Forum Debian Users Gang

Novi-cjusz · 2015-05-21 11:22:28

Witam powtornie z prosba o pomoc. Jestem w trakcie czytania i nauki tutoriala (frozentux) iptables.
Szukam sposobu na filtrowanie ruchu wychodzacego.
O egress filtering jest wiele artykulow ale w wiekszosci ekstremalnie powierzchownych.
Moje pytanie jest: jak powinny wygladac regolki egress filtering dla iptables na Debianie, z opcja logowania?

morfik · 2015-05-21 11:34:22

A co chcesz robić?

Novi-cjusz · 2015-05-21 11:44:42

Chce wiedziec/logowac/blokowac skompromitowany ruch wychodzacy.
Jakie:aplikacje-uslugi,protokoly,porty.
Co wychodzi z mojego kompa i dokad idzie.
W szczegolnosci wszystkie "ukryte"
Najlepiej "reverse IP" + "v - verbose"

Dotychczas przeczytalem moze 50 www - i same siano.Najpierw "LOG" pozniej "DROP" w lancuchu "OUTGOING" tylko czego?

Ostatnio edytowany przez Novi-cjusz (2015-05-21 11:51:46)

morfik · 2015-05-21 11:49:52

No to zrób sobie taki sam filtr jak masz na wejściu -- przepuszczaj related i established, weryfikuj stan new. To co chcesz przepuszczać, to przepuszczaj, resztę blokuj i loguj -- cała filozofia.

Novi-cjusz · 2015-05-21 11:53:25

Chyba niedokladnie, poniewaz komp moze inicjowac polaczenia niezwiazane z ruchem "INPUT"
Np, sciagasz instalujesz plikacje, nie uzywasz jej a ona mimo nawiazuje polaczenia, nie mowiac juz o systemie operacyjnym itp itd.

Ostatnio edytowany przez Novi-cjusz (2015-05-21 11:58:26)

Jacekalex · 2015-05-21 11:57:15

Najłatwiej przez cgroup.

Kod:

iptables -S | grep 'OUTPUT DROP'
-P OUTPUT DROP

Kod:

iptables -S | grep cgroup
-A OUTPUT -m cgroup --cgroup 1 -j ACCEPT
-A OUTPUT -m cgroup --cgroup 2 -j ACCEPT
-A OUTPUT -m cgroup --cgroup 3 -j ACCEPT
-A OUTPUT -m cgroup --cgroup 4 -j ACCEPT
-A OUTPUT -m cgroup --cgroup 5 -j ACCEPT
-A OUTPUT -m cgroup --cgroup 9 -j ACCEPT

Potrzebny jest support cgroup w [b]iptables[/b], nie wiem, czy dotarł do Debiana (na serwerach git netfiltera już jest łatka od dawna):

Kod:

iptables -m cgroup --help | tail -n2
cgroup match options:
[!] --cgroup fwid  Match cgroup fwid

W kernelu odpowiada za to moduł:

Kod:

CONFIG_NETFILTER_XT_MATCH_CGROUP=m

- jest w standardowych źródłach kernela, i w jaju aptosidowym dla Debiana.

O tym, w jakich grupach wylądują programy, decyduje demon [b]/usr/sbin/cgrulesengd[/b]

Konfiguracja demona [b]cgrulesengd[/b], fragment:

Kod:

egrep 'skypepulse|firefox|pidgin'  /etc/cgroup/cgrules.conf 
*:firefox                                  cpu,memory,net_cls    users/firefox/
*:plugin-container                         cpu,memory,net_cls    users/firefox/
*:skypepulse                               cpu,memory,net_cls    voip/skype/
*:pidgin                                   cpu,memory,net_cls   users/pidgin/
*:filezilla                                 cpu,memory,blkio,net_cls      users/firefox/

Grupy u mnie tworzy skrypt [b]/usr/local/sbin/cgstart[/b], odpalany przy starcie systemu, w nim np Firefox wygląda tak:

Kod:

############################################
# Firefox 

mkdir -p $CGDIR/cpu/users/firefox
echo 1 > $CGDIR/cpu/users/firefox/cgroup.clone_children
echo "300" > $CGDIR/cpu/users/firefox/cpu.shares

mkdir -p $CGDIR/memory/users/firefox
echo '1'> $CGDIR/memory/users/firefox/cgroup.clone_children
echo '1024m' >   $CGDIR/memory/users/firefox/memory.max_usage_in_bytes
echo '1024m' >   $CGDIR/memory/users/firefox/memory.limit_in_bytes
echo '1' >   $CGDIR/memory/users/firefox/memory.oom_control 


mkdir -p $CGDIR/net_cls/users/firefox
echo '3' > $CGDIR/net_cls/users/firefox/net_cls.classid
echo '1' > $CGDIR/net_cls/users/firefox/cgroup.clone_children


################################################

Można też grupy tworzyć drogą oficjalną, przez [b]cgconfig[/b], ale u mnie coś nie chciało to działać.

Ostatnio edytowany przez Jacekalex (2015-05-21 12:02:49)

morfik · 2015-05-21 12:10:21

[quote=Novi-cjusz]Chyba niedokladnie, poniewaz komp moze inicjowac polaczenia niezwiazane z ruchem "INPUT"
Np, sciagasz instalujesz plikacje, nie uzywasz jej a ona mimo nawiazuje polaczenia, nie mowiac juz o systemie operacyjnym itp itd.[/quote]
Coś musi zainicjować połączenie, by to w ogóle mogło się mieć miejsce. Jeśli czyjaś maszyna, to pakiet w stanie NEW leci pod twój adres, a jeśli twoja maszyna inicjuje połaczenie, to ona wysyła pakiet ze stanem NEW pod czyjś adres. Zasada działania jest dokładnie taka sama tylko, że w drugą stronę.

Problemem są generalnie usługi świadczone na maszynach i nie ma znaczenia czy to "system operacyjny" (to tylko zbitka programów) — jeśli znasz porty, na których te usługi działają, to nie ma żadnego problemu z filtracją ruchu wyjściowego. Jeśli natomiast masz jakieś wymyślne usługi typu torrent co skaczą po wszystkich portach, to wtedy masz problem ale takich usług jest chyba niewiele — większość bez problemu można oznaczyć ręcznie.

Co do cgroups, to on póki co tylko on chyba się nadaje do tych bardziej wyrafinowanych usług sieciowych ale są już prace na firewallem w systemd, który nie będzie operował na samych porach ale już będzie się precyzowało usługi po procesach i właśnie tam , z tego co czytałem, znajdzie zastosowanie ten cgroups i skończy się problem z tymi wrednymi usługami latającymi po wszystkich portach — zabronisz procesowi korzystać z sieci albo zezwolisz mu na łączenie z konkretnymi adresami i ten nie będzie miał wyjścia. xD

Ostatnio edytowany przez morfik (2015-05-21 12:11:30)

Novi-cjusz · 2015-05-21 12:25:42

Jestesmy coraz blizej, jako czeladnik - amator potrzebuje nieco wiecej czasu na "ulozenie" sobie powyzszych wiadomosci.
Gdybym mogl jeszcze korzystajac z Waszej uprzejmosci poprosic o krotki tutorial odnosnie instalacji latki dla cgroups w iptables.
Gdzies popelnialem blad.

Kod:

root@debian:/home/anthony# mount | grep -i cgroup
root@debian:/home/anthony#

Ostatnio edytowany przez Novi-cjusz (2015-05-21 12:27:24)

Jacekalex · 2015-05-21 12:42:48

Tu są łatki do iptables:
https://git.netfilter.org/iptables/commit/?id=6465867eb48506687872b838b1ddfee61d1a0aeb

Czy masz support cgroup?

Kod:

grep CGROUP /boot/config-$(uname -r)

Kod:

cat /proc/cgroups

Zamontowanie grup w folderze [b]/cgroup[/b]

Kod:

awk 'NR>1 {print $1}' /proc/cgroups | while read -r a; 
do   b="/cgroup/$a";   mkdir -p "$b";  
 mount -tcgroup -o"$a" "cgroup:$a" "$b" 2>/dev/null; done

Ostatnio edytowany przez Jacekalex (2015-05-21 12:45:37)

Novi-cjusz · 2015-05-21 12:46:12

Kod:

root@debian:/home/anthony# grep CGROUP /boot/config-$(uname -r)
CONFIG_CGROUPS=y
# CONFIG_CGROUP_DEBUG is not set
CONFIG_CGROUP_FREEZER=y
CONFIG_CGROUP_DEVICE=y
CONFIG_CGROUP_CPUACCT=y
CONFIG_CGROUP_MEM_RES_CTLR=y
CONFIG_CGROUP_MEM_RES_CTLR_DISABLED=y
CONFIG_CGROUP_MEM_RES_CTLR_SWAP=y
# CONFIG_CGROUP_MEM_RES_CTLR_SWAP_ENABLED is not set
CONFIG_CGROUP_PERF=y
CONFIG_CGROUP_SCHED=y
CONFIG_BLK_CGROUP=y
# CONFIG_DEBUG_BLK_CGROUP is not set
CONFIG_NET_CLS_CGROUP=y
root@debian:/home/anthony# cat /proc/cgroups
#subsys_name    hierarchy    num_cgroups    enabled
cpuset    0    1    1
cpu    0    1    1
cpuacct    0    1    1
memory    0    1    0
devices    0    1    1
freezer    0    1    1
net_cls    0    1    1
blkio    0    1    1
perf_event    0    1    1
root@debian:/home/anthony#

Jacekalex · 2015-05-21 12:48:21

Czyli cgroups jest na swoim miejscu.

Teraz zamontuj grupy, jak podałem wyżej i pokaż:

Kod:

mount | grep cgroup

Ostatnio edytowany przez Jacekalex (2015-05-21 12:48:49)

Novi-cjusz · 2015-05-21 12:49:58

Przepraszam, poprawiam:

Kod:

root@debian:/home/anthony# awk 'NR>1 {print $1}' /proc/cgroups | while read -r a; 
> do   b="/cgroup/$a";   mkdir -p "$b";  
>  mount -tcgroup -o"$a" "cgroup:$a" "$b" 2>/dev/null; done
root@debian:/home/anthony# mount | grep cgroup
cgroup:cpuset on /cgroup/cpuset type cgroup (rw,relatime,cpuset)
cgroup:cpu on /cgroup/cpu type cgroup (rw,relatime,cpu)
cgroup:cpuacct on /cgroup/cpuacct type cgroup (rw,relatime,cpuacct)
cgroup:devices on /cgroup/devices type cgroup (rw,relatime,devices)
cgroup:freezer on /cgroup/freezer type cgroup (rw,relatime,freezer)
cgroup:net_cls on /cgroup/net_cls type cgroup (rw,relatime,net_cls)
cgroup:blkio on /cgroup/blkio type cgroup (rw,relatime,blkio)
cgroup:perf_event on /cgroup/perf_event type cgroup (rw,relatime,perf_event)
root@debian:/home/anthony#

Brakuje modulu: CONFIG_NETFILTER_XT_MATCH_CGROUP=m

Kod:

root@debian:/home/anthony# cat /boot/config-3.2.0-4-amd64 |grep -i cgroup
CONFIG_CGROUPS=y
# CONFIG_CGROUP_DEBUG is not set
CONFIG_CGROUP_FREEZER=y
CONFIG_CGROUP_DEVICE=y
CONFIG_CGROUP_CPUACCT=y
CONFIG_CGROUP_MEM_RES_CTLR=y
CONFIG_CGROUP_MEM_RES_CTLR_DISABLED=y
CONFIG_CGROUP_MEM_RES_CTLR_SWAP=y
# CONFIG_CGROUP_MEM_RES_CTLR_SWAP_ENABLED is not set
CONFIG_CGROUP_PERF=y
CONFIG_CGROUP_SCHED=y
CONFIG_BLK_CGROUP=y
# CONFIG_DEBUG_BLK_CGROUP is not set
CONFIG_NET_CLS_CGROUP=y
root@debian:/home/anthony#

Kod:

root@debian:/home/anthony# insmod CONFIG_NETFILTER_XT_MATCH_CGROUP=m
Error: could not load module CONFIG_NETFILTER_XT_MATCH_CGROUP=m: No such file or directory

Ostatnio edytowany przez Novi-cjusz (2015-05-21 13:06:27)

Jacekalex · 2015-05-21 13:58:46

Nowsze jajo się kłania, ten moduł się pojawił dosyć niedawno, chyba w jaju 3.14, o ile pamiętam.
W aptosidowym 4.0.3 jest na pewno.

Ostatnio edytowany przez Jacekalex (2015-05-21 14:00:42)

Novi-cjusz · 2015-05-21 14:04:41

Dla mnie to oznacza nowy temat, Kernel upgrade.
Gdybys mogl podac linka do tutka z tym tematem?
Chcialem sie upewnic, czy to jest wlasciwa strona na upgrade kernela do uptosid? http://manual.aptosid.com/pl/sys-admin-kern-upg-pl.htm#kern-upgrade

[quote=Jacekalex]Nowsze jajo się kłania, ten moduł się pojawił dosyć niedawno, chyba w jaju 3.14, o ile pamiętam.
W aptosidowym 4.0.3 jest na pewno.[/quote]
Moje jajo: 3.2.0-4-amd64
Jest jakas rozpiska, ktory modul co robi dla iptables?

Ostatnio edytowany przez Novi-cjusz (2015-05-21 14:28:41)

morfik · 2015-05-21 16:31:50

Użyj [b]modinfo[/b] i nazwa modułu.

Jacekalex · 2015-05-21 16:48:04

[quote=Novi-cjusz]Dla mnie to oznacza nowy temat, Kernel upgrade.
Gdybys mogl podac linka do tutka z tym tematem?
Chcialem sie upewnic, czy to jest wlasciwa strona na upgrade kernela do uptosid? http://manual.aptosid.com/pl/sys-admin-kern-upg-pl.htm#kern-upgrade[/quote]
Repo:

Kod:

deb http://aptosid.com/debian unstable main fix.main
deb-src http://aptosid.com/debian unstable main fix.main

Kod:

aptitude update

Do tego jeszcze w [b]/etc/apt/apt.conf[/b]

Kod:

APT::Default-Release "stable";

na wszelki wypadek (obecnie stable oznacza [b]Debiana Jessie[/b]).

I potem w [b]synaptic[/b]u wybierasz paczuszki [b]linux-image[/b], [b]linux-headers[/b] i co tam jeszcze potrzebujesz z gałęzi unstable.

Poza tym masz jajo 3.2.x? Co to za system? jakieś muzeum?
Przecież to jajo było w Wheezym, który już jest oldstable.

Stabilny [b]Debian Jessie[/b] wystartował na jaju 3.16, o ile pamiętam.

Ostatnio edytowany przez Jacekalex (2015-05-21 16:54:10)

Novi-cjusz · 2015-05-21 17:08:58

Poza tym masz jajo 3.2.x? Co to za system? jakieś muzeum?
Przecież to jajo było w Wheezym, który już jest oldstable.[/quote]
Wszystko prawda:

Kod:

root@debian:/home/anthony# cat /etc/debian_version
7.8
root@debian:/home/anthony# dpkg -l | grep linux-image
ii  linux-image-3.2.0-4-amd64             3.2.68-1+deb7u1                    amd64        Linux 3.2 for 64-bit PCs
ii  linux-image-amd64                     3.2+46                             amd64        Linux for 64-bit PCs (meta-package)

Kod:

  GNU nano 2.2.6          File: /etc/apt/sources.list                 Modified  

deb http://ftp.ie.debian.org/debian/ oldstable main contrib non-free
## uaktualnienia bezpieczeństwa
deb http://security.debian.org/ oldstable/updates main contrib non-free
## często uaktualniane pakiety, np. dotyczące
## filtrowania spamu czy skanowania antywirusowego
deb http://ftp.pl.debian.org/debian oldstable-updates main contrib non-free
## backporty - programy przepakietowane dla stable z testinga
deb http://ftp.pl.debian.org/debian wheezy-backports main contrib non-free
## deb-multimedia - dodatkowe kodeki, odtwarzacze, etc.
deb http://www.deb-multimedia.org/ oldstable main non-free
## backporty deb-multimedia - dodatkowe kodeki, odtwarzacze, etc.
## przepakietowane dla stable z testinga
deb http://www.deb-multimedia.org/ wheezy-backports main
deb http://http.us.debian.org/debian/ wheezy main
deb http://aptosid.com/debian unstable main fix.main
deb-src http://aptosid.com/debian unstable main fix.main

Taka zawartosc:

Kod:

APT::Default-Release "stable";

daje mi taki komunikat podczas otwierania Synaptic:

Kod:

E: The value 'stable' is invalid for APT::Default-Release as such a release is not available in the sources
E: _cache->open() failed, please report.

Ostatnio edytowany przez Novi-cjusz (2015-05-21 17:36:28)

------------------------------------------------------------------------------------
"Inveniam viam aut faciam" : I will either find a way, or I shall make one
"Złoto to pieniądz królów, srebro to pieniądz dżentelmenów, barter to pieniądz chłopów ale dług to pieniądz niewolników."

Time (s)	Query
0.00012	SET CHARSET latin2
0.00005	SET NAMES latin2
0.00090	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.15.226.71' WHERE u.id=1
0.00061	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.15.226.71', 1728238948)
0.00050	SELECT * FROM punbb_online WHERE logged<1728238648
0.00058	DELETE FROM punbb_online WHERE ident='85.208.96.206'
0.00051	SELECT topic_id FROM punbb_posts WHERE id=287342
0.00005	SELECT id FROM punbb_posts WHERE topic_id=27418 ORDER BY posted
0.00058	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=27418 AND t.moved_to IS NULL
0.00005	SELECT search_for, replace_with FROM punbb_censoring
0.00104	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=27418 ORDER BY p.id LIMIT 0,25
0.00069	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=27418
Total query time: 0.00568 s

Forum Debian Users Gang

Ogłoszenie

#1 2015-05-21 11:22:28

Novi-cjusz - Użytkownik

Egress filtering - regolki dla iptables.

#2 2015-05-21 11:34:22

morfik - Cenzor wirtualnego świata

Re: Egress filtering - regolki dla iptables.

#3 2015-05-21 11:44:42

Novi-cjusz - Użytkownik

Re: Egress filtering - regolki dla iptables.

#4 2015-05-21 11:49:52

morfik - Cenzor wirtualnego świata

Re: Egress filtering - regolki dla iptables.

#5 2015-05-21 11:53:25

Novi-cjusz - Użytkownik

Re: Egress filtering - regolki dla iptables.

#6 2015-05-21 11:57:15

Jacekalex - Podobno człowiek...;)

Re: Egress filtering - regolki dla iptables.

Kod:

Kod:

Kod:

Kod:

Kod:

Kod:

#7 2015-05-21 12:10:21

morfik - Cenzor wirtualnego świata

Re: Egress filtering - regolki dla iptables.

#8 2015-05-21 12:25:42

Novi-cjusz - Użytkownik

Re: Egress filtering - regolki dla iptables.

Kod:

#9 2015-05-21 12:42:48

Jacekalex - Podobno człowiek...;)

Re: Egress filtering - regolki dla iptables.

Kod:

Kod:

Kod:

#10 2015-05-21 12:46:12

Novi-cjusz - Użytkownik

Re: Egress filtering - regolki dla iptables.

Kod:

#11 2015-05-21 12:48:21

Jacekalex - Podobno człowiek...;)

Re: Egress filtering - regolki dla iptables.

Kod:

#12 2015-05-21 12:49:58

Novi-cjusz - Użytkownik

Re: Egress filtering - regolki dla iptables.

Kod:

Kod:

Kod:

#13 2015-05-21 13:58:46

Jacekalex - Podobno człowiek...;)

Re: Egress filtering - regolki dla iptables.

#14 2015-05-21 14:04:41

Novi-cjusz - Użytkownik

Re: Egress filtering - regolki dla iptables.

#15 2015-05-21 16:31:50

morfik - Cenzor wirtualnego świata

Re: Egress filtering - regolki dla iptables.

#16 2015-05-21 16:48:04

Jacekalex - Podobno człowiek...;)

Re: Egress filtering - regolki dla iptables.

Kod:

Kod:

Kod:

#17 2015-05-21 17:08:58

Novi-cjusz - Użytkownik

Re: Egress filtering - regolki dla iptables.

Kod:

Kod:

Kod:

Kod:

#18 2015-05-21 17:40:00

Jacekalex - Podobno człowiek...;)

Re: Egress filtering - regolki dla iptables.

Kod:

#19 2015-05-21 18:12:21