Ceci & Tati

Наскоро ми се наложи да направя един скрит сегмент от мрежата, прозрачен за някои добри хора 🙂 . Първоначално си мислех машините от скрития сегмент да ги вкарам в един VLАN, две мрежови карти на едно работещо PC, бридж между два VLAN-а и на клиентите същия VLAN. Пробвах този вариант и не ми допадна въобще, накратко работеше много зле 🙁 . Чудех се известно време как да го направя и се сетих за един мой стар приятел „OpenVPN“, според мен много интелигентно решение. Викам си на акъла за какво да вкарвам всяка нова машина във VLAN като мога да вкарам клиентите :), това и направих, а варианта чист бридж с филтър „ebtables“ не е лош също, но не е по вкуса ми.

И така, нека започнем 🙂 .
(continue reading…)

Първо искам да подчертая че аз не съм програмист 🙂 , и ми е простено за може би лошо написания код по-долу.

1. Настройка на Apache сървър. Добавяте файла „iptables.conf“ в „/etc/apache2/vhosts.d“ и рестартирате web сървъра.

#/etc/apache2/vhosts.d/iptables.conf
Alias /iptables „/var/www/localhost/iptables/“
<Directory „/var/www/localhost/iptables“>

AddHandler cgi-script .cgi
Options +FollowSymLinks Indexes ExecCGI
AllowOverride none
DirectoryIndex index.cgi
order deny,allow
Deny from all
allow from 22.211.18.33 22.211.18.32
</Directory>

2. Даване на права за изпълнение на „apache“ потребителя върху „/sbin/iptables“.

Създавате директорията „/var/www/localhost/iptables“

mkdir /var/www/localhost/iptables
cd /var/www/localhost/iptables

Създавате файла „ipta.c“ в “ /var/www/localhost/iptables“ и го компилирате.

#include <unistd.h>
//######################################
//#ipta.c
//######################################
// добави пътя на iptables
char IPTABLES[] = „/sbin/iptables“;

main(int argc, char *argv[])
{
argv[0] = IPTABLES;
execv(IPTABLES, argv);
return 1;
}

Компилиране и права на създадения файл „ipta“:

gcc -oipta ipta.c
chown root.root ipta
chmod 6755 ipta
rm ipta.c

Чрез създадения файл „ipta“, „apache“ потребителя извиква „iptables“ и го управлява като „root“.
(continue reading…)

Един ден след като повечето неща бяха готови на единия ми ppp терминал реших да наблюдавам трафиците на различните видове протоколи, за целта реших да използвам l7filter, как се инсталира съм обяснил подробно тук.

1. За да може MRTG да направи дадена графика му трябва информация за вхдящия и изходящия поток на дадено нещо. В случая тези неща са моите протоколи които искам да следя по трафик. Тази информация ще е взема от IPTABLES посредством малко правила създадени от мен.

За целта си създавам скрипт rc.l7filter който зарежда след „/etc/init.d/iptables“.

#!/bin/sh
#rc.l7filter

IPTABLES=“/sbin/iptables“

$IPTABLES -F
$IPTABLES -X
#$IPTABLES -Z

$IPTABLES -N l7filter-in
$IPTABLES -N l7filter-out

#Ще следя следните протоколи: bittorrent, http, edonky, irc, skypetoskype, ssh, rlogin, vnc.
#За повече информация посетете: http://l7-filter.sourceforge.net/protocols

$IPTABLES -t filter -A l7filter-in -d 22.211.18.0/24 -s 0/0 -m layer7 –l7proto bittorrent -j ACCEPT
$IPTABLES -t filter -A l7filter-in -d 22.211.18.0/24 -s 0/0 -m layer7 –l7proto http -j ACCEPT
$IPTABLES -t filter -A l7filter-in -d 22.211.18.0/24 -s 0/0 -m layer7 –l7proto edonkey -j ACCEPT
$IPTABLES -t filter -A l7filter-in -d 22.211.18.0/24 -s 0/0 -m layer7 –l7proto irc -j ACCEPT
$IPTABLES -t filter -A l7filter-in -d 22.211.18.0/24 -s 0/0 -m layer7 –l7proto skypetoskype -j ACCEPT
$IPTABLES -t filter -A l7filter-in -d 22.211.18.0/24 -s 0/0 -m layer7 –l7proto ssh -j ACCEPT
$IPTABLES -t filter -A l7filter-in -d 22.211.18.0/24 -s 0/0 -m layer7 –l7proto rlogin -j ACCEPT
$IPTABLES -t filter -A l7filter-in -d 22.211.18.0/24 -s 0/0 -m layer7 –l7proto vnc -j ACCEPT

$IPTABLES -t filter -A l7filter-out -s 22.211.18.0/24 -d 0/0 -m layer7 –l7proto bittorrent -j ACCEPT
$IPTABLES -t filter -A l7filter-out -s 22.211.18.0/24 -d 0/0 -m layer7 –l7proto http -j ACCEPT
$IPTABLES -t filter -A l7filter-out -s 22.211.18.0/24 -d 0/0 -m layer7 –l7proto edonkey -j ACCEPT
$IPTABLES -t filter -A l7filter-out -s 22.211.18.0/24 -d 0/0 -m layer7 –l7proto irc -j ACCEPT
$IPTABLES -t filter -A l7filter-out -s 22.211.18.0/24 -d 0/0 -m layer7 –l7proto skypetoskype -j ACCEPT
$IPTABLES -t filter -A l7filter-out -s 22.211.18.0/24 -d 0/0 -m layer7 –l7proto ssh -j ACCEPT
$IPTABLES -t filter -A l7filter-out -s 22.211.18.0/24 -d 0/0 -m layer7 –l7proto rlogin -j ACCEPT
$IPTABLES -t filter -A l7filter-in -d 22.211.18.0/24 -s 0/0 -m layer7 –l7proto vnc -j ACCEPT

$IPTABLES -A FORWARD -j l7filter-in
$IPTABLES -A FORWARD -j l7filter-out

(continue reading…)

Доста търсих, но нищо смислено и подобно не можах да намеря написано на български. Затова реших да напиша тази статия за феновете на Linux. За пореден път искам да подчертая че Linux-а е една превъзходна и десктоп система.
Няма да обяснявам как се инсталира Linux и X сървър 🙂 , приемаме вече че сте го направили това и вашата графична среда работи.
Ясно е че такава разделителна способност като 1360х768 няма при лаптопите, но за целта се използва програмата 915Resolution – Intel Video BIOS Hack.

915resolution is a tool to modify the video BIOS of the 800 and 900 series Intel graphics chipsets. This includes the 830, 845G, 855G, and 865G chipsets, as well as 915G, 915GM, 945G, 946GZ, G965, and Q965 chipsets. This modification is neccessary to allow the display of certain graphics resolutions for an Xorg or XFree86 graphics server.

Нека видим какви разделителни способности подържа моята видео карта, преди да съм правил каквото и да е с 915resolution:

root@ilia-laptop:~# 915resolution -l
Intel 800/900 Series VBIOS Hack : version 0.5.3

Chipset: 915GM
BIOS: TYPE 1
Mode Table Offset: $C0000 + $269
Mode Table Entries: 36

Mode 30 : 640×480, 8 bits/pixel
Mode 32 : 800×600, 8 bits/pixel
Mode 34 : 1024×768, 8 bits/pixel
Mode 38 : 1280×1024, 8 bits/pixel
Mode 3a : 1600×1200, 8 bits/pixel
Mode 3c : 1920×1440, 8 bits/pixel
Mode 41 : 640×480, 16 bits/pixel
Mode 43 : 800×600, 16 bits/pixel
Mode 45 : 1024×768, 16 bits/pixel
Mode 49 : 1280×1024, 16 bits/pixel
Mode 4b : 1600×1200, 16 bits/pixel
Mode 4d : 1920×1440, 16 bits/pixel
Mode 50 : 640×480, 32 bits/pixel
Mode 52 : 800×600, 32 bits/pixel
Mode 54 : 1024×768, 32 bits/pixel
Mode 58 : 1280×1024, 32 bits/pixel
Mode 5a : 1600×1200, 32 bits/pixel
Mode 5c : 1920×1440, 32 bits/pixel

(continue reading…)

1. Инсталиране на ClamAV:

emerge -pv clamav
[ebuild R ] app-antivirus/clamav-0.91.2 USE=“bzip2 crypt nls -mailwrapper -milter (-selinux) (-logrotate%*)“
emerge clamav
rc-update add clamd default
/etc/init.d/clamd start

2. Инсталиране на ProFTPd:

emerge -pv proftpd
[ebuild R ] net-ftp/proftpd-1.3.1_rc2-r3 USE=“clamav ipv6 ldap mysql ncurses nls opensslcrypt pam radius ssl tcpd xinetd -acl -authfile -hardened -ifsession -noauthunix -postgres -rewrite (-selinux) -shaper -sitemisc -softquota -vroot“
ebuild /usr/portage/net-ftp/proftpd/proftpd-1.3.1_rc2-r3.ebuild fetch

#patch file: /usr/portage/distfiles/mod_clamav_new.c

– modules/mod_clamav.c.orig Sat Sep 29 15:34:01 2007
+++ modules/mod_clamav.c Mon Oct 1 17:34:04 2007
@@ -157,6 +157,7 @@
c = find_config(CURRENT_CONF, CONF_PARAM, „ClamWarn“, TRUE);

/* Figure out the full path */
+#if 0
if(session.chroot_path) {
sstrncpy(fullpath, strcmp(pr_fs_getvwd(), „/“) ?
pdircat(cmd->tmp_pool, session.chroot_path, pr_fs_getvwd(), NULL) :
@@ -164,6 +165,9 @@
} else {
sstrncpy(fullpath, pr_fs_getcwd(), 4096);
}
+#else
+ sstrncpy(fullpath, pdircat(cmd->tmp_pool, session.chroot_path, NULL, NULL), 4096);
+#endif
sstrcat(fullpath, „/“, 4096 – strlen(fullpath));
sstrcat(fullpath, cmd->arg, 4096 – strlen(fullpath));

ebuild /usr/portage/net-ftp/proftpd/proftpd-1.3.1_rc2-r3.ebuild digest
emerge proftpd

Пача се слага защото mod_clamav/0.4 има проблем с chroot+Far.

mod_clamav/0.4: error: „/home/ftp/incoming//incoming/test.com: lstat() failed. ERROR“

(continue reading…)