- zorp-hu - lists.balabit.hu

Re: [zorp-hu] portok be és kiengedése
by Kzoli 23 Sep '10

23 Sep '10

Sziasztok! Mivel, nem kaptam visszajelzést, lehet hogy a levelemet a csatolmányokkal nem fogadta a levlista. Így most elküldöm csatolmányok nélkül. A következőket tettem: A Zorp modulban van egy intra instance-ünk, amelyben többek között van egy intra_HTTPS_inter szolgáltatás, amelyik a belső hálózat 443-as portján figyel. Ezt kiegészítettem azzal, hogy figyeljen a 8080-as porton is, és küldje tovább a Tproxy 58080 -as portjára a csomagot. A csomagszűrőben beállítottam, hogy ha a belső lábról 8080 portról érkezik csomag, az kerüljön a Tproxyhoz. Ezt a Tproxy tábla Prerouting szekciójában állítottam be. Uploaddal feltöltöttem a szerverre, restarttal újraindítottam a szolgáltatást. És a 8080-as portot továbbra is lenyeli. tcpdumppal ráhallgatva a belső lábra, néhány csomag látszik, amíg felépül a kapcsolat, azután megszakad. A /var/log/syslogban nem látszik semmi ebből, és a /var/log/messages-ben sem jelenik meg a 8080-as porttal kapcsolatban semmi. A /etc/zorp/policy.py - ban nem jelennek meg a változtatások. Ennek az állománynak a dátuma 2009 novemberi keltezésű. Nem ebbe kellene a ZMS-nek generálni a beállításokat? Kzoli mailto:kovats.zoltan@adu-csepel.hu

5 7

Portok ki és beengedése
by Kzoli 17 Sep '10

17 Sep '10

Sziasztok! 2003 tól használjuk a ZORP-ot, 2003 - tól 2007 - ig volt fizetett támogatásunk, azután iskolánk már nem tudta fizetni a support díjat. A support alatt a szükséges beállításokat a Balabit szakemberei végezték. Most az alábbi portok átengedésére lenne szükség, de valamit valószínűleg kihagyok, ezért továbbra sem engedi át a Zorp: 8080 TCP port kifelé az Internet felé. FTP port kifelé TCP 10001 port befelé UDP 30718 port befelé UDP 43282 port befelé UDP 43283 port befelé Van ZMS és ZMC modulunk is, azt használom. Zorp konfig állományokat közvetlenül még még nem változtattam. A futó Zorp jelenleg az alábbi: Zorp 3.0.14d Revision: devel(a)balabit.hu--zorp-1/zorp-core--mainline--3.0--patch-480 Compile-Date: Nov 6 2007 12:01:32 Config-Date: 2007/11/06 Trace: off Debug: off IPOptions: off IPFilter-Tproxy: off Netfilter-Tproxy: on Netfilter-Linux22-Fallback: on Linux22-Tproxy: off Conntrack: on Zorplib 3.0.6.9 Revision: devel(a)balabit.hu--zorp-1/zorp-lib--mainline--3.0--patch-145 Compile-Date: Jan 18 2007 17:28:18 Trace: off MemTrace: off Caps: on Debug: off StackDump: on Tudnátok- e segíteni a beállítások menetében, és hogyanjában Köszönettel: Kováts Zoli Üdvözlettel, Kzoli mailto:kovats.zoltan@adu-csepel.hu

2 1

tproxy - iptables - zorp
by Gabor E. Tusnady 11 Jan '10

11 Jan '10

Kedves Lista! Az augusztusi Zsiga problema, nalam nem akar megoldodni: Telepitettem egy ubuntu 8.04.3 LTS-t, megfoltoztam a kernelt es az iptables-t, hasznalom az ubuntu sajat zorp csomagjat: >uname -a Linux ujfal 2.6.24-24-386 #1 Fri Sep 18 09:10:11 CDT 2009 i686 GNU/Linux >iptables -V iptables v1.4.0 >zorpctl version Zorp 3.0.8 Revision: Compile-Date: Mar 21 2007 22:51:55 Config-Date: 2007/03/21 Trace: off Debug: off IPOptions: off IPFilter-Tproxy: off Netfilter-Tproxy: on Netfilter-Linux22-Fallback: on Linux22-Tproxy: off Conntrack: on Zorplib 3.0.6.4.2 Revision: devel(a)balabit.hu--zorp-1/zorp-lib--mainline--3.0--patch-116 Compile-Date: Jun 21 2006 01:01:55 Trace: off MemTrace: off Caps: on Debug: off StackDump: on A README-kben talalhato egyszeru test rendszert szeretnem megvalositani: >cat policy.py from Zorp.Core import * from Zorp.Http import * Zorp.firewall_name = 'z' InetZone("inter", "0.0.0.0/0", inbound_services=["io_http"], outbound_services=[]) InetZone("intra", "172.16.0.0/16", inbound_services=[], outbound_services=["io_http"]) class MyHttpProxy(HttpProxy): def config(self): HttpProxy.config(self) self.transparent_mode = 1 log("http",2,"S: %s C: %s" % (self.session.server_address.ip_s, self.session.client_address.ip_s)) def i2o_http(): Service("io_http", MyHttpProxy, InbandRouter()) Listener(SockAddrInet("a.b.c.d", 50080), "io_http", transparent=TRUE) >cat iptables.conf *mangle :PREROUTING ACCEPT [0:0] :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] :POSTROUTING ACCEPT [0:0] :DIVERT - [0:0] -A PREROUTING -p tcp -m socket -j DIVERT -A PREROUTING -j LOG --log-prefix "TPROXY: " -A PREROUTING -p tcp -m tcp --dport 80 -j TPROXY --on-port 50080 --on-ip a.b.c.d --tproxy-mark 0x1/0x1 -A DIVERT -j LOG --log-prefix "DIVERT: " -A DIVERT -j MARK --set-mark 0x1 -A DIVERT -j ACCEPT COMMIT *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] -A INPUT -j LOG --log-prefix "INPUT: " COMMIT a.b.c.d a tuzfal intranet feloli ip cime. >ip rule list 0: from all lookup local 32765: from all fwmark 0x1/0x1 lookup 100 32766: from all lookup main 32767: from all lookup default elinditottam a zorpot: >strace -o log -f zorpctl start i2o_http a log socket resze: >grep setso log 4492 setsockopt(14, SOL_SOCKET, SO_REUSEADDR, [1], 4) = 0 a zorp figyel az 50080-as porton: >netstat -a | grep 50080 tcp 0 0 a.b.c.d:50080 *:* LISTEN elinditok egy kapcsolatot a kliensen a 80-as porton: client>telnet x.y.z.w 80 cliensen a tcpdump: client>tcpdump -i eth0 -vvv -t port 80 tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes IP (tos 0x10, ttl 64, id 57778, offset 0, flags [DF], proto TCP (6), length 60) e.f.g.h.49665 > x.y.z.w.http: S, cksum 0x2baa (correct), 886293896:886293896(0) win 5840 <mss 1460,sackOK,timestamp 3089466 0,nop,wscale 6> IP (tos 0x10, ttl 64, id 57779, offset 0, flags [DF], proto TCP (6), length 60) e.f.g.h.49665 > x.y.z.w.http: S, cksum 0x1ff2 (correct), 886293896:886293896(0) win 5840 <mss 1460,sackOK,timestamp 3092466 0,nop,wscale 6> IP (tos 0x10, ttl 64, id 57780, offset 0, flags [DF], proto TCP (6), length 60) e.f.g.h.49665 > x.y.z.w.http: S, cksum 0x0882 (correct), 886293896:886293896(0) win 5840 <mss 1460,sackOK,timestamp 3098466 0,nop,wscale 6> a serveren pedig ezt latom: server>grep 'DPT=80' /var/log/messages Sep 30 04:37:26 fal kernel: [ 4034.309881] TPROXY: IN=eth1 OUT= MAC=00:1f:c6:2f:66:03:00:1d:72:13:9f:46:08:00 SRC=e.f.g.h DST=x.y.z.w LEN=60 TOS=0x10 PREC=0x00 TTL=64 ID=57778 DF PROTO=TCP SPT=49665 DPT=80 WINDOW=5840 RES=0x00 SYN URGP=0 Sep 30 04:37:29 fal kernel: [ 4037.305958] TPROXY: IN=eth1 OUT= MAC=00:1f:c6:2f:66:03:00:1d:72:13:9f:46:08:00 SRC=e.f.g.h DST=x.y.z.w LEN=60 TOS=0x10 PREC=0x00 TTL=64 ID=57779 DF PROTO=TCP SPT=49665 DPT=80 WINDOW=5840 RES=0x00 SYN URGP=0 Sep 30 04:37:35 fal kernel: [ 4043.300099] TPROXY: IN=eth1 OUT= MAC=00:1f:c6:2f:66:03:00:1d:72:13:9f:46:08:00 SRC=e.f.g.h DST=x.y.z.w LEN=60 TOS=0x10 PREC=0x00 TTL=64 ID=57780 DF PROTO=TCP SPT=49665 DPT=80 WINDOW=5840 RES=0x00 SYN URGP=0 (e.f.g.h a client ip cime, az x.y.z.w a cel gep ip cime) azaz ugyanaz a bajom, mint Bazsinak, a zorp nem kapja meg a csomagokat, de nalam az --on-ip kapcsolo nem oldja meg a problemat. lehet, hogy a verziok nem felcserelhetok, de ezzel kapcsolatban nem talalok semmi infot (sajnos a zorp-gpl kicsit elhanyagolt, pl: Zorp Tutorial Version 1.0.4 22th April, 2005, http://www.balabit.hu/network-security/gpl/tutorial/) mit neztem el, mit kell valtoztatnom, hogy a csomagok megerkezzenek a zorp-hoz? Minden segitseget elore is koszonok, tusi

4 6

Upgrade hiba
by Kurucz Péter 22 Sep '09

22 Sep '09

Sziasztok! Új vagyok a listán, üdvözlök Mindenkit! Egy zms-t szeretnék upgrade-elni, de az alábbi hibá(ka)t kapom: Reading Package Lists... Done Building Dependency Tree... Done 0 upgraded, 0 newly installed, 0 to remove and 0 not upgraded. 1 not fully installed or removed. Need to get 0B of archives. After unpacking 0B of additional disk space will be used. Do you want to continue? [Y/n] y Setting up kernel-image-2.6.17-zorpos-3-686-smp (3.11) ... Running depmod. update-initramfs: Generating /boot/initrd.img-2.6.17-zorpos-3-686-smp mdadm: /dev/hda1 does not appear to be an md device readlink: invalid option -- m Try `readlink --help' for more information. readlink: invalid option -- m Try `readlink --help' for more information. Failed to symbolic-link initrd.img-2.6.17-zorpos-3-686-smp to initrd.img. dpkg: error processing kernel-image-2.6.17-zorpos-3-686-smp (--configure): subprocess post-installation script returned error exit status 17 Errors were encountered while processing: kernel-image-2.6.17-zorpos-3-686-smp E: Sub-process /usr/bin/dpkg returned an error code (1) Update volt természetesen, apt-get clean, autoclean-t próbáltam. Gyanítom ez inkább linux probléma, mint zorp, de a linux tudásom igencsak korlátozott. Ha tudtok segítsetek. Köszönöm: Peti

2 2

nem transzparens proxy
by Kosa Attila 26 Aug '09

26 Aug '09

Hello! Szeretnek csinalni egy nem transzparens proxyt. Az egyetlen kerdesem az elozo problemam (resz)megoldasaval kapcsolatos, megpedig azzal, hogy a Listener-nel meg kellett adni a transparent=TRUE opciot ahhoz, hogy beallitodjon a megfelelo socket opcio. Most viszont pont a transparent=FALSE opciot kellene beallitanom a szamomra kivanatos mukodeshez. Szoval a kerdesem az, hogy hogyan kell ebben az esetben megoldani a dolgot. -- Udvozlettel Zsiga

2 2

tproxy 4.1.0 + iptables szabalyok + zorp 3.1
by Kosa Attila 05 Aug '09

05 Aug '09

Hello! Valaki meg tudna szanni, es megmondana, hogy melyik doksit kellene elolvasnom ahhoz, hogy legalabb nyomokban megprobalhassam megerteni az uj mukodest? A tproxy.txt fajlt hiaba olvasom, nem igazan ertem hogyan is kellene mukodnie... Ezt meg ertem is... # ip rule add fwmark 1 lookup 100 De ezt mar nem annyira. Miert 0.0.0.0/0 es miert "lo"? # ip route add local 0.0.0.0/0 dev lo table 100 Ez csak siman letrehozza a DIVERT chain-t. # iptables -t mangle -N DIVERT Ez beletolja a tcp forgalmat a DIVERT chain-be. # iptables -t mangle -A PREROUTING -p tcp -m socket -j DIVERT Ez megjeloli a DIVERT chain forgalmat. De miert van ketto is belole a doksiban? # iptables -t mangle -A DIVERT -j MARK --set-xmark 0x1/0xffffffff # iptables -t mangle -A DIVERT -j MARK --set-mark 1 Ez csak engedelyezi a DIVERT forgalmat. # iptables -t mangle -A DIVERT -j ACCEPT Ez a 80-as portra tarto forgalmat feltolja az 50080-as portra. # iptables -t mangle -A PREROUTING -p tcp --dport 80 -j TPROXY \ --tproxy-mark 0x1/0x1 --on-port 50080 Amit nem ertek: - Ebbol hogyan derul ki, hogy melyik interfeszre kell bind-olni a zorp-ot? - Hogyan jut el a forgalom a zorp-hoz? Ugyanis a fentieket megcsinalva nem kerul fel... - Ha kettonel tobb halokartyam van, akkor regebben tobb interfeszre is bindolhattam ugyanazon portra (eth0 - 50080, eth1 - 50080 stb.) Ezt most hogy tudom elkovetni? -- Udvozlettel Zsiga

3 10

2.6.30 tproxy
by Kosa Attila 28 Jul '09

28 Jul '09

Hello! Felraktam a sid-bol a 2.6.30-1-686 kernelt. Probaltam a Documentation/networking/tproxy.txt alapjan kiadni a parancsokat, de nem mukodnek. # iptables -t mangle -A PREROUTING -p tcp -m socket -j DIVERT iptables v1.4.2: Couldn't load match `socket':/lib/xtables/libipt_socket.so: cannot open shared object file: No such file or directory Try `iptables -h' or 'iptables --help' for more information. # iptables -t mangle -A PREROUTING -p tcp --dport 80 -j TPROXY --tproxy-mark 0x1/0x1 --on-port 50080 iptables v1.4.2: Unknown arg `(null)' Try `iptables -h' or 'iptables --help' for more information. Akkor most hogy is? -- Udvozlettel Zsiga

2 2

Lenny-s zorp es tproxy
by Kosa Attila 27 Jul '09

27 Jul '09

Hello! A Lenny-ben levo gpl-es zorphoz melyik tproxy patch-et kell (es lehet) ratenni a Lenny-ben levo kernelre, hogy mukodjon? -- Udvozlettel Zsiga

1 0

HTTP POST response_stack modositas request_stack analizalas utan, AnyPy proxy-val
by Viktor Tuska 26 Jun '09

26 Jun '09

Udv, lehetseges valahogyan HTTP POST metodus-nal response_stack AnyPy tipusu proxy-nak adatokat atadni a request_stack analizalasa utan? Mas szoval: a POST-ban erkezo kerestol fuggoen kellene valaszt generalnom a kliensnek. A POST-ban erkezo adat elore nem meghatarozhato, barmi lehet. A gondom (ha jol latom,) hogy a request_stack altal a self.session-t irva, a response_stack mar nem "latja" a self.session-on elvegzett modositasokat. https://lists.balabit.hu/pipermail/zorp/2008-July/000453.html Itt taltam erre vonatkozo tippet: " ... Now as I think of it, there's another possibility, which is somewhat simpler. The HTTP proxy is capable of reading the entire POST data before connecting to the server at all and storing it in a blob (more about blobs later). In this case the entire request together with the POST payload is fetched into memory, and after filtering it is sent to the server. This code path is activated if you set "self.rerequest_attempts" to something greater than zero. So if you set rerequest_attempts, your stacked proxy will start earlier than the server side connection is established. ... " Probalgattam ezt a sefl.rerequest_attempts=1-re allitani, de nem sok sikert ertem el vele. Ilyenkor mar bele sem fut a feldolgozas az altalam beallitott response_stack proxy-ba. Zorp version: Zorp 3.3.4 Revision: ssh+git://sasa@git.balabit//var/scm/git/zorp/zorp-core--mainline--3.3#master#881e162e4536a0ca69645482a9c4176b833238c7 Compile-Date: Jun 4 2009 14:17:43 Config-Date: 2009/06/04 Trace: off Debug: off IPOptions: off IPFilter-Tproxy: off Netfilter-Tproxy: on Linux22-Tproxy: off libzorpll 3.3.0.9 Revision: devel(a)balabit.hu--zorp-1/zorp-lib--mainline--3.3--patch-70 Compile-Date: May 27 2009 10:43:44 Trace: off MemTrace: off Caps: on Debug: off StackDump: off libzmisc 3.3.0.4 Revision: ssh+git://sasa@git.balabit//var/scm/git/zorp/libzmisc--mainline--3.3#master#5198413a1eb47ea3a292322c27a63b1a4d6dd3c8 Compile-Date: May 27 2009 10:45:14 Trace: on Debug: on Koszontem, Viktor

2 6

zorp GPL nem indul
by Szilárd Szabó 29 May '09

29 May '09

Üdv zorpal szenvedek telepítettem debian 5_32bit a zorpot, csomagból. probléma: bármilyen minta szkriptet, policyt akarok indítani, nem indul a köv hibaüzenetekke. simple[9688]: (noname/nosession): Starting up; verbose_level='3', version='3.0.8' simple[9688]: (noname/nosession): Error parsing policy file; filename='/etc/zorp/policy/zorp.policy' simple[9688]: (noname/nosession): Error booting & parsing policy; simple[9688]: (noname/nosession): Error loading initial policy, exiting; simple[9688]: (Log thread): File "/etc/zorp/policy/zorp.policy", line 10#012 simple[9688]: (Log thread): InetZone("internet", "81.182.192.68/24",#012 simple[9688]: (Log thread): ^#012 simple[9688]: (Log thread): SyntaxError: invalid syntax#012 simple[9688]: Shutting down; version='3.0.8' zorpctl[9687]: Zorp exited immediately with non-zero exit status after starting up, exiting... minta policy: from Zorp.Core import * from Zorp.Http import * Zorp.firewall_name = 'zorp(a)example.net' InetZone("site-net", "192.168.10.0/24", outbound_services=["intra_http"], inbound_services=[]) InetZone("internet", "81.182.192.68/24", inbound_services=["*"], outbound_services=[]) def simple(): Service("intra_http", HttpProxy) Listener(SockAddrInet("192.168.1.1", 50080), "intra_http") instance.conf simple --policy /etc/zorp/policy/zorp.policy # # This file is sourced by zorpctl and contains default settings # for various parameters. # # $Id: zorpctl.conf,v 1.5 2004/05/07 17:59:20 bazsi Exp $ # # specifies whether --auto-restart is default AUTO_RESTART=1 # if zorp returns within this amount of time (specified as number of # seconds) it is taken as a bad restart AUTO_RESTART_TIME_THRESHOLD=60 # when the number of bad restarts reaches this number, zorp will not # automatically be restarted again, and a log message is printed to the # system log AUTO_RESTART_MAX_COUNT=3 # the number of seconds to wait before a restart is attempted AUTO_RESTART_DELAY=3 # The interval (in seconds) to check a stopping Zorp instance at. STOP_CHECK_DELAY=1 # The number of seconds to wait for a stopping Zorp instance STOP_CHECK_TIMEOUT=3 # the number of seconds to wait for Zorp startup in auto-restart mode, it is # assumed that if Zorp does not exit within this interval it is assumed to # have started up correctly. START_CHECK_TIMEOUT=3 # in no-auto-restart mode it is possible to derive whether Zorp successfully # started up or not, but do not wait for a single instance more than this interval. START_WAIT_TIMEOUT=60 # The minimal process limit PROCESS_LIMIT_MIN=256 # The extra processes to allocate limit for. PROCESS_LIMIT_RESERVE=64 # the value to be multiplied by the maximum number of threads to get the # fd limit value FD_LIMIT_THRESHOLD=64 # the minimal fd limit FD_LIMIT_MIN=1024 # automatically append this string to each Zorp command line, this was # renamed in Zorp 3.0.3, but the original APPEND_ARGS option still works. ZORP_APPEND_ARGS="" # arguments appended to the zorpctl instance specific options, such as # --enable-core ZORPCTL_APPEND_ARGS="" # whether to check /etc/zorp permissions CHECK_PERMS="1" CONFIG_DIR=/etc/zorp CONFIG_DIR_OWNER=root CONFIG_DIR_GROUP=zorp CONFIG_DIR_MODE=0750 # directory where Zorp stores its pidfiles PIDFILE_DIR=/var/run/zorp # set pidfile directory ownership according to the settings below (umask is # applied) PIDFILE_DIR_OWNER=root PIDFILE_DIR_GROUP=root PIDFILE_DIR_MODE=700 ameddig eljutottam: https://lists.balabit.hu/pipermail/zorp-hu/2007-February/002233.html import ExtensionClass -re nekem hibát dob: Python 2.5.2 (r252:60911, Jan 4 2009, 17:40:26) [GCC 4.3.2] on linux2 Type "help", "copyright", "credits" or "license" for more information. >>> import ExtensionClass Traceback (most recent call last): File "", line 1, in ImportError: No module named ExtensionClass >>> apt-get install python-extlass telepítve. valami ötlet? amúgy teljesen mindegy milyen minta scriptel próbálkozom, hibaüzenet ugyan az, csak a változók változnak. fájl elérési hely, annak tartalma. talán valamilyen osztály nem hívódik meg? zorp 3.0.8 verzió, python 2.5.2 találkozott már valaki ilyennel? _______________________________

3 3