- zorp-hu - lists.balabit.hu

3.9 ssl keybridge nem indul
by Kosa Attila 15 Apr '11

15 Apr '11

Hello! A konfigot a zorp-gateway-v3.3FR1-tutorial-ssl-en.pdf nevu - altalatok javasolt - dokumentaciobol vettem: from Zorp.Core import * from Zorp.Pssl import * from Zorp.Http import * InetZone("intranet", "192.168.2.0/24", inbound_services=[], outbound_services=["intra_Keybridge_HTTPS_inter"]) InetZone("internet", "0.0.0.0/0", inbound_services=["intra_Keybridge_HTTPS_inter"], outbound_services=[]) class StrongHttpsProxy(HttpProxy): def config(self): HttpProxy.config(self) self.ssl.client_keypair_files=("/etc/ssl/certs/fw.akarmi.hu.crt", "/etc/ssl/private/fw.akarmi.hu.key") self.ssl.client_verify_type=SSL_VERIFY_NONE self.ssl.client_connection_security = SSL_FORCE_SSL self.ssl.server_connection_security = SSL_FORCE_SSL self.ssl.server_cagroup_directories=("/etc/zorp/ca.crt", "/etc/zorp/crls/") self.ssl.server_ssl_method=SSL_METHOD_ALL self.ssl.server_disable_proto_sslv2=TRUE self.ssl.server_ssl_cipher=SSL_CIPHERS_HIGH self.ssl.server_verify_type=SSL_VERIFY_REQUIRED_UNTRUSTED class KeybrideStrongHttpsProxy(StrongHttpsProxy): def config(self): StrongPsslProxy.config(self) self.handshake_seq=PSSL_HSO_SERVER_CLIENT self.client_keypair_generate=TRUE self.ssl.key_generator=X509KeyBridge(key_file="/etc/zorp/keybridging_cert/fwca.key", key_passphrase="jelszo", cache_directory="/var/lib/zorp/ssl-bridge", trusted_ca_files=("/etc/zorp/certs/trust.crt", "/etc/zorp/certs/trust.key.nopass"), untrusted_ca_files=("/etc/zorp/certs/untrust.crt", "/etc/zorp/certs/untrust.key.nopass")) def ssl_keybridge() : Service(name="intra_Keybridge_HTTPS_inter", proxy_class=KeybrideStrongHttpsProxy, router=TransparentRouter(overrideable=FALSE, forge_addr=TRUE)) Dispatcher(bindto=SockAddrInet('192.168.2.254', 50443), service="intra_Keybridge_HTTPS_inter", transparent=TRUE, threaded=FALSE, backlog=255) A /etc/zorp/instances.conf fajl tartalma: ssl_keybridge --verbose=5 --threads=100 --policy /etc/zorp/policy.py --autobind-ip 192.168.200.254 # zorpctl start Starting Zorp Firewall Suite: /usr/share/zorp/pylib/Zorp/Pssl.py:525: DeprecationWarning: the sets module is deprecated from sets import ImmutableSet Traceback (most recent call last): File "/usr/share/zorp/pylib/Zorp/Zorp.py", line 485, in init func() File "/etc/zorp/policy.py", line 38, in ssl_keybridge Dispatcher(bindto=SockAddrInet('192.168.2.254', 50443), service="intra_Keybridge_HTTPS_inter", transparent=TRUE, threaded=FALSE, backlog=255) File "/usr/share/zorp/pylib/Zorp/Dispatch.py", line 388, in __init__ AbstractDispatch.__init__(self, Zorp.firewall_name, bindto, **kw) File "/usr/share/zorp/pylib/Zorp/Dispatch.py", line 224, in __init__ if bindto.protocol == ZD_PROTO_AUTO: AttributeError: No such attribute ssl_keybridge! The following errors occurred so far: Zorp instance startup failed, instance='ssl_keybridge', rc='512' # zorpctl version Zorp 3.9.0 Revision: ssh+git://coroner@git.balabit//var/scm/git/zorp/zorp-core--mainline--4.0#master#fcb59dd06e0805ce995b8d94cc8c12096e385365 Compile-Date: Apr 13 2011 09:11:19 Config-Date: 2011/04/13 Trace: off Debug: off IPOptions: off IPFilter-Tproxy: off Netfilter-Tproxy: on Linux22-Tproxy: off libzorpll 3.9.0.1 Revision: Compile-Date: Apr 12 2011 14:36:53 Trace: off MemTrace: off Caps: on Debug: off StackDump: off -- Udvozlettel Zsiga

4 20

3.9 Pssl.py:525: DeprecationWarning
by Kosa Attila 13 Apr '11

13 Apr '11

Hello! Probalkozom egy egyszeru https proxy-val, de az indulasakor mindig ezt az uzenetet kapom: # zorpctl start zorp_https Starting Zorp Firewall Suite: /usr/share/zorp/pylib/Zorp/Pssl.py:525: DeprecationWarning: the sets module is deprecated from sets import ImmutableSet zorp_https Mondjuk ettol meg elindul, es mukodik is, szoval pillanatnyilag nem okoz problemat ez a warning, de ki tudja, hogy mikor fog... Es nem is szep :) A konfig igy nez ki: from Zorp.Core import * from Zorp.Pssl import * from Zorp.Http import * InetZone("intranet", "192.168.2.0/24", inbound_services=[], outbound_services=["intra_https"]) InetZone("internet", "0.0.0.0/0", inbound_services=["intra_https"], outbound_services=[]) class IntraHttps(HttpProxy): def config(self): HttpProxy.config(self) self.ssl.client_cert = '/etc/ssl/certs/fw.akarmi.hu.crt' self.ssl.client_key = '/etc/ssl/private/fw.akarmi.hu.key.nopass' self.ssl.client_verify_type = SSL_VERIFY_NONE self.ssl.server_ca_directory = '/etc/zorp/ca.crt' self.ssl.server_crl_directory = '/etc/zorp/crls' self.ssl.server_ssl_method = PSSL_METHOD_SSLV3 self.ssl.server_disable_proto_sslv2 = TRUE self.ssl.server_ssl_cipher = SSL_CIPHERS_HIGH self.ssl.server_need_ssl = TRUE self.ssl.server_verify_type = SSL_VERIFY_REQUIRED_TRUSTED self.ssl.client_need_ssl = TRUE self.ssl.server_verify_depth = 3 def zorp_https() : Service("intra_https", IntraHttps, TransparentRouter()) Listener(SockAddrInet("192.168.2.254", 60443), "intra_https", transparent=TRUE) # zorpctl version Zorp 3.9.0 Revision: ssh+git://coroner@git.balabit//var/scm/git/zorp/zorp-core--mainline--4.0#master#fcb59dd06e0805ce995b8d94cc8c12096e385365 Compile-Date: Apr 13 2011 09:11:19 Config-Date: 2011/04/13 Trace: off Debug: off IPOptions: off IPFilter-Tproxy: off Netfilter-Tproxy: on Linux22-Tproxy: off libzorpll 3.9.0.1 Revision: Compile-Date: Apr 12 2011 14:36:53 Trace: off MemTrace: off Caps: on Debug: off StackDump: off -- Udvozlettel Zsiga

3 6

Zorp 3.9 release
by Szilárd Pfeiffer 13 Apr '11

13 Apr '11

Kedves Listatagok! Megjelent a Zorp GPL 3.9-es verziója, melynek forrása az alábbi linken érhető el. http://www.balabit.com/hu/downloads/files?path=/zorp/3.9.0/source A legfontosabb fejlesztés az előző, 3.3R6-os verzióhoz képest, hogy az új SSL framework révén minden proxy alkalmassá válik titkosított forgalom kezelésére stackelés nélkül, beleértve az automatikus kulcsgenerálást (keybridge) is, ami eddig csak a Zorp Pro verziókban volt elérhető. A konfigurálás részleteiről az következő dokumentumokban lehet olvasni: http://www.balabit.com/support/documentation/zorp-gateway-v3.3FR1-tutorial-… http://www.balabit.com/support/documentation/zorp-gateway-v3.3FR1-tutorial-… Fontos, bár nem kód szintű változás, hogy a GPL kiadásai a tervek szerint ezentúl rendszeresebben, előre láthatólag 4-5 havonta követik majd egymást. Proxyk tekintetében is várható érdemi bővülés, de ez egyelőre legyen a következő release-ek meglepetése. Üdvözlettel, a Zorp csapat

6 14

zorp 3.3.6 + libzorpll 3.3.0.12 + Debian 6.0 ujra
by Nyika Csaba 11 Mar '11

11 Mar '11

Sziasztok! A fenti felallast szerttem volna kiprobalni - Barina Tamas utan szabadon -, de elakadtam. A csomagokat feltettem, azutan en is belefutottam a python-os hibaba, amit A Kovacs Krisztian altal publikalt patch megoldott. Szoval zorp el is indul a transparent http proxy hasit, de a https-el nem boldogulok. A konfigjaim a kovetkezoek: ip + iptables: ip rule add fwmark 1 lookup 100 ip route add local 0.0.0.0/0 dev lo table 100 iptables -t mangle -N DIVERT iptables -t mangle -A PREROUTING -p tcp -m socket --dport 433 -j DIVERT iptables -t mangle -A PREROUTING -p tcp -m tcp --dport 443 -j TPROXY --on-port 50443 --on-ip 172.16.16.1 --tproxy-mark 0x1/0x1 iptables -t mangle -A DIVERT -j MARK --set-xmark 0x1/0xffffffff iptables -t mangle -A DIVERT -j ACCEPT policy.py from Zorp.Core import * from Zorp.Http import * from Zorp.Pssl import * # defining the intranet zone, we only allow http connection from this zone InetZone("intranet","172.16.16.0/24", outbound_services=["intra_https"], inbound_services=[]) # the internet zone, we do not allow any connection from this zone (coming "out" from this zone, # that's why outbound_services is empty) InetZone("internet","0.0.0.0/0", inbound_services=["*"], outbound_services=[]) class MyHttpsProxy(HttpProxy): def config(self): HttpProxy.config(self) self.ssl.client_verify_type = SSL_VERIFY_NONE self.ssl.client_connection_security = SSL_FORCE_SSL self.ssl.server_connection_security = SSL_FORCE_SSL self.ssl.server_ca_directory = '/etc/zorp/ca.d/' self.ssl.server_ssl_method = SSL_METHOD_ALL self.ssl.server_verify_type = SSL_VERIFY_REQUIRED_UNTRUSTED self.ssl.server_disable_proto_sslv2 = TRUE self.ssl.server_ssl_cipher = SSL_CIPHERS_HIGH self.ssl.client_key_file = '/etc/zorp/https/server.key' self.ssl.client_cert_file = '/etc/zorp/https/server.crt' self.stack_proxy = HttpProxy def zorp_https(): Service("intra_https", proxy_class=MyHttpsProxy, router=TransparentRouter(overrideable = FALSE, forge_addr = TRUE)) Listener(bindto=SockAddrInet("172.16.16.1",50443), service="intra_https", transparent=TRUE, threaded=FALSE, backlog=255) log kimenet: Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.debug(0): (nosession): Starting up; verbose_level='5', version='3.3.6', startup_id='1299657285' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.debug(5): (nosession): Outbound service; zone='intranet', service='intra_http' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.debug(5): (nosession): Outbound service; zone='intranet', service='intra_https' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.debug(5): (nosession): Inbound service; zone='internet', service='*' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.info(4): (nosession): Interface added; if_index='1', if_name='lo', if_flags='73' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.info(4): (nosession): Interface added; if_index='2', if_name='eth0', if_flags='4098' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.info(4): (nosession): Interface added; if_index='3', if_name='eth1', if_flags='4098' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.info(4): (nosession): Interface added; if_index='4', if_name='eth2', if_flags='4098' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.info(4): (nosession): Interface added; if_index='5', if_name='eth3', if_flags='4163' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.info(4): (nosession): Interface added; if_index='6', if_name='eth4', if_flags='4163' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.info(4): (nosession): Address added to interface; if_name='lo', if_addr='127.0.0.1' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.info(4): (nosession): Address added to interface; if_name='eth3', if_addr='10.10.67.1' Mar 9 08:54:45 firewallnew zorp/zorp_https[8165]: core.info(4): (nosession): Address added to interface; if_name='eth4', if_addr='172.16.16.1' Mar 9 08:55:37 firewallnew zorp/zorp_https[8165]: core.info(4): (nosession): Interface info updated; if_index='6', if_name='eth4', if_flags='0x1043', if_group='0x0' Mar 9 08:55:44 firewallnew zorp/zorp_https[8165]: core.accounting(4): (szig/conn:0/stream): accounting info; type='ZStreamFD', duration='0', sent='11', received='37' Mar 9 08:55:44 firewallnew zorp/zorp_https[8165]: core.accounting(4): (szig/conn:0/stream): accounting info; type='ZStreamBuf', duration='0', sent='0', received='0' Mar 9 08:55:44 firewallnew zorp/zorp_https[8165]: core.accounting(4): (szig/conn:0/stream): accounting info; type='ZStreamLine', duration='0', sent='11', received='36' Ha barkinek van valami tippje, megkoszonom! Koszonettel: Nyika Csaba

5 10

Zorp + IPV6
by Barina Tamas 02 Mar '11

02 Mar '11

Sziasztok, a GPL képes az IPV6-ra? Barina Tamás

3 3

Zorp 3.3.6 - port valasztas hostnev alapjan
by Farkas Dániel 02 Mar '11

02 Mar '11

Sziasztok! A multkor mar sikerult beuzemelni a zorpot, aminek nagyon orulok. Most vettem eszre (amikor elesben akartam hasznalni az iranyitasokat), hogy nem megy. Minden a regi config alapjan van, hibat nem dob, debugban sem latok tobbet. Esetleg valtozhatott valami a kifejezesekben, vagy valamit elirtam? Mindenkepp a belso 127.0.0.1:50080-as cimre iranyitja a kereseket, nem veszi figyelembe a hostnevenkent megadott tobbi portot. Koszi! D. ################ CONFIG : ##################### from Zorp.Core import * from Zorp.Plug import * from Zorp.Http import * from Zorp.Ftp import * Zorp.firewall_name = 'zorp@moya' InetZone("site-net", "x.y.x.y/24", # list of allowed outbound services, '*' matches anything #outbound_services=["intra_http", "intra_ftp", "intra_cvs"], outbound_services=["intra_http"], # list of allowed inbound services, '*' matches anything inbound_services=["intra_http"]) InetZone("local", "127.0.0.0/8", inbound_services=["*"], outbound_services=["*"]) InetZone("internet", "0.0.0.0/0", inbound_services=["intra_http"], outbound_services=["intra_http"]) # # Let's define a transparent http proxy, which rewrites the user_agent # header to something different. # class IntraHttp(HttpProxy): def config(self): HttpProxy.config(self) self.transparent_mode = TRUE self.request_timeout = 1800000 self.request_header["Host"] = (HTTP_HDR_POLICY, self.TargetByHostHeader) self.request["GET"] = (HTTP_REQ_POLICY, self.filterURL) self.request["POST"] = (HTTP_REQ_POLICY, self.filterURL) def filterURL(self, method, url, version): self.setRequestHeader("X_HOST", self.session.client_address.ip_s) log("http.info", 3, "%s: GET: %s" % (self.session.session_id, url)) return HTTP_REQ_ACCEPT def filterHost (self, hdr_name, hdr_value): return HTTP_HDR_ACCEPT def TargetByHostHeader(self, name, value): if(value == "domain1.hu" or value == "www.domain1.hu" or value == "www2.domain2.hu" ): self.session.server_address = SockAddrInet("127.0.0.1" ,50083) # APACHE 3 return HTTP_HDR_ACCEPT elif(value == 'domain3.hu' or value == 'domain4.hu' ): self.session.server_address = SockAddrInet("127.0.0.1" ,50081) return HTTP_HDR_ACCEPT else: self.session.server_address = SockAddrInet("127.0.0.1" ,50080) return HTTP_HDR_ACCEPT # zorp_http instance def zorp_http(): # create services Service("intra_http", IntraHttp, router=DirectedRouter(SockAddrInet("127.0.0.1", 50080))) Listener(SockAddrInet("x.y.x.y", 80), "intra_http")

6 18

Zorp 3.3.6 + debian 6.0 indítási hiba
by Farkas Dániel 15 Feb '11

15 Feb '11

Sziasztok! Teljesen új telepítés (nem dist-upgrade-es) debian squeeze-en ezt kapom, a gyári zorp 3.3.6 indításánál. Már gugliztam is sokat, de csak nem sikerült kitalálnom mi a baja. Kernel is normál: 2.6.32-5-amd64 Starting Zorp Firewall Suite: AttributeError: 'module' object has no attribute 'deinit' AttributeError: 'module' object has no attribute 'purge' zorp_http! The following errors occurred so far: Zorp instance startup failed, instance='zorp_http', rc='512' Mi lehet, ami hiányzik? Ezek vannak fent: ii libzorp0 3.3.6-1.1 The runtime library of Zorp ii libzorpll3.3-0 3.3.0.12-4 Low level library functions for Zorp ii zorp 3.3.6-1.1 An advanced protocol analyzing firewall ii zorp-modules 3.3.6-1.1 Default proxy modules for Zorp Köszi!

7 16

zonák beállítása
by János Turi 26 Jan '11

26 Jan '11

sziasztok! olyan kérdésem lenne, hogy hogyan tudom beállítani azt, hogy a zonák közti átjárás ne legyen. illetve hogyan érdemes létrehozni a zónákat? mire kellene figyelnem? aki tud ebben segíteni az kérem írjon rám. köszönöm segítségetek: jani

7 17

Forge addr
by Barina Tamas 28 Sep '10

28 Sep '10

Sziasztok, telepítettem egy legfrissebb Lenny-t . Kernel verzió: 2.6.32-bpo.4-686-bigmem Modulban benne a Tproxy: xt_TPROXY 977 0 nf_defrag_ipv4 779 2 nf_conntrack_ipv4,xt_TPROXY x_tables 8327 8 xt_multiport,ipt_LOG,xt_limit,xt_tcpudp,xt_state,iptable_nat,ip_tables,xt_TP ROXY nf_tproxy_core 1189 1 xt_TPROXY,[permanent] Iptables verzió: 1.4.2 A zorp a külső ip címen figyel és feladata lenne a kérést beküldeni a dmz-ben lévő gépre: Service("munin_web", Munin, router=DirectedRouter(dest_addr=SockAddrInet("192.168.1.111", 4949), overrideable=FALSE, forge_addr=TRUE)) Ekkor ezt kapom: bind() failed; error='Cannot assign requested address' Ha nincs benne a forge address (igy hivom meg): Service("munin_web", Munin, router=DirectedRouter(dest_addr=SockAddrInet("192.168.1.211", 4949))) Akkor működik. Mit hagytam ki? Köszönöm, Barina Tamás

3 17

Portok ki es beengedese lezárás
by Kzoli 24 Sep '10

24 Sep '10

Sziasztok! Köszönöm mindenkinek a segítségét, Czoh András távmenedzsmenttel rámutatott a hibára: a service fülön kellett egy új szolgáltatást elindítani, én meg egy régi szolgáltatásra akartam rátukmálni mindenképpen a 8080-as portot. Az én verziómat nem akarta legenerálni a /etc/zorp/policy.py állományba, András verzióját azonnal legenerálta, és működött. Andrásnak is köszönöm a távsegítséget, és Péternek, hogy átnézte a konfigokat, és javasolta a megoldást. Üdvözlettel, Kzoli mailto:kovats.zoltan@adu-csepel.hu

1 0