[SRS] Završni ispit - 2020/2021

nnn

*** napisao ti je kolega da se ne obuhvaća. Ali recimo da imaš paket koji stiže do firewalla i recimo da imaš ovakav primjer:

:INPUT DROP [0:0]
:OUTPUT DROP [0:0]
:FORWARD DROP [0:0]
[...]
<pravilo 1>
<pravilo 2>
<pravilo 3>

Ako ti ovo <pravilo 1> pokupi neki paket, taj paket ne prolazi kroz ni jedno drugo pravilo. Zašto bi on gledao pravilo 3 ili 2 ako je već na pravilu 1 dropan ili acceptan. Ako ni jedno pravilo ne pokupi paket onda ti se primjenjuju ova 3 na početku

Gocc

dinoo možda bi ta autentičnost odgovarala potvrdi identiteta klijenta i poslužitelja kroz TLS pa zato nisu napisali da traže osnovne sigurnosne zahtjeve

SuperSaiyano

dinoo Možda glupo pitanje ali 10.d zar ne bi trebalo biti iptables -A INPUT -i eth1 -s 192.168.0.0/24 -j DROP jer želimo filtrirati pakete iz vanjske mreže(sučelje eth1) sa izvornom adresom iz lokalne mreže(192.168.0.0/24)

mini

SuperSaiyano Ne, jer spoofing znaci da se ti predstavljas kao netko drugi, tako se mi ovdje branimo da nam netko sa eth0 se predstavi kao netko iz lokalne mreže tj iz 10.0.1.0/24

bjunolulz To i mene zanima, ali najviše me zanima zašto uopće tu u 10.b) imamo -d

nnn

SuperSaiyano

vanjske mreže(sučelje eth1)
lokalne mreže(192.168.0.0/24)

mislim da si zamjenio, pogledaj bolje sliku 192.168.0.0/24 spada pod “internet”, a eth1 je na lokalnoj mreži

bjunolulz u pravu si ja sam fulao

bjunolulz

dinoo 10.b zasto -d nije 10.0.1.1?

Sulejman

viliml Kaj nije da će se po defaultu dropat (zbog filtera na početku koji nisu na tom screenshotu) pa je nepotrebno drugo pravilo?

nnn

Earthling u zadatku piše:

Napišite pravilo koje će omogućiti pristup vatrozidu protokolom SSH isključivo s računala “int” iz
lokalne mreže (LAN).

Meni to zvuči da int smije pristuputi webu na portu 22. web tada treba biti definiran sa -d. Išao sam provjeriti to i izgleda da sam fulao sitnicu, trebalo bi dodati -p tcp jer iptables treba imati definiran protokol ako se dodaje --dport ili --sport. Tako da bi pravilo trebalo bit: sudo iptables -A INPUT -p tcp -i eth1 --dport 22 -d 10.0.1.1 -s 10.10.1.20 -m state --state NEW -j ACCEPT

viliml

dinoo Meni to zvuči da int smije pristuputi webu na portu 22. web tada treba biti definiran sa -d.

Ali program se odvija na webu. Sve što je u INPUT je automatski web. Čim definiraš ulazni interface eth1 i lanac INPUT, destination adresa ne može biti ništa drugo osim 10.0.1.1. Teoretski ako imaš pravilo protiv spoofanja ne treba niti interface postaviti, samo source adresu. Naravno ništa od toga ne škodi i dobra je ideja ubaciti redundanciju za svaki slučaj.
Ali ovaj --state NEW mi nikako nema smisla. Da, ne škodi, ali nije niti nimalo koristan. U primjerima koji su nam dani nikad nije korišten.

Tompa007

Sretno svima danas 🙂

Bucc

Penis, ak se mene pita

Nocna_smjena

Olive Oil meni je ok bio. Nie bio ni pretezak a ni prelagan

TamTam

Kolika je sansa da maknu prag?

Exelero

Jesu rekli kad bi trebali biti rezultati?

Exelero

Exelero
Evo stigli su

djeno

upisuju rezultate

« Prethodna stranica