- zorp-hu - lists.balabit.hu

HttpProxy - timeout - javitott
by Tamas Barina 06 Dec '12

06 Dec '12

Sziasztok, adott egy tuzfal Zorp + Apache kombinacio. Feladatunk egy nagyobb (~350M) file feltoltese http kapcsolaton keresztul. Ha Zorpon keresztul probalom meg feltolteni, sikertelen, ekkor ugyanis a bongeszo nem kapja vissza a Zorp-tol, hogy a feltoltes sikeres, tovabb homokorazik. Kiprobaltam siman PlugProxy -val is megemelt self.timeout = 300000 ertekkel, akkor mukodik. Jelenlegi beallitasok: class Http03(HttpProxy): def config(self): HttpProxy.config(self) self.timeout_request = 10000 self.timeout_response = 600000 self.timeout = 600000 A feltoltes idoigenye kb 8 perc. Valakinek van otletze mi hianyzik meg? Tamas Barina

1 0

HttpProxy - timeout
by Tamas Barina 06 Dec '12

06 Dec '12

Sziasztok, adott egy tuzfal Zorp + Apache kombinacio. Feladatunk egy nagyobb (~350M) file feltoltese http kapcsolaton keresztul. Ha Zorpon keresztul probalom meg feltolteni, sikertelen, ekkor ugyanis a bongeszo nem kapja vissza a Zorp-tol, hogy a feltoltes sikeres, tovabb homokorazik. Kiprobaltam siman PlugProxy -val is megemelt self.timeout = 300000 ertekkel, akkor mukodik. Jelenlegi beallitasok: class Http03(HttpProxy): def config(self): HttpProxy.config(self) self.timeout_request = 10000 self.timeout_response = 300000 self.timeout = 300000 A feltoltes idoigenye kb 8 perc. Valakinek van otletze mi hianyzik meg? Tamas Barina

1 0

x-forwarded-for
by Kálmánczi Sándor 21 Nov '12

21 Nov '12

Üdvözlet! Nagy örömmel olvastem az IPTABLESes levelet, nagy várakozásal vagyok ez ügyben. Sajnos nem volt ido"m foglalkozni mostanában nagyon ezzel, mert itt megkezdo"dött az évvégi hajtás. Jól. :( De! Meglestem a dolgot. Ez alapján csináltam is egy olyat, hogy: Vagy egy zorp amiben egy dummy0 interfacen fut egy webszerver: iptables # Generated by iptables-save v1.4.14 on Fri Nov 9 10:54:37 2012 *filter :INPUT ACCEPT [12630:1064741] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [30302:5576360] -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT -A INPUT -m state --state ESTABLISHED -j ACCEPT -A INPUT -m mark --mark 0x80000000/0x80000000 -j ACCEPT -A OUTPUT -m mark --mark 0x80000000/0x80000000 -j ACCEPT COMMIT # Completed on Fri Nov 9 10:54:37 2012 # Generated by iptables-save v1.4.14 on Fri Nov 9 10:54:37 2012 *mangle :PREROUTING ACCEPT [0:0] :INPUT ACCEPT [55883:34402514] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [30302:5576360] :POSTROUTING ACCEPT [0:0] -A PREROUTING -m socket --transparent -j MARK --set-xmark 0x80000000/0x80000000 -A PREROUTING -j KZORP --tproxy-mark 0x80000000/0x80000000 -A FORWARD -j KZORP --tproxy-mark 0x80000000/0x80000000 -A POSTROUTING -j KZORP --tproxy-mark 0x80000000/0x80000000 COMMIT # Completed on Fri Nov 9 10:54:37 2012 policy.py from Zorp.Core import * from Zorp.Http import * from Zorp.Proxy import * InetZone('internet', ['0.0.0.0/0'], outbound_services=[ "inetnetnet_HTTP_login0-localcahe"]) InetZone('login0', ['1.1.1.1/32']) InetZone('login0-localcache', ['172.16.101.254/32'], inbound_services=[ "inetnetnet_HTTP_login0-localcahe"], admin_parent='login0') NATPolicy(name="inetnet_2_login0-localcache", nat=GeneralNAT(mapping=((InetDomain(addr="0.0.0.0/0"), InetDomain(addr="1.1.1.1/32"), InetDomain(addr="172.16.101.254/32")),))) def http() : Service(name="inetnetnet_HTTP_login0-localcahe", router=TransparentRouter(forced_port=0, forge_addr=FALSE, forge_port=Z_PORT_ANY, overrideable=FALSE), chainer=ConnectChainer(), max_instances=0, proxy_class=HttpProxy, dnat_policy="inetnet_2_login0-localcache") Dispatcher(transparent=FALSE, bindto=DBIface(protocol=ZD_PROTO_TCP, family=2, iface="eth0", ip="1.1.1.1", port=80), service="inetnetnet_HTTP_login0-localcahe", rule_port="80") Ez így müködik is és megjelenik a weboldal a kíváncsiskodó számára, de az látszik a logban, hogy a kérelem a 172.16.101.254.ro"l érkezik. Akkor sem látszik az eredeti IP, ha a webszerveren a logolásnál figyelek a varnish x-forwarded-for-ra. 172.16.101.254 - - [09/Nov/2012:11:01:54 +0100] "GET http://example.com/sites/all/themes/bordo/images/backtotop-arrow-dark.png HTTP/1.1" 304 0 "http://example.com/sites/all/themes/bordo/style.css?md27b0" "Mozilla/5.0 (X11; Linux x86_64; rv:16.0) Gecko/20100101 Firefox/16.0 Iceweasel/16.0.2" Akad esetleg egy mento" ötlet? Köszönöm! Tisztelettel: Cs

3 3

firefox es chrome cert problema
by Kosa Attila 15 Nov '12

15 Nov '12

Hello! A zorp 3.3.6-1.1 verzioju, a firefox es a google chrome a legujabb (magyar Windows 7 Ultimate alatt futnak). Egy nagyon egyszeru https zorp proxy-n keresztul mennek ki a https kapcsolatok. A tuzfal a sajat certificate-jet mutatja a belso halozat klienseinek, amelyeken importalasra kerult az a CA, amellyel ala van irva a tuzfal cert-je. Peldaul az otpbank weboldala gond nelkul bejon (es meg sok mas oldal is), de a gmail.com nem. Firefox alatt eloszor arra panaszkodott, hogy "sec_error_cert_signature_algorithm_disabled". Az about:config-ban a "security.enable_md5_signatures" true-ra allitasaval sikerult atlendulni ezen a hibauzeneten, de jott egy masik: "ssl_error_bad_cert_domain". Ami igaz is, de _minden_ mas https-es oldalra is igaz, hiszen a kliens a tuzfal cert-jet latja, mas https-es oldalak megis mukodnek, csak a gmail.com nem akar. Google chrome alatt pedig azt irja, hogy "Nem folytathatja, mert a honlap üzemeltetője fokozott biztonságot kért erre a domainre." Azonban en megis ki szeretnek menni a gmail-re, ezen a zorp https proxy-n keresztul. Mit kellene beallitani a bongeszokben, hogy ezt megengedjek? Firefox alatt mar probaltam a "browser.xul.error_pages.expert_bad_cert" opciot true-ra allitani. Igy megjelent az a gomb, hogy kivetelt adhatok hozza, de hiaba adom hozza, akkor sem megy tovabb... -- Udvozlettel Zsiga

2 3

Leírás, how to keresése | Packet filter
by Kálmánczi Sándor 09 Nov '12

09 Nov '12

Üdv! Az iránt érdeklődnék, hogy merre lehet a találni a jelenlegi Zorp GPL-hez olyan leírást, ami tisztességesen foglalkozik az iptables kérdéssel is. Maga a Zorp GPL konfigurálásra megfelelően található info, igaz vadászni kell tisztességesen, de a packer-filter komponensről nagyon gyér információkat találok, ezért el is akadok rendesen. Vagy ha lehetne ilyen téma a balabites blogban, vagy ilyesmi.. Köszönöm! Cs

4 8

Megoldva - pop3s, imaps, smtps
by Tamas Barina 30 Aug '12

30 Aug '12

Sziasztok: A megoldas az archivum kedveert (Ha v.ki persze ebben a konfigban lat v.mi nemszep dolgot, batran szoljon): PSSL_METHOD_ALL Es a policy.py idevago resze: class SmtpsMail(Smtp): def config(self): Smtp.config(self) self.ssl.client_key_file = "/etc/ssl/sites/mail.valami.hu.key" self.ssl.client_cert_file = "/etc/ssl/sites/mail. valami.hu _ca.crt" self.ssl.client_ssl_method = PSSL_METHOD_ALL self.ssl.server_ssl_method = PSSL_METHOD_ALL self.ssl.client_connection_security = PSSL_FORCE_SSL self.ssl.server_connection_security = PSSL_FORCE_SSL self.ssl.client_disable_proto_sslv2 = TRUE self.ssl.server_disable_proto_sslv2 = TRUE self.ssl.client_ssl_cipher = PSSL_CIPHERS_HIGH self.ssl.server_ssl_cipher = PSSL_CIPHERS_HIGH self.ssl.client_verify_type = SSL_VERIFY_NONE self.ssl.server_verify_type = SSL_VERIFY_REQUIRED_UNTRUSTED self.ssl.client_verify_depth = 3 self.ssl.server_verify_depth = 3 class ImapsMail(Imap): def config(self): Imap.config(self) self.ssl.client_key_file = "/etc/ssl/sites/mail. valami.hu.key" self.ssl.client_cert_file = "/etc/ssl/sites/mail. valami.hu _ca.crt" self.ssl.client_ssl_method = PSSL_METHOD_ALL self.ssl.server_ssl_method = PSSL_METHOD_ALL self.ssl.client_connection_security = PSSL_FORCE_SSL self.ssl.server_connection_security = PSSL_FORCE_SSL self.ssl.client_disable_proto_sslv2 = TRUE self.ssl.server_disable_proto_sslv2 = TRUE self.ssl.client_ssl_cipher = PSSL_CIPHERS_HIGH self.ssl.server_ssl_cipher = PSSL_CIPHERS_HIGH self.ssl.client_verify_type = SSL_VERIFY_NONE self.ssl.server_verify_type = SSL_VERIFY_REQUIRED_UNTRUSTED self.ssl.client_verify_depth = 3 self.ssl.server_verify_depth = 3 class Pop3sMail(Pop3): def config(self): Pop3.config(self) self.ssl.client_key_file = "/etc/ssl/sites/mail. valami.hu.key" self.ssl.client_cert_file = "/etc/ssl/sites/mail. valami.hu _ca.crt" self.ssl.client_ssl_method = PSSL_METHOD_ALL self.ssl.server_ssl_method = PSSL_METHOD_ALL self.ssl.client_connection_security = PSSL_FORCE_SSL self.ssl.server_connection_security = PSSL_FORCE_SSL self.ssl.client_disable_proto_sslv2 = TRUE self.ssl.server_disable_proto_sslv2 = TRUE self.ssl.client_ssl_cipher = PSSL_CIPHERS_HIGH self.ssl.server_ssl_cipher = PSSL_CIPHERS_HIGH self.ssl.client_verify_type = SSL_VERIFY_NONE self.ssl.server_verify_type = SSL_VERIFY_REQUIRED_UNTRUSTED self.ssl.client_verify_depth = 3 self.ssl.server_verify_depth = 3 Koszonom mindenkinek a hasznos otleteket. Tamas Barina

2 2

pop3s, imaps, smtps
by Tamas Barina 28 Aug '12

28 Aug '12

Sziasztok, Elakadtam a pop3s, imaps, smtps beallitasokkal. Ha - nincs zorp kozotte tokeletesen mukodik - ha ssl nelkul hasznalom zorppal, tokeletesen mukodik A relevans ssl beallitasaim (ezt a https alapjan keszitettem, ami tokeletesen mukodik): class Pop3sMail(Pop3): def config(self): Pop3.config(self) self.ssl.client_key_file = "/etc/ssl/sites/mail.valami.hu.key" self.ssl.client_cert_file = "/etc/ssl/sites/mail.valami.hu_ca.crt" self.ssl.client_ssl_method = SSL_METHOD_SSLV3 self.ssl.server_ssl_method = SSL_METHOD_SSLV3 self.ssl.client_connection_security = SSL_FORCE_SSL self.ssl.server_connection_security = SSL_FORCE_SSL self.ssl.client_disable_proto_sslv2 = TRUE self.ssl.server_disable_proto_sslv2 = TRUE self.ssl.client_ssl_cipher = SSL_CIPHERS_HIGH self.ssl.server_ssl_cipher = SSL_CIPHERS_HIGH self.ssl.client_verify_type = SSL_VERIFY_NONE self.ssl.server_verify_type = SSL_VERIFY_REQUIRED_UNTRUSTED self.ssl.client_need_ssl = TRUE self.ssl.server_need_ssl = TRUE self.ssl.client_verify_depth = 3 self.ssl.server_verify_depth = 3 class ImapsMail(Imap): def config(self): Imap.config(self) self.ssl.client_key_file = "/etc/ssl/sites/mail.valami.hu.key" self.ssl.client_cert_file = "/etc/ssl/sites/mail.valami.hu_ca.crt" self.ssl.client_ssl_method = SSL_METHOD_SSLV3 self.ssl.server_ssl_method = SSL_METHOD_SSLV3 self.ssl.client_connection_security = SSL_FORCE_SSL self.ssl.server_connection_security = SSL_FORCE_SSL self.ssl.client_disable_proto_sslv2 = TRUE self.ssl.server_disable_proto_sslv2 = TRUE self.ssl.client_ssl_cipher = SSL_CIPHERS_HIGH self.ssl.server_ssl_cipher = SSL_CIPHERS_HIGH self.ssl.client_verify_type = SSL_VERIFY_NONE self.ssl.server_verify_type = SSL_VERIFY_REQUIRED_UNTRUSTED self.ssl.client_need_ssl = TRUE self.ssl.server_need_ssl = TRUE self.ssl.client_verify_depth = 3 self.ssl.server_verify_depth = 3 class SmtpsMail(Smtp): def config(self): Smtp.config(self) self.ssl.client_key_file = "/etc/ssl/sites/mail.valami.hu.key" self.ssl.client_cert_file = "/etc/ssl/sites/mail.valami.hu_ca.crt" self.ssl.client_ssl_method = SSL_METHOD_SSLV3 self.ssl.server_ssl_method = SSL_METHOD_SSLV3 self.ssl.client_connection_security = SSL_FORCE_SSL self.ssl.server_connection_security = SSL_FORCE_SSL self.ssl.client_disable_proto_sslv2 = TRUE self.ssl.server_disable_proto_sslv2 = TRUE self.ssl.client_ssl_cipher = SSL_CIPHERS_HIGH self.ssl.server_ssl_cipher = SSL_CIPHERS_HIGH self.ssl.client_verify_type = SSL_VERIFY_NONE self.ssl.server_verify_type = SSL_VERIFY_REQUIRED_UNTRUSTED self.ssl.client_need_ssl = TRUE self.ssl.server_need_ssl = TRUE self.ssl.client_verify_depth = 3 self.ssl.server_verify_depth = 3 Mit rontok el? zorpctl version Zorp 3.9.2 Revision: ssh+git://coroner@git.balabit//var/scm/git/zorp/zorp-core--mainline--4.0#mas ter#c52537337d6add922cdb65a04767d8a74b2eef12 Compile-Date: Jan 4 2012 13:57:32 Config-Date: 2012/01/04 Trace: off Debug: off IPOptions: off IPFilter-Tproxy: off Netfilter-Tproxy: on Linux22-Tproxy: off libzorpll 3.9.1.0 Revision: Compile-Date: Feb 27 2012 21:33:36 Trace: off MemTrace: off Caps: on Debug: off StackDump: off Tamas Barina

3 15

Zorp GPL a Linux Akadémián
by Szilárd Pfeiffer 28 Jun '12

28 Jun '12

Kedves Listatagok! Aki érdeklődik a Zorp GPL, illetve annak újdonságai iránt, annak ajánlanám figyelmébe, hogy még nem késő jelentkezni a Linux Akadémia idei kurzusára. Blogbejegyzés a témával kapcsolatban: http://bence.blogs.balabit.com/2012/06/egy-het-tomeny-linux/ Bővebb információ és jelentkezés: http://www.linuxakademia.com/mesterkurzus-2012-nyar-zorpgpl Üdvözlettel, a Zorp csapat

1 0

[ANN] Zorp GPL APT repositoryk
by Gergely Nagy 15 Jun '12

15 Jun '12

Tiszteletem! Eltartott egy ideig, jopar dologgal meg kellett kuzdeni (idohiannyal fokent), de orommel jelentem, hogy elerheto a Zorp GPL APT repository, benne a kovetkezok: - zorp 3.9.5 - libzorpll 3.9.1.3 - iptables 1.4.13 - linux 2.6.32, kzorpos dolgokkal patchelve! A zorp es libzorpll csomagok nagyjabol megegyeznek azzal, ami Debian unstable-ben van, apro valtoztatasokkal csak (changelogban korrektul dokumentalva). Az iptables szinten unstable alapu, kzorpos patchekkel fuszerezve. A kernel squeeze-bol jon, ottani config + kzorp & kapcsolodo opciokkal. Elerhetoseg: deb http://packages.madhouse-project.org/$DIST $RELEASE zorp deb http://packages.madhouse-project.org/zorp-kernel kernel 2.6 Ahol $DIST debian vagy ubuntu, a $RELEASE pedig squeeze, wheezy vagy unstable, illetve ubuntu eseten lucid, natty, oneiric, precise vagy quantal. Mindket distro eseten elerhetoek a csomagok i386 es amd64 architekturara is. A Release fileok gpg-vel ala vannak irva, a kulcs elerheto itt: http://packages.madhouse-project.org/debian/archive-key.txt A tervek szerint a csomagok kovetni fogjak a Debian unstable-beli parjukat, es minden egyes platformra elerhetove teszem oket, amig az adott platform supportalt. Ha pedig jon ki uj Debian/Ubuntu release, akkor az is bekerul majd a repoba. Igy mindenkihez eljut a friss es ropogos zorp! A kernel resze a dolognak egy kicsit kemenyebb dio, jelenleg csak 2.6.32-es kernelhez van mukodo patchem (de elobb-utobb lesz 3.x-hez is, remelem), igy csak ehhez van jelenleg repo. A kerneles repobol az alabbi kernel imagek erhetoek el: - amd64: linux-image-2.6.32-5+kzorp-amd64 - i386: linux-image-2.6.32-5+kzorp-amd64, linux-image-2.6.32-5+kzorp-486 (linux-headers, es egyeb csomagok is vannak meg ott, akit erdekel, biztosan meg tudja talalni) A csomagokat minimalis tesztelesnek vetettuk ala (aminek mamutreszet Balazs Tibor vegezte, ezer koszonet erte!), es mukodes latszatat keltettek, de konnyen lehet, hogy maradt meg bennuk aprobb-cseprobb bugocska. Az esetleges hibakat erre a listara kernem jelenteni, ha a csomagolasban van, akkor azt relative gyorsan meg tudom oldani. -- |8]

3 9

ipv6
by Tamas Barina 08 Jun '12

08 Jun '12

Sziasztok, Van valami info arrol mikor lesz a Zorp ipv6 kepes? Tamas Barina

3 5