forum.opennet.ru


Форум Информационная безопасность

IPFW Nat ipv6,

Алия, (BSD ipfw, ipf, ip-filter / FreeBSD) 18-Окт-17, 08:56 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Ребят, такой вопрос: поддерживает ли ipfw nat - ipv6 адреса, если да, то можно какие нибудь примеры правил конфигурирования. Только нужен именно ipfw nat. Спасибо заранее.

Ответить | Сообщить модератору

в мане nat64lsn https www freebsd org cgi man cgi ipfw 8 Примерcat etc ipfw, an (??), 09:32 , 18-Окт-17 (1)
> Ребят, такой вопрос: поддерживает ли ipfw nat - ipv6 адреса, если да,
> то можно какие нибудь примеры правил конфигурирования. Только нужен именно ipfw
> nat. Спасибо заранее.
в мане nat64lsn https://www.freebsd.org/cgi/man.cgi?ipfw(8)
Пример
cat > /etc/ipfw.script <<'EOF'
#!/bin/sh
fwcmd="/sbin/ipfw"
kldstat -q -m ipfw_nat64 || kldload ipfw_nat64
${fwcmd} -f flush
${fwcmd} nat64lsn NAT64 create prefix4 10.0.64.0/24
${fwcmd} add allow icmp6 from any to any icmp6types 135,136
${fwcmd} add nat64lsn NAT64 ip from 2001:db8:12::/64 to 64:ff9b::/96 in
${fwcmd} add nat64lsn NAT64 ip from any to 10.0.64.0/24 in
${fwcmd} add allow log ip from any to any
'EOF'
сообщить модератору +/– ответить

2 NAT'a и 2 сетевых карты на linux,

forella, (Linux iptables, ipchains / Linux) 05-Окт-17, 21:22 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

имеется сеть: uplink1 микротик, uplink2 микротик, линукс роутер(интернет шлюз)
микротик1: подсеть реальных ip.
роутер: 1 реальный ip из подсети микротика1 и nat.
роутер имеет, к примеру, подсети серых ip: 192.168.1.1/24, 192.168.2.1/24, 192.168.3.1/24, 192.168.4.1/24.
микротик2 со своим uplink'om, и своею подсетью реальных ip.
задача: пустить с линукса подсети 192.168.1.1 и 192.168.2.1 на микротик 1
подсети 192.168.3.1, 192.168.4.1 на микротик 2.
более наглядная схема по ссылке: http://images.vfl.ru/ii/1507227023/7c5fb300/18874900.png
Возможна ли реализация такой схемы и как она будет выглядеть теоритически и практически?

Ответить | Сообщить модератору

gt оверквотинг удален Давненько у нас на опенете не https duckduckgo com , Andrey Mitrofanov (?), 22:33 , 05-Окт-17 (1) +1
>[оверквотинг удален]
> микротик1: подсеть реальных ip.
> роутер: 1 реальный ip из подсети микротика1 и nat.
> роутер имеет, к примеру, подсети серых ip: 192.168.1.1/24, 192.168.2.1/24, 192.168.3.1/24,
> 192.168.4.1/24.
> микротик2 со своим uplink'om, и своею подсетью реальных ip.
> задача: пустить с линукса подсети 192.168.1.1 и 192.168.2.1 на микротик 1
> подсети 192.168.3.1, 192.168.4.1 на микротик 2.
> более наглядная схема по ссылке: http://images.vfl.ru/ii/1507227023/7c5fb300/18874900.png
> Возможна ли реализация такой схемы и как она будет выглядеть теоритически и
> практически?
Давненько у нас на опенете не
https://duckduckgo.com/?q=%D0%B4%D0%B2&#...
строили двух провайдеров на линуксе!!111
сообщить модератору +1 +/– ответить

route add net 192 168 1 0 24 gw 1 1 1 1 dev eth0 route add net 192 168 2 0 24 gw, pavlinux (ok), 02:19 , 08-Окт-17 (3)
> задача: пустить
route add net 192.168.1.0/24 gw 1.1.1.1 dev eth0
route add net 192.168.2.0/24 gw 1.1.1.1 dev eth0
route add net 192.168.3.0/24 gw 2.2.2.2 dev eth0
route add net 192.168.4.0/24 gw 2.2.2.2 dev eth0

сообщить модератору +/– ответить
https duckduckgo com q policy routing linux site 3Awww opennet ru 2Ftips 2F i, Rey (??), 09:38 , 09-Окт-17 (4)
https://duckduckgo.com/?q=policy+routing+linux+site%3Aw...
раздельные таблицы маршрутизации по исходящим адресам
сообщить модератору +/– ответить

Установка Let's Encrypt в Debian,

Alexander7, (Шифрование, SSH, SSL / Linux) 25-Сен-17, 18:13 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Поставил на один из сайтов, вроде работает, но не понял, как должны обновляться сертификаты.
В /etc/cron.d/certbot непонятна команда:
0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(3600))' && certbot -q renew
Т.е. при наличии директории /run/systemd/system, certbot не запустится?
Во-первых, зачем проверять наличие этой директории?
А во-вторых, как же должно запускаться обновление при наличии /run/systemd/system?
Спасибо

Ответить | Сообщить модератору

Чтобы проверить твою ориентацию W W, не гоняешь ли ты systemd Если гоняешь, то , ACCA (ok), 18:51 , 25-Сен-17 (1)
> Во-первых, зачем проверять наличие этой директории?
Чтобы проверить твою ориентацию^W ^W, не гоняешь ли ты systemd.

> А во-вторых, как же должно запускаться обновление при наличии /run/systemd/system?
Если гоняешь, то им и запускай: https://github.com/lnicola/certbot-systemd-nginx/blob/master...
сообщить модератору +/– ответить

как сделать доступным localhost из интернета ,

Grek77, (Linux iptables, ipchains) 11-Сен-17, 08:26 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день! Подскажите как с помощью iptables сделать localhost доступным из интернета ? Есть wifi роутер 192.168.1.1
сервер kvm с centos7 192.168.2.230
основная система 192.168.1.105 интернет вайфай
Какие правила нужно прописать в iptables чтобы открыть доступ к серверу 192.168.2.230 из вне ? Подскажите .

Ответить | Сообщить модератору

Смутные сомнения терзают меня А как Вы себе представляете что такое localhost, ЫЫ (?), 10:18 , 11-Сен-17 (1)
> Добрый день! Подскажите как с помощью iptables сделать localhost доступным из интернета
> ? Есть wifi роутер 192.168.1.1
> сервер kvm с centos7 192.168.2.230
> основная система 192.168.1.105 интернет вайфай
> Какие правила нужно прописать в iptables чтобы открыть доступ к серверу 192.168.2.230
> из вне ? Подскажите .
Смутные сомнения терзают меня. А как Вы себе представляете что такое " localhost " ?
сообщить модератору +/– ответить

Сервер на локальном пк , Grek77 (ok), 10:49 , 11-Сен-17 (2)
>> Добрый день! Подскажите как с помощью iptables сделать localhost доступным из интернета
>> ? Есть wifi роутер 192.168.1.1
>> сервер kvm с centos7 192.168.2.230
>> основная система 192.168.1.105 интернет вайфай
>> Какие правила нужно прописать в iptables чтобы открыть доступ к серверу 192.168.2.230
>> из вне ? Подскажите .
> Смутные сомнения терзают меня. А как Вы себе представляете что такое "
> localhost " ?
Сервер на локальном пк
сообщить модератору +/– ответить

https yandex ru yandsearch text iptables проброс портов, ЫЫ (?), 11:00 , 11-Сен-17 (3)
>>> Добрый день! Подскажите как с помощью iptables сделать localhost доступным из интернета
>>> ? Есть wifi роутер 192.168.1.1
>>> сервер kvm с centos7 192.168.2.230
>>> основная система 192.168.1.105 интернет вайфай
>>> Какие правила нужно прописать в iptables чтобы открыть доступ к серверу 192.168.2.230
>>> из вне ? Подскажите .
>> Смутные сомнения терзают меня. А как Вы себе представляете что такое "
>> localhost " ?
> Сервер на локальном пк
https://yandex.ru/yandsearch?&text= iptables проброс портов
сообщить модератору +/– ответить

Сделал так iptables -t nat -A PREROUTING -d 192 168 1 0 24 -p tcp -m tcp --dport, Grek77 (ok), 11:45 , 11-Сен-17 (4)
>>>> Добрый день! Подскажите как с помощью iptables сделать localhost доступным из интернета
>>>> ? Есть wifi роутер 192.168.1.1
>>>> сервер kvm с centos7 192.168.2.230
>>>> основная система 192.168.1.105 интернет вайфай
>>>> Какие правила нужно прописать в iptables чтобы открыть доступ к серверу 192.168.2.230
>>>> из вне ? Подскажите .
>>> Смутные сомнения терзают меня. А как Вы себе представляете что такое "
>>> localhost " ?
>> Сервер на локальном пк
> https://yandex.ru/yandsearch?&text= iptables проброс портов
Сделал так:
iptables -t nat -A PREROUTING -d 192.168.1.0/24 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.2.230:80
iptables -t nat -A PREROUTING -d 192.168.2.230/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.1
Правильно ли я пробросил порты?
сообщить модератору +/– ответить

gt оверквотинг удален Достаточно одного правила на wifi роутереiptables -t nat, ПавелС (ok), 12:35 , 11-Сен-17 (5)
>[оверквотинг удален]
>>>>> ? Есть wifi роутер 192.168.1.1
>>>>> сервер kvm с centos7 192.168.2.230
>>>>> основная система 192.168.1.105 интернет вайфай
>>>>> Какие правила нужно прописать в iptables чтобы открыть доступ к серверу 192.168.2.230
>>>>> из вне ? Подскажите .
>>>> Смутные сомнения терзают меня. А как Вы себе представляете что такое "
>>>> localhost " ?
>>> Сервер на локальном пк
>> https://yandex.ru/yandsearch?&text= iptables проброс портов
> Сделал так:
Достаточно одного правила на wifi роутере
iptables -t nat -A PREROUTING -d <здесь твой белый интернет адрес WAN на роутере>/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.2.230:80
Если интернет адрес всё время разный то правило немножко другое
iptables -t nat -A PREROUTING -i "wan0 или как у тебя называется" -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.2.230:80
Следующее правило лишнее
> iptables -t nat -A PREROUTING -d 192.168.2.230/32 -p tcp -m tcp --dport
> 80 -j DNAT --to-destination 192.168.1.1
> Правильно ли я пробросил порты?
сообщить модератору +/– ответить

сперва прочитатьhttps en wikipedia org wiki Private_networkи долго думать, vg (??), 14:56 , 11-Сен-17 (6)
сперва прочитать
https://en.wikipedia.org/wiki/Private_network
и долго думать
сообщить модератору +/– ответить
gt оверквотинг удален Спасибо, Grek77 (ok), 16:27 , 11-Сен-17 (7)
>[оверквотинг удален]
> iptables -t nat -A PREROUTING -d <здесь твой белый интернет адрес WAN
> на роутере>/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination
> 192.168.2.230:80
> Если интернет адрес всё время разный то правило немножко другое
> iptables -t nat -A PREROUTING -i "wan0 или как у тебя называется"
> -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.2.230:80
> Следующее правило лишнее
>> iptables -t nat -A PREROUTING -d 192.168.2.230/32 -p tcp -m tcp --dport
>> 80 -j DNAT --to-destination 192.168.1.1
>> Правильно ли я пробросил порты?
Спасибо
сообщить модератору +/– ответить

ну и до кучи, вы уверены что Вам провайдер вообще выдаёт белые адреса, доступн, stalker37 (ok), 21:46 , 11-Сен-17 (8)
> Добрый день! Подскажите как с помощью iptables сделать localhost доступным из интернета
> ? Есть wifi роутер 192.168.1.1
> сервер kvm с centos7 192.168.2.230
> основная система 192.168.1.105 интернет вайфай
> Какие правила нужно прописать в iptables чтобы открыть доступ к серверу 192.168.2.230
> из вне ? Подскажите .
ну и до кучи, вы уверены что Вам провайдер вообще выдаёт "белые" адреса, доступные снаружи
и если выдаёт,что не режет порты типа 80/8080 и так далее?
сообщить модератору +/– ответить

Поиск NAT в сети,

Vasya1985, (Проблемы с безопасностью / Другая система) 07-Июл-17, 12:51 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Доброго времени суток!
Суть проблемы такова - существует локальная сеть, необходимо обнаружить, развернут ли в ней где-нибудь NAT и находится ли за ним ещё какая-нибудь сеть???
Может кто-нибудь сталкивался с этой проблемой?
Благодарю за помощь!

Ответить | Сообщить модератору

только анализом трафика по каждому хосту, вы можете с некой долей вероятности по, ыы (?), 13:52 , 07-Июл-17 (1)
> Доброго времени суток!
> Суть проблемы такова - существует локальная сеть, необходимо обнаружить, развернут ли в
> ней где-нибудь NAT и находится ли за ним ещё какая-нибудь сеть???
> Может кто-нибудь сталкивался с этой проблемой?
> Благодарю за помощь!
только анализом трафика по каждому хосту, вы можете с некой долей вероятности подозревать наличие там NAT.
сообщить модератору +/– ответить
Но вы должны понимать, что современные реалии таковы, что каждый ставит себе на , ыы (?), 13:54 , 07-Июл-17 (2)
> Доброго времени суток!
> Суть проблемы такова - существует локальная сеть, необходимо обнаружить, развернут ли в
> ней где-нибудь NAT и находится ли за ним ещё какая-нибудь сеть???
> Может кто-нибудь сталкивался с этой проблемой?
> Благодарю за помощь!
Но вы должны понимать, что современные реалии таковы, что каждый ставит себе на вход роутер и раздает по квартире(комнате) интернет через вайфай.
и вот этот роутер - он и работает как раз с использованием NAT.
Так что...Вы рискуете причислить к NAT- пользователям ВСЕХ :)
сообщить модератору +/– ответить

Моя ЛВС не выходит в интернет, я хочу узнать, существует ли NAT в сети и компью, Vasya1985 (ok), 14:03 , 07-Июл-17 (3) –1
>> Доброго времени суток!
>> Суть проблемы такова - существует локальная сеть, необходимо обнаружить, развернут ли в
>> ней где-нибудь NAT и находится ли за ним ещё какая-нибудь сеть???
>> Может кто-нибудь сталкивался с этой проблемой?
>> Благодарю за помощь!
> Но вы должны понимать, что современные реалии таковы, что каждый ставит себе
> на вход роутер и раздает по квартире(комнате) интернет через вайфай.
> и вот этот роутер - он и работает как раз с использованием
> NAT.
> Так что...Вы рискуете причислить к NAT- пользователям ВСЕХ :)
Моя ЛВС не выходит в интернет, я хочу узнать, существует ли NAT в сети и компьютеры за ним.
сообщить модератору –1 +/– ответить

http www sflow org detectNAT , Олег (??), 19:09 , 07-Июл-17 (4)
http://www.sflow.org/detectNAT/
сообщить модератору +/– ответить

TTL очень часто подправляют, уже многие роутеры по умолчанию это делают Как вари, _KUL (ok), 14:47 , 10-Июл-17 (5)
> http://www.sflow.org/detectNAT/
TTL очень часто подправляют, уже многие роутеры по умолчанию это делают.
Как вариант, можно поискать устройства, которые осуществляют маршрутизацию. Т.е. заведомо известную сеть всем, попробовать по маршрутизировать через каждый узел в броадкасте, и если через кого то пройдёт, то более подробнее проводить анализ над данным узлом.
сообщить модератору +/– ответить

NAT как бы придуман как раз чтобы не маршрутизировать, ыы (?), 15:04 , 10-Июл-17 (6) –1
>> http://www.sflow.org/detectNAT/
> TTL очень часто подправляют, уже многие роутеры по умолчанию это делают.
> Как вариант, можно поискать устройства, которые осуществляют маршрутизацию. Т.е. заведомо
> известную сеть всем, попробовать по маршрутизировать через каждый узел в броадкасте,
> и если через кого то пройдёт, то более подробнее проводить анализ
> над данным узлом.
NAT как бы придуман как раз чтобы не маршрутизировать
сообщить модератору –1 +/– ответить

не правы, нат подменяет источник адресат железка с нат должна маршрутизировать , _KUL (ok), 15:02 , 11-Июл-17 (9) –1
>>> http://www.sflow.org/detectNAT/
>> TTL очень часто подправляют, уже многие роутеры по умолчанию это делают.
>> Как вариант, можно поискать устройства, которые осуществляют маршрутизацию. Т.е. заведомо
>> известную сеть всем, попробовать по маршрутизировать через каждый узел в броадкасте,
>> и если через кого то пройдёт, то более подробнее проводить анализ
>> над данным узлом.
> NAT как бы придуман как раз чтобы не маршрутизировать
не правы, нат подменяет источник/адресат. железка с нат должна маршрутизировать трафик через себя.
сообщить модератору –1 +/– ответить

в том то и дело, что при маршрутизации- источник адресат не подменяется Маршрут, ыы (?), 15:34 , 11-Июл-17 (11) –2
>>>> http://www.sflow.org/detectNAT/
>>> TTL очень часто подправляют, уже многие роутеры по умолчанию это делают.
>>> Как вариант, можно поискать устройства, которые осуществляют маршрутизацию. Т.е. заведомо
>>> известную сеть всем, попробовать по маршрутизировать через каждый узел в броадкасте,
>>> и если через кого то пройдёт, то более подробнее проводить анализ
>>> над данным узлом.
>> NAT как бы придуман как раз чтобы не маршрутизировать
> не правы, нат подменяет источник/адресат. железка с нат должна маршрутизировать трафик
> через себя.
в том то и дело, что при маршрутизации- источник/адресат. не подменяется.
Маршрутизация НЕ ПОДМЕНЯЕТ источник/адресат. в этом смысл.
НАТ - подменяет, как раз для того чтобы пускать через себя не маршрутизируемые сегменты. тоетсь те сегменты котоыре нельзя маршрутизировать. не в физическом смысле а в организационном. Например серые сети НЕЛЬЗЯ маршрутизировать в интернет. поэтому ставят НАТ.
который сеть не маршрутизирует а подменяет источник/адресат
сообщить модератору –2 +/– ответить

gt оверквотинг удален подменяющая железка с натом выполняет МАРШРУТИЗАЦИЮ, их , _KUL (ok), 15:08 , 12-Июл-17 (12)
>[оверквотинг удален]
>>> NAT как бы придуман как раз чтобы не маршрутизировать
>> не правы, нат подменяет источник/адресат. железка с нат должна маршрутизировать трафик
>> через себя.
> в том то и дело, что при маршрутизации- источник/адресат. не подменяется.
> Маршрутизация НЕ ПОДМЕНЯЕТ источник/адресат. в этом смысл.
> НАТ - подменяет, как раз для того чтобы пускать через себя не
> маршрутизируемые сегменты. тоетсь те сегменты котоыре нельзя маршрутизировать. не в физическом
> смысле а в организационном. Например серые сети НЕЛЬЗЯ маршрутизировать в интернет.
> поэтому ставят НАТ.
> который сеть не маршрутизирует а подменяет источник/адресат
подменяющая железка с натом выполняет МАРШРУТИЗАЦИЮ, их и ищем
серый.исходящ/белый.назнач ---> NAT+маршрутизация ---> белый.исходящ./белый.назнач.
сообщить модератору +/– ответить

gt оверквотинг удален Я позволю себе вмешаться в вашу дискуссию, c вот такой ц, zanswer CCNA RS and S (?), 08:18 , 27-Авг-17 (14)
>[оверквотинг удален]
>>> через себя.
>> в том то и дело, что при маршрутизации- источник/адресат. не подменяется.
>> Маршрутизация НЕ ПОДМЕНЯЕТ источник/адресат. в этом смысл.
>> НАТ - подменяет, как раз для того чтобы пускать через себя не
>> маршрутизируемые сегменты. тоетсь те сегменты котоыре нельзя маршрутизировать. не в физическом
>> смысле а в организационном. Например серые сети НЕЛЬЗЯ маршрутизировать в интернет.
>> поэтому ставят НАТ.
>> который сеть не маршрутизирует а подменяет источник/адресат
> подменяющая железка с натом выполняет МАРШРУТИЗАЦИЮ, их и ищем
> серый.исходящ/белый.назнач ---> NAT+маршрутизация ---> белый.исходящ./белый.назнач.
Я позволю себе вмешаться в вашу дискуссию, c вот такой цитатой:
RFC 2663 - IP Network Address Translator (NAT) Terminology and Considerations
"3. What is NAT?
   Network Address Translation is a method by which IP addresses are
   mapped from one address realm to another, providing transparent
   routing to end hosts. There are many variations of address
   translation that lend themselves to different applications. However,
   all flavors of NAT devices should share the following
   characteristics.
          a) Transparent Address assignment.
          b) Transparent routing through address translation.
             (routing here refers to forwarding packets, and not
             exchanging routing information)
          c) ICMP error packet payload translation.
   Below is a diagram illustrating a scenario in which NAT is enabled on
   a stub domain border router, connected to the Internet through a
   regional router made available by a service provider.
       \ | /                  .                               /
   +---------------+  WAN     .           +-----------------+/
   |Regional Router|----------------------|Stub Router w/NAT|---
   +---------------+          .           +-----------------+\
                              .                      |        \
                              .                      |  LAN
                              .               ---------------
                        Stub border
        Figure 1: A typical NAT operation scenario"
"3.2. Transparent routing
   A NAT router sits at the border between two address realms and
   translates addresses in IP headers so that when the packet leaves one
   realm and enters another, it can be routed properly. Because NAT
   devices have connections to multiple address realms, they must be
   careful to not improperly propagate information (e.g., via routing
   protocols) about networks from one address realm into another, where
   such an advertisement would be deemed unacceptable.
   There are three phases to Address translation, as follows. Together
   these phases result in creation, maintenance and termination of state
   for sessions passing through NAT devices."
Иными словами, NAT маршрутизатор, выполняет процесс маршрутизации, названный в контексте NAT, как прозрачная маршрутизация, но тем не менее, маршрутизация.
сообщить модератору +/– ответить

По пинговать arping ом серые адреса шлюзов по умолчанию Пример с моей машины AR, aaa (??), 09:39 , 11-Июл-17 (7)
> Доброго времени суток!
> Суть проблемы такова - существует локальная сеть, необходимо обнаружить, развернут ли в
> ней где-нибудь NAT и находится ли за ним ещё какая-нибудь сеть???
> Может кто-нибудь сталкивался с этой проблемой?
> Благодарю за помощь!
По пинговать arping'ом серые адреса шлюзов по умолчанию. Пример с моей машины:
ARPING 192.168.0.1 from 92.63.XXX.XXX eth0
Unicast reply from 192.168.0.1 [10:BF:48:88:60:B1]  0.684ms
Unicast reply from 192.168.0.1 [1C:AF:F7:AE:FC:18]  0.877ms
Unicast reply from 192.168.0.1 [1C:7E:E5:D2:A4:4D]  0.983ms
Sent 1 probes (1 broadcast(s))
Received 3 response(s)
и
ARPING 192.168.1.1 from 92.63.XXX.XXX eth0
Unicast reply from 192.168.1.1 [1C:AF:F7:AE:FC:18]  0.833ms
Unicast reply from 192.168.1.1 [14:DD:A9:F1:1D:D0]  1.027ms
Unicast reply from 192.168.1.1 [78:24:AF:7E:88:08]  1.161ms
Unicast reply from 192.168.1.1 [00:11:2F:57:9C:2A]  1.262ms
Unicast reply from 192.168.1.1 [00:17:9A:30:D1:A2]  1.458ms
Unicast reply from 192.168.1.1 [00:1D:0F:D4:05:2C]  1.576ms
Sent 1 probes (1 broadcast(s))
Received 6 response(s)
Эти маки скорее всего натят
сообщить модератору +/– ответить

йота, перелогинься, None (??), 11:03 , 18-Авг-17 (13)
> Доброго времени суток!
> Суть проблемы такова - существует локальная сеть, необходимо обнаружить, развернут ли в
> ней где-нибудь NAT и находится ли за ним ещё какая-нибудь сеть???
> Может кто-нибудь сталкивался с этой проблемой?
> Благодарю за помощь!
йота, перелогинься
сообщить модератору +/– ответить

Правила iptables не сохраняются.,

commanderTom, (Linux iptables, ipchains) 10-Авг-17, 18:50 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

ОС - centos 7
Система центос встала без правил, все цепочки пустые.
Нашёл в инете пример sh-скрипта с правилами, сделал под себя, запускаю его, смотрю:
iptables -L -v -n
и вижу, что мои правила применились, норм.
Прописываю скрипт в rc.local, и имею дулю - он после ребута компа не запускается!
Пробовал по схеме -
/sbin/iptables-save > /etc/iptables
/sbin/iptables-restore < /etc/iptables
vim /etc/rc.d/rc.local
/sbin/iptables-restore < /etc/iptables
Правила записываются в файл, восстанавливаются из него (проверял), но это всё если ручками без ребута, а после ребута - ничего не делает, типа я ничего и не прописал в rc.local.
Или чего я не так написал?

Ответить | Сообщить модератору

gt оверквотинг удален в centos 7 не рекомендуется использовать iptables если в, ыы (?), 19:23 , 10-Авг-17 (1)
>[оверквотинг удален]
> не запускается!
> Пробовал по схеме -
> /sbin/iptables-save > /etc/iptables
> /sbin/iptables-restore < /etc/iptables
> vim /etc/rc.d/rc.local
> /sbin/iptables-restore < /etc/iptables
> Правила записываются в файл, восстанавливаются из него (проверял), но это всё если
> ручками без ребута, а после ребута - ничего не делает, типа
> я ничего и не прописал в rc.local.
> Или чего я не так написал?
в centos 7 не рекомендуется использовать iptables если вы не понимаете что делаете.
Там другой штатный файрвол с несколько другой логикой работы.
сообщить модератору +/– ответить
В CentOS есть штатное место хранения правил etc sysconfig iptables Но это в том, shadow_alone (ok), 00:30 , 11-Авг-17 (2) +1
В CentOS есть штатное место хранения правил /etc/sysconfig/iptables
Но это в том случае, если вы установили iptables-services (CentOS 7)
Но судя по тому что у вас, вы не устанавливали , а используете firewalld, там правила храняться уже по другому, в /etc/firewalld/ , разбитые на зоны, и сохранять их надо по другому, через --permanent
В вашем случае, отключите firewalld, установите iptables-services и храните все в /etc/sysconfig/iptables , если лень разбираться с firewalld.
И не придумывайте велосипед с сохранением в левый файл, бросьте уже эти дебиано-убунтушные замашки.
сообщить модератору +1 +/– ответить

А что, в дебианах с убунтами уже убрали пакет iptables-persistent , Аноним (-), 01:36 , 11-Авг-17 (3) –1
> И не придумывайте велосипед с сохранением в левый файл, бросьте уже эти
> дебиано-убунтушные замашки.
А что, в дебианах с убунтами уже убрали пакет iptables-persistent ?
сообщить модератору –1 +/– ответить

Нет, есть родимый Но из коробки его никогда не стояло А написал об этом, потом, shadow_alone (ok), 01:38 , 11-Авг-17 (4) +1

> А что, в дебианах с убунтами уже убрали пакет iptables-persistent ?
Нет, есть родимый.
Но из коробки его никогда не стояло :)
А написал об этом, потому что, кто не знал об этом пакете, пытались всегда сделать велосипед, типа .sh скриптов и т.д.
сообщить модератору +1 +/– ответить

а почему вы решили, что я использую на самом деле firewalld Папки etc firewalld , commanderTom (ok), 20:03 , 12-Авг-17 (5)
> В CentOS есть штатное место хранения правил /etc/sysconfig/iptables
> Но это в том случае, если вы установили iptables-services (CentOS 7)
> Но судя по тому что у вас, вы не устанавливали , а
> используете firewalld, там правила храняться уже по другому, в /etc/firewalld/ ,
> разбитые на зоны, и сохранять их надо по другому, через --permanent
> В вашем случае, отключите firewalld, установите iptables-services и храните все в /etc/sysconfig/iptables
> , если лень разбираться с firewalld.
> И не придумывайте велосипед с сохранением в левый файл, бросьте уже эти
> дебиано-убунтушные замашки.
а почему вы решили, что я использую на самом деле firewalld?
Папки etc/firewalld у меня нет, в /sbin/ тоже ничего на firewalld нет.
сообщить модератору +/– ответить

А потому что вы изобрели велосипед с sh скриптом, и еще потому что это CentOS7, shadow_alone (ok), 20:05 , 12-Авг-17 (6)
> а почему вы решили, что я использую на самом деле firewalld?
> Папки etc/firewalld у меня нет, в /sbin/ тоже ничего на firewalld нет.
А потому что вы изобрели велосипед с .sh скриптом, и еще потому что это CentOS7 , а там by default стоит firewalld
сообщить модератору +/– ответить

systemctl status firewalldservice not be foundМожет таки его нет, т к я ста, commanderTom (ok), 15:52 , 13-Авг-17 (7)
>> а почему вы решили, что я использую на самом деле firewalld?
>> Папки etc/firewalld у меня нет, в /sbin/ тоже ничего на firewalld нет.
> А потому что вы изобрели велосипед с .sh скриптом, и еще потому
> что это CentOS7 , а там by default стоит firewalld
:*(
#systemctl status firewalld
service not be found
Может таки его нет, т.к. я ставил ос с cd-диска 700 мб минимальную установку?
Но, опять же, не помню, чтобы я спецом ставил iptables...
Но файлы, к нему относящиеся, присутствуют в том же etc/sysconfig/
сообщить модератору +/– ответить

впрочем у меня и iptables нету Что за дичь, не пойму сам service iptables s, commanderTom (ok), 18:40 , 13-Авг-17 (8)
впрочем у меня и iptables нету...
Что за дичь, не пойму сам...
#service iptables status
Unit iptables.service colud not be found
Откуда тогда файлы, к нему относящиеся, в наличии имеются... (/sbin/@iptables, @iptables-restore, @iptables-save)
сообщить модератору +/– ответить

Потому что вы заблуждаетесь в том, что эти файлы относятся к этому сервису Указа, PavelR (??), 07:34 , 15-Авг-17 (9)
> впрочем у меня и iptables нету...
> Что за дичь, не пойму сам...
> #service iptables status
> Unit iptables.service colud not be found
> Откуда тогда файлы, к нему относящиеся, в наличии имеются... (/sbin/@iptables, @iptables-restore,
> @iptables-save)
Потому что вы заблуждаетесь в том, что эти файлы относятся к этому сервису.
Указанные файлы (кстати это вообще симлинки куда-то) - это непосредственно iptables, а вам нужна обертка над ним - либо firewalld, либо iptables-persistent или как там её зовут..
Это разные компоненты.
сообщить модератору +/– ответить

gt оверквотинг удален ок, понял примерно Спасибо , commanderTom (ok), 02:15 , 16-Авг-17 (10)
>[оверквотинг удален]
>> #service iptables status
>> Unit iptables.service colud not be found
>> Откуда тогда файлы, к нему относящиеся, в наличии имеются... (/sbin/@iptables, @iptables-restore,
>> @iptables-save)
> Потому что вы заблуждаетесь в том, что эти файлы относятся к этому
> сервису.
> Указанные файлы (кстати это вообще симлинки куда-то) - это непосредственно iptables, а
> вам нужна обертка над ним - либо firewalld, либо iptables-persistent или
> как там её зовут..
> Это разные компоненты.
ок, понял примерно. Спасибо.
сообщить модератору +/– ответить
да, это всё вообще было что-то левое, ведущее на xtables-multi какой-то Вот что , commanderTom (ok), 19:12 , 19-Авг-17 (11)
> Указанные файлы (кстати это вообще симлинки куда-то) - это непосредственно iptables, а
> вам нужна обертка над ним - либо firewalld, либо iptables-persistent или
> как там её зовут..
> Это разные компоненты.
да, это всё вообще было что-то левое, ведущее на xtables-multi какой-то.
Вот что установка minimal значит...
Поставил iptables, net-tools заодно и ещё по мелочи...
Всё заработало, правила подхватываются после ребута, и самое главное, ради чего всё затевалось - с удаленной машины пускает по ssh и фтп, что и нужно было!
сообщить модератору +/– ответить

Проброс порта 3389 во внутреннюю сеть,

gremlintv32, (Linux iptables, ipchains) 07-Фев-17, 11:42 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Исходные данные: есть openvpn шлюз на linux с интрефейсами:
eth0 - смотрит в локалку 192.168.1.0/24
tun0 - смотрит в vpn сеть - 10.0.0.0/30
Задача:
Нужно, чтобы отбрасывались все пакеты, кроме тех, которые:
а) приходят по порту 22 с ip 192.168.1.100;
б) приходят по порту 1194 с ip 192.168.1.1;
в) пакеты, которые приходят на интерфейс tun0 по порту 3389 перенаправлялись на адрес 192.168.1.100;
Правильно ли прописаны следующие правила:
а) iptables -A INPUT ! -s 192.168.1.100 -p tcp --dport 22 -j DROP
б) iptables -A INPUT ! -s 192.168.1.1 -p tcp --dport 1194 -j DROP
в) iptables -t nat -A PREROUTING -i tun0 -p tcp --dport 3389 -j DNAT \ --to-destination 192.168.1.100:3389

Ответить | Сообщить модератору

Всего лишь нужно использовать двойное отрицание - и можно полностью сломать мо, PavelR (??), 12:55 , 07-Фев-17 (1) +1
Всего лишь нужно использовать /двойное/ отрицание - и можно полностью сломать мозг.
сообщить модератору +1 +/– ответить

iptables -A INPUT -p tcp --dport 22 -s 192 168 1 100 -j ACCEPTiptables -A INPUT , PavelR (??), 16:07 , 07-Фев-17 (3)
> Исходные данные: есть openvpn шлюз на linux с интрефейсами:
> eth0 - смотрит в локалку 192.168.1.0/24
> tun0 - смотрит в vpn сеть - 10.0.0.0/30
> Задача:
> Нужно, чтобы отбрасывались все пакеты, кроме тех, которые:
> а) приходят по порту 22 с ip 192.168.1.100;
> б) приходят по порту 1194 с ip 192.168.1.1;
> в) пакеты, которые приходят на интерфейс tun0 по порту 3389 перенаправлялись на
> адрес 192.168.1.100;
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
iptables -A INPUT -p tcp --dport 1194 -s 192.168.1.1 -j ACCEPT
iptables -A INPUT -j DROP или iptables -P INPUT DROP
Также не забываем про FORWARD т.к. в постановке задачи не говорится про то, что делать с транзитными пакетами.
Не забываем про -m state и разрешение всего остального, что еще может быть необходимым (например DNS-ответы).
сообщить модератору +/– ответить

gt оверквотинг удален Спасибо FORWARD тоже блокируются в сети 192 168 1 0 24А, gremlintv32 (ok), 16:11 , 07-Фев-17 (4)
>[оверквотинг удален]
>> б) приходят по порту 1194 с ip 192.168.1.1;
>> в) пакеты, которые приходят на интерфейс tun0 по порту 3389 перенаправлялись на
>> адрес 192.168.1.100;
> iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
> iptables -A INPUT -p tcp --dport 1194 -s 192.168.1.1 -j ACCEPT
> iptables -A INPUT -j DROP или iptables -P INPUT DROP
> Также не забываем про FORWARD т.к. в постановке задачи не говорится про
> то, что делать с транзитными пакетами.
> Не забываем про -m state и разрешение всего остального, что еще
> может быть необходимым (например DNS-ответы).
Спасибо! FORWARD тоже блокируются в сети 192.168.1.0/24
А как быть с пробросом 3389?
Такое правило будет работать:
iptables -t nat -A PREROUTING -i tun0 -p tcp --dport 3389 -j DNAT \ --to-destination 192.168.1.100:3389
?
сообщить модератору +/– ответить

gt оверквотинг удален эти пакеты пойдут через FORWARD , разрешайте прохождение, reader (ok), 17:19 , 07-Фев-17 (5)
>[оверквотинг удален]
>> Также не забываем про FORWARD т.к. в постановке задачи не говорится про
>> то, что делать с транзитными пакетами.
>> Не забываем про -m state и разрешение всего остального, что еще
>> может быть необходимым (например DNS-ответы).
> Спасибо! FORWARD тоже блокируются в сети 192.168.1.0/24
> А как быть с пробросом 3389?
> Такое правило будет работать:
> iptables -t nat -A PREROUTING -i tun0 -p tcp --dport 3389 -j
> DNAT \ --to-destination 192.168.1.100:3389
> ?
эти пакеты пойдут через FORWARD , разрешайте прохождение этих пакетов там
сообщить модератору +/– ответить
gt оверквотинг удален Правило будет работать так, как оно написано Достигнете, PavelR (??), 18:59 , 07-Фев-17 (6)
>[оверквотинг удален]
>> iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
>> iptables -A INPUT -p tcp --dport 1194 -s 192.168.1.1 -j ACCEPT
>> iptables -A INPUT -j DROP или iptables -P INPUT DROP
>> Также не забываем про FORWARD т.к. в постановке задачи не говорится про
>> то, что делать с транзитными пакетами.
>> Не забываем про -m state и разрешение всего остального, что еще
>> может быть необходимым (например DNS-ответы).
> Спасибо! FORWARD тоже блокируются в сети 192.168.1.0/24
> А как быть с пробросом 3389?
> Такое правило будет работать:
Правило будет работать так, как оно написано. Достигнете ли вы того, чего хотите - не известно, т.к. правила "поштучно" не работают, а работает вся кофигурация в целом.
сообщить модератору +/– ответить

многие недоадмины любяь пробрасывать 3389, потом удивляются, что их поломали, None (??), 11:06 , 18-Авг-17 (7)
многие недоадмины любяь пробрасывать 3389, потом удивляются, что их поломали
сообщить модератору +/– ответить

Как посчитать нагрузку на канал OpenVPN.,

Clod, (Шифрование, SSH, SSL / Linux) 03-Июл-17, 16:25 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день!
Есть задача поднять OpenVPN канал, но нужно выяснить, какую полосу под него запросить.
Есть ли какие-то справочные данные, по которым можно узнать, сколько служебной информации добавляется OpenVPN к передаваемой информации в случае использования TCP или UDP?
Протокол шифрования AES-256.
И как влияет включение сжатия?
Гуглил долго, но не нашёл.

Ответить | Сообщить модератору

http lmgtfy com q openvpn overheadОчевидно, что служебной информации становит, PavelR (??), 17:38 , 03-Июл-17 (1)
> Гуглил долго, но не нашёл.
http://lmgtfy.com/?q=openvpn+overhead
> И как влияет включение сжатия?
Очевидно, что служебной информации становится больше - передается флаг, что включено сжатие.
сообщить модератору +/– ответить
Что вполне логично, т к все сильно зависит от типа трафика и размеров пакетов п, fantom (??), 05:55 , 07-Авг-17 (2)
> Добрый день!
> Есть задача поднять OpenVPN канал, но нужно выяснить, какую полосу под него
> запросить.
> Есть ли какие-то справочные данные, по которым можно узнать, сколько служебной информации
> добавляется OpenVPN к передаваемой информации в случае использования TCP или UDP?
> Протокол шифрования AES-256.
> И как влияет включение сжатия?
> Гуглил долго, но не нашёл.
Что вполне логично, т.к. все сильно зависит от типа трафика и размеров пакетов.
превышение может быть до 300%
сообщить модератору +/– ответить

Обход блокировки провайдера,

DeepMind, (BSD ipfw, ipf, ip-filter / FreeBSD) 19-Июл-17, 10:14 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте. Имеем:
Сервера на фрибсд и линуксе с поднятыми ип на них. Для проксирования используем 3proxy. Но блокировки провайдера срабатывают даже через прокси при попытке захода на нужный сайт. В данном случае ттк (редирект на http://fz139.ttk.ru/)
Подскажите, существует ли способ с помощью iptables/ipfw решить данную проблему?
Спасибо.

Ответить | Сообщить модератору

https www opennet ru tips 2999_iptables_block_tor shtml Не знаю как в ТТК, а в, Аноним (-), 10:41 , 19-Июл-17 (1)
https://www.opennet.me/tips/2999_iptables_block_tor.shtml Не знаю как в ТТК, а в Ростелекоме метод срабатывает.
сообщить модератору +/– ответить
Вы с Украины Обратитесть в Минкомсвязь России, они помогут советом и добрым сло, Andrey Mitrofanov (?), 10:43 , 19-Июл-17 (2) –2
> Здравствуйте. Имеем:
> Сервера на фрибсд и линуксе с поднятыми ип на них. Для проксирования
> используем 3proxy. Но блокировки провайдера срабатывают даже через прокси при попытке
> захода на нужный сайт. В данном случае ттк (редирект на http://fz139.ttk.ru/)
> Подскажите, существует ли способ с помощью iptables/ipfw решить данную проблему?
> Спасибо.
Вы с Украины? Обратитесть в Минкомсвязь России, они помогут советом и добрым словом.

""Посещаемость заблокированных Украиной российских социальных сетей и сайтов не уменьшилась, заявил заместитель министра связи и массовых коммуникаций России Алексей Волин. У «Одноклассников» этот показатель остался прежним, уверен он, и единственное изменение, которое можно заметить, — скачок числа IP-адресов из Нидерландов, так как именно эта страна по умолчанию устанавливается VPN-сервисами. По словам Волина, украинцы освоили VPN и не обращают внимание на блокировки."" --https://rublacklist.net/29933/
""То, что они планируют запретить россиянам, не так давно ими открыто рекомендовалось <https://rublacklist.net/28638/> украинцам после того, как Президентом Порошенко и СНБО был запрещён доступ к нескольким российским интернет-сервисам. Утверждалось, что блокировки ничего не дадут, сложившаяся ситуация породит в украинцах правовой нигилизм, а также повысит их компьютерную и интернет-грамотность."" --https://rublacklist.net/30510/
сообщить модератору –2 +/– ответить
ну если бы ip не были подняты было бы интереснее наверное ну подняты ну, ыы (?), 11:16 , 19-Июл-17 (3) –2
> Здравствуйте. Имеем:
> Сервера на фрибсд и линуксе с поднятыми ип на них.
ну... если бы ip не были подняты было бы интереснее..наверное... ну подняты.. ну и что?
А обычно сервера без поднятых Ip? Или это какие-то особые ип подняты и если они подняты - то все сразу должны понять все?
> Для проксирования
> используем 3proxy.
эээ... проксирования откуда куда и чего?
где стоит прокси? как к нему идут пакеты?
прокси в виде шлюза в локальной сети?
каскадированный прокси через америку или нидерланды?
>Но блокировки провайдера срабатывают даже через прокси при попытке
> захода на нужный сайт. В данном случае ттк (редирект на http://fz139.ttk.ru/)
ну, очевидно, два варианта:
сайт к которому вы обращаетесь находится на ресурсах провайдера ТТК, и провайдер закрыл доступ к этому сайту для всех без исключения, поскольку блокирует ВХОДЯЩИЕ запросу к сайту
Решения этой задачи не существует для вас вероятнее всего, поскольку решение такое: попросите провайдера открыть доступ или опротестуйте решение суда.
вариант два - вы ходите в интернет через прокси, который имеет адрес у провайдера ТТК, и соответственно провайдер блокирует запросы ИСХОДЯЩИЕ от этого прокси.
Ну..надо использовать прокси вне провайдера блокирующего запросы. vpn соединение например через нидерланды или америку.

> Подскажите, существует ли способ с помощью iptables/ipfw решить данную проблему?
вы даже изложить толком проблему не можете... о каком iptables/ipfw может идти речь?
> Спасибо.
да незачто...
сообщить модератору –2 +/– ответить

gt оверквотинг удален Ещё раз более подробно гуманитарным простым языком да, , DeepMind (ok), 12:27 , 19-Июл-17 (4)
>[оверквотинг удален]
> А обычно сервера без поднятых Ip? Или это какие-то особые ип подняты
> и если они подняты - то все сразу должны понять все?
>> Для проксирования
>> используем 3proxy.
> эээ... проксирования откуда куда и чего?
> где стоит прокси? как к нему идут пакеты?
> прокси в виде шлюза в локальной сети?
> каскадированный прокси через америку или нидерланды?
>>Но блокировки провайдера срабатывают даже через прокси при попытке
>> захода на нужный сайт. В данном случае ттк (редирект на http://fz139.ttk.ru/)
Ещё раз более подробно гуманитарным простым языком (да, я гуманитарий). Имеется сервер с арендованными выделенными ipv4. Сделали из них прокси с авторизацией по логину-паролю, используя 3proxy. Хостеры разные. С недавнего времени стали поступать жалобы, что через прокси нельзя попасть на сайты, внесенные в реестр запрещенных сайтов (а раньше такого не было, да). Тему https://www.opennet.me/tips/2999_iptables_block_tor.shtml я читал. На линуксе пробовал. С провайдером ТТК точно не сработало. Вот и я и спрашиваю - как быть и что делать.

сообщить модератору +/– ответить

1 не использовать DNS провайдера2 нанять специалиста-_не_гуманитария, omnomnin (?), 18:06 , 19-Июл-17 (5)
> Вот и я и спрашиваю - как быть и что делать.
1) не использовать DNS провайдера
2) нанять специалиста-_не_гуманитария
сообщить модератору +/– ответить

Его DNS и не используется, DeepMind (ok), 19:00 , 19-Июл-17 (6)
>> Вот и я и спрашиваю - как быть и что делать.
> 1) не использовать DNS провайдера
Его DNS и не используется

сообщить модератору +/– ответить

Это не значит, что провайдер все Ваши запросы к DNS не заворачивает к себе или н, stalker37 (ok), 20:56 , 19-Июл-17 (8)
>>> Вот и я и спрашиваю - как быть и что делать.
>> 1) не использовать DNS провайдера
> Его DNS и не используется
Это не значит, что провайдер все Ваши запросы к DNS не заворачивает к себе или не занимается DNS-спуфингом

сообщить модератору +/– ответить

gt оверквотинг удален белый адрес сервера в адресном пространстве ТТК значит и, ыы (?), 20:56 , 19-Июл-17 (7)
>[оверквотинг удален]
>> каскадированный прокси через америку или нидерланды?
>>>Но блокировки провайдера срабатывают даже через прокси при попытке
>>> захода на нужный сайт. В данном случае ттк (редирект на http://fz139.ttk.ru/)
> Ещё раз более подробно гуманитарным простым языком (да, я гуманитарий). Имеется сервер
> с арендованными выделенными ipv4. Сделали из них прокси с авторизацией по
> логину-паролю, используя 3proxy. Хостеры разные. С недавнего времени стали поступать жалобы,
> что через прокси нельзя попасть на сайты, внесенные в реестр запрещенных
> сайтов (а раньше такого не было, да). Тему https://www.opennet.me/tips/2999_iptables_block_tor.shtml
> я читал. На линуксе пробовал. С провайдером ТТК точно не сработало.
> Вот и я и спрашиваю - как быть и что делать.
белый адрес сервера в адресном пространстве ТТК?
значит имеет место второй вариант.
купите еще гдето сервер..в америке.. организуйте между этими серверами тоннель...
сообщить модератору +/– ответить

Как возможно выяснить, какие компы в сети не введены в домен?,

Vasya1985, (Безопасное программирование) 10-Июл-17, 13:39 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Всем доброго времени суток!
Существует проблема, компьютеры подключены к сети, но не введены в домен. Необходимо вычислить эти компы. Результат - это ip-адреса этих компов. Есть соображения, как это сделать?
Благодарю за помощь!

Ответить | Сообщить модератору

ну, очевидно нужно составить список компов в сети запросить его у службы поддер, ыы (?), 13:45 , 10-Июл-17 (1)
> Всем доброго времени суток!
> Существует проблема, компьютеры подключены к сети, но не введены в домен. Необходимо
> вычислить эти компы. Результат - это ip-адреса этих компов. Есть соображения,
> как это сделать?
> Благодарю за помощь!
ну, очевидно нужно составить список компов в сети (запросить его у службы поддержки)
и вывести список компов в домене (запросить его у домен-админа)
полученные списки сравнить.
компьютеры присутствующие в первом списке и отсутствующие во втором- соответственно и будут ответом на поставленный вопрос.
сообщить модератору +/– ответить

Пройтись powershell скриптом по ip адресам, и попытаться от админа домена открыт, _KUL (ok), 14:38 , 10-Июл-17 (2)
Пройтись powershell скриптом по ip адресам, и попытаться от админа домена открыть сессию (smb на \\ip\C$, wmic выборку или psexec'ом hostname сделать)
сообщить модератору +/– ответить

и повторять процесс каждые 5 минут в течении месяца , ыы (?), 15:02 , 10-Июл-17 (3) +1
> Пройтись powershell скриптом по ip адресам, и попытаться от админа домена открыть
> сессию (smb на \\ip\C$, wmic выборку или psexec'ом hostname сделать)
... и повторять процесс каждые 5 минут в течении месяца... :)
сообщить модератору +1 +/– ответить

Выгрузку из AD сформировал выполнив следующую команду Get-ADComputer -Filter -, Vasya1985 (ok), 16:57 , 10-Июл-17 (5) –1
>> Пройтись powershell скриптом по ip адресам, и попытаться от админа домена открыть
>> сессию (smb на \\ip\C$, wmic выборку или psexec'ом hostname сделать)
> ... и повторять процесс каждые 5 минут в течении месяца... :)
Выгрузку из AD сформировал выполнив следующую команду:
Get-ADComputer -Filter * -Properties * | FT Name
Осталось сформировать список всех компов в сети. (запросить его у службы поддержки без вариантов). Есть соображения, как лучше этот список сформировать?
сообщить модератору –1 +/– ответить

Ну вы же ведете учет компьютеров в сети, правда Или они у вас бесконтрольно под, ыы (?), 17:18 , 10-Июл-17 (6)
>>> Пройтись powershell скриптом по ip адресам, и попытаться от админа домена открыть
>>> сессию (smb на \\ip\C$, wmic выборку или psexec'ом hostname сделать)
>> ... и повторять процесс каждые 5 минут в течении месяца... :)
> Выгрузку из AD сформировал выполнив следующую команду:
> Get-ADComputer -Filter * -Properties * | FT Name
> Осталось сформировать список всех компов в сети. (запросить его у службы поддержки
> без вариантов). Есть соображения, как лучше этот список сформировать?
Ну вы же ведете учет компьютеров в сети, правда? Или они у вас бесконтрольно подключаются?
ну.. снимать списки оборудования с коммутаторов.

сообщить модератору +/– ответить

Да, компы учтены Только те, которые введены в домен Коммутаторов огромное коли, Vasya1985 (ok), 17:36 , 10-Июл-17 (7)

> Ну вы же ведете учет компьютеров в сети, правда? Или они у
> вас бесконтрольно подключаются?
> ну.. снимать списки оборудования с коммутаторов.
Да, компы учтены. Только те, которые введены в домен.
Коммутаторов огромное количество, с каждого снимать невозможно. Вот если только скриптом...
сообщить модератору +/– ответить

Мысль прямо скажем несколько странная Мне и в голову не пришло что может возник, ыы (?), 11:32 , 11-Июл-17 (8)
>> Ну вы же ведете учет компьютеров в сети, правда? Или они у
>> вас бесконтрольно подключаются?
>> ну.. снимать списки оборудования с коммутаторов.
> Да, компы учтены. Только те, которые введены в домен.
> Коммутаторов огромное количество, с каждого снимать невозможно. Вот если только скриптом...
Мысль прямо скажем несколько странная. Мне и в голову не пришло что может возникнуть желание снимать данные со свичей НЕ скриптом...
Конечно скриптом.
сообщить модератору +/– ответить
Снять активность с единой точки маршрутизации arp, dhcp, snmp, syslog и т д p s, _KUL (ok), 14:54 , 11-Июл-17 (9)
>> Ну вы же ведете учет компьютеров в сети, правда? Или они у
>> вас бесконтрольно подключаются?
>> ну.. снимать списки оборудования с коммутаторов.
> Да, компы учтены. Только те, которые введены в домен.
> Коммутаторов огромное количество, с каждого снимать невозможно. Вот если только скриптом...
Снять активность с единой точки маршрутизации. arp, dhcp, snmp, syslog и т.д.
p.s. если у вас доступа к l2/l3 уровням сети нет, то задача не решаема.
сообщить модератору +/– ответить

Идентификация ПК в Linux,

Z5, (Авторизация и аутентификация) 25-Май-17, 11:36 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Приветствую,
заполняю табличку по 1Г. В защищаемом контуре есть СУБД на Oracle Linux 7.
Есть требование "Должна осуществляться идентификация терминалов, ЭВМ, узлов сети ЭВМ".
Есть также отдельное требование по регистрации событий входа в ОС.
У кого-нибудь есть понимание, что хотели авторы первого требования и, как это реализовано в Linux?

Ответить | Сообщить модератору

да нанять специалиста , ыы (?), 15:15 , 25-Май-17 (1) –2
> Приветствую,
> заполняю табличку по 1Г. В защищаемом контуре есть СУБД на Oracle Linux
> 7.
> Есть требование "Должна осуществляться идентификация терминалов, ЭВМ, узлов сети ЭВМ".
> Есть также отдельное требование по регистрации событий входа в ОС.
> У кого-нибудь есть понимание, что хотели авторы первого требования и, как это
> реализовано в Linux?
да.
нанять специалиста.
сообщить модератору –2 +/– ответить
Халявно и по-лоховски - через MAC-адреса, то есть свитч должен за ними следить , ACCA (ok), 22:51 , 25-Май-17 (2)
> У кого-нибудь есть понимание, что хотели авторы первого требования и, как это
> реализовано в Linux?
Халявно и по-лоховски - через MAC-адреса, то есть свитч должен за ними следить. Более серьёзно - через Kerberos, когда действительно идентифицируешь экземпляр ОС.
сообщить модератору +/– ответить

Так сертифицируют свичи или сервер с СУБД Оракл Свичи и вообще внешнее оборудо, ыы (?), 08:57 , 26-Май-17 (3)
>> У кого-нибудь есть понимание, что хотели авторы первого требования и, как это
>> реализовано в Linux?
> Халявно и по-лоховски - через MAC-адреса, то есть свитч должен за ними
> следить. Более серьёзно - через Kerberos, когда действительно идентифицируешь экземпляр
> ОС.
Так сертифицируют свичи или сервер с СУБД Оракл? Свичи (и вообще внешнее оборудование) включены в эту сертификацию?
Вы когда нибудь эту сертификацию проходили или это вы по наитию придумали?
И к стати более серьезно - то на той стороне может и не быть "экземпляра ОС". Есть оборудование которое не имеет ОС.
сообщить модератору +/– ответить

О сертификации пока речи не было Речь шла о непонятном требовании, а именно об , Z5 (ok), 10:38 , 26-Май-17 (4) +1
>>> У кого-нибудь есть понимание, что хотели авторы первого требования и, как это
>>> реализовано в Linux?
>> Халявно и по-лоховски - через MAC-адреса, то есть свитч должен за ними
>> следить. Более серьёзно - через Kerberos, когда действительно идентифицируешь экземпляр
>> ОС.
> Так сертифицируют свичи или сервер с СУБД Оракл? Свичи (и вообще внешнее
> оборудование) включены в эту сертификацию?
> Вы когда нибудь эту сертификацию проходили или это вы по наитию придумали?
> И к стати более серьезно - то на той стороне может и
> не быть "экземпляра ОС". Есть оборудование которое не имеет ОС.
О сертификации пока речи не было. Речь шла о непонятном требовании, а именно об идентификации оборудования - Должна осуществляться идентификация терминалов, ЭВМ, узлов сети ЭВМ.
Переформулирую вопрос, как можно применить указанное требование к информационной системе (ИС)?
В составе ИС есть сервер приложений на Windows и СУБД Oracle на Linux. С ИС работают бизнес пользователи и администраторы со своих рабочих станций. Еще в защищаемом контуре есть пассивное и активное сетевое оборудование, но про них отдельный разговор.
сообщить модератору +1 +/– ответить

gt оверквотинг удален DNS - тоже идентификация , fantom (??), 13:33 , 27-Май-17 (5)
>[оверквотинг удален]
>> не быть "экземпляра ОС". Есть оборудование которое не имеет ОС.
> О сертификации пока речи не было. Речь шла о непонятном требовании, а
> именно об идентификации оборудования - Должна осуществляться идентификация терминалов,
> ЭВМ, узлов сети ЭВМ.
> Переформулирую вопрос, как можно применить указанное требование к информационной системе
> (ИС)?
> В составе ИС есть сервер приложений на Windows и СУБД Oracle на
> Linux. С ИС работают бизнес пользователи и администраторы со своих рабочих
> станций. Еще в защищаемом контуре есть пассивное и активное сетевое оборудование,
> но про них отдельный разговор.
DNS - тоже идентификация.
сообщить модератору +/– ответить
gt оверквотинг удален 802 1x macsec, тень_pavel_simple (?), 18:36 , 29-Май-17 (6)
>[оверквотинг удален]
>> не быть "экземпляра ОС". Есть оборудование которое не имеет ОС.
> О сертификации пока речи не было. Речь шла о непонятном требовании, а
> именно об идентификации оборудования - Должна осуществляться идентификация терминалов,
> ЭВМ, узлов сети ЭВМ.
> Переформулирую вопрос, как можно применить указанное требование к информационной системе
> (ИС)?
> В составе ИС есть сервер приложений на Windows и СУБД Oracle на
> Linux. С ИС работают бизнес пользователи и администраторы со своих рабочих
> станций. Еще в защищаемом контуре есть пассивное и активное сетевое оборудование,
> но про них отдельный разговор.
802.1x/macsec
сообщить модератору +/– ответить
gt оверквотинг удален _Кто_ _когда_ _откуда_ вошёл на сервер Эта информация д, ПавелС (ok), 20:26 , 31-Май-17 (7)
>[оверквотинг удален]
>> не быть "экземпляра ОС". Есть оборудование которое не имеет ОС.
> О сертификации пока речи не было. Речь шла о непонятном требовании, а
> именно об идентификации оборудования - Должна осуществляться идентификация терминалов,
> ЭВМ, узлов сети ЭВМ.
> Переформулирую вопрос, как можно применить указанное требование к информационной системе
> (ИС)?
> В составе ИС есть сервер приложений на Windows и СУБД Oracle на
> Linux. С ИС работают бизнес пользователи и администраторы со своих рабочих
> станций. Еще в защищаемом контуре есть пассивное и активное сетевое оборудование,
> но про них отдельный разговор.
_Кто_ _когда_ _откуда_ вошёл на сервер. Эта информация должна быть однозначна, и пользователь сам её не предоставляет/не подменяет.
сообщить модератору +/– ответить

gt оверквотинг удален В смысле откуда не подменяет предоставляет Например е, ПавелС (ok), 20:36 , 31-Май-17 (8)
>[оверквотинг удален]
>> именно об идентификации оборудования - Должна осуществляться идентификация терминалов,
>> ЭВМ, узлов сети ЭВМ.
>> Переформулирую вопрос, как можно применить указанное требование к информационной системе
>> (ИС)?
>> В составе ИС есть сервер приложений на Windows и СУБД Oracle на
>> Linux. С ИС работают бизнес пользователи и администраторы со своих рабочих
>> станций. Еще в защищаемом контуре есть пассивное и активное сетевое оборудование,
>> но про них отдельный разговор.
> _Кто_ _когда_ _откуда_ вошёл на сервер. Эта информация должна быть однозначна, и
> пользователь сам её не предоставляет/не подменяет.
В смысле "откуда" не подменяет/предоставляет. Например если сервер логирует IP, то надо ДНС с обратной зоной просмотра и резолвить через неё.
сообщить модератору +/– ответить

Антивирусные базы в ClamAV,

Аноним, (Блокирование спама и вирусов) 18-Май-17, 17:20 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

У меня в ClamAV обновляются следующие базы:
blurl.ndb
bofhland_cracked_URL.ndb
bofhland_malware_attach.hdb
bofhland_malware_URL.ndb
bofhland_phishing_URL.ndb
bytecode.cld
crdfam.clamav.hdb
daily.cld
foxhole_filename.cdb
foxhole_generic.cdb
hackingteam.hsb
javascript.ndb
junk.ndb
jurlbl.ndb
main.cvd
malwarehash.hsb
malwarepatrol.db
phish.ndb
phishtank.ndb
porcupine.hsb
porcupine.ndb
rfxn.hdb
rfxn.ndb
rogue.hdb
sanesecurity.ftm
Sanesecurity_sigtest.yara
Sanesecurity_spam.yara
scam.ndb
securiteinfoandroid.hdb
securiteinfoascii.hdb
securiteinfo.hdb
securiteinfohtml.hdb
securiteinfo.ign2
securiteinfopdf.hdb
sigwhitelist.ign2
spamattach.hdb
spamimg.hdb
winnow.attachments.hdb
winnow_bad_cw.hdb
winnow_extended_malware.hdb
winnow_malware.hdb
winnow_malware_links.ndb
winnow_malware.yara
winnow_phish_complete_url.ndb
yara-rules.ign2
yara-rules.yara
С логов можно просмотреть зависимость количества вирусов от времени. Например для havp выполнить команду:
zgrep -E ' ClamAV: Loaded | ClamAV: Reloaded ' /var/log/havp/error.log* |awk '{print $1" "$5}' |uniq |awk -F':' '{print $2}' |less
В теории количество вирей должно только увеличиваться. А на практике иногда уменьшается на десятки тысяч! Особо в securiteinfo.hdb
Ниже привожу изменение количества вирей от времени в моей антивирусной базе. Кто может посмотреть свои базы clamav тоже были значительные уменьшения вирей?

Ответить | Сообщить модератору

2017-05-10 пропало более 10 тысяч вирусов 201702 21 10097383201702 21 , Аноним (-), 17:23 , 18-Май-17 (1)
2017-05-10 "пропало" более 10 тысяч вирусов!!!
201702/21/    10097383
201702/21/    10098498
  201702/21/    10067302
201702/22/    10098993
201702/22/    10101892
201702/22/    10102064
201702/22/    10102576
201702/22/    10102592
201702/23/    10103117
201702/23/    10105506
201702/23/    10106059
201702/23/    10106089
201702/23/    10107039
201702/23/    10107172
201702/24/    10107172
201702/24/    10109099
201702/25/    10109149
201702/25/    10110101
201702/26/    10111646
201702/26/    10114556
201702/26/    10114902
201702/27/    10115136
  201702/27/    10115089
201702/27/    10115117
201702/27/    10116406
201702/27/    10116436
201702/27/    10117073
201702/28/    10117073
201702/28/    10117073
201702/28/    10119235
201702/28/    10119607
201703/01/    10120278
201703/01/    10121301
201703/01/    10123276
201703/01/    10123300
201703/02/    10138347
201703/02/    10141217
201703/02/    10149368
201703/02/    10149375
201703/03/    10150643
201703/03/    10158729
201703/03/    10158878
201703/04/    10158878
201703/04/    10163019
201703/04/    10163078
201703/04/    10169659
201703/04/    10173443
201703/05/    10173449
201703/05/    10161144
201703/05/    10161184
201703/05/    10161213
201703/06/    10161213
201703/06/    10161242
201703/06/    10163158
  201703/06/    10163129
  201703/07/    10163129
201703/07/    10163379
201703/08/    10163379
201703/08/    10187905
201703/08/    10198927
201703/09/    10199042
201703/09/    10206006
  201703/09/    10205968
  201703/09/    10205963
  201703/09/    10206002
  201703/10/    10206002
201703/10/    10209687
201703/10/    10210185
201703/10/    10210196
201703/10/    10210861
201703/11/    10210861
201703/13/    10210861
201703/13/    10218387
201703/13/    10218693
201703/14/    10218693
201703/14/    10220851
201703/14/    10222344
  201703/14/    10222324
  201703/15/    10222324
201703/15/    10224699
201703/15/    10227201
201703/15/    10235647
201703/16/    10235647
201703/16/    10241797
201703/16/    10241712
201703/17/    10241712
  201703/17/    10228686
201703/17/    10257331
201703/17/    10257451
201703/18/    10257451
201703/19/    10263355
201703/20/    10286999
201703/20/    10287095
201703/20/    10292679
  201703/20/    10292182
201703/20/    10292764
201703/21/    10292764
201703/21/    10294601
201703/21/    10302941
201703/22/    10302941
201703/22/    10319604
201703/22/    10320496
201703/23/    10329310
201703/23/    10331369
  201703/23/    10331259
  201703/23/    10331261
201703/24/    10335857
201703/24/    10342380
201703/24/    10348875
201703/24/    10350460
201703/25/    10350460
201703/26/    10350460
201703/27/    10350460
201703/27/    10366111
  201703/28/    10366051
201703/28/    10366729
201703/29/    10370192
201703/29/    10370195
201703/30/    10370195
201703/30/    10373149
201703/30/    10382409
201703/31/    10382409
201703/31/    10386547
201703/31/    10389205
201704/01/    10389232
201704/01/    10391005
201704/01/    10392472
201704/02/    10392472
201704/03/    10394402
201704/03/    10397396
201704/03/    10399530
  201704/03/    10399498
201704/03/    10399573
201704/04/    10399573
201704/05/    10399573
201704/05/    10400086
201704/05/    10400122
201704/05/    10414090
201704/06/    10414663
201704/06/    10414738
  201704/06/    10335068
201704/06/    10428599
201704/06/    10506932
201704/06/    10507318
201704/07/    10507318
201704/07/    10514144
201704/07/    10516293
201704/08/    10516293
201704/08/    10519434
201704/10/    10519434
201704/10/    10528309
201704/11/    10529452
201704/11/    10532756
201704/11/    10535097
201704/11/    10535294
201704/11/    10535325
201704/12/    10535325
201704/12/    10545935
201704/12/    10549488
  201704/12/    10548774
  201704/12/    10548786
  201704/13/    10548786
201704/13/    10550166
201704/13/    10551069
  201704/13/    10551048
201704/13/    10551109
201704/14/    10551109
201704/14/    10555287
  201704/14/    10555283
201704/15/    10561236
  201704/15/    10561230
201704/15/    10569216
201704/15/    10569233
  201704/15/    10569084
201704/15/    10581308
201704/16/    10581308
201704/16/    10585352
201704/17/    10585352
201704/18/    10585352
201704/19/    10586171
201704/19/    10586190
201704/19/    10673462
201704/19/    10673504
201704/20/    10673645
201704/20/    10673873
201704/20/    10673911
201704/21/    10673911
201704/22/    10676684
201704/23/    10676684
201704/24/    10676684
201704/24/    10677207
201704/25/    10677262
201704/25/    10677582
  201704/25/    10677324
  201704/26/    10677324
  201704/26/    10677359
    201704/27/    8730269
  201704/27/    10677296
  201704/28/    10677296
201704/28/    10677822
201704/29/    10677822
201704/30/    10677822
201704/30/    10677822
201704/30/    10677862
201704/30/    10681041
201705/01/    10681041
201705/02/    10681041
201705/02/    10681764
  201705/02/    10670990
  201705/03/    10670990
  201705/03/    10673983
  201705/03/    10674113
  201705/04/    10674113
  201705/04/    10674425
    201705/04/    10671202
    201705/04/    10673076
    201705/05/    10673076
    201705/05/    10673615
  201705/05/    10675399
  201705/05/    10675482
  201705/06/    10675482
  201705/07/    10675482
  201705/08/    10675482
  201705/09/    10675482
  201705/10/    10675482
  201705/10/    10675056
    201705/10/    10665236
    201705/11/    10665236
    201705/11/    10665474
    201705/12/    10665474
    201705/12/    10665750
    201705/12/    10669894
    201705/13/    10669978
    201705/14/    10669978
    201705/15/    10669978
  201705/15/    10673885
201705/15/    10674442
201705/15/    10675010
201705/16/    10675010
201705/16/    10675048
201705/17/    10675048
201705/18/    10689360
201705/18/    10689727
  201705/18/    10680532
сообщить модератору +/– ответить
https www securiteinfo com services anti-spam-anti-virus improve-detection-rat, eRIC (ok), 13:54 , 19-Май-17 (2)
> В теории количество вирей должно только увеличиваться. А на практике иногда уменьшается
> на десятки тысяч! Особо в securiteinfo.hdb
https://www.securiteinfo.com/services/anti-spam-anti-virus/i...
сообщить модератору +/– ответить

Централизованное управление сертификатами Let`s Encrypt,

pas9x, (Шифрование, SSH, SSL / Другая система) 05-Май-17, 21:09 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Привет опеннет.
Как известно, есть такой сервис под названием Let`s Encrypt (назовём его LE). Сервис предоставляет бесплатные SSL-сертификаты сроком на 3 месяца. И всё-бы хорошо, еслиб не одна проблемка: юзабилити сервиса нулевое. Причём удобство не просто нулевое, у меня складывается впечатление, что авторы LE целенаправленно усложнили жизнь и пользователям сертификатов и разработчикам. На данный момент почти все администраторы используют LE либо посредством консоли (certbot), либо в веб-интерфейсе панели управления хостингом (ISPmanager, VestaCP), или-же используют ещё какие-то костыли. Всё это неудобно. Люди традиционно привыкли заказывать сертификат в веб-панели, на длительный срок, с поддоменом www, с поддержкой wildcard и прочими удобствами. Всего этого у Let`s Encrypt нет и это нужно исправить хотябы частично. Потому я решил написать веб-панель в которой-бы можно было управлять сертификатами LE максимально комфортно.
Скриншот: http://savepic.ru/13852951.htm
Панелька написана на PHP и легко устанавливается почти на любой веб-хостинг, так-же как обычная CMS. Исходники панели открыты, получить их можно на гитхабе: https://github.com/pas9x/justencrypt1
Официальный сайт проекта находится по адресу: http://pascalhp.net/justencrypt/
Здесь-же можно скачать последнюю версию дистрибутива и почитать мануалы.
Можете скачивать, устанавливать и пользоваться. Если у вас возникнут какие-то проблемы - обращайтесь по контактам указанным на сайте. В случае, если найдутся какие-то ошибки/баги - будет выпущена обновлённая версия. Что касается надёжности/стабильности/долговечности: заниматься проектом буду долго, панель будет дорабатываться и развиваться. Если есть какие-то вопросы/пожелания - готов ответить :)

Ответить | Сообщить модератору

Если бы авторы LE усложнили жизнь разработчикам, вряд ли бы вы легко и непринужд, PavelR (??), 22:17 , 05-Май-17 (1) +2
> Причём удобство не просто нулевое, у меня складывается впечатление, что авторы LE
> целенаправленно усложнили жизнь и пользователям сертификатов и разработчикам.
Если бы авторы LE усложнили жизнь разработчикам, вряд ли бы вы легко и непринужденно наваяли бы свою панель.
> На данный момент почти все администраторы используют LE либо посредством консоли
>(certbot), либо в веб-интерфейсе панели управления хостингом (ISPmanager, VestaCP),
> или-же используют ещё какие-то костыли. Всё это неудобно.
Что именно неудобно? Можете ответить конкретно, аргументированно?
> Люди традиционно привыкли...
...платить за сертификаты. Вы это исправить не запланировали?
...менять сертификаты вручную раз в ... Может быть ваша панель исправляет это?
> заказывать сертификат в веб-панели, на длительный срок, с
> поддоменом www, с поддержкой wildcard и прочими удобствами.
С какими такими удобствами заказывается сертификат в веб-панелях?
Я как-то их там особо не замечал. Сначала где-то CSR составь, залей его в панель, получи файл верификации и потом залей на свой сервер вручную, дождись пока тебя проверят, скачай сертификат - это называется удобство?
Не встречал проблем с получением поддомена www в случае использования LE.
И поддержку wildcard вы не реализуете тоже.
Так какие такие актуальные проблемы решает ваша панель?
Я не говорю, что никаких проблем у LE нет.
Они есть, но для меня ваша панель вряд ли станет инструментом, решающим эти проблемы.
На мой взгляд, как раз таки лезть в какую-то веб-панель для заказа сертификата - это и есть неудобно. При этом неважно, ваша ли это панель или панель центра выдачи сертификатов.
> Всего этого у Let`s Encrypt нет и это нужно исправить хотябы частично. Потому я
> решил написать веб-панель в которой-бы можно было управлять сертификатами LE максимально
> комфортно.
Что значит - управлять сертификатами? Для меня управление сертификатами заканчивается сразу по окончанию конфигурации веб-сервера - дальше всё делает автоматика.
В чем обещанный комфорт? В том, что для получения сертификата надо дать панели рутовый доступ к серверу и вбить еще пяток параметров?
Какие актуальные задачи/проблемы решает ваша панель?
На мой взгляд, вписать _одну_ нужную строчку (список хостов сертификата) в файлик со списком сертификатов и выполнить _одну_ простую команду в консоли - гораздо проще, чем лезть в какую-либо панель.
Цитата из документации Панели:
>Предполагается, что в конфигах веб-сервера уже прописаны пути к файлам сертификата. В
>панели JustEncrypt вам нужно указать путь к файлу в который будет сохранён сертификат.
Интересное предположение. Т.е. на момент того, как админ лезет в панель:
- конфиги веб-сервера таки необходимо поправить;
- конфиги веб-сервера в это время являются сломанными, т.к. ссылаются на несуществующий файл сертификата.
Отличное решение, не находите?
Если конфиги веб-сервера необходимо править, значит ты уже в консоли сервера.
В этой же консоли прекрасно добавляется одна строка в нужный файл конфигурации (certbot или кто там что использует), выполняется одна консольная команда и всё - сертификат получен и лежит в стандартном ожидаемом месте со стандартным ожидаемым именем.
При этом не надо лезть ни в какие панели и увеличивать пробег мыши с непонятными целями.
Позиционирование вашей панели также какое-то странное:
>Важно: панель JustEncrypt предназначена для системных администраторов имеющих опыт работы
>с сервером по SSH и опыт настройки веб-сервера путём правки конфигов. Если вы не умеете
>настраивать конфиги веб-сервера, то сначала нужно этому научиться.
ИМХО, тем кто это всё умеет - ваша панель полезной не будет.
Если те, кто это всё умеют - пользуются прямым входом аккаунтом root по SSH ... да еще и соглашаются вбить рут-пароль в какую-то панель, которая потом положит его в MySQL.... нунизнаю.
Я в целом не против вашей панели и вашего труда.
Своих пользователей оно наверняка найдет, на opennet они толпами ходят.
Но вот ваши исходные предпосылки, аргументация и, отчасти, само решение - лично меня не убедили.
сообщить модератору +2 +/– ответить

Я написал её не легко и непринуждённо Был большой геморрой с протоколом ACME ко, pas9x (ok), 00:45 , 06-Май-17 (3) –1
> Если бы авторы LE усложнили жизнь разработчикам, вряд ли бы вы легко
> и непринужденно наваяли бы свою панель.
Я написал её не легко и непринуждённо. Был большой геморрой с протоколом ACME которому не соответствует их-же собственная реализация boulder.
> Что именно неудобно? Можете ответить конкретно, аргументированно?
У меня много серверов. Неудобно на каждом из них ставить LE-клиента и следить за корректностью работы сертификатов. Неудобно на куче серверов его обновлять. Мне проще чтобы сертификаты на всех серверах управлялись из единого центра.
> ...платить за сертификаты. Вы это исправить не запланировали?
> ...менять сертификаты вручную раз в ... Может быть ваша панель исправляет это?
Вы-бы прежде чем критиковать поинтересовались что это за программа да почитали мануалы. Именно это она и исправляет. Панель по крону автоматически обновляет все сертификаты срок действия которых подходит к концу. И после перевыпуска обновляет их на серверах.
> Так какие такие актуальные проблемы решает ваша панель?
Проблему отсутствия веб-интерфейса. Когда у тебя куча серверов и веб-панелей то уследить за нормальной работой https на всех серверах становится сложно. Проще рулить всем из веб-интерфейса.
> На мой взгляд, как раз таки лезть в какую-то веб-панель для заказа
> сертификата - это и есть неудобно. При этом неважно, ваша ли
> это панель или панель центра выдачи сертификатов.
Ну это ваше личное мнение которое не совпадает с моим и мнением других администраторов которым нужна эта панель.
> Что значит - управлять сертификатами? Для меня управление сертификатами заканчивается
> сразу по окончанию конфигурации веб-сервера - дальше всё делает автоматика.
А у меня нет. Дальше на куче серверов перестаёт работать LE-клиент потому что разрабы LE поменяли протокол и шуруй обновлять клиента на каждом сервере.
> В чем обещанный комфорт? В том, что для получения сертификата надо дать
> панели рутовый доступ к серверу и вбить еще пяток параметров?
> Какие актуальные задачи/проблемы решает ваша панель?
Я уже всё объяснил, в том числе на сайте панели.
> Интересное предположение. Т.е. на момент того, как админ лезет в панель:
> - конфиги веб-сервера таки необходимо поправить;
> - конфиги веб-сервера в это время являются сломанными, т.к. ссылаются на несуществующий
> файл сертификата.
Да, представьте себе, ссылаются. Потому что без проблем можно прописать путь к сертификату в конфиге, и выпустить сертификат в панели с последующей перезагрузкой веб-сервера.
Извините, на ваш троллинг отвечать я больше не собираюсь, поскольку очевидно, что ваша задача в данном топике - всячески обосрать мою разработку.
сообщить модератору –1 +/– ответить

Мне жаль людей, которым приходится днями и ночами сидеть и втыкать в веб-панель,, PavelR (??), 06:09 , 06-Май-17 (5) +1
>Проблему отсутствия веб-интерфейса. Когда у тебя куча серверов и веб-панелей то уследить за
>нормальной работой https на всех серверах становится сложно. Проще рулить всем из
>веб-интерфейса.
Мне жаль людей, которым приходится днями и ночами сидеть и втыкать в веб-панель, чтобы следить за нормальной работой https на всех своих трех серверах.
LE сделал весьма человеческое уведомление в случае, если автоматика админа не поменяла сертификат, и отправляет его на E-Mail. Этого достаточно для того, чтобы уследить за сроком действия сертификата.
Для контроля за нормальной работой https в целом у нормальных админов есть система мониторинга.
>Извините, на ваш троллинг отвечать я больше не собираюсь, поскольку очевидно, что ваша
>задача в данном топике - всячески обосрать мою разработку.
Рано вы в своих комментариях на г-но изошли.
сообщить модератору +1 +/– ответить
я правильно понимаю, что панель находится гдето в инете, а сами сервера которыми, ыы (?), 11:20 , 06-Май-17 (7) +1
> Проблему отсутствия веб-интерфейса. Когда у тебя куча серверов и веб-панелей то уследить
> за нормальной работой https на всех серверах становится сложно. Проще рулить
> всем из веб-интерфейса.
я правильно понимаю, что панель находится гдето в инете, а сами сервера которыми вы управляете- тоже раскиданы гдето по просторам интернета, на разных хостингах, с разными конфигурациями, разным набором софта и разными веб-серверами?
каким образом ваша веб-панель лазит на эти сервера? какие права она требует для своей работы на этих серверах? где и как она хранит учетные данные для такового доступа?
я правильно понимаю что для работы такой панели у PHP должен быть разрешен exec?
сообщить модератору +1 +/– ответить

Правильно Но не обязательно так Если у хостера свой ДЦ то и управление сервера, pas9x (ok), 12:10 , 06-Май-17 (9)
> я правильно понимаю, что панель находится гдето в инете, а сами сервера
> которыми вы управляете- тоже раскиданы гдето по просторам интернета, на разных
> хостингах, с разными конфигурациями, разным набором софта и разными веб-серверами?
Правильно. Но не обязательно так. Если у хостера свой ДЦ то и управление серверами внутри его сети. И панельку компания естественно поставит где-то внутри своей сети.
> каким образом ваша веб-панель лазит на эти сервера? какие права она требует
> для своей работы на этих серверах? где и как она хранит
> учетные данные для такового доступа?
Уважаемый, всё ведь подробно расписано в мануалах :) Панель подключается к внешним серверам по SSH. Не обязательно вбивать в панель рутовый логин+пароль, можно и пользовательский. Просто при юзерском доступе чуть сложнее будет перезагрузить веб-сервер, но это тоже мелочи жизни.
> я правильно понимаю что для работы такой панели у PHP должен быть
> разрешен exec?
Не совсем понял суть вашего вопроса. В PHP есть функция exec(), вот документация к ней: http://php.net/manual/en/function.exec.php
Если вы об этой функции - неправильно. Эта функция нигде в панели не используется. Хотя если-бы и использовалась то всёравно не вижу в этом проблемы. После загрузки сертификата на ваш сервер по SSH панель (опционально) может выполнить на вашем сервере какую-нибудь команду, например service httpd reload, чтобы сервер подхватил обновлённый сертификат.
Вы можете установить панель на небольшую VPS-ку внутри сети, закрыть ей доступ в интернет и не беспокоиться что злой разработчик внедрит в неё бекдор и украдёт ваши пароли. Кроме того исходники ведь открыты.
сообщить модератору +/– ответить
Веб-приложение т е php-скрипты работают под обычным пользовательским аккаунто, pas9x (ok), 12:18 , 06-Май-17 (10)
> какие права она требует
> для своей работы на этих серверах? где и как она хранит
> учетные данные для такового доступа?
Веб-приложение (т.е. php-скрипты) работают под обычным пользовательским аккаунтом так-же как CMS на обычном веб-хостинге. А чтобы панель сама продлевала/выгружала сертификаты нужно поставить на ежедневный запуск файл cron.php.
Пароли к внешним SSH-серверам хранятся в локальной sqlite-базе в зашифрованном виде (алгоритм AES-256).
И да, всё это уже написано в мануалах которые никто упорно не хочет читать :) Возможно с первого взгляда они не совсем понятны; постараюсь написать их более понятным языком. http://pascalhp.net/justencrypt/index.php?p=manual
сообщить модератору +/– ответить

Не могу взять в толк, о каких конкретно проблемах LE вы толкуете, а уж, тем боле, xm (ok), 23:26 , 05-Май-17 (2)
Не могу взять в толк, о каких конкретно проблемах LE вы толкуете, а уж, тем более, сложностях в выпуске, установке и обновлении. Уж тут всё автоматизировано донельзя.
Разве что отсутствие GUI можно отнести к проблеме.
Ограничения же есть. Они разумны и понятны. Можете принимать их или нет - вопрос ваш.
По опыту же достаточно один раз установить клиент ACME (выбор тут теперь богатый) настроить сервер(ы), выпустить сертификат и добавить в cron команду запуска обновления и забыть про этот вопрос.
сообщить модератору +/– ответить

При большом количестве серверов сайтов становится проще рулить сертификатами из , pas9x (ok), 00:49 , 06-Май-17 (4)
> Не могу взять в толк, о каких конкретно проблемах LE вы толкуете,
> а уж, тем более, сложностях в выпуске, установке и обновлении. Уж
> тут всё автоматизировано донельзя.
При большом количестве серверов/сайтов становится проще рулить сертификатами из одного места. Когда сертификатов много - мне больше нравится веб-интерфейс чем консоль. Кроме того, консольный LE-клиент иногда ломается (когда авторы LE меняют протокол) и становится нужным обновлять клиента на всех серверах, что не очень-то удобно. Проще обновить одну панель чем обновлять клиента на всех серверах. Это особенно актуально, например, для хостинг-провайдеров имеющих большое количество разных веб-панелек.
сообщить модератору +/– ответить

Вы забыли взять слова хостинг-провайдеров в кавычки , PavelR (??), 06:12 , 06-Май-17 (6) +1
>> Не могу взять в толк, о каких конкретно проблемах LE вы толкуете,
>> а уж, тем более, сложностях в выпуске, установке и обновлении. Уж
>> тут всё автоматизировано донельзя.
> При большом количестве серверов/сайтов становится проще рулить сертификатами из одного
> места. Когда сертификатов много - мне больше нравится веб-интерфейс чем консоль.
> Кроме того, консольный LE-клиент иногда ломается (когда авторы LE меняют протокол)
> и становится нужным обновлять клиента на всех серверах, что не очень-то
> удобно. Проще обновить одну панель чем обновлять клиента на всех серверах.
> Это особенно актуально, например, для хостинг-провайдеров имеющих большое количество
> разных веб-панелек.
Вы забыли взять слова "хостинг-провайдеров" в кавычки.
сообщить модератору +1 +/– ответить

Спасибо, поглядим, Вася (??), 11:56 , 06-Май-17 (8)
Спасибо, поглядим
сообщить модератору +/– ответить

ненужно, Аноним (-), 16:36 , 06-Май-17 (11)
ненужно

сообщить модератору +/– ответить
Конечно, может кому и пригодиться, но вот по поводу удобства, это вы зря Всё о, shadow_alone (ok), 11:28 , 07-Май-17 (13)
Конечно, может кому и пригодиться, но вот по поводу удобства, это вы зря...
Всё отлично сделали,а если у кого-то руки из **** растут, так что он не может все это дело автоматизировать, то, я думаю, это проблема кривизны его рук.
сообщить модератору +/– ответить

IP не хотят удалять из черного списка barracudacentral.org,

propeller25, (Блокирование спама и вирусов / Linux) 20-Фев-17, 09:18 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Доброго времени!
Есть ip 94.180.122.4 На нем висит почтовый сервер на postfix.
Записи в зоне и обратная ptr запись имеются.
На некоторые домены не отправляется почта и приходит ответ, что мой айпи в блеклисте barracudacentral.org
Несколько раз отсылал им запросы на удаление из базы - все в пустую! репутация poor и все тут.
На мои фидбеки они тоже не отвечают(
Проверил ip на openrelay - отрицательно.
Правилом закрыл отправку на 25, 587 и 465 порты кроме почтовика.

Помогите, пожалуйста разобраться в чем причина.

Ответить | Сообщить модератору

Возможно не нравится, слово PPPOE в имени блока Типа динамический пул inetnum , hostmaster (??), 10:26 , 20-Фев-17 (1)
Возможно не нравится, слово PPPOE в имени блока. Типа динамический пул.
inetnum: 94.180.120.0 - 94.180.127.255
netname: ERTH-NSK-PPPOE-5-NET
Почтовик еще в sorbs, от туда выписываться можно бесконечно долго. Попробуйте через провайдера, возможно они как владельцы адресации помогут.
сообщить модератору +/– ответить

А больше нет вариантов Я конечно созвонюсь с провом, если это единственная пр, propeller25 (ok), 10:34 , 20-Фев-17 (2)
> Возможно не нравится, слово PPPOE в имени блока. Типа динамический пул.
> inetnum:        94.180.120.0 - 94.180.127.255
> netname:        ERTH-NSK-PPPOE-5-NET
> Почтовик еще в sorbs, от туда выписываться можно бесконечно долго. Попробуйте через
> провайдера, возможно они как владельцы адресации помогут.
А больше нет вариантов?   Я конечно созвонюсь с провом, если это единственная правда.

сообщить модератору +/– ответить

А в общем то все эти блэклисты только на письма ноков провайдера и реагируют И , stalker37 (ok), 23:52 , 20-Фев-17 (3)
А в общем то все эти блэклисты только на письма ноков провайдера и реагируют. И то в зависимости от погоды на марсе
сообщить модератору +/– ответить

А подскажите подробнее, пожалуйста Как составлять разговор с провайдером Можно , propeller25 (ok), 05:46 , 21-Фев-17 (4)
> А в общем то все эти блэклисты только на письма ноков провайдера
> и реагируют. И то в зависимости от погоды на марсе
А подскажите подробнее, пожалуйста. Как составлять разговор с провайдером?
Можно по шагам. 1, 2, 3. Что ему говорить? Чтобы что сделал? Если сменить имя, то на какое именно?
Спасибо огромное за помощь!
сообщить модератору +/– ответить

Имя у Вас кошерное4 122 180 94 in-addr arpa name mail2 sdprint ru А так , stalker37 (ok), 23:10 , 21-Фев-17 (5)
>> А в общем то все эти блэклисты только на письма ноков провайдера
>> и реагируют. И то в зависимости от погоды на марсе
> А подскажите подробнее, пожалуйста. Как составлять разговор с провайдером?
> Можно по шагам. 1, 2, 3.   Что ему говорить? Чтобы
> что сделал?  Если сменить имя, то на какое именно?
> Спасибо огромное за помощь!
Имя у Вас кошерное
4.122.180.94.in-addr.arpa       name = mail2.sdprint.ru.
А так просто опишите проблему админам провайдера и если они адекватные то поймут о чём речь и помогут. ну или напишите  официальное письмо с описанием проблемы и просьбой помочь с её решением.
сообщить модератору +/– ответить

Написал письмо Получил ответ -----------------------------------------------Добр, propeller25 (ok), 08:32 , 22-Фев-17 (6)

> Имя у Вас кошерное
> 4.122.180.94.in-addr.arpa       name = mail2.sdprint.ru.
> А так просто опишите проблему админам провайдера и если они адекватные то
> поймут о чём речь и помогут. ну или напишите  официальное
> письмо с описанием проблемы и просьбой помочь с её решением.
Написал письмо.
Получил ответ:
-----------------------------------------------
Добрый день!
Изменение имени сети никак не повлияет на нахождение ее с базах динамических IP, т.к. ресурсы считают таковыми все сети, где нет корректной, резолвящейся в существующий домен PTR-записи.
Сейчас PTR сети 94.180.122.0/24 указана х.х.х.х.static-business.nsk.ertelecom.ru

Запрос на удаление был направлен на ресурс, как правило обрабатывается он в течение 24-48 часов.
Просьба по истечении этого времени повторно проверить отправку почты, в случае ошибок так же просим Вас приложить автоответ (NDR).
Спасибо!
-----------------------------------------------------
И какая разница кто нажмет на "removal"  на сайте у баракуды? Я или провайдер.
Просят приложить автоответ  NDR.  А в нем не указана причина блокировки.
Как быть дальше?
сообщить модератору +/– ответить

Провайдер может сделать учетки в крупные базы типа спамхаус, сорбс, барракуда и , hostmaster (??), 12:48 , 22-Фев-17 (7)
Провайдер может сделать учетки в крупные базы типа спамхаус, сорбс, барракуда и добавить в личном кабинете свои блоки адресов. Для этих блоков можно указать как они используются: статика - фикс.каналы, и динамика типа nat,pppoe,dhcp. После этого репутация у динамических пулов будет плохая и никакие корректные PTR, отсутствие жалоб на спам не помогут.
Проблему можно решать по-разному:
-попросить админа сервера получателя не фильтровать ваши письма.
-пересылать письма через другой релей.
-сменить IP адрес своего почтовика.
-ничего не делать.
сообщить модератору +/– ответить

Ааа Значит таки у провайдера свои методы удаления IP из блеклистов Все ясно,, propeller25 (ok), 12:53 , 22-Фев-17 (8)
> Провайдер может сделать учетки в крупные базы типа спамхаус, сорбс, барракуда и
> добавить в личном кабинете свои блоки адресов. Для этих блоков можно
> указать как они используются: статика - фикс.каналы, и динамика типа nat,pppoe,dhcp.
> После этого репутация у динамических пулов будет плохая и никакие корректные
> PTR, отсутствие жалоб на спам не помогут.
> Проблему можно решать по-разному:
> -попросить админа сервера получателя не фильтровать ваши письма.
> -пересылать письма через другой релей.
> -сменить IP адрес своего почтовика.
> -ничего не делать.
Ааа. Значит таки у провайдера свои методы удаления IP из блеклистов. Все ясно, почему они мне так ответили. Тогда нужно подождать эти 48 часов, как они пишут.
Спасибо огромное за разъяснения!!! Очень помогаете мне.
сообщить модератору +/– ответить

В итоге так ничего и не пофиксили А как можно быстро посмотреть логи постфикса н, propeller25 (ok), 06:03 , 27-Фев-17 (9)
>> Проблему можно решать по-разному:
>> -попросить админа сервера получателя не фильтровать ваши письма.
>> -пересылать письма через другой релей.
>> -сменить IP адрес своего почтовика.
>> -ничего не делать.
> Ааа.  Значит таки у провайдера свои методы удаления IP из блеклистов.
>  Все ясно, почему они мне так ответили.  Тогда нужно
> подождать эти 48 часов, как они пишут.
> Спасибо огромное за разъяснения!!!  Очень помогаете мне.
В итоге так ничего и не пофиксили.
А как можно быстро посмотреть логи постфикса на спам?  Может учетку чью-то взломали и спам все-же есть.

А еще у меня не прописана SPF запись.  Это как-то может повлиять на блэклисты?

сообщить модератору +/– ответить

gt оверквотинг удален После недельной переписки с провайдером все пофиксили Н, propeller25 (ok), 07:25 , 01-Мрт-17 (10)
>[оверквотинг удален]
>>> -пересылать письма через другой релей.
>>> -сменить IP адрес своего почтовика.
>>> -ничего не делать.
>> Ааа.  Значит таки у провайдера свои методы удаления IP из блеклистов.
>>  Все ясно, почему они мне так ответили.  Тогда нужно
>> подождать эти 48 часов, как они пишут.
>> Спасибо огромное за разъяснения!!!  Очень помогаете мне.
> В итоге так ничего и не пофиксили.
> А как можно быстро посмотреть логи постфикса на спам?  Может учетку
> чью-то взломали и спам все-же есть.
После недельной переписки с провайдером все пофиксили. Но пров не признается как он это сделал).  Спасибо всем, кто помогал мне, огромное!

сообщить модератору +/– ответить

Но пров не признается как он это сделал Когда я убил несколько месяцев переписки, Pahanivo (ok), 15:49 , 29-Мрт-17 (11)
Но пров не признается как он это сделал.
Когда я убил несколько месяцев переписки с sorbs чтобы вытащить от туда блок /19 у меня не было желания об этом рассказывать, но было жуткое желание матерится и убивать ...

сообщить модератору +/– ответить

несколько исключений в правило iptables,

gremlintv32, (Linux iptables, ipchains / Linux) 11-Фев-17, 19:20 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

как добавить сразу несколько исключений в правило iptables?
Допустим, есть правило:
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 ! -d 192.168.2.0/24 -o eth0 -j MASQUERADE
как в него добавить еще один диапазон(допустим 172.16.0.0/16) после -d?
Пишут что можно как-то через -j RETURN, но пока не нашел толкового примера

Ответить | Сообщить модератору

А что, без примеров уже совсем никак , PavelR (??), 20:41 , 11-Фев-17 (1)
> Пишут что можно как-то через -j RETURN, но пока не нашел толкового
> примера
А что, без примеров уже совсем никак?
сообщить модератору +/– ответить

Ну нубье я в iptables, что еще сказать в свое оправдание Вам оно как 2 пакета, gremlintv32 (ok), 21:00 , 11-Фев-17 (2)
>> Пишут что можно как-то через -j RETURN, но пока не нашел толкового
>> примера
> А что, без примеров уже совсем никак?
Ну нубье я в iptables, что еще сказать в свое оправдание )))
Вам оно как 2 пакета переслать, а мне нужно еще посидет, поварить котелком для этого))
сообщить модератору +/– ответить
Ну допустим я создал пользовательскую цепочку locals iptables -N localsДопустим, gremlintv32 (ok), 22:47 , 11-Фев-17 (3)
>> Пишут что можно как-то через -j RETURN, но пока не нашел толкового
>> примера
> А что, без примеров уже совсем никак?
Ну допустим я создал пользовательскую цепочку 'locals'
iptables -N locals
Допустим создал несколько return целей для этой цепочки
iptables -A locals -d 172.16.0.0/16 -j RETURN
iptables -A locals -d 192.168.0.0/16 -j RETURN
Как мне теперь "впихнуть" их:
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 ! -> ВОТ ТУТ -< -o eth0 -j MASQUERADE
?
сообщить модератору +/– ответить

gt оверквотинг удален Вот без примера действительно уж никак Незнаю сколько бы, gremlintv32 (ok), 00:06 , 12-Фев-17 (4)
>[оверквотинг удален]
>> А что, без примеров уже совсем никак?
> Ну допустим я создал пользовательскую цепочку 'locals'
> iptables -N locals
> Допустим создал несколько return целей для этой цепочки
> iptables -A locals -d 172.16.0.0/16 -j RETURN
> iptables -A locals -d 192.168.0.0/16 -j RETURN
> Как мне теперь "впихнуть" их:
> iptables -t nat -A POSTROUTING -s 10.0.0.0/24 ! -> ВОТ ТУТ -<
> -o eth0 -j MASQUERADE
> ?
Вот без примера действительно уж никак.
Незнаю сколько бы у меня ушло времени, чтобы понять эти "дебри".
И за это, отдельное спасибо товарищу с импортного форума.
Теперь все работает как я и хотел:
   #создаем цепочку в таблице nat с названием locals
   iptables -N locals -t nat
   # "направляем" все ip сети 10.0.0.0/24 цепочки POSTROUTING в цепочку locals
   iptables -A POSTROUTING -t nat -s 10.0.0.0/24 -j locals
   # прекращаем обработку в цепочке locals всего что ломаеться на адреса  диапазонов        172.16.0.0/16 и 192.168.0.0/16
   iptables -A locals -t nat -d 172.16.0.0/16 -j RETURN
   iptables -A locals -t nat -d 192.168.0.0/16 -j RETURN
   # и наконец маскарадинг "подходящих" запросов на 0.0.0.0/0
   iptables -A locals -t nat -o eth0 -j MASQUERADE
Вроде бы все правильно понял. А если нет - сильно не пинайте, только учусь :)
сообщить модератору +/– ответить

в данном случае цепочки лишнее iptables -t nat -A POSTROUTING -s 10 0 0 0 24 -d , reader (ok), 22:15 , 17-Фев-17 (5)
в данном случае цепочки лишнее
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -d 172.16.0.0/16 -o eth0 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -d 192.168.0.0/16 -o eth0 -j ACCEPT
# NAT для всего остального что выходит от нас, что бы провайдер не ругался,
# но не забываем об INVALID
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
сообщить модератору +/– ответить

ipsec на мосту,

Trasv, (VPN, IPSec / OpenBSD) 12-Фев-17, 11:43 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день!
Создал на основе двух OpenBSD6 сетевой мост между двумя зданиями. Все прекрасно, сеть без проблем, DHCP сервер и BOOTPC работают через мост без проблем. Подскажите, где прочитать или найти гайд по настройке IPSec на сетевом мосту. Все что я находил в сети относится к двум разным сетям и прочим NAT. У меня же просто одно сеть один большой диапазон. Хотелось бы такой же прозрачности на сетевом мосту, только с шифрованием.

Ответить | Сообщить модератору

Эка загнул Придеться тогда извращаться и делать инкапсуляцию, если вы L2 хоти, shadow_alone (ok), 13:19 , 12-Фев-17 (1)
Эка загнул...
Придеться тогда извращаться и делать инкапсуляцию, если вы L2 хотите в ipsec засунуть.
сообщить модератору +/– ответить

У меня пока нет понимания, как это должно работать IPSec туннель между двумя O, Trasv (?), 15:26 , 12-Фев-17 (2)
> Эка загнул...
> Придеться тогда извращаться и делать инкапсуляцию, если вы L2 хотите в
> ipsec засунуть.
У меня пока нет понимания, как это должно работать. IPSec туннель между двумя OpenBSD ставится вообще без проблем, кучей разных способов. Но как добиться того, чтобы широковещалки и dhcp запросы проходили прозрачно и пинги бегали.
сообщить модератору +/– ответить

Сделай туннель, такой чтобы широковещалки и dhcp запросы проходили прозрачно и , PavelR (??), 09:30 , 13-Фев-17 (3)
>> Эка загнул...
>> Придеться тогда извращаться и делать инкапсуляцию, если вы L2 хотите в
>> ipsec засунуть.
> У меня пока нет понимания, как это должно работать. IPSec туннель
> между двумя OpenBSD ставится вообще без проблем, кучей разных способов. Но
> как добиться того, чтобы широковещалки и dhcp запросы проходили прозрачно и
> пинги бегали.
Сделай туннель, такой "чтобы широковещалки и dhcp запросы проходили прозрачно и
пинги бегали". Затем заверни трафик туннеля в IPSec.
сообщить модератору +/– ответить

Каким образом трафик в туннель завернуть Через pf route-to или через статичес, Trasv (?), 07:02 , 15-Фев-17 (4)

> Сделай туннель, такой "чтобы широковещалки и dhcp запросы проходили прозрачно и
> пинги бегали". Затем заверни трафик туннеля в IPSec.
Каким образом трафик в туннель завернуть? Через pf (route-to) или через статические маршруты?
сообщить модератору +/– ответить

как-то эти буквы не сочетаются со словами широковещалки Я не опенбсдшник, но с, PavelR (??), 22:02 , 15-Фев-17 (5)
>> Сделай туннель, такой "чтобы широковещалки и dhcp запросы проходили прозрачно и
>> пинги бегали". Затем заверни трафик туннеля в IPSec.
> Каким образом трафик в туннель завернуть? Через pf (route-to) или через статические
> маршруты?
как-то эти буквы не сочетаются со словами "широковещалки".
Я не опенбсдшник, но схема такая:
1) https://www.google.com/#q=openbsd+bridge+tunnel
2) http://man.openbsd.org/etherip.4
По второй ссылке расписано требуемое вам решение.

сообщить модератору +/– ответить

Да, спасибо Сейчас с ipsec разбираюсь По мануалу, что по ссылке, как только по, Trasv (?), 20:28 , 16-Фев-17 (6)

> 2) http://man.openbsd.org/etherip.4
> По второй ссылке расписано требуемое вам решение.
Да, спасибо. Сейчас с ipsec разбираюсь. По мануалу, что по ссылке, как только поднимается ipsec туннель, etherip разваливается. Буду искать причину.
сообщить модератору +/– ответить

В моем понимании это означает, что ipsec не подымается , PavelR (??), 21:13 , 16-Фев-17 (7)
>> 2) http://man.openbsd.org/etherip.4
>> По второй ссылке расписано требуемое вам решение.
> Да, спасибо. Сейчас с ipsec разбираюсь. По мануалу, что по ссылке, как
> только поднимается ipsec туннель, etherip разваливается. Буду искать причину.
В моем понимании это означает, что ipsec не подымается.
сообщить модератору +/– ответить

Если использовать, по мануалу, ipsec conf типа статикesp from 1 2 3 4 to 4 3 2 1, Trasv (?), 23:04 , 16-Фев-17 (8)
>>> 2) http://man.openbsd.org/etherip.4
>>> По второй ссылке расписано требуемое вам решение.
>> Да, спасибо. Сейчас с ipsec разбираюсь. По мануалу, что по ссылке, как
>> только поднимается ipsec туннель, etherip разваливается. Буду искать причину.
> В моем понимании это означает, что ipsec не подымается.
Если использовать, по мануалу, ipsec.conf типа статик
esp from 1.2.3.4 to 4.3.2.1 spi 0x4242:0x4243 \
        authkey file "xxxx:yyyy" enckey file "xxx.enc1:xxx.enc2"
flow esp proto etherip from 1.2.3.4 to 4.3.2.1

то в etherip не идут пакеты, те фактически IPSec не работает и соответственно все внешнии соединения
рвутся.
Но при использовании второго варианта с isakmpd
ike esp proto etherip from 1.2.3.4 to 4.3.2.1
ike passive esp proto etherip from 4.3.2.1 to 1.2.3.4
все отлично работает(просто нужно было добавить passive и скопировать ключи). Шифрованный туннель работает прекрасно. Почему не работает первый вариант я так и не понял. Надо попробовать еще раз.

сообщить модератору +/– ответить

Сервер CentOS заражен вирусом gozi?,

Witali, (Безопасность системы / Другая система) 07-Фев-17, 14:44 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Есть выделенный сервер под CentOS 6 - Minimal.
Его IP оказался в черном списке CBL с формулировкой "This IP is infected with, or is NATting for a machine infected with s_gozi" (полный текст ниже) и многие почтовые серверы теперь блокируют с него почту.
Предлагаемые инструменты не подходят, т.к. они по Windows, т.к. gozi заточен под Windows.
Поддержка запустила антивирус, но он ничего не нашел.
Поддержка запустила: tcpdump -nnvvXS host 87.106.18.141(тогда CBL выдавало другой адрес) -w /root/traf.pcap -c 100000
но никаких обращений к 87.106.18.141 зафиксировано не было.
А CBL говорит что активность есть: "It was last detected at 2017-02-07 01:00 GMT "
Какие будут идеи?
Полный текст:
IP Address 1.1.1.1 is listed in the CBL. It shows signs of being infected with a spam sending trojan, malicious link or some other form of botnet.
It was last detected at 2017-02-07 01:00 GMT (+/- 30 minutes), approximately 8 hours ago.
It has been relisted following a previous removal at 2017-01-20 17:55 GMT (17 days, 15 hours, 5 minutes ago)
This IP is infected with, or is NATting for a machine infected with s_gozi
Note: If you wish to look up this bot name via the web, remove the "s_" before you do your search.
This was detected by observing this IP attempting to make contact to a s_gozi Command and Control server, with contents unique to s_gozi C&C command protocols.
This was detected by a TCP/IP connection from "1.1.1.1" on port "53194" going to IP address "192.42.116.41" (the sinkhole) on port "80".
The botnet command and control domain for this connection was "ebinburg.ru".
Behind a NAT, you should be able to find the infected machine by looking for attempted connections to IP address "192.42.116.41" or host name "ebinburg.ru" on any port with a network sniffer such as wireshark. Equivalently, you can examine your DNS server or proxy server logs to references to "192.42.116.41" or "ebinburg.ru". See Advanced Techniques for more detail on how to use wireshark - ignore the references to port 25/SMTP traffic - the identifying activity is NOT on port 25.
Please note that some of the above quoted information may be empty ("") or "na" or "-". In those cases, the feed has declined or is unable to give us that information. Hopefully enough information will be present to allow you to pinpoint the connections. If not, the destination ports to check are usually port 80, 8080, 443 or high ports (around 16000) outbound from your network. Most of these infections spray these connections in high volume, and they should stand out.
This detection corresponds to a connection at 2017-02-07 00:55:04 (GMT - this timestamp is believed accurate to within one second).
These infections are rated as a "severe threat" by Microsoft. It is a trojan downloader, and can download and execute ANY software on the infected computer.
You will need to find and eradicate the infection before delisting the IP address.
Norton Power Eraser is a free tool and doesn't require installation. It just needs to be downloaded and run. One of our team has tested the tool with Zeus, Ice-X, Citadel, ZeroAccess and Cutwail. It was able to detect and clean up the system in each case. It probably works with many other infections.
We strongly recommend that you DO NOT simply firewall off connections to the sinkhole IP addresses given above. Those IP addresses are of sinkholes operated by malware researchers. In other words, it's a "sensor" (only) run by "the good guys". The bot "thinks" its a command and control server run by the spambot operators but it isn't. It DOES NOT actually download anything, and is not a threat. If you firewall the sinkhole addresses, your IPs will remain infected, and they will STILL be delivering your users/customers personal information, including banking information to the criminal bot operators.
If you do choose to firewall these IPs, PLEASE instrument your firewall to tell you which internal machine is connecting to them so that you can identify the infected machine yourself and fix it.
We are enhancing the instructions on how to find these infections, and more information will be given here as it becomes available.
Virtually all detections made by the CBL are of infections that do NOT leave any "tracks" for you to find in your mail server logs. This is even more important for the viruses described here - these detections are made on network-level detections of malicious behaviour and may NOT involve malicious email being sent.
This means: if you have port 25 blocking enabled, do not take this as indication that your port 25 blocking isn't working.
The links above may help you find this infection. You can also consult Advanced Techniques for other options and alternatives. NOTE: the Advanced Techniques link focuses on finding port 25(SMTP) traffic. With "sinkhole malware" detections such as this listing, we aren't detecting port 25 traffic, we're detecting traffic on other ports. Therefore, when reading Advanced Techniques, you will need to consider all ports, not just SMTP.
Pay very close attention: Most of these trojans have extremely poor detection rates in current Anti-Virus software. For example, Ponmocup is only detected by 3 out of 49 AV tools queried at Virus Total.
Thus: having your anti-virus software doesn't find anything doesn't prove that you're not infected.
While we regret having to say this, downloaders will generally download many different malicious payloads. Even if an Anti-Virus product finds and removes the direct threat, they will not have detected or removed the other malicious payloads. For that reason, we recommend recloning the machine - meaning: reformatting the disks on the infected machine, and re-installing all software from known-good sources.

Ответить | Сообщить модератору

gt оверквотинг удален 1 Вы от записи трафика какой эффект ожидали получить До, PavelR (??), 19:37 , 07-Фев-17 (1)
>[оверквотинг удален]
> почту.
> Предлагаемые инструменты не подходят, т.к. они по Windows, т.к. gozi заточен под
> Windows.
> Поддержка запустила антивирус, но он ничего не нашел.
> Поддержка запустила: tcpdump -nnvvXS host 87.106.18.141(тогда CBL выдавало другой адрес)
> -w /root/traf.pcap -c 100000
> но никаких обращений к 87.106.18.141 зафиксировано не было.
> А CBL говорит что активность есть: "It was last detected at 2017-02-07
> 01:00 GMT "
> Какие будут идеи?
1) Вы от записи трафика какой эффект ожидали получить?
Допустим, в трафике есть такие запросы. Что дальше?
2) Т.к. адреса меняются, надо писать весь трафик на указанные порты, а не один айпи.
Потом по результатам обновления страницы CBL можно сделать поиск в записанном трафике.
сообщить модератору +/– ответить

форензика документация,

Егорин, (Разное / Другая система) 23-Ноя-16, 10:35 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Дано: документированные показания злонамеренного вмешательства в трафик.
Нужно: что почитать на тему подготовки данных форензики к подаче материалов в прокуратуру и суд.

Ответить | Сообщить модератору

Смените профессию Это даже не постановка задачи, это мизулинщина в чистом виде , universite (ok), 22:11 , 23-Ноя-16 (1)
> Дано: документированные показания злонамеренного вмешательства в трафик.
> Нужно: что почитать на тему подготовки данных форензики к подаче материалов в
> прокуратуру и суд.
Смените профессию.
Это даже не постановка задачи, это мизулинщина в чистом виде.
сообщить модератору +/– ответить
Полякова Т - Организационное и правовое обеспечение информационной безопасности, Сенцов (?), 20:34 , 24-Ноя-16 (2) –1
> Дано: документированные показания злонамеренного вмешательства в трафик.
> Нужно: что почитать на тему подготовки данных форензики к подаче материалов в
> прокуратуру и суд.
Полякова Т. - Организационное и правовое обеспечение информационной безопасности (Академический курс) - 2016
все нужные статьи и терминология указаны,на universite внимание обращать не надо-ему одиноко "за бортом".

сообщить модератору –1 +/– ответить
http bezopasnik org article book 95 pdf, AS (??), 22:20 , 26-Ноя-16 (3)
> Дано: документированные показания злонамеренного вмешательства в трафик.
> Нужно: что почитать на тему подготовки данных форензики к подаче материалов в
> прокуратуру и суд.
http://bezopasnik.org/article/book/95.pdf
сообщить модератору +/– ответить

HTTPS сертификаты google.com,

Ordu, (Разное) 28-Янв-17, 22:33 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Хочу поинтересоваться у знатоков, что означает следующая ситуация.
Я в фф набрал в адресной строке https://www.google.com/maps
В ответ мне фф пишет: The owner of www.google.com has configured their website improperly. blah-blah-blah...
Я тыкаю в кнопочку ?Advanced и там написана самая мякотка:
www.google.com uses an invalid security certificate.
The certificate is only valid for the following names:
*.vk.com, vk.com
Эмм... Как связаны гугл и вк? Что за срань творится в этом мире? vk.com пытается перехватить мой трафик с гуглом? Но это же глупость, не?

Ответить | Сообщить модератору

Скорей всего у Вас что-то не так с провыйдерским DNS Попробуйте поменять его на, вулкан (?), 23:03 , 28-Янв-17 (1) +1
Скорей всего у Вас что-то не так с провыйдерским DNS. Попробуйте поменять его на 208.67.222.222 (OpenDNS).
сообщить модератору +1 +/– ответить

Последовательная смена адреса назначения, как?,

Pioner678, (Linux iptables, ipchains) 28-Янв-17, 15:52 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте!
Стоит задача переадресовать пользователя который открывает какую-то страницу "A" (78.1.1.1) на определенную страницу "Б" (79.2.2.2),
где например ему показывается информация о предоставлении услуг, недостаточном балансе и т.п.,
и все это далее завернуть в другой процесс "C" (192.168.33.33, в общем случае это какой-то прокси или другая сеть).
Просто переадресация работает нормально, делаю так:
iptables -t nat -A PREROUTING -i $DEV -p tcp -j DNAT --to-destination 79.2.2.2
Затем заворачиваю это все в 192.168.33.33:
iptables -t nat -A PREROUTING -i $DEV -p tcp -j DNAT --to-destination 192.168.33.33
Но это правило игнорируется, все уходит сразу в 79.2.2.2 и больше никуда не идет.
Почему? Как сделать чтобы обрабатывались оба правила и пакет после первого с dst 79.2.2.2 уходил на 192.168.33.33?
Не могу до конца понять как работает DNAT, если по одному и тому-же пакету через него дважды делают подмену адреса назначения,
или он оставляет только какой-то один на выходе из PREROUTINGа?
Как тогда это обойти? Мне бы и POSTROUTING подошел, но там вроде нельзя DNAT. Возможно вместо первого DNAT нужно отдельный прокси разворачивать, какой тогда лучше?
(пробовал squid, но на него моих знаний или мощности не хватает, все виснет).
Или есть какое-то более простое решение?
Вроде простая задача, примерно как у любого провайдера при нулевом балансе открывается домашняя страница с предупреждением,
но мне это еще нужно через дополнительную сеть пустить.

Ответить | Сообщить модератору

После того как пакет достиг адреса назначения- исчезает Вообще Перестает сущес, Square1 (?), 16:55 , 28-Янв-17 (1)

> Почему? Как сделать чтобы обрабатывались оба правила и пакет после первого с
> dst 79.2.2.2 уходил на 192.168.33.33?
После того как пакет достиг адреса назначения- исчезает. Вообще. Перестает существовать.
как он может после этого еще куда-то попасть?
сообщить модератору +/– ответить
ну так и покажите ему пользователю свою страницу о балансе сразу на 33 33или, , Аноним (-), 20:01 , 28-Янв-17 (2)
ну так и покажите ему (пользователю) свою страницу о балансе сразу на 33.33
или, если уж так сильно хочется, показывайте свою заглушку на странице 2.2 ,
а потом с этой страницы делайте перенаправление на страницу 33.33 ,
но уже средствами самой страницы (редирект, пхп, перл и т.д.)
сообщить модератору +/– ответить
gt оверквотинг удален Если правило подошло по критериям, то действия ACEPT, DR, ПавелС (ok), 16:37 , 29-Янв-17 (3)
>[оверквотинг удален]
> или он оставляет только какой-то один на выходе из PREROUTINGа?
> Как тогда это обойти? Мне бы и POSTROUTING подошел, но там вроде
> нельзя DNAT. Возможно вместо первого DNAT нужно отдельный прокси разворачивать, какой
> тогда лучше?
> (пробовал squid, но на него моих знаний или мощности не хватает, все
> виснет).
> Или есть какое-то более простое решение?
> Вроде простая задача, примерно как у любого провайдера при нулевом балансе открывается
> домашняя страница с предупреждением,
> но мне это еще нужно через дополнительную сеть пустить.
Если правило подошло по критериям, то действия ACEPT, DROP, REJECT отрабатывают и дальнейшие правила в не рассматриваются, это точно. Для действия DNAT видимо тоже самое, дальше пакет попадает наверное в цепочку FORWARD.
сообщить модератору +/– ответить
Благодарю за комментарии Очень помогло, нашел решение через Bridge и создание до, Pioner678 (ok), 20:45 , 29-Янв-17 (4)
Благодарю за комментарии!
Очень помогло, нашел решение через Bridge и создание дополнительной сети.
сообщить модератору +/– ответить

Подмена внешнего адреса локальным,

rdiamond, (Linux iptables, ipchains / Linux) 12-Янв-17, 12:58 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Всем привет,
понимаю что тема поднималась не раз, и по писку я много чего нашел, но все же ничего найденного мне не помогло.
шлюз Ubuntu 16
внутр инт br0 10.90.90.1
внеш инт eth1 X.X.X.X
$IPT -P INPUT DROP
$IPT -P FORWARD ACCEPT (сделаем временно ACCEPT)
$IPT -P OUTPUT ACCEPT

$IPT -t nat -A PREROUTING  -p icmp -d 1.2.3.4 -j DNAT --to-destination 10.90.90.3
$IPT -t nat -A POSTROUTING  -d 10.90.90.3 -j SNAT --to-source 10.90.90.1

Every 2.0s: iptables -t nat -vnL                                                                                                                                                                                     Thu Jan 12 13:02:59 2017
Chain PREROUTING (policy ACCEPT 1116 packets, 306K bytes)
pkts bytes target     prot opt in     out     source               destination
    0     0 LOG        tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5301 LOG flags 0 level 4 prefix "ipt:Synology HTTP "
    0     0 DNAT       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5301 to:10.90.90.3:5001
  134  8040 DNAT       icmp --  *      *       0.0.0.0/0            1.2.3.4              to:10.90.90.3
    0     0 LOG        tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5122 LOG flags 0 level 4 prefix "ipt:SSH "
    0     0 DNAT       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5122 to:10.90.90.1:22
    0     0 LOG        tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:51022 LOG flags 0 level 4 prefix "ipt:SSH "
    0     0 DNAT       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:51022 to:10.90.90.10:22
    0     0 LOG        tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5322 LOG flags 0 level 4 prefix "ipt:SSH "
    0     0 DNAT       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5322 to:10.90.90.3:22
    0     0 LOG        tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5422 LOG flags 0 level 4 prefix "ipt:SSH "
    0     0 DNAT       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5422 to:10.90.90.4:22
    0     0 LOG        tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:57081 LOG flags 0 level 4 prefix "ipt:ROCAM_HTTP "
    0     0 DNAT       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:57081 to:10.90.90.70:81
    0     0 LOG        tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5195 LOG flags 0 level 4 prefix "ipt:OpenVPN "
    0     0 DNAT       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5195 to:10.90.90.1:1194
    0     0 LOG        tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5321 LOG flags 0 level 4 prefix "ipt:FTP "
    0     0 DNAT       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:5321 to:10.90.90.3:21
    0     0 DNAT       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpts:55536:55599 to:10.90.90.3:55536-55599
Chain INPUT (policy ACCEPT 181 packets, 23275 bytes)
pkts bytes target     prot opt in     out     source               destination
Chain OUTPUT (policy ACCEPT 174 packets, 18474 bytes)
pkts bytes target     prot opt in     out     source               destination
    0     0 DNAT       icmp --  *      *       0.0.0.0/0            1.2.3.4              to:10.90.90.4
Chain POSTROUTING (policy ACCEPT 259 packets, 34942 bytes)
pkts bytes target     prot opt in     out     source               destination
    0     0 SNAT       all  --  *      *       0.0.0.0/0            10.90.90.3           to:10.90.90.1
  229 14046 MASQUERADE  all  --  *      eth1    10.90.90.0/24        0.0.0.0/0

Пакеты попадают в правило DNAT, но не отрабатывается по SNAT.

Ответить | Сообщить модератору

IPT -t nat -A PREROUTING -d INET_ADDR -p tcp --dport NEXTCLOUD_HTTP_DNAT -j D, rdiamond (ok), 15:54 , 12-Янв-17 (1)
$IPT -t nat -A PREROUTING -d $INET_ADDR -p tcp --dport $NEXTCLOUD_HTTP_DNAT -j DNAT --to-destination $APPLICATIONS_IP:$NEXTCLOUD_HTTP_PORT
$IPT -t nat -A POSTROUTING -s $LAN_NTWK -d $APPLICATIONS -p tcp --dport $NEXTCLOUD_HTTP_PORT -j SNAT --to-source $
LAN_ADDR
Заработало в итоге, но работает только при обращение по IP, если вместо IP указать FQDN (DynDNS) не работает правило.
сообщить модератору +/– ответить

Вири в Gentoo,

Аноним, (Обнаружение и предотвращение атак / Linux) 31-Дек-16, 17:13 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Система оказалась заражённой.. Необходимо использовать стандартные системы обнаружения вторжений создающие хеши всех системных файлов и настроек сразу после установки.
Нашёл зловредов загрузившись с чистого LiveCD и используя самописный скрипт system_check.sh:
https://www.opennet.me/openforum/vsluhforumID15/4338.html#11
http://pastebin.com/z4ZFFpdS
$ openssl dgst -sha512 system_check.sh
SHA512(system_check.sh)= 92b05e89cc58a3c7feec3b7e3fe3dd0559816d366f7658b2ac2b98b92dafbbfb5389f38e5e3e3e7c507558aa29cac02f32804cee1b4596b25798fb4cd46c00ac
$ openssl dgst -whirlpool system_check.sh
whirlpool(system_check.sh)= 7ed1f24ddc44e2476d0c250d899a845eea618d0df178e894d843baced2a52a84906c09ae90ac09a06b23cea38bf25c42c2668dade0c66c0bdf5f67453d29bbd9

Ответить | Сообщить модератору

Лучше использовать классические системы обнаружения вторжений сразу после устано, Аноним (-), 17:19 , 31-Дек-16 (1)
Лучше использовать классические системы обнаружения вторжений сразу после установки. Проверять систему ими перед каждым обновлением и сразу после обновления создавать новые хеши.
Мой скрипт сработает только в Gentoo и надёжно сработает только если содержимое /var/db/pkg/ сразу после установки было записан на ROM носитель.
сообщить модератору +/– ответить

FreeBSD 11 - Ipfw: Cannot allocate dynamic state...,

Allan Stark, (BSD ipfw, ipf, ip-filter) 24-Дек-16, 23:07 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте.
Есть сервер:
FreeBSD ... 11.0-RELEASE-p1 FreeBSD 11.0-RELEASE-p1 #0 r306420: Thu Sep 29 01:43:23 UTC 2016 root@releng2.nyi.freebsd.org:/usr/obj/usr/src/sys/GENERIC amd64
Xeon E5-2690, 4GB RAM, SSD RAID 1
На сервере крутится apache24 + php56 + mysql57
Несколько сайтов, один из которых - простенький интернет-магазин под OpenCart.
Суммарная посещаемость всех сайтов - >100000 страниц, ~10000 уникальных в сутки.
Раз в несколько дней, в основном на выходных происходит "Ipfw: Cannot allocate dynamic state, consider increasing net.inet.ip.fw.dyn_max" с вполне понятными последствиями.
Содержимое net.inet.ip.fw.:
net.inet.ip.fw.dyn_keep_states: 0
net.inet.ip.fw.dyn_keepalive: 1
net.inet.ip.fw.dyn_short_lifetime: 5
net.inet.ip.fw.dyn_udp_lifetime: 10
net.inet.ip.fw.dyn_rst_lifetime: 1
net.inet.ip.fw.dyn_fin_lifetime: 1
net.inet.ip.fw.dyn_syn_lifetime: 20
net.inet.ip.fw.dyn_ack_lifetime: 300
net.inet.ip.fw.dyn_max: 16384
net.inet.ip.fw.dyn_count: 615
net.inet.ip.fw.curr_dyn_buckets: 256
net.inet.ip.fw.dyn_buckets: 256
net.inet.ip.fw.enable: 1
net.inet.ip.fw.static_count: 22
net.inet.ip.fw.default_to_accept: 0
net.inet.ip.fw.tables_sets: 0
net.inet.ip.fw.tables_max: 128
net.inet.ip.fw.default_rule: 65535
net.inet.ip.fw.verbose_limit: 0
net.inet.ip.fw.verbose: 1
net.inet.ip.fw.autoinc_step: 100
net.inet.ip.fw.one_pass: 1

Настройки ipfw из rc.conf и ipfw.rules

# FIREWALL
firewall_enable="YES"
firewall_type="client"
firewall_logging="YES"
firewall_script="/etc/ipfw.rules"
#!/bin/sh
INTERNET_ADAPTER="em0"
THIS_HOST=...
ADM_HOST=...
DNS_SERVER=...
ISP_GATE=...
OFFICE=...
SERVER_VPN=...
A_HOME=...
KS="keep-state"
ipfw -q -f flush
ipfw -q add 00100 check-state
ipfw -q add 00200 allow all from any to any via lo0
ipfw -q add 00300 deny all from any to any frag
ipfw -q add 00400 deny tcp from any to any established
# Allow SSH
ipfw -q add 00444 allow tcp from $ADM_HOST to $THIS_HOST 11149 in $KS
ipfw -q add 00445 allow tcp from $A_HOME to $THIS_HOST 11149 in $KS
# Allow DNS
ipfw -q add 00500 allow tcp from $THIS_HOST to ${DNS_SERVER} 53 out via $INTERNET_ADAPTER setup $KS
ipfw -q add 00510 allow udp from $THIS_HOST to ${DNS_SERVER} 53 out via $INTERNET_ADAPTER $KS
# Allow PING
ipfw -q add 00900 allow icmp from any to any $KS
# Allow NTP
ipfw -q add 01000 allow tcp from $THIS_HOST to any 123 out via $INTERNET_ADAPTER $KS
# Allow FTP Client
ipfw -q add 01100 allow tcp from $THIS_HOST to any 21 out via $INTERNET_ADAPTER $KS
ipfw -q add 01110 allow tcp from $THIS_HOST to any 1024-65535 out via $INTERNET_ADAPTER $KS
# Allow FTP Server
ipfw -q add 01120 allow tcp from any to $THIS_HOST 21 in via $INTERNET_ADAPTER $KS
ipfw -q add 01130 allow tcp from any to $THIS_HOST 1024-3305 in via $INTERNET_ADAPTER $KS
ipfw -q add 01150 allow tcp from any to $THIS_HOST 3307-65535 in via $INTERNET_ADAPTER $KS
# Allow HTTP & HTTPS
ipfw -q add 01200 allow tcp from any to ${THIS_HOST} 80 in via $INTERNET_ADAPTER $KS
ipfw -q add 01210 allow udp from any to ${THIS_HOST} 80 in via $INTERNET_ADAPTER $KS
ipfw -q add 01220 allow tcp from any to ${THIS_HOST} 443 in via $INTERNET_ADAPTER $KS
ipfw -q add 01230 allow udp from any to ${THIS_HOST} 443 in via $INTERNET_ADAPTER $KS
# Allow HTTP & HTTPS from WebServer
ipfw -q add 01240 allow tcp from ${THIS_HOST} to any 80 out via $INTERNET_ADAPTER $KS
ipfw -q add 01250 allow tcp from ${THIS_HOST} to any 443 out via $INTERNET_ADAPTER $KS
# Allow MySQL
ipfw -q add 01300 allow tcp from $OFFICE to ${THIS_HOST} 3306 in via $INTERNET_ADAPTER $KS
# Allow SMTP
ipfw -q add 01400 allow log tcp from $THIS_HOST to any 25 out via $INTERNET_ADAPTER $KS
# LOG All BLOCKING
#ipfw -q add 65534 deny log ip from any to any

Большинство "просроченных" динамических правил естественно по правилу 1200 (входной HTTP).
Вопрос.
Как поступать в таком случае?
1. Где-то косяк в правилах файерволла?
2. Увеличить net.inet.ip.fw.dyn_max или уменьшить net.inet.ip.fw.dyn_ack_lifetime?

Ответить | Сообщить модератору

Перепишите правила ipfw раз не понимаете логику keep-state Увеличение net inet i, universite (ok), 23:46 , 25-Дек-16 (2)
Перепишите правила ipfw раз не понимаете логику keep-state.
Увеличение net.inet.ip.fw.dyn_max решит проблему на какой-то срок.

сообщить модератору +/– ответить

Защита документов на портале,

n0rz3r, (Разное / Другая система) 17-Дек-16, 20:25 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте Уважаемые форумчане. У меня к Вам есть вопрос. Недавно знакомый преподаватель обратился ко мне со следующей просьбой. Ее маленькая но гордая фирмочка занимается обучением. Многие материалы она разрабатывает сама и постепенно копит что то вроде методичек. Жизнь не стоит на месте и одни работники уходят и на их место приходят другие. Само собой новым преподавателям нужно давать доступ к наработкам что бы они могли и готовиться и показывать их на проекторах. Но тут же не составляет труда эти материалы скопировать на флешку и унести все себе домой. У нее возник резонный вопрос а можно ли каким то образом ограничить эти права для тех или иных пользователей. Разумеется если бы речь шла только о защите файлов на выделенной машине или нескольких машинах сложности бы это не вызвало. Теперь мы медленно перейдем к техническому заданию которое после долго обсуждения у нас сформировалось.
И так ТЗ:
Имеем три типа документов ворд.docx, ексель.xlsx, и поверпоинт.ppt
Общий объем около 5 гигабайт.
Что бы хотелось получить:
Доступ для определенных пользователей (преподавателей по найму) только для чтения этих документов как на работе так и дома.
Возможность копирования, удаления, редактирования, печати этих документов только директором фирмы (ну или еще несколькими доверенными людьми).
Адекватная стоимость этого решения.
Мы прекрасно понимаем что защитить эти документы от принтскрина и прочих аналоговых методов не представляется возможным в таких условиях.
Что было сделано:
Порыв новости и архивы наткнулся на казалось бы шикарное решение
Nextcloud 11 дает нам возможность развернуть онлайн хранилище с настройками доступа, а ONLYOFFICE дает возможность редактировать это все дело в браузере. Все бы было шикарно но как только мы получаем документ на чтение в ONLYOFFICE функционал этого редактора позволяет нам сохранить этот документ на диск и потом творить с ним всякие бесчинства. Т.е. функция защиты работает только с документом который находиться на портале но не что не мешает этот документ сохранить, да и правая кнопка мыши работает так что можно тупо все скопировать в буфер.
Отсюда уважаемые форумчане вопрос. Есть ли какое то решение такой вот задачки или стоит в корне изменить политику к распространению файлов и просто замкнуться и настроить политики на компьютерах их около 5 но в перспективе открытие филиалов которые не будут подконтрольны? Вообщем то проситься какой то портал на котором есть онлайн читалка вышеперечисленных документов и возможность раздачи на эти документы или папки с документами прав. Возможно кто нибудь сталкивался с подобным и есть чем поделиться. Спасибо всем за внимание.

Ответить | Сообщить модератору

Почему проблемы вендузячьей фирмочки должны волновать кого-то ещё Обратитесь в, Led (ok), 01:00 , 18-Дек-16 (1)
> Имеем три типа документов ворд.docx, ексель.xlsx, и поверпоинт.ppt
Почему проблемы вендузячьей "фирмочки" должны волновать кого-то ещё?
Обратитесь в Майкрософт - вы же у них софт регулярно покупаете - они вам точно помогут!
сообщить модератору +/– ответить
Перевести всё в растровый pdf с отключенными функциями копирования,редактировани, Ujif (?), 17:24 , 18-Дек-16 (2) –1
Перевести всё в растровый pdf с отключенными функциями копирования,редактирования,сохранения и печати,рельефным фоном на 90% решит вопрос.
Если добавить интерфейс удаленного открытия файла,то будет решен и вопрос с копированием самого файла. Можно использовать и postscript,всё станет еще сексуальней.
сообщить модератору –1 +/– ответить
PDFCreator Позволяет распечатать документ на виртуальном принтере в формате pdf, tonys (??), 15:27 , 22-Дек-16 (4) –1
PDFCreator. Позволяет распечатать документ на виртуальном принтере в формате pdf. Позволяет запаролить печать и модификацию файла, позволяет добавить к документу водяной знак, может работать как сервер печати. То есть группа редакторов создает или редактирует файл, например doc, затем кладет этот файл в определенную папку откуда файл конвертируется в pdf с нужными параметрами и перекладывается в папку для читателей. Эти процессы можно автоматизировать скриптами. Сама программа бесплатна.
сообщить модератору –1 +/– ответить

Iptables и Виртуальная АТС,

mutagen_spree, (Linux iptables, ipchains / Linux) 14-Дек-16, 07:57 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Доброго времени суток. В нашей конторе решили подключить Виртуальную АТС, от МТС. Имеется шлюз на Debian. При настройке файрвола возникли сложности. Порт 5060 вроде не понадобилось открывать, клиент регистрируется на сервере. А вот с RTP трафиком возникли проблемы. В интернете все пишут что надо открыть порты с 10000:20000 iptables -A INPUT -p udp -m udp –dport 10000:20000 -j ACCEPT. Но это не помогает. Перепробовал разные способы, не пойму куда девается трафик.
От их техподдержки помощи никакой добиться не удалось
З.Ы. Если политику по умолчанию для FORWARD сделать ACCEPT, то работает нормально.
Подскажите как быть. Заранее благодарен

Ответить | Сообщить модератору

Так тебе не INPUT, а FORWARD для этих портов нужно - это раз уменьши диапазон RT, shadow_alone (ok), 08:10 , 14-Дек-16 (1)
Так тебе не INPUT, а FORWARD для этих портов нужно - это раз.
уменьши диапазон RTP портов на asterisk, полюбе тебе 10к портов не нужно, и сделай разрешение на них.
ну, или, если не asterisk, а конечные устройства у тебя, смотри у них в настройках диапазон RTP, и действуй в соответствии с этим.
сообщить модератору +/– ответить

Дело в том что своего asteriska у меня нет, и я не пойму куда мне пробрасывать э, mutagen_spree (ok), 08:15 , 14-Дек-16 (2)
> Так тебе не INPUT, а FORWARD для этих портов нужно - это
> раз.
> уменьши диапазон RTP портов на asterisk, полюбе тебе 10к портов не нужно,
> и сделай разрешение на них.
Дело в том что своего asteriska у меня нет, и я не пойму куда мне пробрасывать эти порты.
сообщить модератору +/– ответить

пробрасывать ничего никуда не надо, разрешите форвард для SIP и RTP - вот и всёТ, shadow_alone (ok), 08:18 , 14-Дек-16 (3)
> Дело в том что своего asteriska у меня нет, и я не
> пойму куда мне пробрасывать эти порты.
пробрасывать ничего никуда не надо, разрешите форвард для SIP и RTP - вот и всё
Только вначале выясните какие RTP порты на конечных устройствах настроены.
сообщить модератору +/– ответить

Добавил -A FORWARD -p udp --dport 5060 -j ACCEPT и -A FORWARD -p udp -m multipor, mutagen_spree (ok), 09:27 , 14-Дек-16 (4)
>> Дело в том что своего asteriska у меня нет, и я не
>> пойму куда мне пробрасывать эти порты.
> пробрасывать ничего никуда не надо, разрешите форвард для SIP и RTP -
> вот и всё
> Только вначале выясните какие RTP порты на конечных устройствах настроены.
Добавил -A FORWARD -p udp --dport 5060 -j ACCEPT и
-A FORWARD -p udp -m multiport --dports 10000:20000 -j ACCEPT.
В настройках sip-клиента указал Range of ports used for RTP 10000:20000
не заработало. iptables -L -n-v показывает:
Chain FORWARD (policy DROP 504 packets, 74867 bytes)
pkts bytes target     prot opt in     out     source               destination
14529   12M bad_tcp_pkts  tcp  --  *      *       0.0.0.0/0            0.0.0.0/0
15561   13M ULOG       all  --  *      *       0.0.0.0/0            0.0.0.0/0            ULOG copy_range 0 nlgroup 1 queue_threshold 1
14856   13M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 lan_inet   all  --  eth1   ppp0    0.0.0.0/0            0.0.0.0/0
  690 88893 lan_inet   all  --  eth1   eth2    0.0.0.0/0            0.0.0.0/0
    2  1174 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:5060
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0            multiport dports 10000:20000
    0     0 allowed    tcp  --  ppp0   *       0.0.0.0/0            192.168.23.9         tcp dpt:443
получается через 5060 идут пакеты нормально, а по 10000:20000 не идут
сообщить модератору +/– ответить

tcpdump очень поможет , серг (?), 09:42 , 14-Дек-16 (5)
tcpdump очень поможет
сообщить модератору +/– ответить
это на IN FORWARD,а на OUT вы ж не знаете RTP порты назначения -A FORWARD -p u, shadow_alone (ok), 09:45 , 14-Дек-16 (6)
это на IN FORWARD,
а на OUT?
вы ж не знаете RTP порты назначения...
-A FORWARD -p udp -m multiport -d IP.AD.DRE.SS --dports 10000:20000 -j ACCEPT.
-A FORWARD -p udp -m multiport -s IP.AD.DRE.SS --sports 10000:20000 -j ACCEPT.
IP.AD.DRE.SS - адрес клиента
и опять же, нахрена вам такой диапазон то в 10к?
если уж вы установили порты RTP на клиенте, нахрена такие то?
ну сделайте 10000-10020 - для одного клиента то.... нахрена 10к портов?
сообщить модератору +/– ответить

Ну клиент то не один будет А диапазон ставлю как на большинстве источников сове, mutagen_spree (ok), 10:01 , 14-Дек-16 (7)
> это на IN FORWARD,
> а на OUT?
> вы ж не знаете RTP порты назначения...
> -A FORWARD -p udp -m multiport -d IP.AD.DRE.SS --dports 10000:20000 -j ACCEPT.
> -A FORWARD -p udp -m multiport -s IP.AD.DRE.SS --sports 10000:20000 -j ACCEPT.
> IP.AD.DRE.SS - адрес клиента
> и опять же, нахрена вам такой диапазон то в 10к?
> если уж вы установили порты RTP на клиенте, нахрена такие то?
> ну сделайте 10000-10020 - для одного клиента то.... нахрена 10к портов?
Ну клиент то не один будет. А диапазон ставлю как на большинстве источников советуют. Провайдер не предоставил такой информации
сообщить модератору +/– ответить

Если вам посоветуют с балкона прыгнуть Самому понять что столько портов для одн, shadow_alone (ok), 10:03 , 14-Дек-16 (8)
> Ну клиент то не один будет. А диапазон ставлю как на большинстве
> источников советуют. Провайдер не предоставил такой информации
Если вам посоветуют с балкона прыгнуть? Самому понять что столько портов для одного клиента нах не нужно, что не позволяет?
делайте правила без адреса тогда...
сообщить модератору +/– ответить

Все заработало, спасибо огромное Уменьшил диапазон и добавил -A FORWARD -p ud, mutagen_spree (ok), 10:12 , 14-Дек-16 (9)
>> Ну клиент то не один будет. А диапазон ставлю как на большинстве
>> источников советуют. Провайдер не предоставил такой информации
> Если вам посоветуют с балкона прыгнуть? Самому понять что столько портов для
> одного клиента нах не нужно, что не позволяет?
> делайте правила без адреса тогда...
Все заработало, спасибо огромное!!! Уменьшил диапазон и добавил -A FORWARD -p udp -m multiport --sport 10000:10020 -j ACCEPT как вы сказали и вуаля.
сообщить модератору +/– ответить

Сделай на разных клиентах разные диапазоны, например1 10000-100202 10021-10040, shadow_alone (ok), 10:17 , 14-Дек-16 (10)
Сделай на разных клиентах разные диапазоны, например
1. 10000-10020
2. 10021-10040
3. 10041-10060
и так далее,
а потом открой FORWARD на весь диапазон
например, на 5 клиентов - 10000-10100
сообщить модератору +/– ответить

PAM su/su-l wheel,

Shinma, (Linux привязка / Linux) 16-Ноя-16, 14:15 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день.
У меня задача которую я не могу решить. Буду рад если вы мне поможете.
я пытаюсь настроить /etc/pam.d/su-l
на текущий момент
#%PAM-1.0
auth required pam_wheel.so use_uid
auth     sufficient     pam_rootok.so
auth     include        common-auth
account  sufficient     pam_rootok.so
account  include        common-account
password include        common-password
session  include        common-session
session  optional       pam_xauth.so
Но мне надо не это. я хочу чтобы под рутом могли зайти только пользователи в группе while. А остальные пользователи применившие su - name_user могли переключаться на других пользователей, но не могли переключиться на root. Реализуемо ли это? Я вычитал, что можно сделать свой модуль wheel, но который будет проверять UID либо GUID на кого переключаются. Но не знаю даже с какого конца подойти к проблеме.

Ответить | Сообщить модератору

Откройте для себя sudo А руту сделайтеpasswd -d, DeerFriend (?), 21:03 , 16-Ноя-16 (1)
Откройте для себя sudo.
А руту сделайте
passwd -d
сообщить модератору +/– ответить

Как сделать proxy из openvpn?,

simbatron, (Linux iptables, ipchains / Linux) 01-Ноя-16, 08:07 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте люди добрые.
У меня ни как не получается сделать proxy из openvpn.
Есть debian 7
На нем поднимаю два опенвпн соединения (не уверен что так правильно потому что я так понимаю второе соединение поднимается через первое)
Потом запускаю два 3proxy сервера на разных портах, в external прописываю ip tun0-00 и tun1-00 соответственно
Пробую разными браузерами с прописаными этими прокси на этих разных портах проверять работу интернета, работает только один (впрочем я так и предполагал)
Потом еще пробовал после установки соединения опенвпн удалять маршруты которые он прописывает в конце установки соединения, после обоих соединений так делал, потом соответсвенно запускаю опять две штуки 3proxy.
В итоге захожу на 2ip.ru с обоих портов прокси и вижу что интернет идет в обход опенвпн.
Еще пробовал изучать iptables, думал что можно вообще без 3proxy перенаправлять пакеты на tun0-00 и tun1-00, тоже не получилось, и для меня iptables очень сложно показалось, не понимаю толком.
Подскажите пожалуйста как можно сделать такой сервер, чтоб в нем поднять пару openvpn и заходить через них в интернет одновременно используя прокси на разных портах которые будут соответствовать разным openvpn соединениям в этом сервере.
За решение под ключ готов заплатить.

Ответить | Сообщить модератору

Непонятно, для чего два openvpn туннеля Это два разных пользователя vpn или инт,

Виктор (??), 10:51 , 01-Ноя-16 (1)

Непонятно, для чего два openvpn туннеля. Это два разных пользователя vpn или интернет находится за одним из туннелей?

сообщить модератору +/–

ответить

так же не понятно про прокси, то ли к ним нужно через vpn подключаться , то ли п,

reader (ok), 11:12 , 01-Ноя-16 (2)

так же не понятно про прокси, то ли к ним нужно через vpn подключаться , то ли прокси через vpn должны в инет идти.
Конечную задачу опишите. и как 2 vpn и 2 прокси должны взаимодействовать.

сообщить модератору +/–

ответить

на виртуалбокс создал машину с ос debian-7в этой машине есть eth0 выход в интер, simbatron (ok), 12:13 , 01-Ноя-16 (3)
> так же не понятно про прокси, то ли к ним нужно через
> vpn подключаться , то ли прокси через vpn должны в инет
> идти.
> Конечную задачу опишите. и как 2 vpn и 2 прокси должны взаимодействовать.
на виртуалбокс создал машину с ос debian-7
в этой машине есть eth0 (выход в интернет с динамическим IP "NAT") и eth1 (со статическим IP - на нем прокси на разных портах "Сетевой мост")
включаю openvpn, появляется tun0-00, потом включаю еще openvpn, появляется tun1-00
в хозяйской машине в хроме настраиваю чтоб через прокси ходил (указываю IP eth1 гостевой машины и порт номер 1)
потом в хозяйской машине firefox настраиваю чтоб через прокси ходил (указываю IP eth1 гостевой машины и порт номер 2)
В итоге когда в интернет идешь с хрома то у тебя один IP а когда с мазилы то другой IP - в этом смысл.
сообщить модератору +/– ответить

если не знаете или не хотите вложения tun1 в tun0, проверте что при поднятии vpn, reader (ok), 13:05 , 01-Ноя-16 (5)
>> так же не понятно про прокси, то ли к ним нужно через
>> vpn подключаться , то ли прокси через vpn должны в инет
>> идти.
>> Конечную задачу опишите. и как 2 vpn и 2 прокси должны взаимодействовать.
> на виртуалбокс создал машину с ос debian-7
> в этой машине есть eth0 (выход в интернет с динамическим IP "NAT")
> и eth1 (со статическим IP - на нем прокси на разных
> портах "Сетевой мост")
> включаю openvpn, появляется tun0-00, потом включаю еще openvpn, появляется tun1-00
если не знаете или не хотите вложения tun1 в tun0, проверте что при поднятии vpn не меняется шлюз по умолчанию
> в хозяйской машине в хроме настраиваю чтоб через прокси ходил (указываю IP
> eth1 гостевой машины и порт номер 1)
> потом в хозяйской машине firefox настраиваю чтоб через прокси ходил (указываю IP
> eth1 гостевой машины и порт номер 2)
> В итоге когда в интернет идешь с хрома то у тебя один
> IP а когда с мазилы то другой IP - в этом
> смысл.
и эти IP - IP vpn серверов?
если да , то нужно чтобы прокси для выхода в инет шли через разные vpn, незнаю как в 3proxy ,а в squid для этого есть tcp_outgoing_address и почитать темы 2 провайдера, возможно понадобится
сообщить модератору +/– ответить

gt оверквотинг удален В простейшем случае никак, оба прокси будут ходить через,

ПавелС (ok), 14:55 , 01-Ноя-16 (6)

>[оверквотинг удален]
> в конце установки соединения, после обоих соединений так делал, потом соответсвенно
> запускаю опять две штуки 3proxy.
> В итоге захожу на 2ip.ru с обоих портов прокси и вижу что
> интернет идет в обход опенвпн.
> Еще пробовал изучать iptables, думал что можно вообще без 3proxy перенаправлять пакеты
> на tun0-00 и tun1-00, тоже не получилось, и для меня iptables
> очень сложно показалось, не понимаю толком.
> Подскажите пожалуйста как можно сделать такой сервер, чтоб в нем поднять пару
> openvpn и заходить через них в интернет одновременно используя прокси на
> разных портах которые будут соответствовать разным openvpn соединениям в этом сервере.
В простейшем случае никак, оба прокси будут ходить через один и тот же маршрут по умолчанию (через один и тот же VPN). Зависит от очередности поднятия VPN. Заставить с одного сервера ходить через разные VPN в инет это уже видимо не вашего уровня задача, тут нужно маркировать трафик iptables и маршрутизацию посложнее настраивать. В Вашем случае выход видится - два сервера на них по VPNу. Указываете один в качестве прокси - ходите через один канал, указываете другой - через другой.

> За решение под ключ готов заплатить.

сообщить модератору +/–

ответить

gt оверквотинг удален то уже видимо не вашего уровня задача, тут нужно маркиро,

simbatron (ok), 15:03 , 01-Ноя-16 (7) –1

>[оверквотинг удален]
>> разных портах которые будут соответствовать разным openvpn соединениям в этом сервере.
> В простейшем случае никак, оба прокси будут ходить через один и тот
> же маршрут по умолчанию (через один и тот же VPN). Зависит
> от очередности поднятия VPN. Заставить с одного сервера ходить через разные
> VPN в инет это уже видимо не вашего уровня задача, тут
> нужно маркировать трафик iptables и маршрутизацию посложнее настраивать. В Вашем случае
> выход видится - два сервера на них по VPNу. Указываете один
> в качестве прокси - ходите через один канал, указываете другой -
> через другой.
>> За решение под ключ готов заплатить.
то уже видимо не вашего уровня задача, тут нужно маркировать трафик iptables и маршрутизацию посложнее настраивать
Видимо, по этому и спрашиваю) Мне нужно один сервер настроить а не два, возможно потом понадобится делать больше vpn c прокси. Про отдельные сервера и так понятно, но если под каждый vpn сервер делать, то так ресурсов не напасешься.

сообщить модератору –1 +/–

ответить

виртуалки и докеры уже роскомнадзор запретил ,

олхнтп (?), 21:12 , 01-Ноя-16 (8)

> но если под каждый vpn сервер делать,
> то так ресурсов не напасешься.
виртуалки и докеры уже роскомнадзор запретил?

сообщить модератору +/–

ответить

Так при чем тут роскомнадзор Неправильно ресурсы на виртуалки расходовать, спец, simbatron (ok), 07:00 , 02-Ноя-16 (9)
>> но если под каждый vpn сервер делать,
>> то так ресурсов не напасешься.
> виртуалки и докеры уже роскомнадзор запретил?
Так при чем тут роскомнадзор? Неправильно ресурсы на виртуалки расходовать, специалист может просто трафик разрулить в рамках одной машины. Вот ищу такого.
сообщить модератору +/– ответить

gt оверквотинг удален Ну я не проверял, но примерно как то так Второй прокси ,

Павел Самсонов (?), 11:17 , 02-Ноя-16 (10)

>[оверквотинг удален]
>> выход видится - два сервера на них по VPNу. Указываете один
>> в качестве прокси - ходите через один канал, указываете другой -
>> через другой.
>>> За решение под ключ готов заплатить.
> то уже видимо не вашего уровня задача, тут нужно маркировать трафик iptables
> и маршрутизацию посложнее настраивать
> Видимо, по этому и спрашиваю) Мне нужно один сервер настроить а не
> два, возможно потом понадобится делать больше vpn c прокси. Про отдельные
> сервера и так понятно, но если под каждый vpn сервер делать,
> то так ресурсов не напасешься.
Ну я не проверял, но примерно как то так. Второй прокси запускаем под пользователем proxy2 (создаем его сначала), чтобы был критерий для маркировки трафика.

Маркируем весь трафик этого пользователя единичкой
# iptables -A PREROUTING -t mangle -m owner --uid-owner=proxy2 -j MARK --set-mark 1
Создаем дополнительную таблицу маршрутизации для маркированного единичкой

# echo 201 proxy2.out >> /etc/iproute2/rt_tables
# ip rule add fwmark 1 table proxy2.out
# ip rule ls
Создаем маршрут по умолчанию для маркированного трафика
# /sbin/ip route add default via <ваш второй ip> dev tun1-00 table proxy2.out
Первый прокси не маркируется и он должен пойти по основному маршруту по умолчанию, проверьте что он один и нужный.
# route -n
Попробуйте.

сообщить модератору +/–

ответить

Спасибо Изучаю Ваш способ ,

simbatron (ok), 12:11 , 03-Ноя-16 (12)

Спасибо.
Изучаю Ваш способ.

сообщить модератору +/–

ответить

gt оверквотинг удален в -t mangle PREROUTING локальный трафик не попадет, да и,

reader (ok), 13:49 , 03-Ноя-16 (14)

>[оверквотинг удален]
>> сервера и так понятно, но если под каждый vpn сервер делать,
>> то так ресурсов не напасешься.
> Ну я не проверял, но примерно как то так. Второй прокси запускаем
> под пользователем proxy2 (создаем его сначала), чтобы был критерий для маркировки
> трафика.
> Маркируем весь трафик этого пользователя единичкой
>

> # iptables -A PREROUTING -t mangle -m owner --uid-owner=proxy2 -j MARK --set-mark
> 1
>

в -t mangle PREROUTING локальный трафик не попадет, да и в целом маркировки тут лишние
> Создаем дополнительную таблицу маршрутизации для маркированного единичкой
>
 
> # echo 201 proxy2.out >> /etc/iproute2/rt_tables 
> # ip rule add fwmark 1 table proxy2.out 
> # ip rule ls 
> 
давать имя таблице не обязательно, это только для наглядности, можно работать с номерами.
Т.к каждый прокси привязан к своему ip vpn интерфейса то отправлять пакеты они будут с разных ip, вот основываясь на этом и писать ip rule , а не по маркировкам
> Создаем маршрут по умолчанию для маркированного трафика
>
 
> # /sbin/ip route add default via <ваш второй ip> dev tun1-00 table 
> proxy2.out 
> 
и лучше расписать по таблице под каждый vpn, то есть сейчас 2 таблицы
> Первый прокси не маркируется и он должен пойти по основному маршруту по
> умолчанию, проверьте что он один и нужный.
>
 
> # route -n 
> 
> Попробуйте.
по поводу без прокси, а средствами iptables, route. Без прокси будет тяжеловато определить с какого браузера идет трафик
повторюсь читайте темы 2 провайдера

сообщить модератору +/–

ответить

gt оверквотинг удален Спасибо Читаю Я пробую по номеру порта определять ,

simbatron (ok), 14:20 , 03-Ноя-16 (15)

>[оверквотинг удален]
> таблицы
>> Первый прокси не маркируется и он должен пойти по основному маршруту по
>> умолчанию, проверьте что он один и нужный.
>>

>> # route -n
>>

>> Попробуйте.
> по поводу без прокси, а средствами iptables, route. Без прокси будет тяжеловато
> определить с какого браузера идет трафик
> повторюсь читайте темы 2 провайдера
Спасибо.
Читаю.
>Без прокси будет тяжеловато определить с какого браузера идет трафик
Я пробую по номеру порта определять.

сообщить модератору +/–

ответить

какого порта который как порт прокси прописан если да , то эти пакеты можно то, reader (ok), 14:36 , 03-Ноя-16 (16)
>>Без прокси будет тяжеловато определить с какого браузера идет трафик
> Я пробую по номеру порта определять.
какого порта? который как порт прокси прописан? если да , то эти пакеты можно только на прокси перенаправить, а не сразу на web-сервер
сообщить модератору +/– ответить

Я не проверял Вот ПРОВЕРЕННЫЙ вариант на домашнем ноуте code sudo iptables -A ,

ПавелС (ok), 11:58 , 04-Ноя-16 (17)

Я не проверял. Вот ПРОВЕРЕННЫЙ вариант на домашнем ноуте.

sudo iptables -A OUTPUT -t mangle -m owner --uid-owner=proxy2 -j MARK --set-mark 1
sudo ip rule add fwmark 1 table 201
sudo /sbin/ip route add default via <шлюз второго провайдера> dev TUN1-00 table 201

сообщить модератору +/–

ответить

Что то не получается делаю iptables -A OUTPUT -t mangle -m owner --uid-owner 100,

simbatron (ok), 20:47 , 08-Ноя-16 (21)

> Я не проверял. Вот ПРОВЕРЕННЫЙ вариант на домашнем ноуте.
>

> sudo iptables -A OUTPUT -t mangle -m owner --uid-owner=proxy2 -j MARK --set-mark
> 1
> sudo ip rule add fwmark 1 table 201
> sudo /sbin/ip route add default via <шлюз второго провайдера> dev TUN1-00 table
> 201
>

Что то не получается.
делаю:
iptables -A OUTPUT -t mangle -m owner --uid-owner=1001 -j MARK --set-mark 1
ip rule add fwmark 1 table 201
/sbin/ip route add default via 10.6.0.142 dev tun0 table 201
iptables -A OUTPUT -t mangle -m owner --uid-owner=1002 -j MARK --set-mark 2
ip rule add fwmark 2 table 202
/sbin/ip route add default via 10.6.0.158 dev tun1 table 202
Интернет перестает работать.
tcpdump -i any -n -vvv '(tcp or udp) and (! port 22 and ! port 443 and ! port 50413 and ! port 137 and ! port 138)'
выдает что то такое:
22:44:40.717624 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.50818: Flags [S.], cksum 0x83ed (incorrect -> 0xbbe2), seq 3709677915, ack 3372696901, win 14600, options [mss 1460,nop,nop,sackOK], length 0
22:44:40.717638 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.50813: Flags [S.], cksum 0x83ed (incorrect -> 0xf056), seq 3119676783, ack 2228694045, win 14600, options [mss 1460,nop,nop,sackOK], length 0
22:44:41.517577 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.50820: Flags [S.], cksum 0x83ed (incorrect -> 0xb489), seq 666647556, ack 2371826429, win 14600, options [mss 1460,nop,nop,sackOK], length 0
22:44:41.916718 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.50821: Flags [S.], cksum 0x83ed (incorrect -> 0x0c61), seq 3272199845, ack 1385162757, win 14600, options [mss 1460,nop,nop,sackOK], length 0
^C
190 packets captured
190 packets received by filter
0 packets dropped by kernel
Если удалить маркировку пакетов, то интернет идет через один vpn

сообщить модератору +/–

ответить

gt оверквотинг удален На взгляд все ОК, только покажи твою таблицу маршрутизац,

ПавелС (ok), 16:31 , 09-Ноя-16 (22)

>[оверквотинг удален]
>> 201
>>
> Что то не получается.
> делаю:
> iptables -A OUTPUT -t mangle -m owner --uid-owner=1001 -j MARK --set-mark 1
> ip rule add fwmark 1 table 201
> /sbin/ip route add default via 10.6.0.142 dev tun0 table 201
> iptables -A OUTPUT -t mangle -m owner --uid-owner=1002 -j MARK --set-mark 2
> ip rule add fwmark 2 table 202
> /sbin/ip route add default via 10.6.0.158 dev tun1 table 202
На взгляд все ОК, только покажи твою таблицу маршрутизации с включенными VPN. # route -n.
Я сомневаюсь в цифрах 10.6.0.142 10.6.0.158. Что это? Это должны быть шлюзы провайдеров на той стороне VPN.
>[оверквотинг удален]
> 22:44:41.916718 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF],
> proto TCP (6), length 48)
> 192.168.1.101.10001 > 192.168.1.21.50821: Flags [S.], cksum 0x83ed (incorrect
> -> 0x0c61), seq 3272199845, ack 1385162757, win 14600, options [mss 1460,nop,nop,sackOK],
> length 0
> ^C
> 190 packets captured
> 190 packets received by filter
> 0 packets dropped by kernel
> Если удалить маркировку пакетов, то интернет идет через один vpn

сообщить модератору +/–

ответить

root debian-101 route -nKernel IP routing tableDestination Gateway , simbatron (ok), 09:53 , 10-Ноя-16 (23)
> На взгляд все ОК, только покажи твою таблицу маршрутизации с включенными VPN.
> # route -n.
> Я сомневаюсь в цифрах 10.6.0.142 10.6.0.158. Что это? Это должны быть шлюзы
> провайдеров на той стороне VPN.
root@debian-101:~# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         10.6.0.158      128.0.0.0       UG    0      0        0 tun1
0.0.0.0         10.6.0.142      128.0.0.0       UG    0      0        0 tun0
0.0.0.0         192.168.1.1     0.0.0.0         UG    0      0        0 eth0
10.6.0.142      0.0.0.0         255.255.255.255 UH    0      0        0 tun0
10.6.0.158      0.0.0.0         255.255.255.255 UH    0      0        0 tun1
104.245.37.228  192.168.1.1     255.255.255.255 UGH   0      0        0 eth0
128.0.0.0       10.6.0.158      128.0.0.0       UG    0      0        0 tun1
128.0.0.0       10.6.0.142      128.0.0.0       UG    0      0        0 tun0
167.114.129.116 192.168.1.1     255.255.255.255 UGH   0      0        0 eth0
192.168.1.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
root@debian-101:~# ip r s table all
default via 10.6.0.142 dev tun0  table 201
default via 10.6.0.158 dev tun1  table 202
0.0.0.0/1 via 10.6.0.158 dev tun1
0.0.0.0/1 via 10.6.0.142 dev tun0
default via 192.168.1.1 dev eth0
10.6.0.142 dev tun0  proto kernel  scope link  src 10.6.0.141
10.6.0.158 dev tun1  proto kernel  scope link  src 10.6.0.157
104.245.37.228 via 192.168.1.1 dev eth0
128.0.0.0/1 via 10.6.0.158 dev tun1
128.0.0.0/1 via 10.6.0.142 dev tun0
167.114.129.116 via 192.168.1.1 dev eth0
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.101
local 10.6.0.141 dev tun0  table local  proto kernel  scope host  src 10.6.0.141
local 10.6.0.157 dev tun1  table local  proto kernel  scope host  src 10.6.0.157
broadcast 127.0.0.0 dev lo  table local  proto kernel  scope link  src 127.0.0.1
local 127.0.0.0/8 dev lo  table local  proto kernel  scope host  src 127.0.0.1
local 127.0.0.1 dev lo  table local  proto kernel  scope host  src 127.0.0.1
broadcast 127.255.255.255 dev lo  table local  proto kernel  scope link  src 127.0.0.1
broadcast 192.168.1.0 dev eth0  table local  proto kernel  scope link  src 192.168.1.101
local 192.168.1.101 dev eth0  table local  proto kernel  scope host  src 192.168.1.101
broadcast 192.168.1.255 dev eth0  table local  proto kernel  scope link  src 192.168.1.101
fe80::/64 dev eth0  proto kernel  metric 256
default via fe80::1 dev eth0  proto kernel  metric 1024  expires 124sec hoplimit 64
unreachable default dev lo  table unspec  proto kernel  metric 4294967295  error -101
local ::1 via :: dev lo  table local  proto none  metric 0
local fe80::a00:27ff:fe6f:3e16 via :: dev lo  table local  proto none  metric 0
ff00::/8 dev eth0  table local  metric 256
unreachable default dev lo  table unspec  proto kernel  metric 4294967295  error -101
root@debian-101:~# cat /proc/sys/net/ipv4/ip_forward
1
сообщить модератору +/– ответить

iptables-save и tcpdump отдельно с tun0 и с tun1, reader (ok), 17:20 , 10-Ноя-16 (24)
iptables-save и tcpdump отдельно с tun0 и с tun1
сообщить модератору +/– ответить

root debian-101 iptables-save Generated by iptables-save v1 4 14 on Fri Nov , simbatron (ok), 09:07 , 11-Ноя-16 (25)
> iptables-save и tcpdump отдельно с tun0 и с tun1
root@debian-101:~# iptables-save
# Generated by iptables-save v1.4.14 on Fri Nov 11 11:08:22 2016
*mangle
:PREROUTING ACCEPT [13973:1083817]
:INPUT ACCEPT [13973:1083817]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [11490:1302596]
:POSTROUTING ACCEPT [11490:1302596]
-A OUTPUT -m owner --uid-owner 1001 -j MARK --set-xmark 0x1/0xffffffff
-A OUTPUT -m owner --uid-owner 1002 -j MARK --set-xmark 0x2/0xffffffff
COMMIT
# Completed on Fri Nov 11 11:08:22 2016
root@debian-101:~# tcpdump -i tun0 -n -vvv '(tcp or udp) and (! port 22 and ! port 443 and ! port 50413 and ! port 137 and ! port 138)'
tcpdump: listening on tun0, link-type RAW (Raw IP), capture size 65535 bytes
11:10:24.839267 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54569: Flags [S.], cksum 0x83f1 (incorrect -> 0x77ab), seq 130576407, ack 2896304585, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:24.839307 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54568: Flags [S.], cksum 0x83f1 (incorrect -> 0x1f7f), seq 4036342834, ack 2388812621, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:24.839322 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54574: Flags [S.], cksum 0x83f1 (incorrect -> 0xbb33), seq 843625650, ack 2370340474, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:25.039222 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54570: Flags [S.], cksum 0x83f1 (incorrect -> 0x8e6c), seq 1362327381, ack 2139283325, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:25.039263 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54573: Flags [S.], cksum 0x83f1 (incorrect -> 0x0a01), seq 502062797, ack 3601651850, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:25.239270 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54575: Flags [S.], cksum 0x83f1 (incorrect -> 0x86c9), seq 4229044544, ack 3179043927, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:25.440049 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54576: Flags [S.], cksum 0x83f1 (incorrect -> 0xef62), seq 3567607939, ack 255099439, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:26.152320 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54568: Flags [S.], cksum 0x83f1 (incorrect -> 0x1f7f), seq 4036342834, ack 2388812621, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:26.162618 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54569: Flags [S.], cksum 0x83f1 (incorrect -> 0x77ab), seq 130576407, ack 2896304585, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:26.172074 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54570: Flags [S.], cksum 0x83f1 (incorrect -> 0x8e6c), seq 1362327381, ack 2139283325, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:26.182990 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54571: Flags [S.], cksum 0x83ed (incorrect -> 0xc9c8), seq 1255202360, ack 3392277755, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:26.183088 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54572: Flags [S.], cksum 0x83ed (incorrect -> 0x256a), seq 961191535, ack 918722072, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:26.193582 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54573: Flags [S.], cksum 0x83f1 (incorrect -> 0x0a01), seq 502062797, ack 3601651850, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:26.412487 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54574: Flags [S.], cksum 0x83f1 (incorrect -> 0xbb33), seq 843625650, ack 2370340474, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:26.422154 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54575: Flags [S.], cksum 0x83f1 (incorrect -> 0x86c9), seq 4229044544, ack 3179043927, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:26.422244 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54576: Flags [S.], cksum 0x83f1 (incorrect -> 0xef62), seq 3567607939, ack 255099439, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:26.422596 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54577: Flags [S.], cksum 0x83ed (incorrect -> 0x9260), seq 2056560559, ack 491388939, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:26.452603 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54579: Flags [S.], cksum 0x83ed (incorrect -> 0x709d), seq 3800131785, ack 3491118584, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:26.452700 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54578: Flags [S.], cksum 0x83ed (incorrect -> 0xac56), seq 3004083807, ack 1261072649, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:27.239273 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54572: Flags [S.], cksum 0x83ed (incorrect -> 0x256a), seq 961191535, ack 918722072, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:27.239314 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54571: Flags [S.], cksum 0x83ed (incorrect -> 0xc9c8), seq 1255202360, ack 3392277755, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:27.353582 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54580: Flags [S.], cksum 0x83f1 (incorrect -> 0xa7cb), seq 2345602805, ack 3185358206, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:27.612636 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54581: Flags [S.], cksum 0x83f1 (incorrect -> 0x3d37), seq 2980981727, ack 1165448622, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:27.639233 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54577: Flags [S.], cksum 0x83ed (incorrect -> 0x9260), seq 2056560559, ack 491388939, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:27.839252 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54579: Flags [S.], cksum 0x83ed (incorrect -> 0x709d), seq 3800131785, ack 3491118584, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:28.039277 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54578: Flags [S.], cksum 0x83ed (incorrect -> 0xac56), seq 3004083807, ack 1261072649, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:28.639275 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54580: Flags [S.], cksum 0x83f1 (incorrect -> 0xa7cb), seq 2345602805, ack 3185358206, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:28.839299 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54581: Flags [S.], cksum 0x83f1 (incorrect -> 0x3d37), seq 2980981727, ack 1165448622, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:29.439248 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54572: Flags [S.], cksum 0x83ed (incorrect -> 0x256a), seq 961191535, ack 918722072, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:29.439292 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54571: Flags [S.], cksum 0x83ed (incorrect -> 0xc9c8), seq 1255202360, ack 3392277755, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:29.839258 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54577: Flags [S.], cksum 0x83ed (incorrect -> 0x9260), seq 2056560559, ack 491388939, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:30.039246 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54579: Flags [S.], cksum 0x83ed (incorrect -> 0x709d), seq 3800131785, ack 3491118584, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:30.039289 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    192.168.1.101.10001 > 192.168.1.21.54578: Flags [S.], cksum 0x83ed (incorrect -> 0xac56), seq 3004083807, ack 1261072649, win 14600, options [mss 1460,nop,nop,sackOK], length 0
11:10:30.358983 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54580: Flags [S.], cksum 0x83f1 (incorrect -> 0xa7cb), seq 2345602805, ack 3185358206, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:30.611905 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54581: Flags [S.], cksum 0x83f1 (incorrect -> 0x3d37), seq 2980981727, ack 1165448622, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:30.840202 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54580: Flags [S.], cksum 0x83f1 (incorrect -> 0xa7cb), seq 2345602805, ack 3185358206, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
11:10:31.039282 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.1.101.10001 > 192.168.1.21.54581: Flags [S.], cksum 0x83f1 (incorrect -> 0x3d37), seq 2980981727, ack 1165448622, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 4], length 0
^C
37 packets captured
37 packets received by filter
0 packets dropped by kernel
А через tun1 трафик не идет.
root@debian-101:~# tcpdump -i tun1 -n -vvv '(tcp or udp) and (! port 22 and ! port 443 and ! port 50413 and ! port 137 and ! port 138)'
tcpdump: listening on tun1, link-type RAW (Raw IP), capture size 65535 bytes
^C
0 packets captured
0 packets received by filter
0 packets dropped by kernel
сообщить модератору +/– ответить

192 168 1 101 - это ip на виртуалке10001 - этот порт слушает прокси 192 168 1 21, reader (ok), 09:56 , 11-Ноя-16 (26)
192.168.1.101 - это ip на виртуалке
10001 - этот порт слушает прокси?
192.168.1.21 - это чей ip? хост машины? если да то как эти пакеты попали на tun0 интерфейс
что сейчас прописано в external в прокси
что прописано как DNS
netstat -npltu
ps axun |grep "1001 \|1002"
сообщить модератору +/– ответить

потому что в ваших таблицах 20 нет машрута к 192 168 1 0 24 , а только default, reader (ok), 13:06 , 11-Ноя-16 (27)
> 192.168.1.101 - это ip на виртуалке
> 10001 - этот порт слушает прокси?
> 192.168.1.21 - это чей ip? хост машины? если да то как эти
> пакеты попали на tun0 интерфейс
потому что в ваших таблицах 20* нет машрута к 192.168.1.0/24 , а только default
> что сейчас прописано в external в прокси
> что прописано как DNS
> netstat -npltu
> ps axun |grep "1001 \|1002"
сообщить модератору +/– ответить
root debian-101 ip route show table 201default via 10 6 0 170 dev tun0root de, simbatron (ok), 12:35 , 12-Ноя-16 (30)
>> 192.168.1.101 - это ip на виртуалке
>> 10001 - этот порт слушает прокси?
>> 192.168.1.21 - это чей ip? хост машины? если да то как эти
>> пакеты попали на tun0 интерфейс
> потому что в ваших таблицах 20* нет машрута к 192.168.1.0/24 , а
> только default
root@debian-101:~# ip route show table 201
default via 10.6.0.170 dev tun0
root@debian-101:~# ip route show table 202
default via 10.6.0.142 dev tun1
root@debian-101:~#

сообщить модератору +/– ответить
дадаэто ip хост машины ничего не прописано, отсутствует в конфиге, я пробовал ту, simbatron (ok), 12:32 , 12-Ноя-16 (29)
> 192.168.1.101 - это ip на виртуалке
да

> 10001 - этот порт слушает прокси?
да
> 192.168.1.21 - это чей ip? хост машины? если да то как эти
> пакеты попали на tun0 интерфейс
это ip хост машины
> что сейчас прописано в external в прокси
ничего не прописано, отсутствует в конфиге, я пробовал туда писать inet addr:10.6.0.141 tun0 и P-t-P:10.6.0.142 tun0 но тогда интернет не работает даже без маркировки пакетов.

> что прописано как DNS
так же отсутствует
> netstat -npltu
root@debian-101:~# netstat -npltu
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      1608/rpcbind
tcp        0      0 192.168.1.101:10001     0.0.0.0:*               LISTEN      2495/3proxy
tcp        0      0 192.168.1.101:10002     0.0.0.0:*               LISTEN      2520/3proxy
tcp        0      0 0.0.0.0:60693           0.0.0.0:*               LISTEN      1639/rpc.statd
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      2419/sshd
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      2356/exim4
tcp6       0      0 :::111                  :::*                    LISTEN      1608/rpcbind
tcp6       0      0 :::58291                :::*                    LISTEN      1639/rpc.statd
tcp6       0      0 :::22                   :::*                    LISTEN      2419/sshd
tcp6       0      0 ::1:25                  :::*                    LISTEN      2356/exim4
udp        0      0 0.0.0.0:52501           0.0.0.0:*                           1639/rpc.statd
udp        0      0 0.0.0.0:935             0.0.0.0:*                           1608/rpcbind
udp        0      0 127.0.0.1:967           0.0.0.0:*                           1639/rpc.statd
udp        0      0 0.0.0.0:111             0.0.0.0:*                           1608/rpcbind
udp6       0      0 :::935                  :::*                                1608/rpcbind
udp6       0      0 :::38866                :::*                                1639/rpc.statd
udp6       0      0 :::111                  :::*                                1608/rpcbind

> ps axun |grep "1001 \|1002"
root@debian-101:~# ps axun |grep "1001 \|1002"
    1001  2495  0.0  0.0   2224   600 ?        Ssl  14:37   0:00 /usr/local/3proxy/3proxy /usr/local/3proxy/10001_3proxy.cfg
    1002  2520  0.0  0.0   2224   600 ?        Ssl  14:37   0:00 /usr/local/3proxy/3proxy /usr/local/3proxy/10002_3proxy.cfg
       0  2605  0.0  0.0   3480   760 pts/0    S+   14:39   0:00 grep 1001 \|1002

сообщить модератору +/– ответить
если верить https 3proxy ru doc ru example1 txt то должно быть external 10 6 0, reader (ok), 13:48 , 12-Ноя-16 (32)

>> что сейчас прописано в external в прокси
> ничего не прописано, отсутствует в конфиге, я пробовал туда писать inet addr:10.6.0.141
> tun0 и P-t-P:10.6.0.142 tun0 но тогда интернет не работает даже без
> маркировки пакетов.
если верить https://3proxy.ru/doc/ru/example1.txt то должно быть
external 10.6.0.141 в одном и external 10.6.0.169 в другом
тогда прокси будут отправлять пакеты в инет с этих ip , а не так как сейчас.
И если это сработает, то можно будет отказаться от маркировки

>> что прописано как DNS
> так же отсутствует
а в /etc/resolv.conf
маршрут к 192.168.1.0/24 в таблицы 20* добавляйте
сообщить модератору +/– ответить
С самого начала так пробовал, не работало, позже опять попробую, сейчас сервер п, simbatron (ok), 14:21 , 12-Ноя-16 (33)
>>> что сейчас прописано в external в прокси
>> ничего не прописано, отсутствует в конфиге, я пробовал туда писать inet addr:10.6.0.141
>> tun0 и P-t-P:10.6.0.142 tun0 но тогда интернет не работает даже без
>> маркировки пакетов.
> если верить https://3proxy.ru/doc/ru/example1.txt то должно быть
> external 10.6.0.141 в одном и external 10.6.0.169 в другом
> тогда прокси будут отправлять пакеты в инет с этих ip , а
> не так как сейчас.
> И если это сработает, то можно будет отказаться от маркировки
С самого начала так пробовал, не работало, позже опять попробую, сейчас сервер перезагрузить не могу, он занят немного.
>>> что прописано как DNS
>> так же отсутствует
> а в /etc/resolv.conf
nameserver 192.168.1.1
> маршрут к 192.168.1.0/24 в таблицы 20* добавляйте
как это правильно сделать?

сообщить модератору +/– ответить
gt оверквотинг удален ip route add 192 168 1 0 24 dev eth0 src 192 168 1 101 t, reader (ok), 14:33 , 12-Ноя-16 (34)
>[оверквотинг удален]
>> не так как сейчас.
>> И если это сработает, то можно будет отказаться от маркировки
> С самого начала так пробовал, не работало, позже опять попробую, сейчас сервер
> перезагрузить не могу, он занят немного.
>>>> что прописано как DNS
>>> так же отсутствует
>> а в /etc/resolv.conf
> nameserver 192.168.1.1
>> маршрут к 192.168.1.0/24 в таблицы 20* добавляйте
> как это правильно сделать?
ip route add 192.168.1.0/24 dev eth0 src 192.168.1.101 table 20*
сообщить модератору +/– ответить
gt оверквотинг удален Ок Завтра смогу проверить Спасибо что помогаете , simbatron (ok), 14:39 , 12-Ноя-16 (35)
>[оверквотинг удален]
>>> И если это сработает, то можно будет отказаться от маркировки
>> С самого начала так пробовал, не работало, позже опять попробую, сейчас сервер
>> перезагрузить не могу, он занят немного.
>>>>> что прописано как DNS
>>>> так же отсутствует
>>> а в /etc/resolv.conf
>> nameserver 192.168.1.1
>>> маршрут к 192.168.1.0/24 в таблицы 20* добавляйте
>> как это правильно сделать?
> ip route add 192.168.1.0/24 dev eth0 src 192.168.1.101 table 20*
Ок.
Завтра смогу проверить. Спасибо что помогаете.
сообщить модератору +/– ответить
gt оверквотинг удален Добавил в обе таблицы Не помогло nohup openvpn etc ope, simbatron (ok), 09:55 , 14-Ноя-16 (36)
>[оверквотинг удален]
>>> И если это сработает, то можно будет отказаться от маркировки
>> С самого начала так пробовал, не работало, позже опять попробую, сейчас сервер
>> перезагрузить не могу, он занят немного.
>>>>> что прописано как DNS
>>>> так же отсутствует
>>> а в /etc/resolv.conf
>> nameserver 192.168.1.1
>>> маршрут к 192.168.1.0/24 в таблицы 20* добавляйте
>> как это правильно сделать?
> ip route add 192.168.1.0/24 dev eth0 src 192.168.1.101 table 20*
Добавил в обе таблицы. Не помогло.
nohup openvpn /etc/openvpn/RO-Bucharest-CactusVPN-TCP.ovpn >/dev/null &
nohup openvpn /etc/openvpn/UK-London2-CactusVPN-TCP.ovpn >/dev/null &
eth0 Link encap:Ethernet HWaddr 08:00:27:6f:3e:16 inet addr:192.168.1.101 Bcast:192.168.1.255 Mask:255.255.255.0 inet6 addr: fe80::a00:27ff:fe6f:3e16/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:305 errors:2 dropped:0 overruns:0 frame:0 TX packets:175 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:37713 (36.8 KiB) TX bytes:23202 (22.6 KiB) Interrupt:10 Base address:0xd020
lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 inet6 addr: ::1/128 Scope:Host UP LOOPBACK RUNNING MTU:16436 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 inet addr:10.6.0.113 P-t-P:10.6.0.114 Mask:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
tun1 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 inet addr:10.6.0.177 P-t-P:10.6.0.178 Mask:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)

sudo -u user1 /usr/local/3proxy/3proxy /usr/local/3proxy/10001_3proxy.cfg
iptables -A OUTPUT -t mangle -m owner --uid-owner=1001 -j MARK --set-mark 1
ip rule add fwmark 1 table 201
/sbin/ip route add default via 10.6.0.114 dev tun0 table 201
ip route add 192.168.1.0/24 dev eth0 src 192.168.1.101 table 201

sudo -u user2 /usr/local/3proxy/3proxy /usr/local/3proxy/10002_3proxy.cfg
iptables -A OUTPUT -t mangle -m owner --uid-owner=1002 -j MARK --set-mark 2
ip rule add fwmark 2 table 202
/sbin/ip route add default via 10.6.0.178 dev tun1 table 202
ip route add 192.168.1.0/24 dev eth0 src 192.168.1.101 table 202
сообщить модератору +/– ответить
tcpdump с разных интерфейсов, без этого не понять куда пакеты идут, reader (ok), 11:18 , 14-Ноя-16 (39)
tcpdump с разных интерфейсов, без этого не понять куда пакеты идут
сообщить модератору +/– ответить
Отключил маркировку очистил iptables , убил все 3proxy killall 3proxy , добави, simbatron (ok), 09:59 , 14-Ноя-16 (37)
>>> что сейчас прописано в external в прокси
>> ничего не прописано, отсутствует в конфиге, я пробовал туда писать inet addr:10.6.0.141
>> tun0 и P-t-P:10.6.0.142 tun0 но тогда интернет не работает даже без
>> маркировки пакетов.
> если верить https://3proxy.ru/doc/ru/example1.txt то должно быть
> external 10.6.0.141 в одном и external 10.6.0.169 в другом
> тогда прокси будут отправлять пакеты в инет с этих ip , а
> не так как сейчас.
> И если это сработает, то можно будет отказаться от маркировки
Отключил маркировку (очистил iptables), убил все 3proxy (killall 3proxy), добавил в /usr/local/3proxy/10001_3proxy.cfg команду external 10.6.0.113 а в /usr/local/3proxy/10001_3proxy.cfg соответственно external 10.6.0.177 Интернет перестал работать.

сообщить модератору +/– ответить
gt оверквотинг удален возможно с dns на 192 168 1 1 не может так соедениться, , reader (ok), 11:27 , 14-Ноя-16 (40)
>[оверквотинг удален]
>>> tun0 и P-t-P:10.6.0.142 tun0 но тогда интернет не работает даже без
>>> маркировки пакетов.
>> если верить https://3proxy.ru/doc/ru/example1.txt то должно быть
>> external 10.6.0.141 в одном и external 10.6.0.169 в другом
>> тогда прокси будут отправлять пакеты в инет с этих ip , а
>> не так как сейчас.
>> И если это сработает, то можно будет отказаться от маркировки
> Отключил маркировку (очистил iptables), убил все 3proxy (killall 3proxy), добавил в /usr/local/3proxy/10001_3proxy.cfg
> команду external 10.6.0.113 а в /usr/local/3proxy/10001_3proxy.cfg соответственно external
> 10.6.0.177 Интернет перестал работать.
возможно с dns на 192.168.1.1 не может так соедениться, попробуйте им прописть хотябы 8.8.8.8 в *_3proxy.cfg
сообщить модератору +/– ответить
gt оверквотинг удален файл 10001_3proxy cfg daemoninternal 192 168 1 101nserve, simbatron (ok), 12:50 , 14-Ноя-16 (41)
>[оверквотинг удален]
>>> если верить https://3proxy.ru/doc/ru/example1.txt то должно быть
>>> external 10.6.0.141 в одном и external 10.6.0.169 в другом
>>> тогда прокси будут отправлять пакеты в инет с этих ip , а
>>> не так как сейчас.
>>> И если это сработает, то можно будет отказаться от маркировки
>> Отключил маркировку (очистил iptables), убил все 3proxy (killall 3proxy), добавил в /usr/local/3proxy/10001_3proxy.cfg
>> команду external 10.6.0.113 а в /usr/local/3proxy/10001_3proxy.cfg соответственно external
>> 10.6.0.177 Интернет перестал работать.
> возможно с dns на 192.168.1.1 не может так соедениться, попробуйте им прописть
> хотябы 8.8.8.8 в *_3proxy.cfg
файл 10001_3proxy.cfg:
daemon
internal 192.168.1.101
nserver 8.8.8.8
allow *
auth none
proxy -p10001
с маркировкой не работает, без маркировки работает.

daemon
internal 192.168.1.101
external - "сюда ставил ip tun0 и gw tun0"
nserver 8.8.8.8
allow *
auth none
proxy -p10001
так не работает даже без маркировки
сообщить модератору +/– ответить
gt оверквотинг удален в этом случае соединения идут согласно route -nне видя ч, reader (ok), 13:08 , 14-Ноя-16 (42)
>[оверквотинг удален]
>> возможно с dns на 192.168.1.1 не может так соедениться, попробуйте им прописть
>> хотябы 8.8.8.8 в *_3proxy.cfg
> файл 10001_3proxy.cfg:
> daemon
> internal 192.168.1.101
> nserver 8.8.8.8
> allow *
> auth none
> proxy -p10001
> с маркировкой не работает, без маркировки работает.
в этом случае соединения идут согласно route -n
> daemon
> internal 192.168.1.101
> external - "сюда ставил ip tun0 и gw tun0"
> nserver 8.8.8.8
> allow *
> auth none
> proxy -p10001
> так не работает даже без маркировки
не видя что при этом происходит на интерфейсах, ответить ничего не могу
а без прописывания internal 192.168.1.101 прокси работает?
сообщить модератору +/– ответить
gt оверквотинг удален а как посмотреть убрал internal 192 168 1 101конфиг dae, simbatron (ok), 14:04 , 14-Ноя-16 (43)
>[оверквотинг удален]
> в этом случае соединения идут согласно route -n
>> daemon
>> internal 192.168.1.101
>> external - "сюда ставил ip tun0 и gw tun0"
>> nserver 8.8.8.8
>> allow *
>> auth none
>> proxy -p10001
>> так не работает даже без маркировки
> не видя что при этом происходит на интерфейсах, ответить ничего не могу
а как посмотреть?
> а без прописывания internal 192.168.1.101 прокси работает?
убрал internal 192.168.1.101
конфиг:
daemon
allow *
auth none
proxy -p10001
с маркировкой нет интернета, без маркировки работает
сообщить модератору +/– ответить
добавил команды sysctl -w net ipv4 conf tun0 rp_filter 0sysctl -w net ipv4 conf , simbatron (ok), 15:34 , 14-Ноя-16 (45)
добавил команды:
sysctl -w net.ipv4.conf.tun0.rp_filter=0
sysctl -w net.ipv4.conf.tun1.rp_filter=0
на порту 10002 интернет появился, маркировка работает, на порту 10001 нет.
поднял три vpn со всеми настройками и пользователями и таблицами, на порту 10003 интернет есть на других портах нет.
root@debian-101:~# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         10.6.0.118      128.0.0.0       UG    0      0        0 tun2
0.0.0.0         10.6.0.162      128.0.0.0       UG    0      0        0 tun1
0.0.0.0         10.6.0.94       128.0.0.0       UG    0      0        0 tun0
0.0.0.0         192.168.1.1     0.0.0.0         UG    0      0        0 eth0
10.6.0.94       0.0.0.0         255.255.255.255 UH    0      0        0 tun0
10.6.0.118      0.0.0.0         255.255.255.255 UH    0      0        0 tun2
10.6.0.162      0.0.0.0         255.255.255.255 UH    0      0        0 tun1
88.150.154.46   192.168.1.1     255.255.255.255 UGH   0      0        0 eth0
93.115.92.240   192.168.1.1     255.255.255.255 UGH   0      0        0 eth0
128.0.0.0       10.6.0.118      128.0.0.0       UG    0      0        0 tun2
128.0.0.0       10.6.0.162      128.0.0.0       UG    0      0        0 tun1
128.0.0.0       10.6.0.94       128.0.0.0       UG    0      0        0 tun0
192.168.1.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
212.48.93.19    192.168.1.1     255.255.255.255 UGH   0      0        0 eth0
А вот эти ip 88.150.154.46, 93.115.92.240, 212.48.93.19 - это ведь сервера какие то, может их тоже как то в таблицы 201, 202, 203 нужно прописать?
сообщить модератору +/– ответить
gt оверквотинг удален нужно tcpdump на интерфейсах смотретьчерез них vpn подни, reader (ok), 18:47 , 14-Ноя-16 (46)
>[оверквотинг удален]
>   128.0.0.0       UG
>   0      0
>      0 tun0
> 192.168.1.0     0.0.0.0
>   255.255.255.0   U     0
>      0
>   0 eth0
> 212.48.93.19    192.168.1.1     255.255.255.255 UGH
>  0      0
>     0 eth0
нужно tcpdump на интерфейсах смотреть
> А вот эти ip 88.150.154.46, 93.115.92.240, 212.48.93.19 - это ведь сервера какие
> то, может их тоже как то в таблицы 201, 202, 203
> нужно прописать?
через них vpn поднимается, их нельзя с 192.168.1.1 убирать
сообщить модератору +/– ответить
gt оверквотинг удален Все заработало добавил iptables -t nat -A POSTROUTING , simbatron (ok), 14:23 , 15-Ноя-16 (47)
>[оверквотинг удален]
>>      0
>>   0 eth0
>> 212.48.93.19    192.168.1.1     255.255.255.255 UGH
>>  0      0
>>     0 eth0
> нужно tcpdump на интерфейсах смотреть
>> А вот эти ip 88.150.154.46, 93.115.92.240, 212.48.93.19 - это ведь сервера какие
>> то, может их тоже как то в таблицы 201, 202, 203
>> нужно прописать?
> через них vpn поднимается, их нельзя с 192.168.1.1 убирать
Все заработало!!!
добавил iptables -t nat -A POSTROUTING -o tun+ -j MASQUERADE
большое спасибо за помощь.
сообщить модератору +/– ответить

Теперь не сомневаюсь, цифры те Всё должно работать Единственное что нужно уточ, ПавелС (ok), 17:38 , 11-Ноя-16 (28)
Теперь не сомневаюсь, цифры те. Всё должно работать. Единственное что нужно уточнить: точно ли прокси запускаются под uid 10001 10002. Вы должны их запускать как то так: # sudo -u 10001_username 3proxy bla bla. И после этого покажите # ps aux | grep 3proxy.
сообщить модератору +/– ответить

так если бы прокси запускались не от нужного пользователя то маркировка бы не ра, simbatron (ok), 12:44 , 12-Ноя-16 (31)
> Теперь не сомневаюсь, цифры те. Всё должно работать. Единственное что нужно уточнить:
> точно ли прокси запускаются под uid 10001 10002. Вы должны их
> запускать как то так: # sudo -u 10001_username 3proxy bla bla.
> И после этого покажите # ps aux | grep 3proxy.
так если бы прокси запускались не от нужного пользователя то маркировка бы не работала и интернет как раз бы работал, но только по одному тоннелю.
У меня скрипт php на другом сервере по протоколу ssh при старте перезагружает сервер который я пытаюсь настроить с ip 192.168.1.101 и когда сервер становится доступен, скрипт выполняет на сервере команды поднятия vpn, узнает их ip запускает 3proxy и настраивает маркировку и таблицы маршрутизации.
И во время выполнения выводит на экран то что делает:
nohup openvpn /etc/openvpn/uk3.hideipvpn.com_TCP.ovpn >/dev/null &
nohup openvpn /etc/openvpn/uk4.hideipvpn.com_TCP.ovpn >/dev/null &
ifconfig
eth0 Link encap:Ethernet HWaddr 08:00:27:6f:3e:16 inet addr:192.168.1.101 Bcast:192.168.1.255 Mask:255.255.255.0 inet6 addr: fe80::a00:27ff:fe6f:3e16/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:182 errors:1 dropped:0 overruns:0 frame:0 TX packets:125 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:27835 (27.1 KiB) TX bytes:15463 (15.1 KiB) Interrupt:10 Base address:0xd020
lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 inet6 addr: ::1/128 Scope:Host UP LOOPBACK RUNNING MTU:16436 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 inet addr:10.6.0.169 P-t-P:10.6.0.170 Mask:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1 RX packets:7 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 RX bytes:519 (519.0 B) TX bytes:0 (0.0 B)
tun1 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 inet addr:10.6.0.141 P-t-P:10.6.0.142 Mask:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:7 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 RX bytes:0 (0.0 B) TX bytes:280 (280.0 B)
sudo -u user1 /usr/local/3proxy/3proxy /usr/local/3proxy/10001_3proxy.cfg
iptables -A OUTPUT -t mangle -m owner --uid-owner=1001 -j MARK --set-mark 1

ip rule add fwmark 1 table 201

/sbin/ip route add default via 10.6.0.170 dev tun0 table 201

sudo -u user2 /usr/local/3proxy/3proxy /usr/local/3proxy/10002_3proxy.cfg
iptables -A OUTPUT -t mangle -m owner --uid-owner=1002 -j MARK --set-mark 2

ip rule add fwmark 2 table 202

/sbin/ip route add default via 10.6.0.142 dev tun1 table 202
сообщить модератору +/– ответить

gt оверквотинг удален Ты что без консоли настраиваешь какими то php скриптами , Павел Самсонов (?), 10:51 , 14-Ноя-16 (38)
>[оверквотинг удален]
>> запускать как то так: # sudo -u 10001_username 3proxy bla bla.
>> И после этого покажите # ps aux | grep 3proxy.
> так если бы прокси запускались не от нужного пользователя то маркировка бы
> не работала и интернет как раз бы работал, но только по
> одному тоннелю.
> У меня скрипт php на другом сервере по протоколу ssh при старте
> перезагружает сервер который я пытаюсь настроить с ip 192.168.1.101 и когда
> сервер становится доступен, скрипт выполняет на сервере команды поднятия vpn, узнает
> их ip запускает 3proxy и настраивает маркировку и таблицы маршрутизации.
> И во время выполнения выводит на экран то что делает:
Ты что без консоли настраиваешь какими то php скриптами? Меня тут больше нет.
>[оверквотинг удален]
> errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 RX bytes:0 (0.0 B)
> TX bytes:280 (280.0 B)
> sudo -u user1 /usr/local/3proxy/3proxy /usr/local/3proxy/10001_3proxy.cfg
> iptables -A OUTPUT -t mangle -m owner --uid-owner=1001 -j MARK --set-mark 1
> ip rule add fwmark 1 table 201
> /sbin/ip route add default via 10.6.0.170 dev tun0 table 201
> sudo -u user2 /usr/local/3proxy/3proxy /usr/local/3proxy/10002_3proxy.cfg
> iptables -A OUTPUT -t mangle -m owner --uid-owner=1002 -j MARK --set-mark 2
> ip rule add fwmark 2 table 202
> /sbin/ip route add default via 10.6.0.142 dev tun1 table 202
сообщить модератору +/– ответить

gt оверквотинг удален PHP скрипт на другом сервере по ssh заходит на наш серве, simbatron (ok), 14:08 , 14-Ноя-16 (44)
>[оверквотинг удален]
>> так если бы прокси запускались не от нужного пользователя то маркировка бы
>> не работала и интернет как раз бы работал, но только по
>> одному тоннелю.
>> У меня скрипт php на другом сервере по протоколу ssh при старте
>> перезагружает сервер который я пытаюсь настроить с ip 192.168.1.101 и когда
>> сервер становится доступен, скрипт выполняет на сервере команды поднятия vpn, узнает
>> их ip запускает 3proxy и настраивает маркировку и таблицы маршрутизации.
>> И во время выполнения выводит на экран то что делает:
> Ты что без консоли настраиваешь какими то php скриптами? Меня тут больше
> нет.
PHP скрипт на другом сервере по ssh заходит на наш сервер и в консоли вводит команды.
Это ни чем не отличается от того что я сам захожу по ssh и ввожу эти команды руками.
сообщить модератору +/– ответить
gt оверквотинг удален Ты в предыдущем посте сделал все правильно Единственное, ПавелС (ok), 22:16 , 15-Ноя-16 (48)
>[оверквотинг удален]
>>> перезагружает сервер который я пытаюсь настроить с ip 192.168.1.101 и когда
>>> сервер становится доступен, скрипт выполняет на сервере команды поднятия vpn, узнает
>>> их ip запускает 3proxy и настраивает маркировку и таблицы маршрутизации.
>>> И во время выполнения выводит на экран то что делает:
>> Ты что без консоли настраиваешь какими то php скриптами? Меня тут больше
>> нет.
> PHP скрипт на другом сервере по ssh заходит на наш сервер и
> в консоли вводит команды.
> Это ни чем не отличается от того что я сам захожу по
> ssh и ввожу эти команды руками.
Ты в предыдущем посте сделал все правильно. Единственное что я выяснил поэксперементировав - из основной таблицы маршрутизации маршруты удалять не надо (это которая /sbin/route ), тогда всё заработает.
сообщить модератору +/– ответить

Способы решения 1 Отсыпь той травы, что ты курил, описывая проблему, чтобы поня,

ACCA (ok), 10:33 , 03-Ноя-16 (11) +1

Способы решения:
1. Отсыпь той травы, что ты курил, описывая проблему, чтобы понять, что ты имеешь в виду
2. Походу, обычная XY-проблема. Вернись к началу и расскажи, зачем ты всё это делаешь
Возможно, что тебе не нужно два OpenVPN. Возможно, что тебе нужно два параллельных OpenVPN, а не один в другом. Возможно, что там нужно помудрить с `ip rule'. Возможно, что не нужно это делать вообще.

сообщить модератору +1 +/–

ответить

Конечно мне нужно два параллельных OpenVPN, а не один в другом Давайте попробую , simbatron (ok), 12:13 , 03-Ноя-16 (13)
> Способы решения:
> 1. Отсыпь той травы, что ты курил, описывая проблему, чтобы понять, что
> ты имеешь в виду
> 2. Походу, обычная XY-проблема. Вернись к началу и расскажи, зачем ты всё
> это делаешь
> Возможно, что тебе не нужно два OpenVPN. Возможно, что тебе нужно два
> параллельных OpenVPN, а не один в другом. Возможно, что там нужно
> помудрить с `ip rule'. Возможно, что не нужно это делать вообще.
Конечно мне нужно два параллельных OpenVPN, а не один в другом.
Давайте попробую более подробно объяснить.
В настоящее время ситуация такая:
Есть компьютер, на нем виртуалбокс и одна виртуальная машина.
В виртуальной машине один сетевой адаптер (тип сетевой мост), операционная система debian 7
В debian соответственно есть eth0 ctatic с ip адресом 192.168.1.101
В debian запускаю openvpn и так подключаюсь к vpn серверу в США и соответственно получаю внешний IP сервера США - под этим IP меня видят сайты на которые я захожу.
В debian запускаю 3proxy на ip 192.168.1.101 порт 10001
В windows на хозяйской машине в браузере делаю настройки проксисервера ip 192.168.1.101 порт 10001 и захожу на сайт 2ip.ru и вижу что интернет работает и ip сервера в США
Это было все просто и все работает.
Теперь нужно в debian подключиться через openvpn еще к одному серверу (например в германии) поднять прокси ip 192.168.1.101 порт 10002 уже для этого подключения, в хозяйской машине на windows в другом браузере настроить прокси ip 192.168.1.101 порт 10002 зайти на сайт 2ip.ru и увидеть что интернет опять работает и ip сервера из германии.
Таким образом чтоб одновременно можно было на хозяйской машине в разных браузерах в интернет ходить под разными IP
Кроме того если удастся реализовать такую конструкцию рассчитываю потом увеличивать таким же образом количество внешних IP
Я думаю что используя какие то настройки сети в debian (iptables, route ...) можно это реализовать вообще без 3proxy, но как сделать пока не знаю.
сообщить модератору +/– ответить

gt оверквотинг удален Зачем городить такой огород и делать все через одно мест, aaa (??), 13:58 , 04-Ноя-16 (18)
>[оверквотинг удален]
> подключения, в хозяйской машине на windows в другом браузере настроить прокси
> ip 192.168.1.101 порт 10002 зайти на сайт 2ip.ru и увидеть что
> интернет опять работает и ip сервера из германии.
> Таким образом чтоб одновременно можно было на хозяйской машине в разных браузерах
> в интернет ходить под разными IP
> Кроме того если удастся реализовать такую конструкцию рассчитываю потом увеличивать таким
> же образом количество внешних IP
> Я думаю что используя какие то настройки сети в debian (iptables, route
> ...) можно это реализовать вообще без 3proxy, но как сделать пока
> не знаю.
Зачем городить такой огород и делать все через одно место?
Openvpn и 3proxy есть под винду. Все это можно реализовать на винде. Чтоб внп не был один в другом надо добавить маршруты к впн серверам через ваш дефолтный шлюз. Например:
route -p add ИП_ВПН_США mask 255.255.255.255 ИП_ВАШ_ШЛЮЗ
route -p add ИП_ВПН_ГЕРМАНИЯ mask 255.255.255.255 ИП_ВАШ_ШЛЮЗ
сообщить модератору +/– ответить

gt оверквотинг удален Да нет, Вы не понимаете Это маршруты к хостам, если пин, ПавелС (ok), 14:05 , 04-Ноя-16 (19)
>[оверквотинг удален]
>> же образом количество внешних IP
>> Я думаю что используя какие то настройки сети в debian (iptables, route
>> ...) можно это реализовать вообще без 3proxy, но как сделать пока
>> не знаю.
> Зачем городить такой огород и делать все через одно место?
> Openvpn и 3proxy есть под винду. Все это можно реализовать на винде.
> Чтоб внп не был один в другом надо добавить маршруты к
> впн серверам через ваш дефолтный шлюз. Например:
> route -p add ИП_ВПН_США mask 255.255.255.255 ИП_ВАШ_ШЛЮЗ
> route -p add ИП_ВПН_ГЕРМАНИЯ mask 255.255.255.255 ИП_ВАШ_ШЛЮЗ
Да нет, Вы не понимаете. Это маршруты к хостам, если пинговать их, то будет через нужные интерфейсы. А до www.yandex.ru пойдет все равно через маршрут по умолчанию.
Огород здесь не городят. С двумя провайдерами - с двумя шлюзами по умолчанию - это LARTC.
сообщить модератору +/– ответить
gt оверквотинг удален Спасибо, попробую Вообще при установлении vpn подключен, simbatron (ok), 12:27 , 07-Ноя-16 (20)
>[оверквотинг удален]
>> же образом количество внешних IP
>> Я думаю что используя какие то настройки сети в debian (iptables, route
>> ...) можно это реализовать вообще без 3proxy, но как сделать пока
>> не знаю.
> Зачем городить такой огород и делать все через одно место?
> Openvpn и 3proxy есть под винду. Все это можно реализовать на винде.
> Чтоб внп не был один в другом надо добавить маршруты к
> впн серверам через ваш дефолтный шлюз. Например:
> route -p add ИП_ВПН_США mask 255.255.255.255 ИП_ВАШ_ШЛЮЗ
> route -p add ИП_ВПН_ГЕРМАНИЯ mask 255.255.255.255 ИП_ВАШ_ШЛЮЗ
Спасибо, попробую. Вообще при установлении vpn подключения openvpn добавляет 3 маршрута, если их удалить то трафик идет через дефолтный шлюз.
сообщить модератору +/– ответить

Принцип работы ipfw freeBSD при использовании via,

Donnie_Darko, (BSD ipfw, ipf, ip-filter / FreeBSD) 11-Ноя-16, 20:32 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Коллеги, возник вопрос по ipfw - если в правилах указывается интерфейс (via em0 и тд) и в сорсе или дестнейшне содержится any, то имеется ввиду, что any - это сеть, описанная за интерфейсом или вообще любая адресация ?
Мне нужно перенести правила с ipfw на Check Point, на CP естественно нет разграничения по интерфейсам, там все на уровне ядра обрабатывается.
Пример, чтобы было понятнее, что я имею ввиду:
#${fwcmd} add allow ip from any to 10.10.0.50 via ifdmz
на CP это правило будет выглядеть как
any 10.10.0.50 accept или сорс -(сеть, описанная за ifdmz) дест - 10.10.0.50 ?
Спасибо!

Ответить | Сообщить модератору

Указывайте версию FreeBSD via - пакеты проходящие через этот интерфейс Это дв, universite (ok), 20:59 , 11-Ноя-16 (1)
Указывайте версию FreeBSD!!!
via - пакеты проходящие через этот интерфейс. Это два направления in и out.
В вашем случае надо создавать два правила для обработки src IP = 10.10.0.50 и dst IP = 10.10.0.50
сообщить модератору +/– ответить

Урезать скорость на интерфейсе,

ku100, (BSD ipfw, ipf, ip-filter / FreeBSD) 05-Ноя-16, 06:43 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Помогите разобраться:
Задача
xl0 <------- 6Mbit/s --------> vlan1
Имеется канал 10Мбит/с (интернет) интерфейс xl0
Локальная сеть (192.168.59.0/24) интерфейс vlan1
Хочу посредством ipfw pipe ограничить канал (интернета) для локальных пользователей.
сделал так:
ipfw pipe 1000 config bw 6Mbit/s
ipfw add pipe 1000 ip from 192.168.59.0/24 to any out
ipfw add pipe 1000 ip from any to 192.168.59.0/24 in
Правила не работает (((

Ответить | Сообщить модератору

Есно pipe - односторонняя труба Вы хотите ограничить трубу 6 мбитам для всех IP , universite (ok), 12:27 , 05-Ноя-16 (1)
> сделал так:
> ipfw pipe 1000 config bw 6Mbit/s
> ipfw add pipe 1000 ip from 192.168.59.0/24 to any out
> ipfw add pipe 1000 ip from any to 192.168.59.0/24 in
> Правила не работает (((
Есно.
pipe - односторонняя труба.
Вы хотите ограничить трубу 6 мбитам для всех IP из сети 192.168.59.0/24
Простой случай:
```
ipfw pipe 1000 config bw 6Mbit/s dst-ip 0xffffffff
ipfw pipe 1001 config bw 6Mbit/s src-ip 0xffffffffipfw add pipe 1000 ip from any to 192.168.59.0/24 in 
ipfw add pipe 1001 ip from 192.168.59.0/24 to any out 
```
Сложный случай:
```
int=vlan1
gray_net=10.0.0.0/8,192.168.0.0/16,239.0.0.0/8ipfw pipe 1000 config bw 6Mbit/s dst-ip 0xffffffff gred 0.1/10/80/0.95
ipfw pipe 1001 config bw 6Mbit/s src-ip 0xffffffff gred 0.1/10/80/0.95
ipfw add pipe 1000 ip from not me,${gray_net} to 192.168.59.0/24 in  via $int
ipfw add pipe 1001 ip from 192.168.59.0/24 to not me,${gray_net} out via $int
```
сообщить модератору +/– ответить

TTL-target для iptables,

ijvans, (Linux iptables, ipchains / Linux) 02-Ноя-16, 17:53 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день.
Проблема в следующем, есть роутер TPLink WR740N v6, необходимо избежать отслеживания провайдером TTL. Прошил его с помощью патченой OpenWRT прошивки от WR841:
https://forum.openwrt.org/viewtopic.php?id=64002
Установил модуль iptables_mod_ipopt и пытаюсь выполнить команду:
iptables -t mange -I POSTROUTING -o eth1 -j TTL --ttl-set 64
В результате получаю "no chain/target/match by that name", и действительно в proc/net/ip_tables_targets TTL просто нет, говорят что возможно сборка вообще без config_ip_nf_target_ttl.
Пытался решить проблему с помощью:
insmod xt_NF
который нашел в lib/modules, в результате таргет TTL появляется, но при попытке выполнения iptables роутер уходит в ребут.
Я очень слаб в линуксе, тем более в ядре, тем более в таких миниатюрнюх сборках. В чем может быть проблема? Люди советуют пересобирать ядро), но неужели нет возможности решить проблему иначе?
P.S. В WR740Nv4 с ddwrt таргет TTL есть, все работает

Ответить | Сообщить модератору

-t mangle же, нет , Andrey Mitrofanov (?), 18:19 , 02-Ноя-16 (1)
> iptables -t mange -I POSTROUTING -o eth1 -j TTL --ttl-set 64
> В результате получаю "no chain/target/match by that name"
-t mangle же, нет?
сообщить модератору +/– ответить

Партнёры:

Хостинг:


Пометить прочитанным Создать тему	1 \| 2 \| 3 \| 4 \| 5 \| 6 \| 7 \| 8 \| 9 \| 10 \| Архив \| Избранное \| Мое \| Новое \| ☳ \| ☶ \| ⚟