forum.opennet.ru

1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | Архив | Избранное | Мое | Новое | ☳ | ☶ | ⚟

Форум Информационная безопасность

Для чего нужен reload в ufw?,

Аноним, (ПО для увеличения безопасности / Linux) 08-Фев-21, 14:26 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Вроде бы простой вопрос, но на лоре затруднились с ответом.
Цитирую свой вопрос сюда:
Для того, чтобы ограничить доступ к серверу со всех IP-адресов, кроме одного, добавляю в строку конфига /etc/ufw/user.rules
-A ufw-user-input -p tcp --dport 22  -j ACCEPT
параметр -s 85.85.85.85 и она стает такой:
-A ufw-user-input -p tcp --dport 22 -s 85.85.85.85 -j ACCEPT
Пока сервер пускает со всех адресов.
Но когда делаю полный ребут сервера, то ура! - пускает только с 85.85.85.85
Но полный ребут не совсем гут, лучше перезапустить только файрвол ufw,
и для этого у него вроде как предсмотрена команда reload, о которой ман говорит так:
reload - перезагрузить файервол;
Хорошо, перезагружаю. Но вместо ожидаемого результата из конфига выбрасывается -s 85.85.85.85 и брюки снова превращаются в свой прежний вид:
-A ufw-user-input -p tcp --dport 22  -j ACCEPT
Для чего вообще тогда этот непонятный reload, что он на самом деле делает?

Ответить | Сообщить модератору

А INPUT -j ufw-user-input де , Аноним (1), 14:57 , 08-Фев-21 (1)
А INPUT -j ufw-user-input де ?
сообщить модератору +/– ответить
etc default ufw high level configuration, such as default policies, IPv6 s, tonys (??), 17:09 , 08-Фев-21 (2)
    /etc/default/ufw: high level configuration, such as default policies, IPv6 support and kernel modules to use
    /etc/ufw/before[6].rules: rules in these files are evaluated before any rules added via the ufw command
    /etc/ufw/after[6].rules: rules in these files are evaluated after any rules added via the ufw command
    /etc/ufw/sysctl.conf: kernel network tunables
    /var/lib/ufw/user[6].rules or /lib/ufw/user[6].rules (0.28 and later): rules added via the ufw command (should not normally be edited by hand)
    /etc/ufw/ufw.conf: sets whether or not ufw is enabled on boot, and in 9.04 (ufw 0.27) and later, sets the LOGLEVEL
    /etc/ufw/after.init: initialization customization script run after ufw is initialized (ufw 0.34 and later)
    /etc/ufw/before.init: initialization customization script run before ufw is initialized (ufw 0.34 and later)
After modifying any of the above files, activate the new settings with:
$ sudo ufw disable
$ sudo ufw enable
сообщить модератору +/– ответить

reload очевидно вызывает iptables-restore iptables-restore берет ваш файл, очищ, Аноним (6), 01:31 , 09-Фев-21 (6)
reload очевидно вызывает iptables-restore.
iptables-restore берет ваш файл, очищает существующие правила и грузит в netfilter те, что лежат в файле. По сути он просто к каждой строке файла спереди добавляет iptables и исполняет. Если есть какие-то ошибки в процессе, он вроде бы отматывает назад (тут не уверен).
Короче, reload нужно сделать, чтобы обновленные правила из файла начали работать при обработке пакетов.
>на лоре затруднились с ответом
Потому что линукс в названии там для отвода глаз.
Так вообще настройка фаерволла на iptables хорошо описана в книжке Hardening Linux. Причем там пример в стиле юникс - скрипт подряд вызывает команды и в конце рабочий фаерволл. Вы можете и на ufw настроить хорошо, но понимание лучше приходит на кондовых примерах.
Удачи.
сообщить модератору +/– ответить

Вот видите, и вы тоже вынуждены догадываться, что на самом деле делает этот зага, Аноним (3), 03:04 , 09-Фев-21 (7)
> reload очевидно вызывает iptables-restore.
> iptables-restore берет ваш файл, очищает существующие правила и грузит в netfilter те,
> что лежат в файле. По сути он просто к каждой строке
> файла спереди добавляет iptables и исполняет. Если есть какие-то ошибки в
> процессе, он вроде бы отматывает назад (тут не уверен).
> Короче, reload нужно сделать, чтобы обновленные правила из файла начали работать при
> обработке пакетов.
Вот видите, и вы тоже вынуждены догадываться, что на самом деле делает этот загадочный "reload", хотя это должно быть четко прописано в мане на "ufw".
Но кмк, вы близки к его правильному пониманию, у меня примерно такие же догадки.
Но должны быть не догадки, а нормальные доки.

> Так вообще настройка фаерволла на iptables хорошо описана в книжке Hardening Linux.
> Причем там пример в стиле юникс - скрипт подряд вызывает команды
> и в конце рабочий фаерволл. Вы можете и на ufw настроить
> хорошо, но понимание лучше приходит на кондовых примерах.
> Удачи.
Так с iptables у меня все было хорошо, вопросов возникало немного.
Но тут впервые напоролся на этот "ufw", и понеслась...
Вам тоже удачи.
сообщить модератору +/– ответить

Сорри - в предыдущем сообщении был я, chukcha, просто промахнулся с ником , chukcha (??), 03:06 , 09-Фев-21 (8)
Сорри - в предыдущем сообщении был я, chukcha, просто промахнулся с ником.
сообщить модератору +/– ответить

Соединение двух подсетей по IPsec,

bm_rec, (VPN, IPSec) 29-Янв-21, 00:41 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Я хочу соединить два облака по IPsec. Для этой цели созданы по две виртуальной машины в каждом с внешними IP-адресом. Сам IPsec настроил, пинги идут между двумя точками IPsec-машин если указывать внутренние адреса. Но не могу настроить маршрутизацию на другие виртуальные машины из той же подсети. Машина с IPsec находится в той же подсети, что и остальные. Сетевой адаптер один на каждой ВМ. Нужно ли добавлять ещё один для настройки маршрутизации? ОС Ubuntu 20.04, strongSwan версии U5.8.2, ставил командой apt-get install strongswan. В sysctl указал net.ipv4.ip_forward = 1, добавил маршрут 10.132.0.0/20 via 10.129.0.254 dev eth0, файерволл выключен. Конфиг ipsec.conf с одной стороны:
config setup
        charondebug="all"
        uniqueids=yes
conn test
        ikelifetime=600m
        keylife=180m
        rekeymargin=3m
        keyingtries=3
        keyexchange=ikev2
        mobike=no
        ike=aes256gcm16-sha512-modp4096
        esp=aes256gcm16-sha512-modp8192
        authby=psk
        left="10.129.0.254"
        leftid="1.2.3.4"
        leftsubnet=10.129.0.0/24
        leftauth=psk
        right="4.3.2.1"
        rightid="4.3.2.1"
        rightsubnet=10.132.0.0/20
        rightauth=psk
        type=tunnel
        auto=start
        dpdaction=restart
        closeaction=restart
С другой стороны аналогично. Помогите, пожалуйста, настроить маршрутизацию, чтобы подсети видели друг-друга.

Ответить | Сообщить модератору

Вот что говорит tcpdump на пингуемой машине 21 48 24 356378 IP 10 129 0 254 10, bm_rec (ok), 00:58 , 29-Янв-21 (1)
Вот что говорит tcpdump на пингуемой машине:
21:48:24.356378 IP 10.129.0.254 > 10.132.0.195: ICMP echo request, id 16, seq 12, length 64
21:48:24.356424 IP 10.132.0.195 > 10.129.0.254: ICMP echo reply, id 16, seq 12, length 64
Хотя с другого облака, откуда я пингую ответ не приходит:
# ping 10.132.0.195
PING 10.132.0.195 (10.132.0.195) 56(84) bytes of data.
^C
--- 10.132.0.195 ping statistics ---
12 packets transmitted, 0 received, 100% packet loss, time 11250ms

сообщить модератору +/– ответить

FTP за NAT на нестандартном порту,

Smjbv, (Linux iptables, ipchains) 29-Янв-21, 03:19 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Шлюз на Debian 7.11 (3.2.0-4-686-pae), iptables v1.4.14.
ip внешнего интерфейса: 1.1.1.1
ip внутреннего интерфейса: 192.168.1.1
Внутри локальной сети работает ftp-сервер, для которого нужно организовать доступ снаружи.
ip ftp-сервера во внутренней сети: 192.168.1.55
Порт ftp-сервера во внутренней сети: 51
Вывод lsmod | grep ftp
nf_nat_ftp             12420  0
nf_conntrack_ftp       12533  2 nf_nat_ftp
nf_nat                 17913  2 iptable_nat,nf_nat_ftp
nf_conntrack           43121  9 nf_conntrack_ipv4,nf_nat,iptable_nat,xt_conntrack,xt_state,nf_conntrack_ftp,nf_nat_ftp,xt_CT,nf_conntrack_netlink

Вот так не работает:
iptables -t raw -A PREROUTING --dst 1.1.1.1   -p tcp --dport 55555 -j CT --helper ftp
iptables -t nat -A PREROUTING -i ext --dst 1.1.1.1 -p tcp --dport 55555 -j DNAT --to-destination 192.168.1.55:51
Управляющее соединение открывается, но соединение для потока данных нет.
conntrack -E expect ничего не показывает.
Если переделать, чтобы порт ftp-сервер был стандартным (настройки ftp-сервера и настройки iptables), то все работает:
iptables -t nat -A PREROUTING -i ext --dst 1.1.1.1 -p tcp --dport 55555 -j DNAT --to-destination 192.168.1.55:21

Подскажите пожалуйста какие нужны настройки, чтобы сделать доступным ftp-сервер, работающий на нестандартном порту?

Ответить | Сообщить модератору

Про Debian 7 11 не припомню, хочешь README от Slackware 7 1 , ACCA (ok), 05:51 , 29-Янв-21 (1)
> Шлюз на Debian 7.11 (3.2.0-4-686-pae), iptables v1.4.14.
Про Debian 7.11 не припомню, хочешь README от Slackware 7.1?
сообщить модератору +/– ответить

у nf_conntrack_ftp есть параметр ports, можно попробовать добавить нестандартный, Аноним (-), 11:26 , 29-Янв-21 (2)
у nf_conntrack_ftp есть параметр ports, можно попробовать добавить нестандартный.
сообщить модератору +/– ответить

VPN for Iphone 5s HELP!!!!,

ciganvasya, (VPN, IPSec / Другая система) 02-Фев-16, 14:48 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

нужна помощь опытного человека, в создании безопасного VPN соединения для сёрфа плохих сайтов

Ответить | Сообщить модератору

каков бюджет , shadow_alone (ok), 04:42 , 03-Фев-16 (1)
> нужна помощь опытного человека, в создании безопасного VPN соединения для сёрфа плохих
> сайтов
каков бюджет?
сообщить модератору +/– ответить

для начала нужна консультация, понимаю что с минимальными капиталовложениями или, ciganvasya (ok), 08:52 , 03-Фев-16 (2) –1
>> нужна помощь опытного человека, в создании безопасного VPN соединения для сёрфа плохих
>> сайтов
> каков бюджет?
для начала нужна консультация, понимаю что с минимальными капиталовложениями или вообще без них , хороших результатов не добиться, по этому и прошу помощи ))
сообщить модератору –1 +/– ответить

Каков бюджет на консультацию , shadow_alone (ok), 09:30 , 03-Фев-16 (3)
>>> нужна помощь опытного человека, в создании безопасного VPN соединения для сёрфа плохих
>>> сайтов
>> каков бюджет?
> для начала нужна консультация, понимаю что с минимальными капиталовложениями или вообще
> без них , хороших результатов не добиться, по этому и прошу
> помощи ))
Каков бюджет на консультацию?
сообщить модератору +/– ответить

давай будем отталкиваться от того, что мне нужно как можно максимально обезопаси, ciganvasya (ok), 11:00 , 03-Фев-16 (4) –1
>>>> нужна помощь опытного человека, в создании безопасного VPN соединения для сёрфа плохих
>>>> сайтов
>>> каков бюджет?
>> для начала нужна консультация, понимаю что с минимальными капиталовложениями или вообще
>> без них , хороших результатов не добиться, по этому и прошу
>> помощи ))
> Каков бюджет на консультацию?
давай будем отталкиваться от того, что мне нужно как можно максимально обезопасить свой выход в сеть, если есть возможность давай в личке по общаемся, расскажу более подробно какие имею девайсы , а ты в свою очередь в крацце расскажешь какие возможности и какие капиталовложения минимальные и максимальные
сообщить модератору –1 +/– ответить

можешь мне написать какого уровня безопасность необходима и для каких задач , Securex (ok), 11:58 , 03-Май-16 (5)
> нужна помощь опытного человека, в создании безопасного VPN соединения для сёрфа плохих
> сайтов
можешь мне написать какого уровня безопасность необходима и для каких задач.
сообщить модератору +/– ответить

Локальный администратрп,

Reyf777, (Разное / Другая система) 28-Янв-21, 00:02 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравсвуйте!
Подскажите. Есть машина. На ней у меня есть локальный администратор. Могу ли я с правами лок адм одной машины назначить лок адм другой по сети??😓😓😞
Помогите плз

Ответить | Сообщить модератору

нет, DeerFriend (?), 01:50 , 28-Янв-21 (1)
нет
сообщить модератору +/– ответить
Скрыто модератором, Pahanivo пробегал (?), 11:49 , 28-Янв-21 (2) +1 [---]
Детсад-кул-хакер?
сообщить модератору +1 +/– ответить

Да , ыы (?), 10:13 , 29-Янв-21 (8)
> Здравсвуйте!
> Подскажите. Есть машина. На ней у меня есть локальный администратор. Могу ли
> я с правами лок адм одной машины назначить лок адм другой
> по сети??😓😓😞
> Помогите плз
Да.
сообщить модератору +/– ответить

Проброс трафика через 2-ю машину,

Alex, (Linux iptables, ipchains) 08-Янв-21, 22:15 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Есть 2 машины. На 1-й крутится игровой сервер, а 2 будет выступать в качестве моста. Необходимо сделать так, чтобы трафик на 1-ю машину шел через 2-ю с сохранением анонимности(подменой) IP:PORT'а у 1-й.
Пытался сделать что-то наподобие этого, но оказалось безуспешно(Заменил на: 1.1.1.1 - это IP 1-й машины, 2.2.2.2 - это IP 2-й машины):
iptables -t nat -A PREROUTING -p tcp -d 2.2.2.2 --dport 255 -j DNAT --to-destination 1.1.1.1:256
iptables -t nat -A POSTROUTING -p tcp --dst 1.1.1.1 --dport 256 -j SNAT --to-source 2.2.2.2
iptables -A FORWARD -d 1.1.1.1 -p tcp --dport 256 -j ACCEPT

Ответить | Сообщить модератору

Сколько IP адресов у каждой машины вообще По одному Смотрите сниффером Ещё не з, Licha Morada (ok), 23:21 , 08-Янв-21 (1)
> Есть 2 машины. На 1-й крутится игровой сервер, а 2 будет выступать
> в качестве моста.
Сколько IP адресов у каждой машины вообще? По одному?
> Пытался сделать что-то наподобие этого, но оказалось безуспешно
Смотрите сниффером.
> iptables -t nat -A PREROUTING -p tcp -d 2.2.2.2 --dport 255 -j
> DNAT --to-destination 1.1.1.1:256
> iptables -t nat -A POSTROUTING -p tcp --dst 1.1.1.1 --dport 256 -j
> SNAT --to-source 2.2.2.2
> iptables -A FORWARD -d 1.1.1.1 -p tcp --dport 256 -j ACCEPT
Ещё не забудте
echo 1 > /proc/sys/net/ipv4/ip_forward
сообщить модератору +/– ответить

Проверенный VPN сервис,

lemana, (VPN, IPSec / Другая система) 08-Ноя-09, 22:21 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Есть задача организовать безопасное VPN-соединение с шифрованием. Поднимать свой VPN-сервер дорого, поэтому есть желание воспользоваться готовыми сервисами, предоставляющими эти слуги.
Гугление по запросу «buy secure vpn» показало, что очень много кто занимается этим бизнесом, и непонятно кому можно доверять и с кем приятно будет работать.
Поэтому вопрос: кто с этим сталкивался и кого вы можете посоветовать для покупки VPN?

Ответить | Сообщить модератору

, ANONIM1 (?), 01:13 , 09-Ноя-09 (1) +1
>Поднимать свой VPN-сервер дорого,....
:)
сообщить модератору +1 +/– ответить

Три года под PureVPN Причём и куча знакомых тоже Всё превосходно https goo g, xm (ok), 20:02 , 16-Сен-17 (36)
> поэтому есть желание воспользоваться готовыми сервисами
Три года под PureVPN. Причём и куча знакомых тоже. Всё превосходно.
https://goo.gl/gDqZJM
сообщить модератору +/– ответить
А что, обязательно платный , Alik80 (ok), 16:11 , 25-Окт-17 (37)
> Поэтому вопрос: кто с этим сталкивался и кого вы можете посоветовать для
> покупки VPN?
А что, обязательно платный?
сообщить модератору +/– ответить
Есть много сервисов , с которыми можно работать - Hide me VPN , Zoog VPN , у кот, Bars (??), 12:17 , 30-Июл-19 (40)
> Есть задача организовать безопасное VPN-соединение с шифрованием. Поднимать свой VPN-сервер
> дорого, поэтому есть желание воспользоваться готовыми сервисами, предоставляющими эти
> слуги.
> Гугление по запросу «buy secure vpn» показало, что очень много кто занимается
> этим бизнесом, и непонятно кому можно доверять и с кем приятно
> будет работать.
> Поэтому вопрос: кто с этим сталкивался и кого вы можете посоветовать для
> покупки VPN?
Есть много сервисов , с которыми можно работать - Hide me VPN , Zoog VPN , у которых есть план three - 2гб в месяц , и неплохая техподдержка.
сообщить модератору +/– ответить
OVH com vps стоит 3,5 бакса в месяц за 2гб ОЗУ, 40гб ссд, есть KVM, куда еще деш, Холландец (?), 02:24 , 03-Сен-19 (41)
> Есть задача организовать безопасное VPN-соединение с шифрованием. Поднимать свой VPN-сервер
> дорого, поэтому есть желание воспользоваться готовыми сервисами, предоставляющими эти
> слуги.
> Гугление по запросу «buy secure vpn» показало, что очень много кто занимается
> этим бизнесом, и непонятно кому можно доверять и с кем приятно
> будет работать.
> Поэтому вопрос: кто с этим сталкивался и кого вы можете посоветовать для
> покупки VPN?
OVH.com vps стоит 3,5 бакса в месяц за 2гб ОЗУ, 40гб ссд, есть KVM, куда еще дешевле, старче?
сообщить модератору +/– ответить

Новый драйвер Intel RFIM и Техника скрытой передачи данных...,

Аноним, (Обнаружение и предотвращение атак / Linux) 16-Дек-20, 14:57 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Всем привет.
НИ КОГО НЕ ОБВИНЯЮ! ДЕЛЮСЬ СВОИМИ МЫСЛЯМИ!
Читая новости, зацепился за парочку, которые, по моему мнению, "странно" перекликаются друг с другом:
1) https://servernews.ru/1027691
"Новый драйвер Intel RFIM подстраивает частоты DDR и IVR, чтобы избавиться от радиопомех для Wi-Fi/5G
В Linux 5.11 ожидается немало новых функций. И одной из них станет драйвер RFIM (Radio Frequency Interference Mitigation) от компании Intel. Он настраивает частоту работы оперативной памяти и интегрированного стабилизатора напряжения (Fully Integrated Voltage Regulator, FIVR) так, чтобы не создавать помехи для сетей Wi-Fi/5G..
2) https://www.opennet.me/opennews/art.shtml?num=54262
"Техника скрытой передачи данных через генерацию чипами памяти сигнала, улавливаемого по Wi-Fi
Исследователи из Университета имени Давида Бен-Гуриона (Израиль), занимающиеся изучением скрытых методов передачи данных с изолированных компьютеров, разработали новый метод организации канала связи - AIR-FI, позволяющий через манипуляции с чипами оперативной памяти DDR генерировать радиосигнал на частоте 2.4 GHz, который можно уловить любым устройством с поддержкой Wi-Fi на расстоянии в несколько метров."

И вспомнилась мне одна история:
https://www.opennet.me/opennews/art.shtml?num=28998
"ФБР заподозрили в помещении бэкдора в IPSEC-стек OpenBSD (дополнено)
Тэо де Раадт (Theo de Raadt), лидер проекта OpenBSD, опубликовал в списке рассылки тревожное сообщение, в котором опубликовал письмо, свидетельствующее о том, что некоторые разработчики проекта, принимавшие участие в разработке IPSEC-стека OpenBSD на ранней стадии его развития, приняли от правительства США денежное вознаграждение за интеграцию в IPSEC-стек кода бэкдора. "
Чего-то не пойму, это баг или фича? ^_^ (народная шутка)

Есть мысли? Делитесь...
Ну, а я считаю, что Intel превентивно закрывает уязвимость...

Ответить | Сообщить модератору

Я за удаление этого поста , universite (ok), 15:33 , 16-Дек-20 (1)
> Всем привет.
> НИ КОГО НЕ ОБВИНЯЮ! ДЕЛЮСЬ СВОИМИ МЫСЛЯМИ!
Я за удаление этого поста.
сообщить модератору +/– ответить

изолировать от сети сохранив передачу данных, как?,

несторМахно, (Безопасность системы) 20-Июл-20, 15:18 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

изолировать от сети сохранив передачу данных, или один диск на два пк. как?
----------------------------------------------------------------------------
Здравствуйте :) !
есть машина[A] которая rsunc-ом общается с сервером в сети, забирает данные и отправляет результат своей работы.
теоретически сервер в сети рано или поздно будет взломан и при наличии неизвестной мне уязвимости в rsync вломана будет и машина[A].
ее взлом критичен и допустить его нельзя.
по этому возник вопрос, а можно ли не программно(firejail\lxc\doker\kvm и т.д) а аппаратно изолировать эту машину сохранив при этом возможность передачи данных?
например вот по такой схеме:
[машина_А]=<==sata==>=[HDD]=<==sata==>=[машина_С с rsync]--<---сеть--->--[сервер_B]
или
         +-<-sata_read-<--[HDD]-<-sata_write-<-+
[машина_А]                                     [машина_С с rsync]--<---сеть--->--[сервер_B]
         +->-sata_write->-[HDD]->-sata_read->--+
или с помощью какого либо другого устройства...
смысл чтобы обмениваться данными без участия сетевых программ и протоколов.

можно конечно как вариант копировать данные с сервера в облако и из него забирать машиной[A]
тогда для взлома потребуется взломать облачного провайдера что сложно, но хотелось бы найти решение без облаков.
возможно кто-то уже сталкивался с такой задачей, или просто есть идеи?

Ответить | Сообщить модератору

Ага, шапочка из фольги, говорят, помогает По теме - бред какой-то несешь Взлома, Аноним (1), 16:36 , 20-Июл-20 (1)
> возможно кто-то уже сталкивался с такой задачей, или просто есть идеи?
Ага, шапочка из фольги, говорят, помогает.
По теме - бред какой-то несешь. Взломают, не взломают... Облако еще приплел, его взломать сложнее, мда... Ну свое облако подними, если тебе так спокойнее.
Либо настрой файрвол, обновляй своевременно ОС/софт и не парь мозг себе и людям, либо вози свои данные на троллейбусе.
сообщить модератору +/– ответить
Ну что же ты так, недопараноил Предположим, что в данных, которые отдаёт В , си, ACCA (ok), 16:46 , 20-Июл-20 (2)
Ну что же ты так, недопараноил.
> есть машина[A] которая rsunc-ом общается с сервером [В] в сети, забирает данные и
> отправляет результат своей работы.
Предположим, что в данных, которые отдаёт [В], сидит троян. При попытке обработки данных на [А] его запускает. Дальше нафантазируешь сам.
Всё, что для взлома - это знать, как устроен обработчик на [A].
сообщить модератору +/– ответить

Анон ты че такой злой Кофе кончился или жена не дала я описал модель угрозы от , несторМахно (?), 16:57 , 20-Июл-20 (3)
>>>По теме - бред какой-то несешь.Облако еще приплел, его взломать сложнее, мда... Либо настрой файрвол, обновляй своевременно ОС/софт и не парь мозг себе и людям, либо вози свои данные на троллейбусе. <<<
Анон ты че такой злой? Кофе кончился или жена не дала?
я описал модель угрозы от которой защищаюсь, если ты не понял так хоть негатив при себе держи.

> Ну что же ты так, недопараноил.
> Предположим, что в данных, которые отдаёт [В], сидит троян. При попытке обработки
> данных на [А] его запускает. Дальше нафантазируешь сам.
> Всё, что для взлома - это знать, как устроен обработчик на [A].
спасибо, это учел :) данные проверяются перед обработкой.
сообщить модератору +/– ответить

Я вполне благодушен Кофе не пью, жена дает два-три раза в неделю, нам хватает , Аноним (1), 17:38 , 20-Июл-20 (4)
>>>>По теме - бред какой-то несешь.Облако еще приплел, его взломать сложнее, мда... Либо настрой файрвол, обновляй своевременно ОС/софт и не парь мозг себе и людям, либо вози свои данные на троллейбусе. <<<
> Анон ты че такой злой? Кофе кончился или жена не дала?
Я вполне благодушен. Кофе не пью, жена дает два-три раза в неделю, нам хватает. Просто говорю то, что думаю без обиняков.
> я описал модель угрозы от которой защищаюсь, если ты не понял так
> хоть негатив при себе держи.
Хорошо, вот тебе решение согласно твой модели - строй собственную изолированную сеть передачи данных. Тяни собственные кабели, закупай оборудование и обеспечивай охрану всего этого хозяйства. Потянешь ты все это? Думаю, нет - что возвращает нас к моему первоначальному посылу.
сообщить модератору +/– ответить

ну потяну и что только зачем мне городить дорогущий комбайн там где справится к, несторМахно (?), 18:10 , 20-Июл-20 (5)
> Хорошо, вот тебе решение согласно твой модели - строй собственную изолированную сеть
> передачи данных. Тяни собственные кабели, закупай оборудование и обеспечивай охрану всего
> этого хозяйства. Потянешь ты все это? Думаю, нет - что возвращает
> нас к моему первоначальному посылу.
ну потяну и что? только зачем мне городить дорогущий комбайн там где справится китайский контроллер задающий очередь чтения\записи на один диск для двух компов?
только вот ненагуглил я такого... но не может быть чтобы подобный вопрос ни разу не возникал у безопасников.
ты вот говоришь "строй изолированную сеть" а мне в нее то данные как пихать если она изолированная? данные в интернете если что, их пользователи шлют. на болванках раз в день приносить?
а если нет то уже не изолированная она, ведь каким-то клиентом мы из нее должны куда-то лезть и данные брать.

сообщить модератору +/– ответить

Затем, что настоящая безопасность стоит дорого Интернет по умолчанию открытая, н, Аноним (1), 18:56 , 20-Июл-20 (9)
>> Хорошо, вот тебе решение согласно твой модели - строй собственную изолированную сеть
>> передачи данных. Тяни собственные кабели, закупай оборудование и обеспечивай охрану всего
>> этого хозяйства. Потянешь ты все это? Думаю, нет - что возвращает
>> нас к моему первоначальному посылу.
> ну потяну и что? только зачем мне городить дорогущий комбайн
Затем, что настоящая безопасность стоит дорого.
> ты вот говоришь "строй изолированную сеть" а мне в нее то данные
> как пихать если она изолированная? данные в интернете если что,
Интернет по умолчанию открытая, небезопасная сеть. Поэтому либо ты принимаешь связанные с нею риски - и мы возвращаемся к моему первоначальному посылу; либо...
> их пользователи шлют. на болванках раз в день приносить?
Да, там где безопасность диктует свои требования, так и поступают.
Имею в своей организации подобную изолированную сеть. Свои два сервера и четыре рабочих места. Плюс еще два компьютера со спецдоступом. На один скидывают данные извне, и там их тщательно проверяют. Если ничего криминального не находят - переносят их на второй комп, который включен в изолированную сеть, и с него (и только с него) загружают на сервер.
Все это хозяйство стоит как МКС, потому что каждая резиновая ножка у подставки монитора сертифицирована ФАПСИ, ФСБ, ФСТЭК и еще многими непонятными лично мне аббревиатурами, я, слава богу, лично к этому отношения никакого не имею. Те, кто имеют, имеют небольшой профит к зарплате и много проблем в личной жизни.
Еще раз спрашиваю - тебе за безопасность или за поговорить о погоде?
сообщить модератору +/– ответить

приходится искать компромисс, если поступать четко по безопасности болванки прид, несторМахно (?), 19:23 , 20-Июл-20 (10)
>> их пользователи шлют. на болванках раз в день приносить?
> Да, там где безопасность диктует свои требования, так и поступают.
приходится искать компромисс, если поступать четко по безопасности болванки придется носить каждые 5-10 минут.
если я не найду решение так и будут делать. но мозг мне зачем?
> Еще раз спрашиваю - тебе за безопасность или за поговорить о погоде?
мне компромисс. а конкретно сейчас ищу как один диск к двум компам подключить и чтоб работало.
сообщить модератору +/– ответить

Изначально ты искал безопасное решение, причем имеющаяся среда, предполагающая к, Аноним (1), 20:03 , 20-Июл-20 (11)
> приходится искать компромисс, если поступать четко по безопасности болванки придется носить
> каждые 5-10 минут.
Изначально ты искал безопасное решение, причем имеющаяся среда, предполагающая компромисс, тебя на тот момент не устраивала, что и вызвало мой к тебе посыл. Быстро же ты меняешь приоритеты.
> если я не найду решение так и будут делать. но мозг мне
> зачем?
Боюсь, что прямой ответ снова вызовет у тебя боль и недоумение :)
>> Еще раз спрашиваю - тебе за безопасность или за поговорить о погоде?
> мне компромисс.
Компромиссное решение я тебе предложил изначально - не [cencored] мозги себе и людям, соблюдай элементарные правила сетевой гигиены, и будет тебе щастье. А день и ночь отмахиваться матрасом от мифических угроз - руки устанут.
> а конкретно сейчас ищу как один диск к двум компам
> подключить и чтоб работало.
Смотри на распределенные файловые системы - Cepf, Lustre, GlusterFS.
Смотри в сторону собственных облаков - Owncloud, Nextcloud
Все это - компромиссы в незащищенной сети Что тебя изначально не устраивало, иначе первый же запрос в гугле привел тебя если не к этим словам, то к чему-то, очень на них похожему. И имеющие свои уязвимые места.
сообщить модератору +/– ответить

мне кажется ты слишком свысока пишешь и явно хочешь ощутить свое превосходство д, несторМахно (?), 20:44 , 20-Июл-20 (12)
> что и вызвало мой к тебе посыл. Быстро же ты меняешь приоритеты.
> Боюсь, что прямой ответ снова вызовет у тебя боль и недоумение :)
> не [cencored] мозги себе и людям.
мне кажется ты слишком свысока пишешь и явно хочешь ощутить свое превосходство даже там где это вызывает недоумение :)
мы видимо не понимаем друг друга, да и ладно.
твои предложения я учел, подожду, почитаю, может еще кто ответит, люди разные, решений тоже немало.

сообщить модератору +/– ответить

Нет, всего лишь не пытаюсь быть вежливым , Аноним (1), 21:33 , 20-Июл-20 (13)
> мне кажется ты слишком свысока пишешь и явно хочешь ощутить свое превосходство
> даже там где это вызывает недоумение :)
Нет, всего лишь не пытаюсь быть вежливым.
сообщить модератору +/– ответить

А если найду уязвимость в проверяльщике Про изоляцию сетей Недавно встретил пре, ACCA (ok), 18:21 , 20-Июл-20 (6)
> спасибо, это учел :) данные проверяются перед обработкой.
А если найду уязвимость в проверяльщике?
Про изоляцию сетей. Недавно встретил прелюбопытнейшую конфигурацию - cеть на публичных адресах, но изолирована простейшим firewall без трансляции адреса. Наружу ты выйти можешь, а внутрь не попасть. Даже VPN туда невозможно пробросить.
сообщить модератору +/– ответить

если уязвимость позволит запустить твой код - сервис взломан, я пошел сушить сух, несторМахно (?), 18:33 , 20-Июл-20 (7)
> А если найду уязвимость в проверяльщике?
если уязвимость позволит запустить твой код - сервис взломан, я пошел сушить сухари.
если нет - не все потеряно :)
> Про изоляцию сетей. Недавно встретил прелюбопытнейшую конфигурацию - cеть на публичных
> адресах, но изолирована простейшим firewall без трансляции адреса. Наружу ты выйти
> можешь, а внутрь не попасть. Даже VPN туда невозможно пробросить.
если можно наружу то можно и внутрь, простейший пример tor_hidden_service, поднимаем его внутри этой сетки, он лезет наружу, регается на нодах, и все - заходи по ssh.
сообщить модератору +/– ответить

хотя если я неправильно понял и речь о пакетах, то да, если весь входящий закрыт, несторМахно (?), 18:46 , 20-Июл-20 (8)
>Наружу ты выйти можешь, а внутрь не попасть.
хотя если я неправильно понял и речь о пакетах, то да, если весь входящий закрыт то и тор не сработает
сообщить модератору +/– ответить

Противоречие Или надо переопределить термины, чтобы появилось пересечение между, Licha Morada (ok), 02:02 , 21-Июл-20 (14)
> аппаратно изолировать
> сохранив при этом возможность передачи данных
Противоречие. Или надо переопределить термины, чтобы появилось пересечение между "ещё можно обмениваться данными" и "уже аппаратно изолированно".
Пусть оператор читает с экрана одной машины и набивает данные на другой. Это достаточно изолированно?
Или пусть одна машина показывает на экране QR, а другая распознаёт веб-камерой.
Не так давно описывали сценарий проникновения в изолированную сеть когда одна машина пищала динамиком, а другая слушала микрофоном.
Или пусть оператор на внешних носителях таскает данные, хотя иранские центрифуги от Stuxnet это не спасло.
Вроде бы, можно порт USB перевести в роль device, так чтобы одни компьютер представлялся флешкой другому. Это всё еще считается за аппаратную изоляцию, или уже нет? Хотя, я бы больше доверил сети IP.

Вам про изолированную сеть дело писали, она может быть просто шнурком от одной машины к другой.
Интернет - сервер А - изолированная сеть - сервер Б.
Если процесс позволяет, сервер Б можно держать отключённым, от эенергии и/или от изолированной сети, и включать только когда надо переборсить данные.
Для каждой транзакции, сервер А можно загружать с RO носителя и на время отключать от Internet.
Короче, это не столько вопрос технологии, сколько строгости протокола и масштаба неудобств которые вы готовы терпеть.
сообщить модератору +/– ответить

Как вариант - SAN СХД технологии машина_А подключается к FC-switch или SAS-s, Аноним (16), 20:38 , 23-Июл-20 (16)
> смысл чтобы обмениваться данными без участия сетевых программ и протоколов.
Как вариант - SAN (СХД) технологии.
[машина_А] подключается к FC-switch или SAS-switch и монтирует LUN, выделенный для совместного использования с [машина_С с rsync].
На серверах нужна поддержка кластерной файловой системы (shared disks). Или можно просто по очереди монтировать этот LUN по расписанию. :)
сообщить модератору +/– ответить

IPFW +VLAN правило на запрет трафика.,

Evonder, (BSD ipfw, ipf, ip-filter / FreeBSD) 16-Май-18, 15:25 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день настроил точку доступа микротик для доступа к wi-fi. На точке работает 2 сети, основная, для офиса и гостевая -виртуальная. Для гостевой настроен vlan 20, точка соединена с сетью единственным кабелем.
  Основная сеть 192.168.31.0/24 и гостевая 192.168.32.0/24.
  Шлюз на freebsd11. re0-$Lan и re1-$Inet. Для vlan поднял интерфейс re0.20-$Vlan, поднял DHCP и сделал привязку к интерфейсу $Vlan.
  Теперь вопрос, каким правилом можно запретить трафик между $Lan и $Vlan. На текущий момент хосты друг друга без проблем видят.
  Умолчальное правило для IPFW allow ane from any via $Lan

Ответить | Сообщить модератору

Добавил 2 таких правила fwcmd 12 deny all from 192 168 32 0 24 to any out vi, Evonder (ok), 16:02 , 16-Май-18 (1)
> Добрый день настроил точку доступа микротик для доступа к wi-fi. На точке
> работает 2 сети, основная, для офиса и гостевая -виртуальная. Для гостевой
> настроен vlan 20, точка соединена с сетью единственным кабелем.
>   Основная сеть 192.168.31.0/24 и гостевая 192.168.32.0/24.
>   Шлюз на freebsd11. re0-$Lan и re1-$Inet. Для vlan поднял интерфейс
> re0.20-$Vlan, поднял DHCP и сделал привязку к интерфейсу $Vlan.
>   Теперь вопрос, каким правилом можно запретить трафик между $Lan и
> $Vlan. На текущий момент хосты друг друга без проблем видят.
>   Умолчальное правило для IPFW allow ane from any via $Lan
   Добавил 2 таких правила:
$fwcmd 12 deny all from 192.168.32.0/24 to any out via $Lan
$fwcmd 12 deny all from 192.168.31.0/24 to any out via $Vlan
  И получил что хотел.
Нубский вопрос, почему не работает правило вида:
$fwcmd 12 deny all from $Vlan to any out xmit $Lan
Выдает ошибку announ host ""re0.20""
Насколько безопасна такая реализация правил, как наверху, заблочит ли это вирусы от "клиентов" со стороны и любопытных товарищей?
сообщить модератору +/– ответить

Наиболее полный список адрессов гугла, где найти ?,

Аноним, (Linux iptables, ipchains / Linux) 03-Дек-20, 15:23 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Интересует наиболее полный список гугловых сетей. Иногда совершенно неожиданные появляются такие, которых у меня нет в списках. Хотелось бы забанить максимально надежно. Может быть кто-то уже составляет такие списки ?
Спасибо.

Ответить | Сообщить модератору

https www gstatic com ipranges goog json, Ann None (?), 18:27 , 03-Дек-20 (1)
> Интересует наиболее полный список гугловых сетей. Иногда совершенно неожиданные появляются
> такие, которых у меня нет в списках. Хотелось бы забанить максимально
> надежно. Может быть кто-то уже составляет такие списки ?
> Спасибо.
https://www.gstatic.com/ipranges/goog.json
сообщить модератору +/– ответить

Какие криптографические смарткарты шифруют канал обмена с PC?,

sanyo, (Шифрование, SSH, SSL / Linux) 11-Окт-20, 04:23 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день,
Пожалуйста, подскажите, какие плоские криптографические смарткарты или USB криптотокены поддерживают шифрование канала (обычно USB APDU) обмена данными с хостовым компьютером?
Из известных мне - это:
1) Rutoken ECP2 3000 работает по протоколу ФКН2 только с КриптоПро v5.
2) Jacarta 2 работает по какому-то секретному протоколу "secure messaging", о котором мало кто чего знает, может быть это обычный SCP для JavaCard типа такого:
http://web.archive.org/web/20201011003451/https://stackoverf...
http://web.archive.org/web/20201011003921/https://cardlogix..../
?
Работает ли оно хотя бы через проприетарные библиотеки Aladdin PKCS11?
От вида карты это зависит? ГОСТ или PKI или SE? От используемого алгоритма RU/бурж?
Где найти доки? Как проверить включено ли оно, кроме как снифать канал?
А хотя вот тут что-то есть:
https://yandex.ru/search/?text=%22secure%20messagi...
https://developer.aladdin-rd.ru/archive/pkcs11/0.0.1/descrip...
Таки в каких моделях присутствует этот самый secure messaging?
3) Nitrokey HSM2 USB или SC-HSM работают по протоколу BSI TR-03110 причем даже через OpenSC!

Ответить | Сообщить модератору

https developer aladdin-rd ru jacarta2_sdk 2 4 1 description htmlА по каким ал, sanyo (ok), 05:07 , 11-Окт-20 (1)
https://developer.aladdin-rd.ru/jacarta2_sdk/2.4.1/descripti...
>JaCarta-2 ГОСТ и JaCarta ГОСТ. Что нового?
>В JaCarta-2 ГОСТ в сравнении с JaCarta ГОСТ:
>        реализована автоматическая защита передаваемых данных между ПК и устройством с помощью защищённого протокол обмена (Secure Messaging);
А по каким алгоритмам шифруется канал данных?
https://developer.aladdin-rd.ru/archive/jc_mobile_sdk/2.4/ap...
>JC_PKI_SECURE_MESSAGING_MODE SecureMessagingMode
>    Режим защищенного обмена между токеном и компьютером:
>        JC_PKI_SECURE_MESSAGING_MODE_OFF (0x00) – защищенный канал выключен;
>        JC_PKI_SECURE_MESSAGING_MODE_RSA (0x01) – защищенный канал на ключевых парах по алгоритму RSA;
>        JC_PKI_SECURE_MESSAGING_MODE_EC (0x02) – защищенный канал на ключевых парах по алгоритму EC;
RSA и EC ? А разве они есть в моделях ГОСТ? Чето вообще непонятно.
И какие длины ключей?
сообщить модератору +/– ответить
Какой вопрос такой и вопрос а зачем, вот на сегодняшний день, покупать криптоже, Аноним (-), 11:34 , 11-Окт-20 (2)
Какой вопрос такой и вопрос: а зачем, вот на сегодняшний день, покупать криптожелезо непонятно кого, неизвестно как работающее и заранее точно зная что оно расшифровуется даже без бутылки ?
сообщить модератору +/– ответить

Где надежнее защита веб-сервера?,

Аноним, (Проблемы с безопасностью) 08-Ноя-20, 21:29 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Случайно возникла где дискуссия на тему: где надежнее защищен веб-сервер - в Интернете или в Локалке?
Обычно веб-сервер выставляется прямо в Интернет по белому адресу, и тогда он подвержен всем видам атак на него.
Одной из защит веб-сервера от этих атак является файрволл операционной системы, которым закрываются неиспользуемые порты.
Но также можно установить веб-сервер в локалке и давать к нему доступ из Интернета через NAT аппаратного роутера, которым тоже закрываются неспользуемые порты.
Раньше мне всегда казалось, что веб-сервер в локалке ^в принципе^ гораздо более надежно защищен от внешних посягательств и имеет более высокую взломоустойчивость.
Однако после возникшей дискуссии возникли сомнения, так ли это.
Надеюсь, что знатоки по безопасности развеют эти сомнения.

PS. Разумееется, для корректности сравнения защищенности этих вариантов будем считать, что файрвол операционной системы и файрвол роутера одинаковы по своим защитным свойствам.

Ответить | Сообщить модератору

К вашему сведению - сервак в локалке с пробросом из-вне - угроза всей локалке Но, shadow_alone (ok), 22:02 , 08-Ноя-20 (1) +2
К вашему сведению - сервак в локалке с пробросом из-вне - угроза всей локалке.
Нормальные люди в таком случае делают DMZ и пихаюи сервак туда, откуда доступа к самой локалке нет.
В таком случаем, если впереди стоит актуальный WAF, например, то сервак более защищен, потому как городить всё это на самом серваке не комильфо.
Ну и по степени защищенности, с учетом использования всех возможностей:
1. сервак в DMZ
2. сервак с белым ip
3. сервак в локалке.
Не стоит забывать о том, что сервак может иметь белый ip и быть за файволом.

сообщить модератору +2 +/– ответить

А если вся локалка состоит всего из этого одного веб-сервака Я лишь пытаюсь, Аноним (2), 23:09 , 08-Ноя-20 (2) –1
> К вашему сведению - сервак в локалке с пробросом из-вне - угроза
> всей локалке.
А если вся "локалка" состоит всего из этого одного веб-сервака? ;)
Я лишь пытаюсь подобрать для него наиболее безопасное место дя установки - то ли 85.85.85.85, то ли 192.168.1.85.
Надеюсь, вы поняли, что я имею в виду, так что давайте думать не о об угрозе локалки (которой по сути нет) а об угрозе самого веб-сервка и наиболее безопасном месте для него.
Поэтому все остальное ниженаписанное вами, вероятно, было с учетом того, что локалка наполнена компьютерами, а поскольку она пуста, просьба переформуливать ваши советы с учетом этого факта.
сообщить модератору –1 +/– ответить

а что тут перерформулировать то Я всё описал исходя из вашей локалки и дума, shadow_alone (ok), 23:15 , 08-Ноя-20 (3)
а что тут перерформулировать то?
Я всё описал... исходя из вашей "локалки" и думайте что я написал.
А если вы "такой умный", то сразу бы писали что не локалка, а одинокая машина... что у меня указанно как DMZ.
Вопросы надо правильно задавать, а не ёрничать в ответах.
Если бы у бабки был йух - сам знаешь кем бы она была.
сообщить модератору +/– ответить

Скрыто модератором, Аноним (2), 23:25 , 08-Ноя-20 (4) –1 [---]
Да кто тут ерничает? Я вижу лишь, что здесь огрызаются на ровном месте.
Вопрос был задан правильно прямо - безопасность веб-сервака, и ничего больше.
Какого йуха вы полезли заботиться о самой локалке и несуществующих компьютерах в ней?
Вас об этом просили?
сообщить модератору –1 +/– ответить

Вы же сами последней фразой расставили все точки над i - при одинаково настроенн, anonymous (??), 23:42 , 08-Ноя-20 (5)
Вы же сами последней фразой расставили все точки над i - при одинаково настроенных фаерволах - т.е. при доступе только к 80/443 портам разницы никакой.
сообщить модератору +/– ответить

в папке root, Анонимчек (?), 12:51 , 09-Ноя-20 (10)
в папке /root
сообщить модератору +/– ответить
Если у вас под веб-сервером понимается апп-сервер, то без разницы Атаковать буд, Аноним (6), 16:28 , 09-Ноя-20 (11)
Если у вас под веб-сервером понимается апп-сервер, то без разницы. Атаковать будут не на уровне протокола, а на уровне приложения.
В локалку имеет смысл убрать, если у вас винда вместо ОС - для защиты от червей.
В качестве общего правила - настраивайте любой сервер так, как если завтра будет пентест, по результатам которого вас уволят или наоборот, повысят. Концепция защищенных локалок с шлюзами, на которых происходит вся безопасность, уже серьезно устарела.
сообщить модератору +/– ответить

Так это если взломают Ясно же, что речь идет не о 80 443, которые будем считать, Аноним (2), 17:37 , 09-Ноя-20 (12)
> Если взломают по 80/443 порту, то до лампочки будет, за фаерволлом или за NAT-ом сидит сервак...
Так это если взломают. Ясно же, что речь идет не о 80/443, которые будем считать (теоретически) невзламываемым, а о других каких-то уязвимостях, в которых не силен, потому и возникли вопросы.

> Концепция защищенных локалок с шлюзами, на которых происходит вся безопасность, уже серьезно устарела.
Вот как?? Это очень серьезное заявление!!! Оно меня чрезвычайно заинтриговало! А можно об этом поподробнее?
То-то я удивлялся, чего это все время ломают пентагоновские серваки, которые наверняка находятся за шлюзами во внутренней сетке :-)

сообщить модератору +/– ответить

Не собираюсь развлекать самодовольного ламера Чушь собачья , Аноним (6), 23:16 , 09-Ноя-20 (13)
>А можно об этом поподробнее?
Не собираюсь развлекать самодовольного ламера.
>Ясно же, что речь идет не о 80/443, которые будем считать (теоретически) невзламываемым
>невзламываемым
Чушь собачья.
сообщить модератору +/– ответить

Потому что то, о чем ты ляпул, обычный вброс дилетанта, не имеющий никакого отно, Аноним (2), 00:44 , 10-Ноя-20 (15) –1
> Не собираюсь развлекать самодовольного ламера.
Потому что то, о чем ты ляпул, обычный вброс дилетанта, не имеющий никакого отношения к реальности.
> Чушь собачья.
Потому что ты читать не умеешь. А если читаешь, то не понимаешь, о чем там написано.

сообщить модератору –1 +/– ответить

У тебя каша в голове Вот смотри - беру я древнюю версию Apache с кучей дыр и саж, ACCA (ok), 05:24 , 10-Ноя-20 (16) +1
У тебя каша в голове.
Вот смотри - беру я древнюю версию Apache с кучей дыр и сажаю на "белом" IP. Конфигурирую его на отдачу static и больше ничего. Можно ли его взломать? Это уж вряд ли - там нет никаких ресурсов, чтобы ими воспользоваться.
Теперь я беру последнюю версию HAProxy, высаживаю его на AWS VPC, оттуда новомоднейший WireGuard тащит трафик из локалки, где вообще все внешние порты закрыты. В локалке работает какая-нибудь новомодная хня вроде Express JS с новомодным фреймворком. В котором есть какой-то баг.
И меня ломанули через HTTP. При полном попустительстве HAProxy, AWS VPC, WireGuard и проч. Потому, что ломали на 7 уровне OSI.
сообщить модератору +1 +/– ответить

Сказали бы проще размещение сервера сетке за шлюзом даже со всякими в этом шлюз, Аноним (2), 18:12 , 10-Ноя-20 (17)
> У тебя каша в голове.
Сказали бы проще: размещение сервера сетке за шлюзом даже со всякими в этом шлюзе видами защит не повышает взломоустойчивость сервера- верно ли я понял?
сообщить модератору +/– ответить

Да, и нет 1 Повышает, но не настолько чтобы на этом можно было остановиться и с, Licha Morada (ok), 22:09 , 11-Ноя-20 (20)
> размещение сервера сетке за шлюзом даже со всякими в
> этом шлюзе видами защит не повышает взломоустойчивость сервера
> верно ли я понял?
Да, и нет.
1. Повышает, но не настолько чтобы на этом можно было остановиться и считать что сервер защищён.
Древний и дырявый Apache существует не в вакууме, а скорее всего на древней и дырявой ОС. ACCA упростил пример, и негласно предположил что аккуратный админ не только сконфигурировал Apache на отдачу статичного контента, но и прикрыл ВСЕ остальные сервисы, которые могут быть уязвимы. А если админ не такой аккуратный, или требования не позволили окуклить сервер, то в локалке ему всё таки было бы лучше чем в Интернете.
2. Зависит от серера. Если сервис который общается с миром дыряв, то сколько его в локалку не прячь, поломают. Пример, опять таки, тебе привели замечательный.
От себя добавлю, что так бывает и без экзотики вроде Express JS. При мне ставили энтерпразнейший WebSphere в локалку, и высунули одним портом в инет через NAT. Через месяц до него кто-то добрался, и на нас свалились ЧУЖИЕ безопасники, по поводу "чего это ваш сервер наши хосты через VPN сканирует". Было нервно и стыдно.
Если бы админ немного подумал, то выставил бы сервис через обратный прокси, а не через NAT. И не весь сервер включая админку, а только приложение которое должно было быть доступно.
А если бы это передали моей тогдашней команде, то вообще ничего не выставляли бы, а сделали бы VPN тем кому надо было на этот сервер через VPN лазить, т.к. в Интернете той стрёмной хрени делать было совсем нечего.
Не грешите, и не грешимы будете.
сообщить модератору +/– ответить

Я тебе возражу про древнюю и дырявую ОС В 2000 году я вылез на DSL и меня лом, ACCA (ok), 09:18 , 19-Ноя-20 (22)
> Древний и дырявый Apache существует не в вакууме, а скорее всего на
> древней и дырявой ОС. ACCA упростил пример, и негласно предположил что
Я тебе возражу про "древнюю и дырявую ОС". В 2000 году я вылез на DSL и меня ломанули через BIND. Что они получили? Засадили мне исходники трояна на C. Обнаружили, что у меня нет make, нет gcc, нет памяти и нет дискового пространства. Система загружена с floppy 2.88 в read-only.
Приходи, кто хочешь, бери, что хочешь. Ну, из того, что есть. Покушали? По камерам.
сообщить модератору +/– ответить

Легко отделался В 2000 году ресус белый IP , может быть, представлял мало интер, Licha Morada (ok), 22:54 , 19-Ноя-20 (23)

> Я тебе возражу про "древнюю и дырявую ОС". В 2000 году я
> вылез на DSL и меня ломанули через BIND. Что они получили?
Легко отделался.
В 2000 году ресус "белый IP", может быть, представлял мало интереса. А в 2020 это устройство сочли бы не слишком типичным девайсом IoT и взяли бы себе в ботнет.
> нет make, нет gcc, нет памяти и нет дискового пространства.
> Система загружена с floppy 2.88 в read-only.
Маргинальный кейс.
Сегодня древняя дырявая ОС зачастую идёт с каким-нибудь засранным легаси сервером, где и make, и gcc, и Гном с Google Earth, а его никто не хочет трогать т.к. "работает" и вообще как бы чего не вышло. Для общего случая, неинтересность или нехватка ресусов это не защита. "Кабана съест, и про муху скажет - тоже мясо".
сообщить модератору +/– ответить

Располагать сервер за натом нормально Ненормально надеяться только на защиту пе, Павел Отредиез (?), 15:23 , 15-Ноя-20 (21)
Располагать сервер за натом нормально. Ненормально надеяться только на защиту периметра. Свой файервол должен быть и у сервера.
сообщить модератору +/– ответить

PAX: refcount overflow detected in: *,

Аноним, (Проблемы с безопасностью) 08-Ноя-20, 19:05 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Наблюдается рандомное падение новых процессов всех пользователей.
Тестовая экспериментальная система, все всегда работало хорошо. По рекомендации: https://sourceforge.net/p/linux-ima/wiki/Home/#audit-log-all... сделал:
echo 'audit func=BPRM_CHECK mask=MAY_EXEC' >> /sys/kernel/security/ima/policy
echo 'audit func=MMAP_CHECK mask=MAY_EXEC' >> /sys/kernel/security/ima/policy
Система ночью много лопатила, забила 100% диск, а потом syslog заполнил 100% всю память и своп.
Почистил диск и память, а падение процессов продолжается равномерно на всех ядрах процессора с ошибкой Not tainted:
PAX: refcount overflow detected in: *
....
Code: 01 4a ... 86 01 <83> c0 01 ... ba 2c - всегда один и тот же.
Может виря подцепил?

Ответить | Сообщить модератору

1 слишком мало полезной для диагностики информации2 PAX не является частью сто, муу (?), 19:48 , 08-Ноя-20 (1)
1) слишком мало полезной для диагностики информации
2) PAX не является частью стокового ядра - тебе на форум к патчеделам если патчил сам или на форум твоего дистра если дистр (который ты даже не удосужился обозначить) поставляет ядро с этим патчем
понасобирают гна по интернетам не понимая как оно работает и зачем оно нужно, а потом такие "памагите аааааа сервер ни работает, мамка ругать будет"
сообщить модератору +/– ответить

pax с mmap_check для ima ну такая себе заявочка на совместимость вирь за кла, Аноним (-), 13:38 , 09-Ноя-20 (3)
pax с mmap_check для ima .. ну такая себе заявочка на совместимость. вирь за клавиатурой сидит, вот точно говорю - убери его подальше от техники и все будет работать.

сообщить модератору +/– ответить

https forums grsecurity net viewtopic php t 2750 p11162, Аноним (5), 17:48 , 18-Ноя-20 (5)
https://forums.grsecurity.net/viewtopic.php?t=2750#p11162
сообщить модератору +/– ответить

Strongswan. Резервирование VPN-cерверов.,

zomka25, (VPN, IPSec / Linux) 06-Ноя-20, 00:36 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Коллеги.
Прошу совета в вопросе реализации резервирования доступности VPN-серверов.
1. Есть две площадки. На каждой поднято по одному серверу на ОС Убунта 18.04 (ядро 5.3.ххх) + Strongswan (5.8.1). Сервера спрятаны за роутерами Cisco (DNAT), при этом сервера строят IPSec на нестандартных портах, не udp/500 и udp/4500. Решено обеспечить отказоустойчивость - на каждой площадке использовать по два сервера в режиме MASTER/BACKUP c использованием сервиса keepalived (VRRP). Но столкнулся с проблемой "тупняка" установки нового туннеля, когда основной сервер в пределах площадки уходит в состояние BACKUP (при этом стопается сервис ipsec), а резервный сервер получает статус MASTER и пытается установить новый туннель. Порой туннель не устанавливается пока не перезагрузить ipsec на удаленном сервере-партнере.
И похожий второй вопрос....
2. На площадке поднят один сервер на ОС Убунта 18.04 (ядро 5.3.ххх) + Strongswan (5.8.1). К нему подключается самописный клиент под ОС Windows. Все как-бы работает. Но нужно обеспечить безотказность работы клиента. Не очень хочется использовать VRRP
Есть альтернативные варианты резервирования серверов?

Ответить | Сообщить модератору

gt оверквотинг удален Если я хоть что-то понял, то была похожая ситуация б, Аноним (1), 14:53 , 06-Ноя-20 (1)
>[оверквотинг удален]
> 1. Есть две площадки. На каждой поднято по одному серверу на ОС
> Убунта 18.04 (ядро 5.3.ххх) + Strongswan (5.8.1). Сервера спрятаны за роутерами
> Cisco (DNAT), при этом сервера строят IPSec на нестандартных портах, не
> udp/500 и udp/4500. Решено обеспечить отказоустойчивость - на каждой площадке использовать
> по два сервера в режиме MASTER/BACKUP c использованием сервиса keepalived (VRRP).
> Но столкнулся с проблемой "тупняка" установки нового туннеля, когда основной сервер
> в пределах площадки уходит в состояние BACKUP (при этом стопается сервис
> ipsec), а резервный сервер получает статус MASTER и пытается установить
> новый туннель. Порой туннель не устанавливается пока не перезагрузить ipsec на
> удаленном сервере-партнере.
Если я хоть что-то понял, то... была похожая ситуация (без цисок и vpn) в случае с построением отказоустойчивого шлюза, когда было важно обеспечить удержание открытых сессий клиентов в рабочем состоянии при переключении с мастера на слейва (гы, all lives matter). Но это было на фряхе, и там задачка решилась при помощи pfsync. Поищи аналог на линуксе. По-моему, проблемы одного поля ягоды.
сообщить модератору +/– ответить

А почему не держать оба тунеля в апе, и разрулить на уровне роутинга BGP Давно у, shadow_alone (ok), 21:30 , 08-Ноя-20 (2)
А почему не держать оба тунеля в апе, и разрулить на уровне роутинга BGP?
Давно уходят от мастер-слейв, ECMP тебе в помощь
сообщить модератору +/– ответить

Абузоустойчивый хостинг выбрать какой?,

allesha227, (Разное) 01-Авг-19, 13:22 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Продаю спорт.добавки на сайте, нужна норм "абуза". Порекомендуйте.

Ответить | Сообщить модератору

Что означает нужна норм абуза , Аноним (1), 13:32 , 01-Авг-19 (1) +1
> Продаю спорт.добавки на сайте, нужна норм "абуза". Порекомендуйте.
Что означает 'нужна норм абуза' ?
сообщить модератору +1 +/– ответить
Больше спросить негде На школофорумах забанили , Аноним (6), 13:39 , 01-Авг-19 (2) +1
> Продаю спорт.добавки на сайте, нужна норм "абуза". Порекомендуйте.
Больше спросить негде? На школофорумах забанили?
сообщить модератору +1 +/– ответить

Inferno name, Bulletproof web, Dalmaktris, Iqhost, Abusehosting как минимум одни, cawa88 (ok), 14:51 , 01-Авг-19 (4)
> Продаю спорт.добавки на сайте, нужна норм "абуза". Порекомендуйте.
Inferno name, Bulletproof web, Dalmaktris, Iqhost, Abusehosting как минимум одни из самых нормальных. Если принципиальны какие-то технические отличия, то на хост-треккере любом чекайте каждый и выбирайте уже по результатам мониторинга. Максимально подробно прочекать здесь можно: https://www.host-tracker.com/ru/InstantCheck/Create/
сообщить модератору +/– ответить

Звучит как-то знакомо Баширов и Петров В смысле торговля вразнос с доставкой на, ACCA (ok), 04:05 , 10-Авг-19 (6)
> Продаю спорт.добавки на сайте, нужна норм "абуза". Порекомендуйте.
Звучит как-то знакомо.
Баширов и Петров? В смысле торговля вразнос с доставкой на дом не идёт?
сообщить модератору +/– ответить

Как не пропускать спам на relay,

diggge, (Блокирование спама и вирусов / FreeBSD) 12-Апр-17, 15:28 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день! Я настроил схему на freebsd sendmail+clamav+spamassassin+procmail. Письма с вирусами идут в карантин, спамассассин добавляет к спаму слово SPAM. Score ставится более менее правильно, далее procmail спам ложит в отдельную папку. Это все замечательно работает для локальных почтовых ящиков. Но я этот сервер сделал как для антиспам-почтовый сервер пересылки. Только сейчас понял, что procmail не отрабатывает письма которые пересылаются дальше. Или каким-нибудь образом все таки можно? Чем заменить мне procmail, чтобы пересылаемые письма, которые spamassassin посчитал спамом оставлять на локальном сервере? Если что сильно не бейте) Мне желательно оставить уже настроенную связку spamassassin+clamav+sendmail(в принципе sendmail можно заменить)

Ответить | Сообщить модератору

https en wikipedia org wiki Anti-Spam_SMTP_Proxy, au (?), 07:35 , 13-Апр-17 (1)
https://en.wikipedia.org/wiki/Anti-Spam_SMTP_Proxy
сообщить модератору +/– ответить

Хранят ли УЦ закрытые ключи?,

ООО Вектор, (Разное) 27-Дек-19, 01:13 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Будем получать квалифицированную ЭЦП. В нормальной ситуации с ssl я генерирую закрытый ключ, делаю csr и получаю открытый ключ.
А как обстоит дело с этим в нашем ЭЦП?
По телефону дали понять что все делается в УЦ на их оборудовании. На вопрос о закрытом ключе толком ответить не могут.

Ответить | Сообщить модератору

Закрытй ключ остаётся у них Могут сказать, что нет, но это ложь , Аноним (1), 08:42 , 27-Дек-19 (1)
> Будем получать квалифицированную ЭЦП. В нормальной ситуации с ssl я генерирую закрытый
> ключ, делаю csr и получаю открытый ключ.
> А как обстоит дело с этим в нашем ЭЦП?
> По телефону дали понять что все делается в УЦ на их оборудовании.
> На вопрос о закрытом ключе толком ответить не могут.
Закрытй ключ остаётся у них. Могут сказать, что нет, но это ложь.
сообщить модератору +/– ответить
Делал через Taxcom Через браузер csr Возможно нужен CrypToPro , izyk (ok), 17:28 , 27-Дек-19 (2)
> Будем получать квалифицированную ЭЦП. В нормальной ситуации с ssl я генерирую закрытый
> ключ, делаю csr и получаю открытый ключ.
> А как обстоит дело с этим в нашем ЭЦП?
> По телефону дали понять что все делается в УЦ на их оборудовании.
> На вопрос о закрытом ключе толком ответить не могут.
Делал через Taxcom. Через браузер csr. Возможно нужен CrypToPro.
сообщить модератору +/– ответить

Ты и только ты, всегда сам, должен создавать приватный ключ Публичную часть клю, Аноним (4), 10:19 , 07-Май-20 (4)
> Будем получать квалифицированную ЭЦП. В нормальной ситуации с ssl я генерирую закрытый
> ключ, делаю csr и получаю открытый ключ.
> А как обстоит дело с этим в нашем ЭЦП?
> По телефону дали понять что все делается в УЦ на их оборудовании.
> На вопрос о закрытом ключе толком ответить не могут.
Ты и только ты, всегда сам, должен создавать приватный ключ. Публичную часть ключа, с распечаткой, подписью и печатью несеш им лично для удостоверения что это ты. Удостоверяющий центр подписывает только публичную часть ключа.
Если удостоверяющий центр скажет давайте мы за вас создадим приватный ключ не соглашайтесь - это развод лохов.
Для РФ генерил в КриптоПро которое завилось только под виндой, версия под GNU/Linux не работала (8 лет назад).
сообщить модератору +/– ответить

Ещё может быть ущербена бюрократическая процедуры, или сам норматив Вы делаете п, Licha Morada (ok), 21:02 , 07-Май-20 (5)

> Если удостоверяющий центр скажет давайте мы за вас создадим приватный ключ не
> соглашайтесь - это развод лохов.
Ещё может быть ущербена бюрократическая процедуры, или сам норматив.
Вы делаете правильное замечание, но, к сожалению, законодатели и дизайнеры услуг веремя от времени косячат на фундаментальном уровне. Объехать это трудно или невозможно, так что приходится оценивать риски. Или отказываться связываться вообще, отдавая преимущество конкурентам которые решили рискнуть.
сообщить модератору +/– ответить

Я лично 8 лет назад получал ключи Еще раз, пару открытый приватный ключ создает, Аноним (6), 17:42 , 11-Май-20 (6) +1
> Ещё может быть ущербена бюрократическая процедуры, или сам норматив.
> Вы делаете правильное замечание, но, к сожалению, законодатели и дизайнеры услуг веремя от времени косячат на фундаментальном уровне.
Я лично 8 лет назад получал ключи. Еще раз, пару открытый/приватный ключ создает лично владелец подписи. Мы для этого покупали комп и КрыптоПро, под виндой, для GNU/Linux не работало. Владелец создавал пару, публичный с запросом отдавал мне, а секретный хранил на своей спец флешке.
Я не подписывал обязаности инженера по ИБ, был самым обычным сысадмином.
Если они не захотят с паспортами лично перется в удостоверяющий центр, а они ВСЕ не захотели, то каждый пишет и надлежащим образом заверяет на твое имя доверенность. Потом со всеми этими доверенностям, распечатками публичных ключей и их отпечатков с мокрыми печатями и личными подписями, а также флешкой с публичными ключами и их запросами шел лично в удостоверяющий центр. Предъявлял свой паспорт с рук, они проверяли все доверенности, все распечатки ключей потом меня отпустили. Если будут косяки в доверенностям или распечатка ключей то конечно откажут! Через день два они перезвонили я к ним опять подошло и мне отдали флешку с уже подписанными публичными ключами.
Хоть инженером по ИБ официально не был, мозгоебщиком не являюсь по натуре, но если видел, что секретный ключ валяется не в надлежащем месте сразу отзывал серт! Файлы для отзыва всех сертификатов у меня были с публичными ключами. Потом заставлял создать новый сертификат и нес его публичную часть со всеми бумагами в удостоверяющий центр. У нас с ними был договор, на внезапные отзывы смотрели косо, но свою работу делали, новые серты подписывали без проблем.
сообщить модератору +1 +/– ответить
Ты мне пальцем в косяк ткни 63 ФЗ, написанный кажется более-мение нормально Иск , Аноним (8), 18:41 , 16-Июл-20 (8) +1
> к сожалению, законодатели и дизайнеры услуг веремя от времени косячат на фундаментальном уровне.
Ты мне пальцем в косяк ткни 63 ФЗ, написанный кажется более-мение нормально.
> Объехать это трудно или невозможно
Иск в суд на УЦ за нарушение ФЗ 63 с требованием лишить их лицензии и выплатить компенсацию морального вреда.
сообщить модератору +1 +/– ответить

Такие удостоверяющие центры, которые требуют отдать им приватный ключ, или сами , Аноним (8), 18:34 , 16-Июл-20 (7) +3
> На вопрос о закрытом ключе толком ответить не могут.
Такие удостоверяющие центры, которые требуют отдать им приватный ключ, или сами создают приватный ключ и отдают клиенту надо лишать лицензии!
http://www.consultant.ru/document/cons_doc_LAW_112701/c50517.../
Приватный ключ:
5) ключ электронной подписи - уникальная последовательность символов, предназначенная для создания электронной подписи;
Публичный ключ:
6) ключ проверки электронной подписи - уникальная последовательность символов, однозначно связанная с ключом электронной подписи и предназначенная для проверки подлинности электронной подписи (далее - проверка электронной подписи);
Результат деятельности Российского УЦ (сертификат на ваш публичный ключ):
2) сертификат ключа проверки электронной подписи - электронный документ или документ на бумажном носителе, выданные удостоверяющим центром либо доверенным лицом удостоверяющего центра и подтверждающие принадлежность ключа проверки электронной подписи владельцу сертификата ключа проверки электронной подписи;
14) вручение сертификата ключа проверки электронной подписи - передача доверенным лицом удостоверяющего центра созданного этим удостоверяющим центром сертификата ключа проверки электронной подписи его владельцу;
Русский УЦ:
7) удостоверяющий центр - юридическое лицо, индивидуальный предприниматель либо государственный орган или орган местного самоуправления, осуществляющие функции по созданию и выдаче сертификатов ключей проверки электронных подписей, а также иные функции, предусмотренные настоящим Федеральным законом;
Проверки Российского УЦ (подписать своим приватным ключом заявку на получение сертификата):
15) подтверждение владения ключом электронной подписи - получение удостоверяющим центром, уполномоченным федеральным органом доказательств того, что лицо, обратившееся за получением сертификата ключа проверки электронной подписи, владеет ключом электронной подписи, который соответствует ключу проверки электронной подписи, указанному таким лицом для получения сертификата;
сообщить модератору +3 +/– ответить

Возможные проверки при выдачи сертификата усилений электронной подписи строго ог, Аноним (9), 16:29 , 19-Июл-20 (9)
Возможные проверки при выдачи сертификата усилений электронной подписи строго ограничены ст.10 ФЗ#63
http://www.consultant.ru/document/cons_doc_LAW_112701/e13bdc.../
Статья 10. Обязанности участников электронного взаимодействия при использовании усиленных электронных подписей

1. При использовании усиленных электронных подписей участники электронного взаимодействия обязаны:
1) обеспечивать конфиденциальность ключей электронных подписей, в частности не допускать использование принадлежащих им ключей электронных подписей без их согласия;
2) уведомлять удостоверяющий центр, выдавший сертификат ключа проверки электронной подписи, и иных участников электронного взаимодействия о нарушении конфиденциальности ключа электронной подписи в течение не более чем одного рабочего дня со дня получения информации о таком нарушении;
3) не использовать ключ электронной подписи при наличии оснований полагать, что конфиденциальность данного ключа нарушена;
4) использовать для создания и проверки квалифицированных электронных подписей, создания ключей квалифицированных электронных подписей и ключей их проверки средства электронной подписи, имеющие подтверждение соответствия требованиям, установленным в соответствии с настоящим Федеральным законом.
2. Участники электронного взаимодействия не вправе устанавливать иные, за исключением предусмотренных настоящим Федеральным законом, ограничения признания усиленной квалифицированной электронной подписи. Нарушение запрета на ограничение ........ по любым причинам, кроме предусмотренных настоящим Федеральным законом, не допускается.
сообщить модератору +/– ответить

Пару приватный-публичный ключ вы создаете САМИ ЛИЧНО НА СВОЕМ ОБОРУДОВАГИИ Закон, Аноним (10), 14:48 , 03-Авг-20 (10)
Пару приватный-публичный ключ вы создаете САМИ ЛИЧНО НА СВОЕМ ОБОРУДОВАГИИ.
Законодатель дает право создать приватный ключ по вашему обращению:
http://www.consultant.ru/document/cons_doc_LAW_112701/
ст. 13, п.1, пп. 7:
7) создает по обращениям заявителей ключи электронных подписей и ключи проверки электронных подписей;
Он обязан соблюдать конфиденциальность приватных ключей:
ст. 13, п.2, пп. 4:
4) обеспечивать конфиденциальность созданных удостоверяющим центром ключей электронных подписей;
Сертификаты ключей проверки электронных подписей УЦ создайте всегда сам и на своем оборудовании:
ст.13, п.1, пп.1:
1) создает сертификаты ключей проверки электронных подписей и выдает такие сертификаты лицам, обратившимся за их получением (заявителям)...
ст.14, п.1:
1. Удостоверяющий центр осуществляет создание и выдачу сертификата ключа проверки электронной подписи на основании соглашения между удостоверяющим центром и заявителем.
ст.17, п.1:
1. Квалифицированный сертификат подлежит созданию с использованием средств аккредитованного удостоверяющего центра.
сообщить модератору +/– ответить
Прочел ФЕДЕРАЛЬНЫЙ ЗАКОН N 63 ОБ ЭЛЕКТРОННОЙ ПОДПИСИОтбило охоту получать квалиф, Аноним (10), 15:00 , 03-Авг-20 (11)
Прочел ФЕДЕРАЛЬНЫЙ ЗАКОН N 63 ОБ ЭЛЕКТРОННОЙ ПОДПИСИ
Отбило охоту получать квалифицированную ЭП следующие два пункта:
ст. 18
п. 1, пп. 4
4) предложить использовать шифровальные (криптографические) средства, указанные в части 19 статьи 14.1 Федерального закона от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации", физическим лицам, обратившимся к нему в целях проведения идентификации без его личного присутствия путем предоставления сведений из единой системы идентификации и аутентификации и информации из единой биометрической системы (для предоставления биометрических персональных данных физического лица в целях проведения его идентификации в аккредитованном удостоверяющем центре без его личного присутствия посредством сети "Интернет"), и указать страницу сайта в информационно-телекоммуникационной сети "Интернет", с которой безвозмездно предоставляются эти средства. При этом в случае, если физическое лицо для предоставления своих биометрических персональных данных в целях проведения его идентификации в аккредитованном удостоверяющем центре без его личного присутствия посредством информационно-телекоммуникационной сети "Интернет" при выдаче сертификата ключа проверки электронной подписи отказывается от использования шифровальных (криптографических) средств, аккредитованный удостоверяющий центр обязан отказать такому лицу в проведении идентификации и выдаче сертификата ключа проверки электронной подписи.
Комент: А почему не предложить сразу вшить чип в *опу, а если не захотят то отказывать такому лицу.
п. 3
3. При получении квалифицированного сертификата заявителем он должен быть ознакомлен аккредитованным удостоверяющим центром с информацией, содержащейся в квалифицированном сертификате. Подтверждение ознакомления с информацией, содержащейся в квалифицированном сертификате, осуществляется под расписку посредством использования заявителем квалифицированной электронной подписи при наличии у него действующего квалифицированного сертификата либо посредством простой электронной подписи заявителя - физического лица, ключ которой получен им при личном обращении в соответствии с правилами использования простой электронной подписи при обращении за получением государственных и муниципальных услуг в электронной форме, устанавливаемых Правительством Российской Федерации, при условии идентификации гражданина Российской Федерации с применением информационных технологий без его личного присутствия путем предоставления сведений из единой системы идентификации и аутентификации и информации из единой биометрической системы. Указанное согласие, подписанное электронной подписью, в том числе простой электронной подписью, признается электронным документом, равнозначным документу на бумажном носителе, подписанному собственноручной подписью данного физического лица. Удостоверяющий центр обязан хранить информацию, подтверждающую ознакомление заявителя с информацией, содержащейся в квалифицированном сертификате, в течение всего срока осуществления своей деятельности.
Комент: Почему не предусмотрена личная подпись на бумаге? Зачем мне еще надо получать простую ЭЦП?
сообщить модератору +/– ответить

Плохо прочитал ФЗ, попробуй ещё Обязан предложить Обязан аутентифицировать п, Аноним (12), 19:04 , 10-Сен-20 (12)
> Прочел ФЕДЕРАЛЬНЫЙ ЗАКОН N 63 ОБ ЭЛЕКТРОННОЙ ПОДПИСИ
> Комент: А почему не предложить сразу вшить чип в *опу, а если
> не захотят то отказывать такому лицу.
Плохо прочитал ФЗ, попробуй ещё. Обязан предложить != Обязан аутентифицировать посредством ЕБС.
> Комент: Почему не предусмотрена личная подпись на бумаге? Зачем мне еще надо
> получать простую ЭЦП?
Ещё одно доказательство что читал плохо. Посмотри определение простой ЭП в том же ФЗ.
А подпись ты поставишь после выпуска ЭП на сведениях о сертификате, что "негласно" считается актом приемки-педерачи. Но это зависит от УЦ.
сообщить модератору +/– ответить

При этом в случае, если физическое лицо для предоставления своих биометрических, Аноним (13), 13:15 , 11-Сен-20 (13)
> Плохо прочитал ФЗ, попробуй ещё. Обязан предложить != Обязан аутентифицировать посредством ЕБС.
"При этом в случае, если физическое лицо для предоставления своих биометрических персональных данных в целях проведения его идентификации в аккредитованном удостоверяющем центре без его личного присутствия посредством информационно-телекоммуникационной сети "Интернет" при выдаче сертификата ключа проверки электронной подписи отказывается от использования шифровальных (криптографических) средств, аккредитованный удостоверяющий центр ОБЯЗАН ОТКАЗАТЬ такому лицу в проведении идентификации и выдаче сертификата ключа проверки электронной подписи."
> Ещё одно доказательство что читал плохо. Посмотри определение простой ЭП в том же ФЗ.
> А подпись ты поставишь после выпуска ЭП на сведениях о сертификате, что "негласно" считается актом приемки-педерачи. Но это зависит от УЦ.
"Подтверждение ознакомления с информацией, содержащейся в квалифицированном сертификате, осуществляется под расписку посредством использования заявителем КВАЛИФИЦИРОВАННОЙ ЭЛЕКТРОННОЙ ПОДПИСИ при наличии у него действующего квалифицированного сертификата либо посредством ПРОСТОЙ ЭЛЕКТРОННОЙ ПОДПИСИ заявителя - физического лица, ключ которой получен им при личном обращении в соответствии с правилами использования простой электронной подписи при обращении за получением государственных и муниципальных услуг в электронной форме, устанавливаемых Правительством Российской Федерации, при условии идентификации гражданина Российской Федерации с применением информационных технологий без его личного присутствия путем предоставления сведений из единой системы идентификации и аутентификации и информации из единой биометрической системы. Указанное согласие, подписанное ЭЛЕКТРОННОЙ ПОДПИСЬЮ, в том числе ПРОСТОЙ ЭЛЕКТРОННОЙ ПОДПИСЬЮ, признается электронным документом, равнозначным документу на бумажном носителе, подписанному собственноручной подписью данного физического лица."
сообщить модератору +/– ответить

Теоиетический опрос. ,

Павел Отредиез, (Разное / Linux) 28-Авг-20, 17:45 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Если не смотреть в текущие реализации *nix, то по Вашему мнению.
Кто должен обладать правом смены группы файла - cap_chown или cap_fowner?

Ответить | Сообщить модератору

Мой ответ cap_fowner , Павел Отредиез (?), 17:46 , 28-Авг-20 (1)
Мой ответ cap_fowner.

сообщить модератору +/– ответить
cap_chgrp , PavelR (??), 07:09 , 31-Авг-20 (2)
> Если не смотреть в текущие реализации *nix, то по Вашему мнению.
> Кто должен обладать правом смены группы файла - cap_chown или cap_fowner?
cap_chgrp ?? )))
сообщить модератору +/– ответить

Я серьёзно Просто у меня есть патч, который меняет и это Прав ли я изменив cap, Павел Отредиез (?), 18:53 , 31-Авг-20 (3)
>> Если не смотреть в текущие реализации *nix, то по Вашему мнению.
>> Кто должен обладать правом смены группы файла - cap_chown или cap_fowner?
> cap_chgrp ?? )))
Я серьёзно. Просто у меня есть патч, который меняет и это. Прав ли я изменив cap_chown на cap_fowner?
сообщить модератору +/– ответить

Я как-то явно механики capabilities и не использовал никогда Чем cap_chown тебе , PavelR (??), 19:09 , 31-Авг-20 (4)
>>> Если не смотреть в текущие реализации *nix, то по Вашему мнению.
>>> Кто должен обладать правом смены группы файла - cap_chown или cap_fowner?
>> cap_chgrp ?? )))
> Я серьёзно. Просто у меня есть патч, который меняет и это. Прав
> ли я изменив cap_chown на cap_fowner?
Я как-то явно механики capabilities и не использовал никогда.
Чем cap_chown тебе не угодил? Я тут в маны глянул, функция у него ограниченная, разве есть проблема обе capability выдать, если надо?
В ограниченности этой capability и заключен её смысл. Процесс сможет делать chown но не сможет делать всё остальное, для чего потребовался бы cap_fowner. Т.е. выдавать cap_fowner - это выдавать излишние привилегии, что не безопасно.
Как-то так я понял всю эту кухню. Могу быть не прав, бегло ознакомился )
сообщить модератору +/– ответить

gt оверквотинг удален Понял Вашу мысль Дело в логике Рядовой пользователь ме, Павел Отредиез (?), 19:20 , 31-Авг-20 (5)
>[оверквотинг удален]
>> Я серьёзно. Просто у меня есть патч, который меняет и это. Прав
>> ли я изменив cap_chown на cap_fowner?
> Я как-то явно механики capabilities и не использовал никогда.
> Чем cap_chown тебе не угодил? Я тут в маны глянул, функция у
> него ограниченная, разве есть проблема обе capability выдать, если надо?
> В ограниченности этой capability и заключен её смысл. Процесс сможет делать chown
> но не сможет делать всё остальное, для чего потребовался бы cap_fowner.
> Т.е. выдавать cap_fowner - это выдавать излишние привилегии, что не безопасно.
> Как-то так я понял всю эту кухню. Могу быть не прав, бегло
> ознакомился )
Понял Вашу мысль.
Дело в логике. Рядовой пользователь меняет группу файла только на основании владения файлом. Логично было бы и для рута эти операции отнести к cap_fowner.
сообщить модератору +/– ответить

VPN сеть устан, а интернет не работает при использовании роутер,

Vilis, (Разное / Другая система) 23-Мрт-20, 18:32 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день!
Не уверен, в нужный ли раздел пишу, но рискну...
Есть клиент OpenVPN на устройстве под Windows или Android.
Есть свой сервер с сервером OpenVPN, в конфиге указано push "redirect-gateway def1 bypass-dhcp".
Если клиент устанавливает VPN соединение через GSM, то видна как сеть VPN, так и работает интернет, клиент получает IP сервера.
Но! Если клиент работает в локальной сети через роутер, то сеть VPN открывается, но интернет на устройстве клиента не работает.
У меня провайдер Билайн. При первичной авторизации через роутер он понаставил множество Статических маршрутов.
Файервол для учетной записи в личном кабинете Билайн отключен
Примечание: сервер OpenVPN полностью настроен - через него прекрасно работает другая локальная сеть, в которой клиент OpenVPN установлен непосредственно на роутере.
Буду очень рад помощи или совету

Ответить | Сообщить модератору

Я так понимаю, это происходит на одном и том-же кленте Покажите таблицу маршрути, Licha Morada (ok), 18:53 , 23-Мрт-20 (1)
> Добрый день!
> Не уверен, в нужный ли раздел пишу, но рискну...
> Есть клиент OpenVPN на устройстве под Windows или Android.
> Есть свой сервер с сервером OpenVPN, в конфиге указано push "redirect-gateway def1
> bypass-dhcp".
> Если клиент устанавливает VPN соединение через GSM, то видна как сеть VPN,
> так и работает интернет, клиент получает IP сервера.
> Но! Если клиент работает в локальной сети через роутер, то сеть VPN
> открывается, но интернет на устройстве клиента не работает.
Я так понимаю, это происходит на одном и том-же кленте.
Покажите таблицу маршрутизации клиента, когда он подключём к VPN через GSM, и когда "в локальной сети через роутер".
Проверьте, что значит "не работает интернет", может, дело в ДНС. Имена хостов резольвятся?

сообщить модератору +/– ответить

gt оверквотинг удален Добрый день Огромное спасибо за отзыв помочь Все дни по, Vilis (ok), 17:21 , 28-Мрт-20 (2)
>[оверквотинг удален]
>> bypass-dhcp".
>> Если клиент устанавливает VPN соединение через GSM, то видна как сеть VPN,
>> так и работает интернет, клиент получает IP сервера.
>> Но! Если клиент работает в локальной сети через роутер, то сеть VPN
>> открывается, но интернет на устройстве клиента не работает.
> Я так понимаю, это происходит на одном и том-же кленте.
> Покажите таблицу маршрутизации клиента, когда он подключём к VPN через GSM, и
> когда "в локальной сети через роутер".
> Проверьте, что значит "не работает интернет", может, дело в ДНС. Имена хостов
> резольвятся?
Добрый день!
Огромное спасибо за отзыв помочь! Все дни после этого ну совершенно не мог ответить.
Клиенты либо ноут под Виндоус, либо телефон под Андроид. На них запускается или не запускается OpenVPN. У обоих клиентов одинаковая проблема.
Оба либо работают через WIFI роутера  (через роутер, короче говоря :) - интернет не доступен при включенном OpenVPN на них,
либо ноут работает через WIFI точки доступа телефона, но телефон при этом уже работает не через роутер, а через GSM. Тогда у обоих устройств все нормально.
По поводу "не работает интернет". Извините, я не в терминах, да и не в знаниях Вашей специализации :)
Не открываются страницы ни Chrome, ни в Explorer как по имени, так и по IP - например, ни rbc.ru, ни 80.68.253.3. Причем вот что только что обнаружил: Я сейчас работаю в домашней ЛВС. В сети OPenVPN у меня есть еще одна ЛВС на даче. Так вот устройства другой сети пингуюся в командной строке, но в браузерах на открываются при запущенном OpenVPN. Устройства в домашней сети доступны в браузере.
Маршрутизация:
VPN через GSM:
Список интерфейсов
15...70 5a 0f 65 53 e8 ......Realtek PCIe FE Family Controller
17...46 1c a8 2b 01 39 ......Microsoft Wi-Fi Direct Virtual Adapter
11...44 1c a8 2b 01 39 ......Microsoft Wi-Fi Direct Virtual Adapter #2
16...00 ff c1 8d a5 5d ......TAP-Windows Adapter V9
20...44 1c a8 2b 01 39 ......Realtek RTL8723BE 802.11 bgn Wi-Fi Adapter
  6...44 1c a8 2b 01 3a ......Bluetooth Device (Personal Area Network)
  1...........................Software Loopback Interface 1
===========================================================================
IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
          0.0.0.0          0.0.0.0     192.168.43.1   192.168.43.193     55
          0.0.0.0        128.0.0.0         10.8.0.9        10.8.0.10     35
         10.8.0.0    255.255.255.0         10.8.0.9        10.8.0.10     35
         10.8.0.8  255.255.255.252         On-link         10.8.0.10    291
        10.8.0.10  255.255.255.255         On-link         10.8.0.10    291
        10.8.0.11  255.255.255.255         On-link         10.8.0.10    291
        127.0.0.0        255.0.0.0         On-link         127.0.0.1    331
        127.0.0.1  255.255.255.255         On-link         127.0.0.1    331
  127.255.255.255  255.255.255.255         On-link         127.0.0.1    331
        128.0.0.0        128.0.0.0         10.8.0.9        10.8.0.10     35
   178.62.225.129  255.255.255.255     192.168.43.1   192.168.43.193     55
     192.168.43.0    255.255.255.0         On-link    192.168.43.193    311
   192.168.43.193  255.255.255.255         On-link    192.168.43.193    311
   192.168.43.255  255.255.255.255         On-link    192.168.43.193    311
    192.168.137.0    255.255.255.0         On-link     192.168.137.1    281
    192.168.137.1  255.255.255.255         On-link     192.168.137.1    281
  192.168.137.255  255.255.255.255         On-link     192.168.137.1    281
        224.0.0.0        240.0.0.0         On-link         127.0.0.1    331
        224.0.0.0        240.0.0.0         On-link    192.168.43.193    311
        224.0.0.0        240.0.0.0         On-link     192.168.137.1    281
        224.0.0.0        240.0.0.0         On-link         10.8.0.10    291
  255.255.255.255  255.255.255.255         On-link         127.0.0.1    331
  255.255.255.255  255.255.255.255         On-link    192.168.43.193    311
  255.255.255.255  255.255.255.255         On-link     192.168.137.1    281
  255.255.255.255  255.255.255.255         On-link         10.8.0.10    291
===========================================================================
Постоянные маршруты:
  Отсутствует
IPv6 таблица маршрута
===========================================================================
Активные маршруты:
Метрика   Сетевой адрес            Шлюз
  1    331 ::1/128                  On-link
20    311 fe80::/64                On-link
11    281 fe80::/64                On-link
16    291 fe80::/64                On-link
11    281 fe80::b135:c55a:9106:9488/128
                                    On-link
20    311 fe80::b407:3568:565:9a8a/128
                                    On-link
16    291 fe80::e546:115f:9b37:c390/128
                                    On-link
  1    331 ff00::/8                 On-link
20    311 ff00::/8                 On-link
11    281 ff00::/8                 On-link
16    291 ff00::/8                 On-link
===========================================================================
Постоянные маршруты:
  Отсутствует
VPN через роутер:
Список интерфейсов
15...70 5a 0f 65 53 e8 ......Realtek PCIe FE Family Controller
17...46 1c a8 2b 01 39 ......Microsoft Wi-Fi Direct Virtual Adapter
11...44 1c a8 2b 01 39 ......Microsoft Wi-Fi Direct Virtual Adapter #2
16...00 ff c1 8d a5 5d ......TAP-Windows Adapter V9
20...44 1c a8 2b 01 39 ......Realtek RTL8723BE 802.11 bgn Wi-Fi Adapter
  6...44 1c a8 2b 01 3a ......Bluetooth Device (Personal Area Network)
  1...........................Software Loopback Interface 1
===========================================================================
IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
          0.0.0.0          0.0.0.0      192.168.2.1     192.168.2.50     50
          0.0.0.0        128.0.0.0         10.8.0.9        10.8.0.10     35
         10.8.0.0    255.255.255.0         10.8.0.9        10.8.0.10     35
         10.8.0.8  255.255.255.252         On-link         10.8.0.10    291
        10.8.0.10  255.255.255.255         On-link         10.8.0.10    291
        10.8.0.11  255.255.255.255         On-link         10.8.0.10    291
        127.0.0.0        255.0.0.0         On-link         127.0.0.1    331
        127.0.0.1  255.255.255.255         On-link         127.0.0.1    331
  127.255.255.255  255.255.255.255         On-link         127.0.0.1    331
        128.0.0.0        128.0.0.0         10.8.0.9        10.8.0.10     35
   178.62.225.129  255.255.255.255      192.168.2.1     192.168.2.50     50
      192.168.2.0    255.255.255.0         On-link      192.168.2.50    306
     192.168.2.50  255.255.255.255         On-link      192.168.2.50    306
    192.168.2.255  255.255.255.255         On-link      192.168.2.50    306
        224.0.0.0        240.0.0.0         On-link         127.0.0.1    331
        224.0.0.0        240.0.0.0         On-link      192.168.2.50    306
        224.0.0.0        240.0.0.0         On-link         10.8.0.10    291
  255.255.255.255  255.255.255.255         On-link         127.0.0.1    331
  255.255.255.255  255.255.255.255         On-link      192.168.2.50    306
  255.255.255.255  255.255.255.255         On-link         10.8.0.10    291
===========================================================================
Постоянные маршруты:
  Отсутствует
IPv6 таблица маршрута
===========================================================================
Активные маршруты:
Метрика   Сетевой адрес            Шлюз
  1    331 ::1/128                  On-link
20    306 fe80::/64                On-link
16    291 fe80::/64                On-link
20    306 fe80::b407:3568:565:9a8a/128
                                    On-link
16    291 fe80::e546:115f:9b37:c390/128
                                    On-link
  1    331 ff00::/8                 On-link
20    306 ff00::/8                 On-link
16    291 ff00::/8                 On-link
===========================================================================
Постоянные маршруты:
  Отсутствует
сообщить модератору +/– ответить

Поведение, которое вы описываете, может быть связанно с конфигурацией прокси в б, Licha Morada (ok), 21:26 , 30-Мрт-20 (3)
> Не открываются страницы ни Chrome, ни в Explorer как по имени, так
> и по IP - например, ни rbc.ru, ни 80.68.253.3. Причем вот
> что только что обнаружил: Я сейчас работаю в домашней ЛВС. В
> сети OPenVPN у меня есть еще одна ЛВС на даче. Так
> вот устройства другой сети пингуюся в командной строке, но в браузерах
> на открываются при запущенном OpenVPN. Устройства в домашней сети доступны в
> браузере.
Поведение, которое вы описываете, может быть связанно с конфигурацией прокси в браузере, которая применяется в сети WIFI роутера, и отсутствует в сети WIFI точки доступа телефона. Это гипотеза.
Проверьте "наличие или отсутствие интернета" не браузером, а пингом. По имени и по IP адресу.
> VPN через GSM:
> ...
> VPN через роутер:
> ...
Таблицы более или менее экивалентны. Суда по ним:
Сеть WIFI роутера 192.168.2.0/24
Адрес шлюза 192.168.2.1
Ваш адрес 192.168.2.50
Сеть WIFI точки доступа телефона 192.168.43.0/24
Адрес шлюза 192.168.43.1
Ваш адрес 192.168.43.193
Адрес VPN сервера в Интернете: 178.62.225.129
Пул адресов в сети VPN 10.8.0.0/24
Адрес шлюза внутри туннеля 10.8.0.9
Ваш адрес внутри туннеля 10.8.0.10
Непонятно что такое 192.168.137.0/24. Выглядит как подключение к какой-то ещё локальной сети и присутствует только при подключении через WIFI точку доступа телефона. Не могу себе представить, откуда оно взялось и как это может влиять. Может быть, вы куда-то ещё и кабелем подключаетесь?
> У меня провайдер Билайн. При первичной авторизации через роутер он понаставил множество Статических маршрутов.
На обоих устройствах, Windows и Android? Раскажите по-подробнее, что за маршруты и куда он их понаставил. В таблицах ничего особо лишнего нет, кроме 192.168.137.0/24, но этот маршрут отсутствует при подключении через WIFI роутер.

сообщить модератору +/– ответить

gt оверквотинг удален Большое спасибо за желание помочь Прокси браузера не мож, Vilis (ok), 19:46 , 02-Апр-20 (4) –1
>[оверквотинг удален]
> Адрес шлюза внутри туннеля 10.8.0.9
> Ваш адрес внутри туннеля 10.8.0.10
> Непонятно что такое 192.168.137.0/24. Выглядит как подключение к какой-то ещё локальной
> сети и присутствует только при подключении через WIFI точку доступа телефона.
> Не могу себе представить, откуда оно взялось и как это может
> влиять. Может быть, вы куда-то ещё и кабелем подключаетесь?
>> У меня провайдер Билайн. При первичной авторизации через роутер он понаставил множество Статических маршрутов.
> На обоих устройствах, Windows и Android? Раскажите по-подробнее, что за маршруты и
> куда он их понаставил. В таблицах ничего особо лишнего нет, кроме
> 192.168.137.0/24, но этот маршрут отсутствует при подключении через WIFI роутер.
Большое спасибо за желание помочь!
Прокси браузера не может быть - все одинаково как на ноуте под виндой, так на телефоне, на которых запускается ВПН.
В браузере сайты не открываются, но из командной строки пингуются как по имени домена, так и по IP.
И вот, что интересно: Я использую доступ к своему внешнему серверу по sftp. Доступ по sftp://user@179... работает как при ВПН, так и без него. А при запущенном впн по sftp://user@10.8.0.1 при работе через GSM работает, при работе через роутер - нет. Вот только сегодня обнаружил.
Спасибо огромное за помощь. Нверное, тут нужно специалисту смотреть самому через teamviewer...
сообщить модератору –1 +/– ответить

Ну так что там с этим множеством статических маршрутов Вы, всё-таки, посмотрите , Licha Morada (ok), 21:32 , 02-Апр-20 (5)
>>> У меня провайдер Билайн. При первичной авторизации через роутер он понаставил множество Статических маршрутов.
>> На обоих устройствах, Windows и Android? Раскажите по-подробнее, что за маршруты и
>> куда он их понаставил. В таблицах ничего особо лишнего нет, кроме
>> 192.168.137.0/24, но этот маршрут отсутствует при подключении через WIFI роутер.
Ну так что там с этим множеством статических маршрутов?
> Большое спасибо за желание помочь!
> Прокси браузера не может быть - все одинаково как на ноуте под
> виндой, так на телефоне, на которых запускается ВПН.
> В браузере сайты не открываются, но из командной строки пингуются как по
> имени домена, так и по IP.
Вы, всё-таки, посмотрите. Раз пинг отвечает, значит, в принципе, "интернет есть". Таким образом проблему надо искать не на уровне VPN и маршрутов, а где-то ещё.
Попробуйте с Firefox. Хром и IE, насколько я помню, используют настройки системы, а Firefox имеет свои собственные.
Ещё попробуйте сделать телнет к IP и хосту сайтов, на порт 80 и 443.
Таким образом удастся вычленить, связана проблема с браузером или с трафиком на портах HTTP/HTTPS.

> И вот, что интересно: Я использую доступ к своему внешнему серверу по
> sftp. Доступ по sftp://user@179... работает как при ВПН, так и без
> него. А при запущенном впн по sftp://user@10.8.0.1 при работе через GSM
> работает, при работе через роутер - нет. Вот только сегодня обнаружил.
Что-то темнит ваша система, когда подключается через роутер.

сообщить модератору +/– ответить

gt оверквотинг удален очееень дивная проблема, я никогда с таким нен сталкивал, kkostintimur (ok), 11:33 , 26-Авг-20 (6)
>[оверквотинг удален]
> а Firefox имеет свои собственные.
> Ещё попробуйте сделать телнет к IP и хосту сайтов, на порт 80
> и 443.
> Таким образом удастся вычленить, связана проблема с браузером или с трафиком на
> портах HTTP/HTTPS.
>> И вот, что интересно: Я использую доступ к своему внешнему серверу по
>> sftp. Доступ по sftp://user@179... работает как при ВПН, так и без
>> него. А при запущенном впн по sftp://user@10.8.0.1 при работе через GSM
>> работает, при работе через роутер - нет. Вот только сегодня обнаружил.
> Что-то темнит ваша система, когда подключается через роутер.
очееень дивная проблема, я никогда с таким нен сталкивался, но скорее всего проблема в роутере
сообщить модератору +/– ответить

gt оверквотинг удален могу сказать, что я посмотрел на русвпн https rusvpn, kkostintimur (ok), 11:35 , 26-Авг-20 (7)
>[оверквотинг удален]
>> и 443.
>> Таким образом удастся вычленить, связана проблема с браузером или с трафиком на
>> портах HTTP/HTTPS.
>>> И вот, что интересно: Я использую доступ к своему внешнему серверу по
>>> sftp. Доступ по sftp://user@179... работает как при ВПН, так и без
>>> него. А при запущенном впн по sftp://user@10.8.0.1 при работе через GSM
>>> работает, при работе через роутер - нет. Вот только сегодня обнаружил.
>> Что-то темнит ваша система, когда подключается через роутер.
> очееень дивная проблема, я никогда с таким нен сталкивался, но скорее всего
> проблема в роутере
могу сказать, что я посмотрел на русвпн ( https://rusvpn.com/ru/blog/chto-takoe-vpn-klyuchevye-ponyati.../ ) как в принцпе работает впн и сеть
проблема явно не в маршрутизации ((
сообщить модератору +/– ответить

Время в PCAP файле - что означает?,

ИванР0, (Firewall и пакетные фильтры) 24-Авг-20, 13:42 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Всем привет, кто может подсказать что означает timestamp в pcap файле в WireShark. Трафик перехвачен между двумя удаленными хостами в promiscuous mode. Время начала передачи информации от А до Б или ещё чего?
СПС

Ответить | Сообщить модератору

Ещё чего Есть такая совершенно повёрнутая на пакетах TCP IP дама по имени Лора Ч, alexgard (ok), 18:25 , 24-Авг-20 (1)
> Всем привет, кто может подсказать что означает timestamp в pcap файле в
> WireShark. Трафик перехвачен между двумя удаленными хостами в promiscuous mode. Время
> начала передачи информации от А до Б или ещё чего?
> СПС
Ещё чего.
Есть такая совершенно повёрнутая на пакетах TCP/IP дама по имени Лора Чапел (Laura Chappell). Мне посчастливилось попасть на её курс по анализу трафика в WireShark. Лет, наверное, 15 назад это было, но ответить на этот вопрос могу, кажется, даже ночью. При создании pcap время берётся из компьютера, на котором установлена WireShark или подобная программа. Если время выставлено неверно, то и в pcap оно будет неправильным. Подробнее можно в прочитать на тему pcap timestamps у экспертов на англ. сайте https://www.elvidence.com.au/understanding-time-stamps-in-pa...
сообщить модератору +/– ответить

Возможно ли подписать видео на HTML странице и проверять его?,

PeKar, (Шифрование, SSH, SSL / Linux) 17-Апр-18, 09:50 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Предположим:
Есть сайт wetube.net и на нём находится база данных, в ней хранятся ID видео и доступен публичный ключ.
Есть сайт video-katalog.ru на котором это видео вставлено в страницу. Но самого видео на сайте нет, каждый раз при открытии страницы, для видео организуется фрейм сайта-ускорителя.
Есть сайты-ускорители, например node666.a.wetube.net
Если с каталогами можно наладить официальные отношения и если что "отзывать франшизу", то ускоряющие ноды будут подниматься всякими анонимусами. А потенциально это означает что видео могут подменить.
wetube.net/id/xmh57jrzrnw6insl файлы на главном сайте содержащие информацию о подписи видео
video-katalog.ru/id/xmh57jrzrnw6insl страница для просмотра видео
node666.a.wetube.net/wetube/id/xmh57jrzrnw6insl видео-файл
Возможно ли сделать так что бы скрипт с главного сайта мог при просмотре проверить на каком сайте-каталоге видео воспроизводиться? И самое главное, как проверить подлинность воспроизводимого видео-файла? То что партнёр-анонимус не подсовывает вместо нужного видео какую нибудь рекламу или Чёрного Властелина?
Я в WEB технологиях слабо разбираюсь. Но так понял что нужно подписать отдельные короткие фрагменты видео. И если что, как минимум приостановить просмотр или сигнализировать о том что совершена подмена. Возможно ли это в существующем HTML5? И не слишком ли легко это будет обойти?

Ответить | Сообщить модератору

Воспроизводится видео на компьютере пользователя очевидно С какой ноды дикой CDN, ыы (?), 10:17 , 17-Апр-18 (1)
> Возможно ли сделать так что бы скрипт с главного сайта мог при
> просмотре проверить на каком сайте-каталоге видео воспроизводиться?
Воспроизводится видео на компьютере пользователя очевидно.
С какой ноды дикой CDN-сети качаются файлы проверить можно. Естесссно...
> И самое главное, как
> проверить подлинность воспроизводимого видео-файла?
Если ваше видео - это нарезанное мелкими кусочками файло - то crc на каждый такой кусочек. И проверять перед воспроизведением.
> То что партнёр-анонимус не подсовывает
> вместо нужного видео какую нибудь рекламу или Чёрного Властелина?
Сейчас модно контент вообще в пиринг засовывать. в этом случае корректность данных обеспечивается силами технологии, и неважно подсовывает кто-то невалидный контент или нет.
поищите в поисковиках как видео отдают через p2p сети.

> И не слишком ли легко это будет обойти?
Обойти проверку crc очень сложно, если она считается по полному файлу а не только по его заголовку.
сообщить модератору +/– ответить

Дублирование пакетов;,

cement, (Linux iptables, ipchains) 23-Июл-20, 15:04 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Всем привет!
Необходимо организовать дублирование пакетов.
Суть в чем.
Ранее было собрано решение (на nc) для приема трафика (хост: 10.10.10.2); (все норм)
Решил обновиться, и в сети появился новый хост: 10.10.10.3, который принимает трафик, который ранее принимался 10.10.10.2 (отредактировано правило переадресации на маршрутизаторе).
На пожарный случай, хочу продолжать получать тот же трафик по старой схеме. (т.е. чтобы трафик отправленный на 10.10.10.3 дублировался и на 10.10.10.2);

на новом хосте (10.10.10.3) создал правило:
iptables -A PREROUTING -d 10.10.10.3/32 -p tcp --dport 9999 -j TEE --gateway 10.10.10.2
По факту, на старый хост трафик дублируется, но в пакете не меняется dst_host.
На 10.10.10.2 tcpdump-ом вижу что влетает трафик для 10.10.10.3, и логично, он не обрабатывается тем механизмом, которым мне надо.
Подскажите пожалуйста, чего не хватает чтобы продублированный трафик влетел на старый хост с его значением dst_host?

Ответить | Сообщить модератору

Осталось догадаться, каким механизмом тебе надо И ещё что про тебя и твой механи,

ACCA (ok), 22:44 , 23-Июл-20 (1) +1

Осталось догадаться, каким механизмом тебе надо.
И ещё что про тебя и твой механизм думает TCP. То есть на .3 приходит "SYN", а после этого .3 и .2 два раза ответят вызывающему "SYN_ACK"?

сообщить модератору +1 +/–

ответить

самым бюджетным в идеале iptablesдля понимания ситуации, речь идет про GPS-тре,

cement (?), 10:33 , 24-Июл-20 (2)

> Осталось догадаться, каким механизмом тебе надо.
самым бюджетным :)
в идеале iptables
> И ещё что про тебя и твой механизм думает TCP. То есть
> на .3 приходит "SYN", а после этого .3 и .2 два
> раза ответят вызывающему "SYN_ACK"?
для понимания ситуации, речь идет про GPS-трекеры, которые "плюют" свои координаты;
По факту TCP может ограничиться рамками UDP, и этого будет достаточно.
т.е. было:
на .2  nc открывал порт, трекеры пушили координаты, которые складывались в базу.
решил для себя открыть traccar, который я развернул на  .3; и который вроде как нормально работает. И всё-таки хочется перебдеть (получать координаты на .2);
Для более ясной картины:  .2   .3   - это малинки (raspberrypi), при чем .2 не обновлялась хрен знает сколько, и для её дебиана уже нет поддержки(пакетов);
в реальности, контроль передачи в данной ситуации, для .2 не нужен (это по поводу ответа вызывающему) .2 успешно отработает то, что влетит;...
Если подытожить, правильно ли я понял, что в моей ситуации проблема заключается в открытии сокета на .2, перед тем как принять следующий (важный мне) пакет?

сообщить модератору +/–

ответить

Даже не смешно Прочитай весь RFC-1180, потом мы сможем разговаривать В твоей си,

ACCA (ok), 23:02 , 24-Июл-20 (4)

> По факту TCP может ограничиться рамками UDP, и этого будет достаточно.
Даже не смешно. Прочитай весь RFC-1180, потом мы сможем разговаривать.
> Если подытожить, правильно ли я понял, что в моей ситуации проблема заключается
> в открытии сокета на .2, перед тем как принять следующий (важный
В твоей ситуации проблема заключается в том, что ты не отличаешь TCP от UDP.

сообщить модератору +/–

ответить

UDP-а TCP-ой никогда не станет, а вот TCP UDP имитировать может Спасибо за ,

cement (?), 00:49 , 25-Июл-20 (5)

>> По факту TCP может ограничиться рамками UDP, и этого будет достаточно.
> Даже не смешно. Прочитай весь RFC-1180, потом мы сможем разговаривать.
>> Если подытожить, правильно ли я понял, что в моей ситуации проблема заключается
>> в открытии сокета на .2, перед тем как принять следующий (важный
> В твоей ситуации проблема заключается в том, что ты не отличаешь TCP
> от UDP.
=))
UDP-а TCP-ой никогда не станет, а вот TCP UDP имитировать может...
Спасибо за критику, и советы.
Ваше мнение о моих проблемах ошибочно, и это подтверждает то, что Вы невнимательно читаете мои ответы, жаль. Искренне надеюсь что у Вас всё гораздо лучше, чем у меня. :) Мне просто показалось, Вы на меня накинулись не по теме вопроса :)
И всё-таки я не буду уподобляться критике в Ваш адрес, глубоко искать какие-то Ваши изъяны и постараюсь Вам вежливо пояснить, то что, возможно, было не очевидно для Вас в моём предыдущем ответе...
Ниже приведен простой пример telnet-сессии. Надеюсь Вы согласитесь что это будет TCP (по крайней мере мой tcpdump показывает так, и судя по Вашим ответам, Вы уж точно разбираетесь где TCP, а где UDP, у меня ведь с этим трудности, не так ли?).
Так вот, в моём случае (об этом я ранее уже писал, Вы просто это проигнорировали), рассматривая приведенный пример, после отправки "HELLO WORLD" ожидать от удалённой стороны успешное подтверждение приема пакета (рамки TCP) - не принципиально, т.к. по факту "HELLO WORLD" уже обработается и сохранится тем, чем мне надо;
В своей терминологии я это (отсутствие подтверждения приёма пакета c "HELLO WORLD") назвал "рамки UDP", жаль что сразу это было не так доходчиво, как я ожидал.(
~$ telnet 10.10.10.2 9999
Trying 10.10.10.2...
Connected to 10.10.10.2.
Escape character is '^]'.
HELLO WORLD
^]
telnet> quit
Connection closed.
В любом случае, огромное спасибо за советы. Ведь куда проще раскритиковать, нежели помочь :)
Горжусь своим собеседником :)

сообщить модератору +/–

ответить

Я на тебя не сержусь, ты просто неграмотный и не понимаешь, что ты делаешь Межд,

ACCA (ok), 03:01 , 25-Июл-20 (6)

> просто это проигнорировали), рассматривая приведенный пример, после отправки "HELLO WORLD"
> ожидать от удалённой стороны успешное подтверждение приема пакета (рамки TCP) -
> не принципиально, т.к. по факту "HELLO WORLD" уже обработается и сохранится
> тем, чем мне надо;
Я на тебя не сержусь, ты просто неграмотный и не понимаешь, что ты делаешь. Между "Trying 10.10.10.2..." и "Connected to 10.10.10.2." прошло 2 пакета ARP и 3 пакета TCP. Это если вы на одном кабеле сидите. И это ещё не было никаких данных, так что не мешались PMTU Discovery и прочие window size control.
Ещё раз напомню - прочти RFC-1180 от начала до конца, чтобы с тобой можно было разговаривать. Ты задаёшь бессмысленные вопросы и не понимаешь ответов.
Кроме того, прочитай про "OSI модель".
TCP не может "имитировать" UDP и наоборот тоже не может быть. Разница как между USB и VGA. А чо, провода же?

Про дублирование трафика - либо пиши демона, который на 7 уровне скопирует данные и перешлёт на .3, либо переводи всё на UDP, либо не дублируй пакеты.

сообщить модератору +/–

ответить

gt оверквотинг удален Вы не понимаете предмет разговора от слова совсем Что , ss (??), 09:12 , 28-Июл-20 (7)
>[оверквотинг удален]
> Connected to 10.10.10.2.
> Escape character is '^]'.
> HELLO WORLD
> ^]
> telnet> quit
> Connection closed.
>
> В любом случае, огромное спасибо за советы. Ведь куда проще раскритиковать, нежели
> помочь :)
> Горжусь своим собеседником :)
Вы не понимаете предмет разговора от слова "совсем".
Что же до Вашей проблемы - воспользуйтесь поисковиком на предмет "зеркалировать трафик"
сообщить модератору +/– ответить

Правильно ли я Вас понимаю, что советуя зеркалировать трафик , Вы в корне поним,

cement (?), 22:46 , 28-Июл-20 (10)

> Вы не понимаете предмет разговора от слова "совсем".
> Что же до Вашей проблемы - воспользуйтесь поисковиком на предмет "зеркалировать трафик"
Правильно ли я Вас понимаю, что советуя "зеркалировать трафик", Вы в корне понимаете предмет разговора (не то что я, совсем:) ), и считаете что это поможет в решении изначально поднятого вопроса? И знаете как реализовать задачу, но не расскажите? :) Верно?
Как предложите зеркалировать трафик, через port-mirror на коммутаторе; или тот вариант, который я уже указал в своем первом сообщении?
Готов поспорить что Вы невнимательно его почитали, раз затронули тему зеркалирования, и вместо совета по сути (указать чего в моём примере "зеркалирования" не хватает) :) начинаете упорно советовать воспользоваться поисковиком. Спасибо, улыбнуло :)
Я уже привел пример зеркалирования трафика, и Вы (тут можете подключить свою фантазию, чтобы себя оценить по достоинству), вместо того чтобы признать что Вам эта задача так же не по зубам, начинаете давать советы, которые не приведут ни к чему конкретному. Признайтесь, вам просто хотелось хоть что-то ответить, и раз не помогу, так хоть чуток подосру)) Я оценил..
Это примерно как:
-Пишу код на [python|js|c], не получается реализовать [фича], код ниже, прошу помощи;
-Воспользуйся поиском по [python|js|c];
Вам самим не смешно от своих ответов, или вы действительно загнаны в такие рамки?
Или, поделитесь, Вашим представлением для чего создан этот форум? (может я не по адресу обратился?)
Мой ответ по сути - Вы мне не помогли.

сообщить модератору +/–

ответить

gt оверквотинг удален Как много слов вместо того чтобы начать учить матчасть , ss (??), 08:32 , 29-Июл-20 (12)
>[оверквотинг удален]
> Это примерно как:
> -Пишу код на [python|js|c], не получается реализовать [фича], код ниже, прошу
> помощи;
> -Воспользуйся поиском по [python|js|c];
>
> Вам самим не смешно от своих ответов, или вы действительно загнаны в
> такие рамки?
> Или, поделитесь, Вашим представлением для чего создан этот форум? (может я не
> по адресу обратился?)
> Мой ответ по сути - Вы мне не помогли.
Как много слов вместо того чтобы начать учить матчасть... :)
Успехов Вам :)
сообщить модератору +/– ответить

На втором хосте сделать правило PREROUTING, с DNAT на желаемый адрес Тогда паке, Licha Morada (ok), 21:23 , 24-Июл-20 (3)
> По факту, на старый хост трафик дублируется, но в пакете не меняется
> dst_host.
> На 10.10.10.2 tcpdump-ом вижу что влетает трафик для 10.10.10.3, и логично, он
> не обрабатывается тем механизмом, которым мне надо.
> Подскажите пожалуйста, чего не хватает чтобы продублированный трафик влетел на старый хост
> с его значением dst_host?
На втором хосте сделать правило PREROUTING, с DNAT на желаемый адрес. Тогда пакет будет прилетать с правильным dst_host, но работать это всё равно не будет. TCP зависит от сессии.
Ещё можно сделать так чтобы 10.10.10.2 считал адрес 10.10.10.3 своим. Например, назначить .3 алиасом на интерфейсе lo.
Имейте в виду, что в таком случае 10.10.10.2 и 10.10.10.3 не смогут общаться друг с другом используя эти адреса.
Имейте в виду, что при использовании TCP, второй сервер тоже будет пытаться провести handshake с клиентом. В лучшем случае второй handshake будет игнорирован, вторая сессия TCP установлена не будет и .2 ничего н еполучит. В худшем это замусорит сессию с .3 и она тоже не установится. Переходите на UDP.
Можно попытаться что-то намутить с UDP multicast на шлюзе.
сообщить модератору +/– ответить

gt оверквотинг удален Учитывая что человек не понимает базовых вещей в пердмет, ss (??), 09:14 , 28-Июл-20 (8)
>[оверквотинг удален]
> Ещё можно сделать так чтобы 10.10.10.2 считал адрес 10.10.10.3 своим. Например, назначить
> .3 алиасом на интерфейсе lo.
> Имейте в виду, что в таком случае 10.10.10.2 и 10.10.10.3 не смогут
> общаться друг с другом используя эти адреса.
> Имейте в виду, что при использовании TCP, второй сервер тоже будет пытаться
> провести handshake с клиентом. В лучшем случае второй handshake будет игнорирован,
> вторая сессия TCP установлена не будет и .2 ничего н еполучит.
> В худшем это замусорит сессию с .3 и она тоже не
> установится. Переходите на UDP.
> Можно попытаться что-то намутить с UDP multicast на шлюзе.
Учитывая что человек не понимает базовых вещей в пердметной области- все что вы говорите очень сложно походу будет.
сообщить модератору +/– ответить

Да ну, чего сложного Увидит в сниффере пакеты с тем dst_host который хотелось, м, Licha Morada (ok), 22:09 , 28-Июл-20 (9)

> Учитывая что человек не понимает базовых вещей в пердметной области- все что
> вы говорите очень сложно походу будет.
Да ну, чего сложного?
Увидит в сниффере пакеты с тем dst_host который хотелось, мусор от неудавшихся хэндшейков и что всё равно приложение не работает. И начнёт что-то подозревать. Собственно, "учитывая", в таком случае можно считать что ответ свою задачу выполнил. А если не начнёт, то, может быть, в другой раз.

сообщить модератору +/– ответить

Полностью с Вами согласен, рассматривая конкретно заданный мною вопрос Получив, cement (?), 23:24 , 28-Июл-20 (11)
> Да ну, чего сложного?
> Увидит в сниффере пакеты с тем dst_host который хотелось, мусор от неудавшихся
> хэндшейков и что всё равно приложение не работает. И начнёт что-то
> подозревать. Собственно, "учитывая", в таком случае можно считать что ответ свою
> задачу выполнил. А если не начнёт, то, может быть, в другой
> раз.
Полностью с Вами согласен, (рассматривая конкретно заданный мною вопрос).
Получив на сетевой интерфейс важный для меня пакет со всеми нужными мне заголовками (вопрос как раз был про них), он действительно не обработается тем механизмом, который у меня уже имеется (nc, который слушает tcp-порт);
сообщить модератору +/– ответить

И как вы это понимаете , ss (??), 08:44 , 29-Июл-20 (13)
>> Да ну, чего сложного?
>> Увидит в сниффере пакеты с тем dst_host который хотелось, мусор от неудавшихся
>> хэндшейков и что всё равно приложение не работает. И начнёт что-то
>> подозревать. Собственно, "учитывая", в таком случае можно считать что ответ свою
>> задачу выполнил. А если не начнёт, то, может быть, в другой
>> раз.
> Полностью с Вами согласен, (рассматривая конкретно заданный мною вопрос).
> Получив на сетевой интерфейс важный для меня пакет со всеми нужными мне
> заголовками (вопрос как раз был про них), он действительно не обработается
> тем механизмом, который у меня уже имеется (nc, который слушает tcp-порт);
И как вы это понимаете?
сообщить модератору +/– ответить

зашифрованы файлы WANNACASH NCOV v170720,

Emi_Shot, (Шифрование, SSH, SSL) 20-Июл-20, 03:14 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день ребята. Был не внимателен при распаковке файла итог 10000 фалов зашифрованы( Я конечно готов смериться с потерей и не собираюсь выплачивать бабки ушлым, но мне стало интересно как это работает и можно ли это расшифровать самому ? Заранее спасибо тем кто поможет

Ответить | Сообщить модератору

Конкретно по данному вирю не знаю, в общем https en m wikipedia org wiki Wanna, Аноним (1), 09:05 , 20-Июл-20 (1)
Конкретно по данному вирю не знаю, в общем:
https://en.m.wikipedia.org/wiki/WannaCry_ransomware_attack
Бороться антивирусником, не тыкать по ссылке в письме, верифицировать данные с помощью PGP перед использованием.
Делать бекап данных на DVD, Blueray дисках и не держать всего на жестком диске включенного компа.
сообщить модератору +/– ответить

Docker vs apparmor,

Аноним, (Linux привязка / Linux) 31-Окт-19, 10:56 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте,
Насколько безопасно запускать скайп в докере? Сможет ли скайп идентифицировать пользователя/машину? Сможет ли скайп выйти из докера в ОС?

Ответить | Сообщить модератору

как там s in docker stands for security или типа тогоскайп идентифицирует пл, Аноним (1), 12:08 , 31-Окт-19 (1)
как там "'s' in docker stands for security" или типа того
>Сможет ли скайп идентифицировать пользователя/машину?
скайп идентифицирует пльзователя по логину, не?
> Сможет ли скайп выйти из докера в ОС?
даже если сейчас нет, то кто знает? это же еще и от настроек докера зависит.
замените "Docker vs apparmor" на "Docker with apparmor"
сообщить модератору +/– ответить

Двойной проброс порта во внутреннюю сеть,

KSSh, (Linux iptables, ipchains) 09-Июн-20, 16:18 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Всем привет!
Помогите, пожалуйста, сделать настройки. Второй день бьюсь - не пойму, как правильно надо. Сам я программер, в администрировании слаб.
Нужно реализовать такую схему:
https://i.imgur.com/jItnjDz.png
Т.е. пробросить порт внутрь сети дважды.
При этом доступ есть только к IIS_SRV_WIN и LINSRV.
Как должно быть:
1) Пользователь из интернет стучится на GATEWAY:8888
2) Трафик пробрасывается на LINSRV:8888 как есть (это настроено админами, работает)
3) LINSRV посредством iptables пробрасывает трафик на IIS_SRV_WIN:443.
4) IIS_SRV_WIN отвечает на LINSRV
5) LINSRV отдает счастливому пользователю его веб-страничку через GATEWAY.
Не спрашивайте, почему не напрямую с GATEWAY на IIS_SRV_WIN - можно только так, планируется развитие этого всего с модификацией трафика на LINSRV, но это в будущем.
Сейчас вопрос в том, что почему-то не работает :(
Настроил на LINSRV такие правила:
iptables -t nat -I PREROUTING 1 -p tcp -d LINSRV --dport 8888 -j DNAT --to-destination IIS_SRV_WIN:443
iptables -I FORWARD 1 -d IIS_SRV_WIN -p tcp --dport 443 -j ACCEPT
Так же пробовал добавлять такое:
iptables -t nat -A POSTROUTING -j MASQUERADE
В результате - не работает. При этом, проверил следующее:
В лог IIS падает запись о подключении, когда я стучусь через интернет на GATEWAY:8888. Т.е. в этом направлении пакеты проходят. А вот обратно - уже не доходят. Судя по всему, теряются на LINSRV или после него.
При этом у стучащегося пользователя браузер висит минуту и говорит ERR_CONNECTION_TIMEOUT.
Подскажите, каких правил не хватает, или что нужно проверить, чтобы найти проблему?
Дополнительно делал следующее:
- Убирал правила firewall и поднимал apache на linsrv:8888 - тестовый сайт-заглушка из интернет виделся корректно.
- через wget на linsrv получал сайт с IIS_SRV_WIN. Точнее, получал ошибку, что такого сайта нет (т.к. стучал по IP, а сайт работает на доменном имени), но хоть что-то получал.

Ответить | Сообщить модератору

Через iptables и routing это можно сделать, но не нужно Есть нюанс - в результат, ACCA (ok), 19:46 , 09-Июн-20 (1) +3
Через iptables и routing это можно сделать, но не нужно.
Есть нюанс - в результате у тебя IIS выставлен голой жопой в интернет, что плохо закончится и для IIS и для Internet.
Что следует сделать - SSL на IIS выключить, пусть отдаёт HTTP. На LINSRV запустить тот же HAPROXY или NGINX, сделать reverse proxy c SSL на нём.
сообщить модератору +3 +/– ответить

Вам правильно посоветовали, не надо публиковать вебсервисы пробросом портов Про, Licha Morada (ok), 20:12 , 09-Июн-20 (2)

Вам правильно посоветовали, не надо публиковать вебсервисы пробросом портов. Прокси справляется с этой задачей лучше.
Если же всё-таки очень надо, то обсуждали недавно:
https://www.opennet.me/openforum/vsluhforumID10/5518.html
https://www.opennet.me/openforum/vsluhforumID10/5529.html
Вкратце, понадобится:
Чтоб был packet forwarding.
Чтоб netfilter разрешил пакетам ходить.
Правило DNAT чтоб скрыть IIS_SRV_WIN от GATEWAY.
Правило SNAT чтоб скрыть GATEWAY от IIS_SRV_WIN.
MASQUERADE не нужен.
Но лучше через прокси.
сообщить модератору +/– ответить

gt оверквотинг удален Спасибо огромное Завтра будет возможность попробовать п, KSSh (ok), 20:27 , 09-Июн-20 (4)
>[оверквотинг удален]
> Если же всё-таки очень надо, то обсуждали недавно:
> https://www.opennet.me/openforum/vsluhforumID10/5518.html
> https://www.opennet.me/openforum/vsluhforumID10/5529.html
> Вкратце, понадобится:
> Чтоб был packet forwarding.
> Чтоб netfilter разрешил пакетам ходить.
> Правило DNAT чтоб скрыть IIS_SRV_WIN от GATEWAY.
> Правило SNAT чтоб скрыть GATEWAY от IIS_SRV_WIN.
> MASQUERADE не нужен.
> Но лучше через прокси.
Спасибо огромное! Завтра будет возможность попробовать применить, думаю поможет. Интуитивно понимал, что что-то похожее нужно, но не знал как.)
А по поводу безопасности - отписался в предыдущем комментарии)
сообщить модератору +/– ответить

Хорошо, но мало Эшелонирование защиты это дешёвая и эффективная мера Зачем ей , Licha Morada (ok), 01:01 , 10-Июн-20 (5)

> Там на интерфейсе GATEWAY есть жесткое правило - доступ только из строго
> ограниченного пула IP, так что завалить не выйдет.
Хорошо, но мало. Эшелонирование защиты это дешёвая и эффективная мера. Зачем ей пренебрегать?
У вас правильная топология на картинке нарисована. Пусть GATEWAY следит чтоб не лезли откуда попало, а LINSRV (если туда поставить прокси который умеет HTTP) следит чтоб совсем дичь не творили.
> Да и не прод это, а среда разработки будущая.
Во-во. Не прод это такое вкусное место, где бывают пароли test:test, права файлов 777 "потом пофиксим", временно закороченные валидации, недоросший до ревью джунский код... Кисельные берега.
> Если не получится так - то придется, наверное, haproxy или nginx. Но
> для меня, как не для админа, это будут дополнительные сложности.
Не более чем iptables, где в логику packet traversal вникать надо и за персистентностью следить.
Почитайте туториалы про обоих, попробуйте так и сяк. Считайте что их конфиги это такой декларативный язык программирования.
сообщить модератору +/– ответить

Честно говоря, мне не понятно, чем прокси в данном случае был бы лучше, чем проб, KSSh (ok), 02:01 , 10-Июн-20 (6)
> Хорошо, но мало. Эшелонирование защиты это дешёвая и эффективная мера. Зачем ей
> пренебрегать?
> У вас правильная топология на картинке нарисована. Пусть GATEWAY следит чтоб не
> лезли откуда попало, а LINSRV (если туда поставить прокси который умеет
> HTTP) следит чтоб совсем дичь не творили.
Честно говоря, мне не понятно, чем прокси в данном случае был бы лучше, чем проброс портов.
На внешний интерфейс GATEWAY разрешено стучаться трем ip. По сути, это просто торчащее наружу API для трех удаленных адресов.
А на ближайшее будущее - планируется перенос приложения с сервака iis на linsrv в виде пачки docker-контейнеров. Постепенно, понемножку, чтобы в общем приложение всегда было рабочим. А потом и полностью отказаться от iis, а следовательно, и от проброса портов на него
сообщить модератору +/– ответить

Причин много разных В каких-то случаях будут более существенны одни из них, в к, Licha Morada (ok), 22:55 , 10-Июн-20 (7)

> Честно говоря, мне не понятно, чем прокси в данном случае был бы
> лучше, чем проброс портов.
> На внешний интерфейс GATEWAY разрешено стучаться трем ip. По сути, это просто
> торчащее наружу API для трех удаленных адресов.
Причин много разных. В каких-то случаях будут более существенны одни из них, в каких-то - другие.
Например:
- Обратный прокси сервер ведёт компактные и удобочитаемые логи. Можно меньше прибегать к снифферу при поиске источника проблем.
- До настоящего веб приложения долетают только заведомо корректные HTTP запросы, а не какой попало мусор который послали в открытый порт. Дешовая защита от атак, эксплуатирующих особенности сетевого уровня, типа Slowloris.
- Легко публиковать не весь корень веб сервера апстрима, где может быть админка или другие приложения, а только избранные пути.
- Централизованное терминирование сессий TLS позволяет снизить риск ошибок конфигурации.
- Легко контролировать текущую конфигурацию "что куда и как пробрасывается" и делегировать поддержку.
- Удобно стандартизировать. Одно и то-же решение покрывает множество кейсов, от простого "опубликовать в интернете" до баланисровки нагрузки и кэширования статичного контента.
- Решение находится на одном и том-же уровне абстракции (веб сервис) что и задача (опубликовать в Интернете).
- И т.д.
> А на ближайшее будущее - планируется перенос приложения с сервака iis на
> linsrv в виде пачки docker-контейнеров. Постепенно, понемножку, чтобы в общем приложение
> всегда было рабочим. А потом и полностью отказаться от iis, а
> следовательно, и от проброса портов на него
Хороший план. Докерские best practices всё равно рекомендуют reverse proxy. Имеет смысл с него и начать, используя IIS в качестве апстрима для всех сервисов, и постепенно переводя их куда надо.

сообщить модератору +/– ответить

Поднял реверс прокси на nginx, спасибо , KSSh (ok), 10:08 , 12-Июн-20 (8)
Поднял реверс прокси на nginx, спасибо!
сообщить модератору +/– ответить

cryptsetup как принудительно отключить устройство?,

nafnaf, (Шифрование, SSH, SSL) 02-Июл-20, 21:42 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте!
есть внешний жесткий диск, подключается по usb, шифрован через 'cryptsetup plainOpen /dev/sdc'
и после того как на него были записаны нужные данные, фс отмонтирована и 'sync' нормально завершился, он отказался закрываться.
пишет "устройство ещё используется". но оно 200% не может ничем использоваться.
выдернул диск из usb(он уже шпиндель остановил) и без диска попробовал 'cryptsetup plainClose sdc_crypt' , также пишет что устройство используется.
ни в манах ни в хелпе я не нашел как отключить устройство принудительно и освободить линк в /dev/mapper
подскажите как это сделать?
ОС devuan_3.0_x64

Ответить | Сообщить модератору

Покажите вывод от lsblk --fs и dmsetup info -c , Licha Morada (ok), 23:03 , 02-Июл-20 (1)

> пишет "устройство ещё используется". но оно 200% не может ничем использоваться.
> выдернул диск из usb(он уже шпиндель остановил) и без диска попробовал 'cryptsetup
> plainClose sdc_crypt' , также пишет что устройство используется.
Покажите вывод от "lsblk --fs" и "dmsetup info -c".
сообщить модератору +/– ответить

После того как отмонтировал файловую систему, командой umount, надо закрыть шифр, Аноним (6), 12:53 , 05-Июл-20 (6)
После того как отмонтировал файловую систему, командой umount, надо закрыть шифрование устройство:
cryptsetup close sdc_crypt
сообщить модератору +/– ответить

два xorg от разных пользователей,

namedw, (Разное / Linux) 04-Мрт-20, 21:33 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Реализованов tails:
Debian-+ 4704 1.6 1.5 365132 62740 tty1 Sl+ 02:08 0:04 /usr/lib/xorg/Xorg vt1 -displayfd 3 -auth /run/user/113/gdm/Xauthority -background none -noreset -keeptty -verbose 3
amnesia 5604 2.8 2.6 419128 107068 tty2 Sl+ 02:08 0:06 /usr/lib/xorg/Xorg vt2 -displayfd 3 -auth /run/user/1000/gdm/Xauthority -background none -noreset -keeptty -verbose 3
Не могу понять как запустить два xorg от разных пользователей.

Ответить | Сообщить модератору

Не знаю, какую задачу вы решаете, но подозреваю что она похожа на ту, которую не, Licha Morada (ok), 23:37 , 04-Мрт-20 (1)
> Не могу понять как запустить два xorg от разных пользователей.
Не знаю, какую задачу вы решаете, но подозреваю что она похожа на ту, которую недавно решил для себя я.
Хотелось в штатном Ubuntu Desktop (конкретно 18.04 Mate), не трогая дефолтный логин и, возможно, графическуя сессию на vt7, иметь киоск с неким дашбордом на vt8.
При загрузке на экране показывается киоск. Если с машиной надо повзаимодействовать, то руками переключаюсь на нормальный десктоп Alt-Ctrl-F7, делаю что надо, закрываю или блокирую сессию, переключаюсь обратно Alt-Ctrl-F8.
Вот кусок моей technical memory:
apt-get install openbox nodm
NEWUSER=kioskuser
NEWGECOS="Kiosk User"
adduser --disabled-password --quiet --gecos "${NEWGECOS}" ${NEWUSER}
install -b -m 755 /dev/stdin /home/${NEWUSER}/runkiosk.sh << EOF
#!/bin/sh
xset -dpms
xset s off
#openbox-session &
#xterm
#chromium-browser --app=https://xxxxxxxx
#firefox https://xxxxxxxx
firefox --kiosk --url=xxxxxxx
EOF
cat >> /etc/default/nodm
NODM_ENABLED=true
NODM_USER=${NEWUSER}
NODM_XSESSION=/home/${NEWUSER}/runkiosk.sh
NODM_X_OPTIONS=':8 vt8 -nolisten tcp'
EOF
/etc/init.d/nodm stop
/etc/init.d/nodm start
Масштабировать на N kioskuser не пробовал, но не вижу почему бы ему не.
Это дело сожительствует с Mate Desktop, но совершенно от него не зависит. Без всего, думаю, nodm будет работать точно так-же.

сообщить модератору +/– ответить
там скорей всего для каждого Xorg определен своя переменная DISPLAY 1 и DISPL, odmin (??), 04:16 , 05-Мрт-20 (2)
> Не могу понять как запустить два xorg от разных пользователей.
там скорей всего для каждого Xorg определен своя переменная DISPLAY=":1" и DISPLAY=":2", поэтому в параметрах этого не видно
сообщить модератору +/– ответить
Какова цель Многомесная система maltihead , Аноним (4), 07:06 , 17-Июн-20 (4)
Какова цель? Многомесная система (maltihead)?
сообщить модератору +/– ответить

Аномалия при доставке пакетов определённых размеров,

datswd, (VPN, IPSec) 08-Июн-20, 09:43 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте.
Есть ноутбук. Он подключен по WiFi к точке доступа. На точке доступа настроено l2tp/ipsec подключение к серверу. На сервере настроен strongswan + xl2tpd под debian.
И есть такая странная аномалия.

for /l %x in (1, 1, 1500) do ping {ip сервера} -l %x -n 1
Этак команда выполняет ping с разными пакетов от 1 до 1500
Когда размер пакета в этих диапазонах то ping не работает.
321 - 328
449 - 456
577 - 584
705 - 712
833 - 840
961 - 964
966 - 968
971
1089 - 1093
1096
1226 - 1228
1230 - 1232
1361 - 1363
1366 - 1368
1375

Если подключаться с ноутбука напрямую к серверу, то всё ок.
В чём может быть проблема?

Ответить | Сообщить модератору

Немного дополню предыдущее сообщениеПри выполнении ping 10 1 2 1 -l 321Последова, datswd (?), 22:13 , 09-Июн-20 (1)
Немного дополню предыдущее сообщение
При выполнении ping 10.1.2.1 -l 321
Последовательность пакетов выглядит так
27    Client IP        Server IP        ESP    448        ESP (SPI=0xc77bcd31)
45    Client IP        Server IP        ESP    448        ESP (SPI=0xc77bcd31)
46    10.1.2.3        10.1.2.1        ICMP    365        Echo (ping) request  id=0x0001, seq=2171/31496, ttl=127 (reply in 47)
47    10.1.2.1        10.1.2.3        ICMP    365        Echo (ping) reply    id=0x0001, seq=2171/31496, ttl=64 (request in 46)
48    Server IP        Client IP        ESP    448        ESP (SPI=0xcdd4a265)
52    Client IP        Server IP        ESP    448        ESP (SPI=0xc77bcd31)
То есть приходят ESP пакеты и на этом всё заканчивается. Один раз он на пинг всё-таки ответил.
Если же делать просто ping 10.1.2.1 то получается вот так
65    Client IP        Server IP        ESP    152        ESP (SPI=0xc77bcd31)
66    10.1.2.3        10.1.2.1        ICMP    76        Echo (ping) request  id=0x0001, seq=2173/32008, ttl=127 (reply in 67)
67    10.1.2.1        10.1.2.3        ICMP    76        Echo (ping) reply    id=0x0001, seq=2173/32008, ttl=64 (request in 66)
68    Server IP        Client IP        ESP    152        ESP (SPI=0xcdd4a265)
72    Client IP        Server IP        ESP    152        ESP (SPI=0xc77bcd31)
73    10.1.2.3        10.1.2.1        ICMP    76        Echo (ping) request  id=0x0001, seq=2174/32264, ttl=127 (reply in 74)
74    10.1.2.1        10.1.2.3        ICMP    76        Echo (ping) reply    id=0x0001, seq=2174/32264, ttl=64 (request in 73)
75    Server IP        Client IP        ESP    152        ESP (SPI=0xcdd4a265)
80    Client IP        Server IP        ESP    152        ESP (SPI=0xc77bcd31)
81    10.1.2.3        10.1.2.1        ICMP    76        Echo (ping) request  id=0x0001, seq=2175/32520, ttl=127 (reply in 82)
82    10.1.2.1        10.1.2.3        ICMP    76        Echo (ping) reply    id=0x0001, seq=2175/32520, ttl=64 (request in 81)
83    Server IP        Client IP        ESP    152        ESP (SPI=0xcdd4a265)
86    Client IP        Server IP        ESP    152        ESP (SPI=0xc77bcd31)
87    10.1.2.3        10.1.2.1        ICMP    76        Echo (ping) request  id=0x0001, seq=2176/32776, ttl=127 (reply in 88)
88    10.1.2.1        10.1.2.3        ICMP    76        Echo (ping) reply    id=0x0001, seq=2176/32776, ttl=64 (request in 87)
89    Server IP        Client IP        ESP    152        ESP (SPI=0xcdd4a265)

Буду очень благодарен, если у кого-то есть идеи, почему такое может быть.
Если интересна используемая конфигурация, то она описана в соседней ветке https://www.opennet.me/openforum/vsluhforumID10/5497.html
сообщить модератору +/– ответить
чем отличается подключение к серверу напрямую и через Wi-Fi В роутере, видим, little Bobby tables (?), 14:21 , 11-Июн-20 (2)
чем отличается подключение к серверу "напрямую" и через Wi-Fi? В роутере, видимо, какой-то айпиэс
сообщить модератору +/– ответить

Проблемы с почтой.,

Vladimir, (Разное / Linux) 18-Окт-19, 11:21 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте.
Есть почтовый сервер IredMail (v0.9.6), перед ним стоит ProxmoxMailGateway (v6.0-6) фильтрующий только входящую почту. Всё работает, но не приходят и не отправляются письма только на адреса домена (mydomain) компании на gmail. Входящие письма застревают в Deferred Mail
Oct 18 08:26:51 pmg postfix/qmgr[15496]: 8D9D240F04: from=<address@mydomain>, size=24021, nrcpt=1 (queue active)
Oct 18 08:27:26 pmg postfix/smtp[24078]: 8D9D240F04: to=<mail@mymail.ru>, relay=192.168.0.161[192.168.0.161]:25, delay=56601, delays=56565/0.02/5.1/30, dsn=4.1.8, status=deferred (host 192.168.0.161[192.168.0.161] said: 450 4.1.8 <address@mydomain>: Sender address rejected: Domain not found (in reply to RCPT TO command))
Oct 18 09:36:52 pmg postfix/qmgr[15496]: 8D9D240F04: from=<address@mydomain>, size=24021, nrcpt=1 (queue active)
Oct 18 09:37:28 pmg postfix/smtp[24756]: 8D9D240F04: to=<mail@mymail.ru>, relay=192.168.0.161[192.168.0.161]:25, delay=60802, delays=60767/0.02/5.1/30, dsn=4.1.8, status=deferred (host 192.168.0.161[192.168.0.161] said: 450 4.1.8 <address@mydomain>: Sender address rejected: Domain not found (in reply to RCPT TO command))
На простые адреса gmail.com письма приходят и уходят.
Подскажите, что нужно поправить. Попадались советы в postfix убрать reject_unknown_domain.

Ответить | Сообщить модератору

gt оверквотинг удален Что показываетhost mydomain , Павел Отредиез (?), 14:44 , 18-Окт-19 (1)
>[оверквотинг удален]
> said: 450 4.1.8 <address@mydomain>: Sender address rejected: Domain not found (in
> reply to RCPT TO command))
> Oct 18 09:36:52 pmg postfix/qmgr[15496]: 8D9D240F04: from=<address@mydomain>, size=24021,
> nrcpt=1 (queue active)
> Oct 18 09:37:28 pmg postfix/smtp[24756]: 8D9D240F04: to=<mail@mymail.ru>, relay=192.168.0.161[192.168.0.161]:25,
> delay=60802, delays=60767/0.02/5.1/30, dsn=4.1.8, status=deferred (host 192.168.0.161[192.168.0.161]
> said: 450 4.1.8 <address@mydomain>: Sender address rejected: Domain not found (in
> reply to RCPT TO command))
> На простые адреса gmail.com письма приходят и уходят.
> Подскажите, что нужно поправить. Попадались советы в postfix убрать reject_unknown_domain.
Что показывает
host mydomain
?

сообщить модератору +/– ответить
mydomain домен у вас не резолвится Sender address rejected Domain not found in, eRIC (ok), 14:46 , 18-Окт-19 (2) +1
mydomain домен у вас не резолвится.
Sender address rejected: Domain not found. indicates that the email is rejected because the sender's domain is unable to be resolved properly because: the certain DNS records (A, MX, PTR) are missing for the domain. the Name Servers of for sending domain are not responding.
сообщить модератору +1 +/– ответить
Лучше улучшить настройки спам фильтра Iredmail, чем ставить дополнительно Proxmo, Anos (?), 11:58 , 22-Окт-19 (3)
Лучше улучшить настройки спам фильтра Iredmail, чем ставить дополнительно ProxmoxMailGateway.

сообщить модератору +/– ответить


Пометить прочитанным Создать тему	1 \| 2 \| 3 \| 4 \| 5 \| 6 \| 7 \| 8 \| 9 \| 10 \| Архив \| Избранное \| Мое \| Новое \| ☳ \| ☶ \| ⚟

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру