Категорія: Routers, GW, Internet

Категорії
Linux Misc, staff, other Routers, GW, Internet

[pritunl] Включаємо додатковий захист

Якщо хтось не знає, що таке pritunl, то це openvpn на стероїдах. Він досить зручний для нових користувачів: достатньо просто залогінитися і одразу формується тобі готовий конфіг, який можна додати хоч на телефон, хоч на компʼютер. Але мінуси теж досить значні: працює лише на Linux, бо має жорсткі залежності від команди ip для керування мережевим стеком.

По замовчуванню, єдиний захист – це просто форма login/pass без обмежень в RPS чи капчі, чи чогось іншого. Як результат можливість підбору login/pass без обмежень. Виправимо це.

Продовжити читання “[pritunl] Включаємо додатковий захист”
Категорії
Linux Routers, GW, Internet

PPTP и передача маршрутів windows кліенту

Як відомо, pptp не вміє базово передавати маршрути при підключенні до VPN серверу. Але, можна піти хитріше і спробувати деякі опції з DHCP протоколу, а саме

option ms-classless-routes code 249 = array of unsigned integer 8; 
option rfc3442-classless-routes code 121 = array of unsigned integer 8; 

Чому треба передавати обидві опції? Бо microsoft заміть 121 (яка і була для цього зроблена згідно RFC) використовувала (до Windows XP/2003 включно; всі новіші вже розуміють 121, але перевагу віддають 249) свою, власну – 249.

Продовжити читання “PPTP и передача маршрутів windows кліенту”

Категорії
FreeBSD Linux Mikrotik Misc, staff, other Routers, GW, Internet

TTL shift для файерволів

Це потрібно для того, що приховати наявність хопа/роутера від таких команд, як traceroute. Але, це доступно не у всіх файерволах, а тільки в деяких.

iptables

iptables -t mangle -А PREROUTING -i eth0 -J TTL --ttl-inc 1

mikrotik

[admin@MikroTik] /ip/firewall/mangle> add chain=prerouting action=change-ttl new-ttl=incrernent:1 passthrough=yes in-interface=\ log=no log-prefix=""

FreeBSD

Перезбираємо ядро з опцією

options IPSTEALTH

і далі можна контролювати через sysctl

# sysctl net.inet.ip.stealth=1
# sysctl net.inet.ip.stealth=0

Автоматично зберігає TTL при проходженні через цей хост, тим сами приховуючи себе.

Категорії
FreeBSD Misc, staff, other Routers, GW, Internet

[FreeBSD] затримка з підняттям інтерфейсу

Дана стаття буде актуальна тим, у кого мережевий інтерфейс з “особливостями”: USB-мережева карта, яка довго ініціалізується, чи отримання адреси через pppoe, чи DHCP сервер дуже повільний. На що це впливає? Припустимо, що у вас є деякі сервіси, які повинні “слухати” ці інтерфейси, які довго піднімаються. За замовчуванням, сервіси піднімаються одразу, не дочекавшись, поки інтерфейс отримає адресу. Як результат, частина сервісів може не піднятися через це. Можна, звичайно, міняти кожен стартовий скрипт, додаючи у секцію REQUIRED відповідну залежність, але ця зміна затреться після чергового оновлення. І навіщо, коли є штатний інструмент для цього?

netwait_enable="YES"
netwait_timeout="10" # Total number of seconds to perform pings.
netwait_ip="1.1.1.1" # Wait for ping response from any IP in this list.
netwait_if="ue0" # Wait for active link on each intf in this list.
netwait_if_timeout="30" # Total number of seconds to monitor link state.

Категорії
FreeBSD Linux OpenBSD Routers, GW, Internet Solaris

ToS / DSCP

Нагадаю, що таке ToS (Type of Service) – це можливість пріоритезувати певний трафік за рахунок виставлення спеціального байта у заголовку IP пакету. DSCP – деяке розширення (або в деякому сенсі новіша версія ToS), бо має більше різних пріоритетів (64 проти 7 у ToS).

Продовжити читання “ToS / DSCP”

Категорії
FreeBSD Linux Misc, staff, other OpenBSD Routers, GW, Internet Solaris

[NAT] Log sessions

В данній статті розглянемо, як можна логувати сесії NAT в різних файерволах.

iptables

Тут є декілька варіантів, почнемо з найнадійнішого:

conntrack -E --event-mask NEW --any-nat >> /var/log/nat_log

Є ще класичний варіант

iptables -t nat -I PREROUTING 1 -j LOG
iptables -t nat -I POSTROUTING 1 -j LOG
iptables -t nat -I OUTPUT 1 -j LOG

але, як пишуть у мережі, частина пакетів може не попадати в лог, якщо використовувати маркування або додаткову обробку.

pf

Є застарілий проект , який працює виключно на BSD-системах (на Solaris – ні)

ipfw

Тут мені не вдалося нічого знайти.

Категорії
Misc, staff, other Routers, GW, Internet

[squid] TCP_MISS_ABORTED/000, TCP_MISS/503

Що можуть означати ці коди в логах squid’a? Якщо вони у вас почали зʼявлятися після того, як все працювало, то в 99% ваш proxy сервер втратив вихід в інтернет. Перевірте просто через curl, чи відкриваються сайти, чи ні.

Причини можуть бути різні: від заблоковано у файерволі до втрат в мережі.

PS. Завжди перевіряйте, чи збігається у вас локальний час на proxy з вашим сервером авторизації (AD, Kerberos,…)

Категорії
Linux Misc, staff, other Routers, GW, Internet

[Linux] Tracing: bcc-tools, bpftrace, bpftop

BCC is a toolkit for creating efficient kernel tracing and manipulation programs, and includes several useful tools and examples. It makes use of extended BPF (Berkeley Packet Filters), formally known as eBPF, a new feature that was first added to Linux 3.15. Much of what BCC uses requires Linux 4.1 and above.

bpftrace is a high-level tracing language for Linux enhanced Berkeley Packet Filter (eBPF) available in recent Linux kernels (4.x)

bpftop provides a dynamic real-time view of running eBPF programs. It displays the average runtime, events per second, and estimated total CPU % for each program. It also provides graphical views of these statistics over time. This tool minimizes overhead by enabling performance statistics only while it is active.

Категорії
FreeBSD Routers, GW, Internet

[FreeBSD] Альтернативний TCP-стек на прикладі RACK

Дана стаття є вільним перекладом цієї .

Якщо вас якимось чином не влаштовує стандартний стек TCP, то, починаючи з 13.0, можна використовувати свій власний. В даній статті ми розглянемо RACK-TLP TCP стек. Основна суть якого, в передачі timestamps, і при втраті пакету за рахунок цього швидше відновлюється передача даних. Тобто, даний стек буде біль ефективним в мережах з частими обривами звʼязку. У стабільних мережах, його немає сенсу застосовувати.

Продовжити читання “[FreeBSD] Альтернативний TCP-стек на прикладі RACK”

Категорії
FreeBSD Misc, staff, other Routers, GW, Internet

FreeBSD: порядок прохождения файерволов

Помниться шутка ещё из fido:

Q: У FreeBSD есть 3 файервола, какой использовать?
A: Правильно настроенный.

Продовжити читання “FreeBSD: порядок прохождения файерволов”

Домашняя страничка Andy
Записки молодого админа
Самостоятельная подготовка к Cisco CCNA
Самостоятельная подготовка к Cisco CCNP