Hi! Beszúrva válaszolok, és aránylag keveset törlök, hogy minden egyértelmű legyen. Elnézést azoktól akiknek kicsi a sávszélességük. A levelezőm azt hiszi, hogy Kosa Attila a következőeket írta: []

# Definialom az intranet zonat (192.168.0.0/255.255.255.0), # es a belulrol a DMZ-be engedni kivant szolgaltatasokat. # Egyelore http, ftp, ssh, pop3 es smtp kellene. Az # smtp-vel kapcsolatban: felteszek egy csak tovabbito # modban mukodo smtp-szervert a tuzfalra - ekkor kell-e # valamilyen Zorp service-t vagy ipchains szabalyt definialnom?

Ha az smtp-t natív módban nyomod, akkor Zorp szolgáltatást nyilván nem kell definiálni hozzá. A mailhubok és a dns (MX) konfigurációjától, meg a csomagszűrési stílusodtól függ az hogy kell-e külön csomagszűrő szabály. Lássunk néhány példát: 1. smtp natív proxyval, a csomagszűrési stílus az hogy az interface-re közvetlenül jövő tcp kapcsolatokat acceptáljuk, az MX-ek a tűzfalra mutatnak, az intranetes mailhub(ok) a tűzfal felé route-olja a leveleket: Nem kell további csomagszűrő szabály. 2. smtp natív proxy, a csomagszűrési stílus az hogy az interface-re közvetlenül jövő tcp kapcsolatokat nem acceptáljuk, az MX-ek a tűzfalra mutatnak, az intranetes mailhub(ok) a tűzfal felé route-olja a leveleket: Egy ACCEPT szabály kell. 3. Két tűzfal HA megoldásban, a csomagszűrési stílus az hogy az interface-en beeső és a tűzfal másik oldalára menő kapcsolatokat deny-oljuk, és egyenként adunk neki redirect-et, a külső MX egy a tűzfalon "belül" lévő, internetről route-olható címre mutat (dmz), a belső mailhub(ok) MX alapján deliverálnak: Mindkét oldalon redirect szabály kell. Az ne zavarjon hogy a külső MX-ben szereplő címen nem is figyel MTA, mert mindkét irányt a tűzfalon futő natív proxy fogja továbbítani. Csak neki kell megmagyarázni, hogy a bejövő leveleket igaziból hová kell továbbítani. Ennek a megoldásnak az az előnye, hogy mindig az elsődleges tűzfal fogja kezelni a leveleket.

Zorp.zones= [ Zone.InetZone("intranet","192.168.0.0","255.255.255.0", None, outbound_services["BDHttp","BDFtp","BDSsh","BDPop"], inbound_services[]),

# Definialom a DMZ zonat (192.168.1.0/255.255.255.0), # es a belso halozatra iranyulo szolgaltatasokat. Zone.InetZone("DMZ", "192.168.1.0", "255.255.255.0", None, outbound_services[], inbound_services["BDHttp","BDFtp","BDSsh","BDPop"]) ]

# A belso halorol a DMZ fele iranyulo http keresek # iranyitasara szolgal.

# Ha azt szeretnem, hogy csak a belso proxy-szerveren # keresztul erhessek el a DMZ-t is, akkor fel kell # venni egy zonat a proxy-szervernek, es csak onnan # engedelyezni a szolgaltatast. Peldaul: # Zone.InetZone("proxy","192.168.0.210","255.255.255.0",None, # outbound_services["PDHttp","PDFtp"], # inbound_services[])] # Ekkor a "DMZ inbound_services"-be fel kell venni a # "PDHttp"-t es a "PDFtp"-t, valamint ki kell venni a # "BDHttp"-t es a "BDFtp"-t a DMZ-bol es az intranetbol is. # Ha "transparent_mode = 1" (ebben az esetben), akkor a # belso-proxyn nem kell beallitanom semmit. Ha viszont 0, # akkor be kell allitani, hogy o a gyermek-proxy, es a # tuzfal a szulo-proxy.

# Ha transzparens, akkor kell egy redirect ipchains # szabaly hozza. class BDHttp(Http.HttpProxy): def config(self): self.transparent_mode = 1

# A belso halorol a DMZ fele iranyulo ftp keresek # iranyitasara szolgal. # A command_accept-ben megadott ftp parancsokat tudja # hasznalni a kliens. A NAT = 1 azt jelenti, hogy # maszkolom a kereseket.

Pontosan azt jelenti hogy a kliens által kiadott PORT parancs paramétereit értelmesre átírja a proxy.

# Ha azt szeretnem, hogy csak a belso proxy-szerveren # keresztul erhessek el a DMZ-t is, akkor fel kell # venni egy zonat a proxy-szervernek, es csak onnan # engedelyezni a szolgaltatast. A fenti peldahoz tartozo # classok ugyanazok, mint a "BDFtp" es a "BDHttp", csak # a nevuk valtozik meg? Illetve a "def"-juk is ugyanaz, # ott is csak a nevuket kell megvaltoztatni?

Akár a nevük is lehet ugyanaz; ugyanaz a viselkedése a proxynak, a hozzáférésvezérlés a zónánál van definiálva. Ez stílus kérdése.

# # Az external_data_address a tuzfal DMZ feloli laba, az # internal_data_address pedig a tuzfal belso halozat # feloli laba. class BDFtp(Ftp.FtpProxy): def config(self): self.command_accept = 0x00000000 self.NAT = 1 self.fw_external_data_address="192.168.1.1" self.fw_internal_data_address="192.168.0.250"

# A belso halorol a DMZ fele iranyulo ssh keresek # iranyitasara szolgal. class BDSsh(Plug.PlugProxy): def config(self): pass

# A belso halorol a DMZ fele iranyulo pop3 keresek # iranyitasara szolgal. class BDPop(Plug.PlugProxy): def config(self): pass

# Szolgaltatasok definicioi. def init(name): BDPop_service = \ Service.Service("BDpop", # Ha transzparensnek allitom be a pop3 service-t, akkor a # klienseknek a tuzfalat kell megadnom pop3 szerverkent?

Nem, a valódi pop3 szervert. Ha azt akarod hogy ne is tudják hol van igaziból, vagy nem route-olható helyen van, akkor DirectedChainert használj.

# A transzparensseg miatt kell ipchains redirect?

Biza.

# A "None,0" azt jelenti, hogy ne irja at a kliens cimet? Chainer.TransparentChainer(None,0), BDPop)

BDHttp_service = \ Service.Service("BDHttp", # Ha nem transzparens http-t szeretnek, akkor InbandChainer-t # kell hasznalnom? A "None,1" azt jelenti, hogy nem adunk meg

igen.

# cimet, es a kliens eredeti cime latszodjon?

igen.

# A transzparensseg miatt kell ipchains redirect?

Biza.

Chainer.TransparentChainer(None,1), BDHttp)

BDFtp_service = \ Service.Service("BDFtp", # Ha nem transzparens ftp-t szeretnek, akkor InbandChainer-t # kell hasznalnom? A "None,1" azt jelenti, hogy nem adunk meg # cimet, es a kliens eredeti cime latszodjon? # A transzparensseg miatt kell ipchains redirect? Chainer.TransparentChainer(None,1), BDFtp)

BDSsh_service = \ Service.Service("BDSsh", # A transzparensseg miatt kell ipchains redirect? A "None,1" # azt jelenti, hogy nem adunk meg cimet, es a kliens eredeti # cime latszodjon?

(igen,igen)

Chainer.TransparentChainer(None,1), BDSsh)

# A 192.168.0.250 a tuzfal belso halo fele eso laba, de miert # ezek a portszamok vannak megadva? Ide irhatok nekem tetszo

Csak úgy:)

# portszamokat is, csak az ipchains redirect-et kell ezekre # beallitanom?

Igen.

Listener.Listen( SockAddr.SockAddrInet("192.168.0.250",2110), BDPop_service) Listener.Listen( SockAddr.SockAddrInet("192.168.0.250",3080), BDHttp_service) Listener.Listen( SockAddr.SockAddrInet("192.168.0.250",3021), BDFtp_service) Listener.Listen( SockAddr.SockAddrInet("192.168.0.250",3022), BDSsh_service)

-- GNU GPL: csak tiszta forrásból