Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
Strony: 1
- Forum Debian Users Gang
- » Instalacja i podstawowa konfiguracja
- » interpretacja regoly iptables
#1 2015-05-25 08:46:28
Novi-cjusz - 
Użytkownik
- Novi-cjusz
- Użytkownik
- Zarejestrowany: 2013-03-05
interpretacja regoly iptables
Prosze o jedno slowo wyjasnienia.
Mam fragment regoly iptables ktora zawiera inwersje znaczenia: ! -- cgroup 1000
Przeczytalem cale: https://access.redhat.com/documentation/en-US/Red_H … ide/ch01.html + kilka innych stron w Internecie i nadal nie rozumiem skad sie wziela i co znaczy cyfra 1000 w wyzej cytowanym fragmencie regoly?
Ostatnio edytowany przez Novi-cjusz (2015-05-25 08:48:47)
------------------------------------------------------------------------------------
"Inveniam viam aut faciam" : I will either find a way, or I shall make one
"Złoto to pieniądz królów, srebro to pieniądz dżentelmenów, barter to pieniądz chłopów ale dług to pieniądz niewolników."
Offline
#2 2015-05-25 09:46:54
Jacekalex - Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/random
- Zarejestrowany: 2008-01-07
Re: interpretacja regoly iptables
Akurat dokumentację RH omijaj szerokim łukiem, jak ja wg tej dokumentacji chciałem netfilter-cgroup konfigurować, to straciłem tylko trzy dni na te ich bzdury.
Cel cgroup dopasowuje pakiet na podstawie wartości net_cls.classid
Przykład:
Firefox dostaje wartość net_cls.classid = 3
Kod:
mkdir -p $CGDIR/net_cls/users/firefox echo '3' > $CGDIR/net_cls/users/firefox/net_cls.classid echo '1' > $CGDIR/net_cls/users/firefox/cgroup.clone_children
Czy proces FF siedzi w grupie net_cls?
Kod:
cat /proc/`pidof firefox`/cgroup | grep net_cls 9:net_cls:/users/firefox
Jak FF uzyskuje dostęp do netu, ktory domyślnie jest zablokowany dla wszystkiego?
Kod:
iptables -S | grep "cgroup 3" -A OUTPUT -m cgroup --cgroup 3 -j ACCEPT
W ten sposób mam totalne filtrowanie wszystkiego, co wychodzi z kompa, głównie przy pomocy cgroup.
Domyślna polityka FW ustawiona na OUTPUT DROP.
Kod:
iptables -S | grep '\-P OUTPUT' -P OUTPUT DROP
Ostatnio edytowany przez Jacekalex (2015-05-25 10:12:22)
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
#3 2015-05-25 10:19:29
Novi-cjusz - Użytkownik
- Novi-cjusz
- Użytkownik
- Zarejestrowany: 2013-03-05
Re: interpretacja regoly iptables
Szacunek za ogromna wiedze i zyczliwosc dla "maluczkich"
Pytanie;
Gdzie znalezc jaki proces dostaje jaka wartosc net_cls.classid ?
Jak wylistowac wszystkie procesy i ich wartosci?
------------------------------------------------------------------------------------
"Inveniam viam aut faciam" : I will either find a way, or I shall make one
"Złoto to pieniądz królów, srebro to pieniądz dżentelmenów, barter to pieniądz chłopów ale dług to pieniądz niewolników."
Offline
#4 2015-05-25 11:06:05
Jacekalex - Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/random
- Zarejestrowany: 2008-01-07
Re: interpretacja regoly iptables
Grupami się zajmuje demon:
Kod:
ps aux | grep cgrules root 4550 0.0 0.1 23272 6384 ? S 07:49 0:01 /usr/sbin/cgrulesengd --nodaemon --nolog
W Debianie jest w dwóch paczkach:
Kod:
apt-file search /usr/sbin/cgrulesengd cgroup-bin: /usr/sbin/cgrulesengd cgroup-tools: /usr/sbin/cgrulesengd
Jego konfiguracja znajduje się w pliku:
Kod:
grep firefox /etc/cgroup/cgrules.conf *:firefox cpu,memory,net_cls,blkio users/firefox/ *:plugin-container cpu,memory,net_cls,blkio users/firefox/
Listowanie wszystkich, które mają taki czy inny net_cls.classid?
Trzeba by skrypta, który przeleci wszystkie grupy w $CGDIR/net_cls/**, wyciągnie identyfikatory procesów jeśli net_cls.classid = 3 ,
i sprawdzi nazwy na podstawie numerów procesów.
Ciężka łopatologia, ja po prostu mam zablokowany OUTPUT na FW, i jak jakiś program łączy się z netem, to znaczy, że jest dodany do odpowiedniej grupy.
Gdzie znalezc jaki proces dostaje jaka wartosc net_cls.classid ?
Taki, jaki ustawiłem w skrypcie konfigurującym cgroup, to ja ustaliłem, jakie klasyfikatory dostają programy.
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
#5 2015-05-26 17:01:07
Novi-cjusz - Użytkownik
- Novi-cjusz
- Użytkownik
- Zarejestrowany: 2013-03-05
Re: interpretacja regoly iptables
Zmarnowalem kilka godzin (kosztem pracy) szukajac w Necie wiadomosci nt:
- net_cls.classid
-jak konfigurowac skrypt cgroup
- inne z tego topicu
Wiadomosci sa szczatkowe albo zadne. Bardzo prosze o linka do sprawdzonych materialow, zebym mogl samodzielnie sie tego materialu nauczyc.
A ile warte sa te strony? http://www.linuxtopia.org/online_books/rhel6/rhel_6 … l_Groups.html
Ostatnio edytowany przez Novi-cjusz (2015-05-26 21:06:07)
------------------------------------------------------------------------------------
"Inveniam viam aut faciam" : I will either find a way, or I shall make one
"Złoto to pieniądz królów, srebro to pieniądz dżentelmenów, barter to pieniądz chłopów ale dług to pieniądz niewolników."
Offline
Strony: 1
- Forum Debian Users Gang
- » Instalacja i podstawowa konfiguracja
- » interpretacja regoly iptables