src/zorp/zorp-3.0.9/lib -I/usr/src/zorp/zorp-3.0.9 -D_GNU_SOURCE -pthread -I/usr/include/glib-2.0 -I/usr/lib/glib-2.0/include -I/usr/include/python2.3 -I/usr/include/python2.3/ExtensionClass -O2 -Wall -W -g -D_GNU_SOURCE -MT packstream.lo -MD -MP -MF .deps/packstream.Tpo -c packstream.c -fPIC -DPIC -o .libs/packstream.o packstream.c: In function `z_stream_packet_send': packstream.c:256: warning: implicit declaration of function `z_data_dump' packstream.c: At top level: packstream.c:751: warning: missing initializer packstream.c:751: warning: (near initialization for `z_stream_packet_funcs.set_child') packstream.c: In function `z_stream_packet_new': packstream.c:768: error: `Z_STREAM_FLAG_READ' undeclared (first use in this function) packstream.c:768: error: (Each undeclared identifier is reported only once packstream.c:768: error: for each function it appears in.) packstream.c:768: error: `Z_STREAM_FLAG_WRITE' undeclared (first use in this function) packstream.c:768: warning: passing arg 3 of `z_stream_new' makes integer from pointer without a cast packstream.c:768: error: too many arguments to function `z_stream_new' 3.1.2.2-es libzorpll (az lefordult), sid, debuild-dal probaltam. Mit csinaljak vele? -- Gabor HALASZ <halasz.g(a)freemail.hu>

3 16

cookie alapjan valo dontes
by Pásztor Lénárd Zoltán 06 Apr '06

06 Apr '06

Sziasztok! Tud valaki peldat mutatni arra, hogyan lehet zorpal elerni azt, hogy http(s) proxyzas eseten egy cookie-ban beallitott erteket figyelve dontson arrol melyik belso webszervertol kerje el az oldalt? -- Pásztor Lénárd Zoltán rendszergazda Wonderline Hungary Kft. Telefon: (+36-1) 272.0242 Fax: (+36-1) 272.0252 E-mail: lenard.pasztor(a)wonderline.hu Honlap: www.wonderline.hu

4 11

kiprobalnam a zorp-ot
by MAGYAR Szilveszter 05 Apr '06

05 Apr '06

Udv mindenkinek! Sok jot olvastam / hallottam errol a megoldasrol es ugy gondoltam hogy ki kellene probalni. Felraktam egy proba gepre egy alap Debian Stable verziot 2.4.27 kernellel. A dokumentaciot olvasva arra jutottam hogy az egesz zorp lelke a tproxy, ami a gyari Debian kernel modositasat (patch+ujraforditas) teszi szuksegesse. Tovabba a doksiban meg van emlitve egy apt forras ahol elerhetok az elore forditott kernel binarisok. deb http://apt.balabit.hu/zorp-gpl-os/ zorp-os-3.0/3.0security \ zorp-os common-gpl zorp-gpl deb http://apt.balabit.hu/zorp-gpl-os/ zorp-os-3.0/3.0 \ zorp-os common-gpl zorp-gpl Abban a remenyben hogy nem kell a kernelforras foltozasaval es forditasaval szoszmotolni felraktam ezt a kernelt: kernel-image-2.4.28-zorpos-pentium4 - Linux kernel binary image for version 2.4.28-zorpos-pentium4. De sajnos a rendszert ujrainditva az ujonnann telepitett kernellel nem mukodik. Ugy tunik hogy minden rendben van egeszen az init vegeig. Miutan lefutott az init latszolag a szervizek is elindulnak de nem kapok promptot egyik konzolon sem. Csak ilyen hibauzenetet kapok a konzolra: INIT: id "1" respawning too fast: disabled for 5 minutes INIT: id "2" respawning too fast: disabled for 5 minutes INIT: id "3" respawning too fast: disabled for 5 minutes INIT: id "4" respawning too fast: disabled for 5 minutes INIT: id "5" respawning too fast: disabled for 5 minutes INIT: id "6" respawning too fast: disabled for 5 minutes INIT: no more process left in this runlevel Ha kihagyom az init-et a boot soran (init=/bin/bash) akkor teljesen jonak tunik minden. Az lenne a kerdesem hogy az apt-vel felrakott kernel binarisok hasznalhatoak ebben a formaban (gyari Debian-nal) vagy sem? Es ha igen akkor mit rontottam el, hogy megsem mukodik? A valaszokat elore is koszonom. -- MAGYAR Szilveszter maszili(a)freemail.hu

2 2

http proxy, tproxy
by Pásztor Lénárd Zoltán 03 Apr '06

03 Apr '06

Sziasztok! Zorp megkapja a requestet, el is inditja a proxy-t, a proxy felvenne a kapcsolatot a belso webszerverrel, a webszerver probal valaszolni, de az ip kapcsolat mar nem jon letre holott a valasz csomag megjelenik a zorpot futtato gepen es az iptables sem dobja ki. Ugyanaz a helyzet http es https eseten is. A csomagok a megfelelo host/port parosra valaszolnak ugy gondolom. Hol nezzek korul? #dpkg -l zorp ii zorp 3.0.9 #dpkg -l iptables iptables 1.2.11-8.zorpos5 #uname -r 2.6.15.6 iptables config: iptables -t tproxy -L Chain PREROUTING (policy ACCEPT) target prot opt source destination TPROXY tcp -- anywhere zorp tcp dpt:https TPROXY redirect 0.0.0.0:1201 TPROXY tcp -- anywhere zorp tcp dpt:www TPROXY redirect 0.0.0.0:1200 zorp config: # Includes from Zorp.Core import * from Zorp.Http import * from Zorp.Pssl import * # Main configuration Zorp.firewall_name = 'zorp' # Networks InetZone( "Internet", "0.0.0.0/0", inbound_services=["http", "https"], outbound_services=["http", "https"] ) InetZone( "app-net", "10.11.0.0/16", inbound_services=["http", "https"], outbound_services=["http", "https"] ) # HTTP Proxy class HTTPProxy(HttpProxy): def config(self): HttpProxy.config(self) self.default_port = 443 # HTTP Proxy class HTTPProxy(HttpProxy): def config(self): HttpProxy.config(self) # HTTPS Proxy - Listener class HTTPSListener(PsslProxy): def config(self): PsslProxy.config(self); self.copy_to_server = TRUE; self.copy_to_client = TRUE; self.client_need_ssl = TRUE; self.server_need_ssl = FALSE; self.shutdown_soft = TRUE; self.client_verify_type = SSL_VERIFY_NONE; self.server_verify_type = SSL_VERIFY_NONE; self.client_cert = "/etc/zorp/certs/test.crt"; self.client_key = "/etc/zorp/keys/test.key"; # HTTPS Proxy class HTTPSHelper(HttpProxy): def config(self): HttpProxy.config(self) self.default_port = 443 # HTTPS Proxy - Worker class HTTPSWorker(PsslProxy): def config(self): PsslProxy.config(self); self.copy_to_server = TRUE; self.copy_to_client = TRUE; self.client_need_ssl = FALSE; self.server_need_ssl = TRUE; self.shutdown_soft = TRUE; self.client_verify_type = SSL_VERIFY_NONE; self.server_verify_type = SSL_VERIFY_NONE; self.client_cert = "/etc/zorp/certs/test.crt"; self.client_key = "/etc/zorp/keys/test.key"; # Instance definition def web(): Service( "http", HTTPProxy, router=InbandRouter(forge_addr=TRUE), resolver=DNSResolver() ) Service( "https", HTTPSListener, router=InbandRouter(forge_addr=TRUE), chainer=SideStackChainer( HTTPSHelper, SideStackChainer(HTTPSWorker) ) ) Listener(SockAddrInet('0.0.0.0', 1200), "http") Listener(SockAddrInet('0.0.0.0', 1201), "https") -- Pásztor Lénárd Zoltán rendszergazda Wonderline Hungary Kft. Telefon: (+36-1) 272.0242 Fax: (+36-1) 272.0252 E-mail: lenard.pasztor(a)wonderline.hu Honlap: www.wonderline.hu

1 0