Opensource firewall zoekt betatesters.

[Verwijderd]

Ik ben voor me stage bezig geweest met een firewall, deze hebben we opensource gemaakt en we zoeken nog beta-testers. Deze firewall is gemaakt omdat wij vonden dat er nog geen firewall was die dualrouting, failover, loadbalancing, QoS, traffic control en nog meer dingen aankon en daarnaast ook nog eens vrij simpel te configureren was.

We hebben onlangs de eerste release van de firewall uitgebracht en hij heet LokiWall, Loki is de griekse Germaanse god van het vuur dus vandaar .
We kunnen zelf onze eigen firewall wel gaan beta-testen maar ik denk dat we daar weinig mee opschieten, wel hebben we hem zelf al een keer op een kaal systeem geinstalleerd om te kijken of we nog tegen dingen aanliepen en onze bevindingen hebben we gelijk goed gedocumenteerd!

Zijn er mensen die zin hebben om deze firewall eens grondig te testen en wat feedback te geven aan ons zodat wij dit project nog beter kunnen maken? Als je wil mag je de bugs posten in dit topic of je mag ze emailen naar [e-mail]

Op/Aanmerkingen zijn natuurlijk ook welkom!

Natuurlijk niet geheel onbelangrijk, de link naar het project: http://lokiwall.sourceforge.net

Arnold Vriezekolk aka tuxx en Niek Vlessert

[Verwijderd]

Eigenlijk is het zelf geen firewall zo als ik het zie, het is een firewall setupscript...

[Randal Peelen]

Het misschien niet letterlijk een firewall, maar wel een volledige configuratie voor iptables en bestaande patches daarvoor. Met het script is het mogelijk een aantal dingen makkelijk te configureren die normaal vele regels code en uurtjes compile werk kosten. Eigenlijk is het dus een verzameling van bestaande mogelijkheden, maar dan met een makkelijk schilletje.

[Verwijderd]

Jimmy Pop schreef op dinsdag 17 januari 2006 @ 16:13:
Het misschien niet letterlijk een firewall, maar wel een volledige configuratie voor iptables en bestaande patches daarvoor. Met het script is het mogelijk een aantal dingen makkelijk te configureren die normaal vele regels code en uurtjes compile werk kosten. Eigenlijk is het dus een verzameling van bestaande mogelijkheden, maar dan met een makkelijk schilletje.

Klopt maar het is dus wel een setup/config/script, en nu denken mensen dat wanneer je dat script hebt dat het werkt. Maar je moet dus ook nog de firewall packages zelf geïnstalleerd hebben.

[igmar]

Verwijderd schreef op dinsdag 17 januari 2006 @ 15:59:
Natuurlijk niet geheel onbelangrijk, de link naar het project: http://lokiwall.sourceforge.net

Arnold Vriezekolk aka tuxx en Niek Vlessert

Leuk scriptje, een welkome aanvulling op het bestaande assortiment

* igmar zwaait even naar Niek

[smesjz]

Wel leuk. Alleen dit lijkt me helemaal niks:

$DNAT[0][0]="192.168.1.100"; # Internal Ip Address
$DNAT[0][1]="22"; # Port External
$DNAT[0][2]="22"; # Port Interal
$DNAT[0][3]="tcp"; # Protocol

Waarom niet gewoon, omwille van de leesbaarheid:

$DNAT[0]['internalip'] = "192.168.1.100";
$DNAT[0]['externalport']="22";

Ik weet niet of Bash dit snapt hoor, maar Perl vast wel.

De code is nu een beetje een mix van Nederlands en Engels:

code:

if [ $direction == up of down ]; then
    echo "adv_tc_first_mark in execute_tc voor brancheadd: $10"
    addTcBranch $2 $3 $4 $5 $6 $7 $8 $9
    echo "Arnold, het mark nummer (variabele 10) komt niet goed door, hij pakt 1 ipv 10................... we moeten er 1 schrappen"
fi

[Velvet]

Beetje offtopic... maar Loki is de Germaanse god van het vuur, de Griekse god van het vuur heet Hephaistos! Wilde het gewoon ff melden. Verder wel een kewl project!

[Verwijderd]

smesjz schreef op woensdag 18 januari 2006 @ 11:24:
Wel leuk. Alleen dit lijkt me helemaal niks:

$DNAT[0][0]="192.168.1.100"; # Internal Ip Address
$DNAT[0][1]="22"; # Port External
$DNAT[0][2]="22"; # Port Interal
$DNAT[0][3]="tcp"; # Protocol

Waarom niet gewoon, omwille van de leesbaarheid:

$DNAT[0]['internalip'] = "192.168.1.100";
$DNAT[0]['externalport']="22";

Ik weet niet of Bash dit snapt hoor, maar Perl vast wel.

De code is nu een beetje een mix van Nederlands en Engels:

code:

if [ $direction == up of down ]; then
    echo "adv_tc_first_mark in execute_tc voor brancheadd: $10"
    addTcBranch $2 $3 $4 $5 $6 $7 $8 $9
    echo "Arnold, het mark nummer (variabele 10) komt niet goed door, hij pakt 1 ipv 10................... we moeten er 1 schrappen"
fi

jup, dit is zeker een goeie om uit te zoeken, hier gaan we ook zeker even naar kijken
en de reden dat we dat in perl hebben gedaan is omdat bash multidimensionale arrays slecht gemaakt zijn, althans dat vonden wij

en dat stukje komt uit de TC (Traffic Control) en dat is nog niet supported in v0.1 hoewel het er wel inzit. in v0.2 komt het wel volledig in het engels en zonder die echo's natuurlijk

qtee schreef op woensdag 18 januari 2006 @ 11:32:
Beetje offtopic... maar Loki is de Germaanse god van het vuur, de Griekse god van het vuur heet Hephaistos! Wilde het gewoon ff melden. Verder wel een kewl project!

Ok, mijn fout

[ Voor 9% gewijzigd door Verwijderd op 18-01-2006 11:50 ]

[MTWZZ]

Firewall scripts bouwen is altijd een prima bezigheid

Nu zag ik in jullie script het volgende (firewall_start)

code:

                        if [ $EXT_TO_LO_VPN = 1 ]; then
                                iptables -A INPUT -i ppp0 -j ACCEPT
                                iptables -A INPUT -i ppp1 -j ACCEPT
                                iptables -A INPUT -i ppp2 -j ACCEPT
                                iptables -A INPUT -i ppp3 -j ACCEPT
                                iptables -A INPUT -i ppp4 -j ACCEPT
                                iptables -A INPUT -i ppp5 -j ACCEPT

                                iptables -A FORWARD -i ppp0 -j ACCEPT
                                iptables -A FORWARD -i ppp1 -j ACCEPT
                                iptables -A FORWARD -i ppp2 -j ACCEPT
                                iptables -A FORWARD -i ppp3 -j ACCEPT
                                iptables -A FORWARD -i ppp4 -j ACCEPT
                                iptables -A FORWARD -i ppp5 -j ACCEPT

Je kunt hier beter het volgende doen:

code:

iptables -A FORWARD -i ppp+ -j ACCEPT

Je hebt dan gelijk alle ppp interfaces te pakken. Bedenk bijvoorbeeld het scenario van een VPN server waar het best mogelijk is dat er meer dan 6 ppp interfaces actief zijn

Overigens zou ik ook gelijk even kijken of je "iptables" niet beter kunt vervangen door een variabele zodat je ook de iptables binary niet in je $PATH hoeft te hebben

Nog een ander item wat op zich ook best handig is om te hebben is syn-flood protection:

code:

$ipt -N synflood
$ipt -I INPUT -j synflood
$ipt -I synflood -j RETURN -m limit --limit 1/s --limit-burst 5

Die limits moet je hoogstwaarschijnlijk even tweaken maar bij mij werkt het zo best aardig.

[ Voor 10% gewijzigd door MTWZZ op 18-01-2006 13:43 ]

[daft_dutch]

Naar mijn weten is Loki een Reus.

Loki- Loki is known as the trickster god, the mischief maker, the father of lies and deceit. Loki is counted among the Æsir gods, but he is not one of them. Some say that he and Odhinn were blood brothers, which is why none of the gods dared to harm Loki, no matter how mischievous and malevolent he becomes. Loki is associated with the hearth fires and over time came to be associated with evil. It was due to Loki that the gods received the gifts of Ilvadi's sons and of Brokk and Sindri. It was due to Loki's words at Ægir's feast and his hand in the death of Balder that the gods finally set out to capture and punish Loki.

[niekniek]

Igmar: Igmar??? Igmar P/MSX??

MTWZZ: bedankt voor de tips. Gaan we doen. Maar wat vind je er verder van? Van de functionaliteit? Ik bedoel, heb je die meuk die we hier noemen wel eens aan de gang gehad, en zo ja, wat was jouw methode? Zo niet, wat vind je van die van ons? Wil je eventueel developer worden en helpen verbeteren?

Daft_dutch: Weet je hoe beter! Een reus die ook nog de Germaanse god van het vuur is!

Smesjz: Zelfde als MTWZZ, wat vind je ervan??

[Bor]

No offence maar een oprechte vraag: wat is de toevoeging van dit firewall setup script boven de reeds bestaande packs als smoothwall etc?

Wat bedoel je trouwens met de vet gedrukte stukken:

- Dual routing
- Traffic Control
- Advanced Masquerading
- Advanced DNAT
- Advanced Marking (to be able to direct certain traffic to a certain interface)

Misschien kun je die omschrijvingen beter verwoorden? Traffic control kan zo'n beetje alles zijn bijvoorbeeld. Met dual rounting bedoel je redundant routing modules?

[ Voor 68% gewijzigd door Bor op 18-01-2006 15:25 ]

[MTWZZ]

Wat ik ervan gezien heb (en dat was heel snel gezien ik eigenlijk aan het werk ben ) ziet er goed uit. Overigens zou ik voor het betere beheer van het geheel de structuur toch wat aanpassen en je functies (zoals het flushen etc) in een apart functions.sh bestand stoppen, dat scheelt je later gewoon werk.

Wat functionaliteit betreft zitten er een aantal dingen in die ik zelf niet echt gebruik. Mijn eigen firewall is net iets anders. Ik zal hem vannavond even online gooien.

Over developer worden moet ik je helaas teleurstellen, ik heb het atm redelijk druk. Wat reviewen betreft hou ik me wel aanbevolen.

[niekniek]

Bor de Wollef schreef op woensdag 18 januari 2006 @ 15:22:
No offence maar een oprechte vraag: wat is de toevoeging van dit firewall setup script boven de reeds bestaande packs als smoothwall etc?

Wat bedoel je trouwens met de vet gedrukte stukken:


[...]


Misschien kun je die omschrijvingen beter verwoorden? Traffic control kan zo'n beetje alles zijn bijvoorbeeld. Met dual rounting bedoel je redundant routing modules?

Toevoeging:
Werkt op elke distro (waarschijnlijk nu nog niet, maar dat moet gaan zonder veel aanpassing) en hoeft dus niet op een aparte bak te draaien
Smoothwall is wel opensource, maar zo gauw je echt wat wil zoals qos e.d. moet je betalen

Uitleg, doe eerst wat meer huiswerk voordat je dat vraagt, dit staat er op de lokiwall site:
- Dual routing (Dual Routing gives you the ability to use two internet connections simultaniously)
- Fail Over (When one of two internet connections goes down, the other takes over the full load)
- Load Balancing (When using two internetconnections the slower one will get less traffic)
- Traffic Control (Traffic control is not yet functional in version 0.1)
- Advanced Masquerading (Gives you the ability to masquerade traffic from certain ip's or subnets (and block certain ip's etc.))
- Advanced DNAT (Portforwarding, virtual server or whatever fancy name u think is best )
- Advanced Marking (to be able to direct certain traffic to a certain interface)

MTWZZ schreef op woensdag 18 januari 2006 @ 15:31:
Wat ik ervan gezien heb (en dat was heel snel gezien ik eigenlijk aan het werk ben ) ziet er goed uit. Overigens zou ik voor het betere beheer van het geheel de structuur toch wat aanpassen en je functies (zoals het flushen etc) in een apart functions.sh bestand stoppen, dat scheelt je later gewoon werk.

Wat functionaliteit betreft zitten er een aantal dingen in die ik zelf niet echt gebruik. Mijn eigen firewall is net iets anders. Ik zal hem vannavond even online gooien.

Over developer worden moet ik je helaas teleurstellen, ik heb het atm redelijk druk. Wat reviewen betreft hou ik me wel aanbevolen.

Dat opdelen gaan we ook doen, lijkt me prima, kunnen we gelijk /etc/init.d/firewall weer een bietje beter maken.

Mooi dat je wil helpen! Kun je hem wel eens proberen? Hij komt in /etc/firewall en /etc/init.d/firewall. Logs in /var/log/firewall. Das alles waar je rekening mee moet houden. Welke distro draai je?

[ Voor 27% gewijzigd door niekniek op 18-01-2006 15:47 ]

[Verwijderd]

niekniek schreef op woensdag 18 januari 2006 @ 15:42:
[...]


Toevoeging:
Werkt op elke distro (waarschijnlijk nu nog niet, maar dat moet gaan zonder veel aanpassing) en hoeft dus niet op een aparte bak te draaien
Smoothwall is wel opensource, maar zo gauw je echt wat wil zoals qos e.d. moet je betalen

Werkt dus niet op elke distro omdat hij iptables/iproute vereist, die moet dus ook aanwezig zijn en niet een andere tool...en niet op de zelfde plaats staat altijd.

Waarom niet de uitleg ook in het nederlands posten op je site? Dan loopt de tekst ook wat beter en is het waarschijnlijk duidelijker...

[niekniek]

Verwijderd schreef op woensdag 18 januari 2006 @ 15:51:
[...]

Werkt dus niet op elke distro omdat hij iptables/iproute vereist, die moet dus ook aanwezig zijn en niet een andere tool...en niet op de zelfde plaats staat altijd.

Waarom niet de uitleg ook in het nederlands posten op je site? Dan loopt de tekst ook wat beter en is het waarschijnlijk duidelijker...

Je hebt helemaal gelijk wat betreft iptables/iproute, alleen zijn er bijna geen distro's meer waar dit niet in zit. Als het niet geinstalleerd is moet die sysadmin die onze firewall installeert dat maar begrijpen...

Help je ff vertalen dan dus???

[MTWZZ]

niekniek schreef op woensdag 18 januari 2006 @ 15:42:
Dat opdelen gaan we ook doen, lijkt me prima, kunnen we gelijk /etc/init.d/firewall weer een bietje beter maken.

Mooi dat je wil helpen! Kun je hem wel eens proberen? Hij komt in /etc/firewall en /etc/init.d/firewall. Logs in /var/log/firewall. Das alles waar je rekening mee moet houden. Welke distro draai je?

Mja dan moet ik eerst even een virtual machientje bouwen want ik ga dit niet op m'n productiedoos proberen
Ik draai atm Gentoo

Overigens wat blaatkoetje roept is wel handig om in beschouwing te nemen als je zegt dat het op meerdere distro's gaat werken. Zodra je iemand tegenkomt die een BSD variant gebruikt ben je al snel de klos. Plus die grappenmakers die pf geport hebben of nog steeds ipchains gebruiken

[ Voor 23% gewijzigd door MTWZZ op 18-01-2006 16:09 ]

[igmar]

niekniek schreef op woensdag 18 januari 2006 @ 15:18:
Igmar: Igmar??? Igmar P/MSX??

Je gaat door voor de toaster

Maar even een algehele opmerking : wat ik echt mis is een open-source application level firewall. Dit script is zeker goed, maar hoe goed het ook is, het geheel blijft een packetfilter.

Ongeveer alles wat ik gezien heb (op TiS en Zorp na) is op packet-level, hetgeen echt geen match is voor proxies die alles op application level doen. Ik ben hier inmiddels zelf maar aan begonnen, maar aangezien het een hobby-project is schiet het niet zo hard op als ik gewild had.

[MTWZZ]

@igmar:
Het is ook niet zo raar dat er niet zoveel application level firewalls zijn. Het kost gewoon te veel processing power en je moet van elke applicatie het protocol kennen en ook precies weten wat dat protocol wel of niet mag en dan kom je gelijk op het volgende punt: het is niet te beheren.

Het limiten van HTTP traffic is op zich nog te doen, er zijn genoeg proxies die vrij agressief kunnen filteren maar bedenk dat als jij een applicatie als SAP hebt of een willekeurige applicatie met remoting dan ben je al genaaid.
Zorp zelf doet ook alleen maar de volgende proto's:
HTTP, FTP, SSL, POP3, IMAP, SMTP, FINGER, WHOIS, NNTP, MIME, TELNET, RADIUS, LDAP, TFTP, NET8, PRINTER, VBUSTER

IPtables kun je best laten filteren welke applicatie gebruik maakt van welke poort maar inhoudelijk de protocollen filteren is volgens mij niet onmogelijk maar te gecompliceerd om daar een degelijke applicatie van te bouwen.

[ Voor 10% gewijzigd door MTWZZ op 18-01-2006 16:39 ]

[igmar]

MTWZZ schreef op woensdag 18 januari 2006 @ 16:34:
@igmar:
Het is ook niet zo raar dat er niet zoveel application level firewalls zijn. Het kost gewoon te veel processing power en je moet van elke applicatie het protocol kennen en ook precies weten wat dat protocol wel of niet mag en dan kom je gelijk op het volgende punt: het is niet te beheren.

Protocollen zijn gewoon dingen die in de RFC staan. Daarin staat vastgelegd wat je op applicatielevel mag verwachten, en wat niet. Wat wel en niet mag volgens een protocol staat in de RFC, maar het is vrij simpel : Mag het volgens de RFC wel, dan mag het, al het overige mag niet.

Application level firewalls zie ik genoeg, maar open source is echt met een lampje te zoeken.

Het limiten van HTTP traffic is op zich nog te doen, er zijn genoeg proxies die vrij agressief kunnen filteren maar bedenk dat als jij een applicatie als SAP hebt of een willekeurige applicatie met remoting dan ben je al genaaid.

Dat vind ik wel meevallen. Goed, er zullen wat gevallen zijn met software die zich niet aan de standaard houden, maar dat is een kwestie van goed testen.

Zorp zelf doet ook alleen maar de volgende proto's:
HTTP, FTP, SSL, POP3, IMAP, SMTP, FINGER, WHOIS, NNTP, MIME, TELNET, RADIUS, LDAP, TFTP, NET8, PRINTER, VBUSTER

En da's meteen het grote gros wat er gebruikt wordt in de praktijk.

IPtables kun je best laten filteren welke applicatie gebruik maakt van welke poort maar inhoudelijk de protocollen filteren is volgens mij niet onmogelijk maar te gecompliceerd om daar een degelijke applicatie van te bouwen.

Sja.. niks verhinderd mij om SSH over poort 80 te gooien. Dat maakt een firewall al heel wat minder zinnig. Is het gecompliceerd : ja. Is het te doen : Ja.

[niekniek]

MTWZZ schreef op woensdag 18 januari 2006 @ 16:34:
@igmar:
Het is ook niet zo raar dat er niet zoveel application level firewalls zijn. Het kost gewoon te veel processing power en je moet van elke applicatie het protocol kennen en ook precies weten wat dat protocol wel of niet mag en dan kom je gelijk op het volgende punt: het is niet te beheren.

Het limiten van HTTP traffic is op zich nog te doen, er zijn genoeg proxies die vrij agressief kunnen filteren maar bedenk dat als jij een applicatie als SAP hebt of een willekeurige applicatie met remoting dan ben je al genaaid.
Zorp zelf doet ook alleen maar de volgende proto's:
HTTP, FTP, SSL, POP3, IMAP, SMTP, FINGER, WHOIS, NNTP, MIME, TELNET, RADIUS, LDAP, TFTP, NET8, PRINTER, VBUSTER

IPtables kun je best laten filteren welke applicatie gebruik maakt van welke poort maar inhoudelijk de protocollen filteren is volgens mij niet onmogelijk maar te gecompliceerd om daar een degelijke applicatie van te bouwen.

Dat klopt ja, maar onze firewall is hier intern al in staat om op basis van protocol (tcp/udp/gre enzo) en poort te filteren en op basis daarvan traffic control te doen. Op die manier kom je dus een heel eind. Het is natuurlijk geen application level, dan moeten we op de windows tour, die doet het met checksums van executables enzo. Maar dan pleuren we gewoon de rest dicht, alleen de poorten die de applicatie nodig heeft zetten we open voor de interne ip's die ze nodig hebben.

[MTWZZ]

@TuXx
Ik heb mijn firewall even online gezet:
http://dev.barad-dur.nl/vuurmuur/vm8

[igmar]

niekniek schreef op woensdag 18 januari 2006 @ 16:55:
Dat klopt ja, maar onze firewall is hier intern al in staat om op basis van protocol (tcp/udp/gre enzo) en poort te filteren en op basis daarvan traffic control te doen. Op die manier kom je dus een heel eind. Het is natuurlijk geen application level, dan moeten we op de windows tour, die doet het met checksums van executables enzo.

Nah, niet op de windows tour. TIS FWTK, ZORP GPL zijn twee concrete voorbeelden. De TIS kit is kwa code een redelijke puinhoop, en wordt niet meer onderhouden. De Zorp proxysuite is GPL, en is mij te sterk verbonden met Python, en ik kan d'r commercieel gezien te weinig mee.

Dus dan maar zelf wat schrijven

Maar dan pleuren we gewoon de rest dicht, alleen de poorten die de applicatie nodig heeft zetten we open voor de interne ip's die ze nodig hebben.

Ik gebruik vaak de layer 7 filters, maar da's ook niet alles. Het is beter als niets, maar je blijft beperkt in wat je precies wil beperken.

[niekniek]

MTWZZ schreef op woensdag 18 januari 2006 @ 18:45:
@TuXx
Ik heb mijn firewall even online gezet:
http://dev.barad-dur.nl/vuurmuur/vm8

ik heb hem even bekeken en het ziet er best nice uit, vooral het bad ranges stuk vind ik zeer interessant. Dit lijkt me ook nog wel een leuke om in onze firewall te implementeren. En gebruik je deze firewall alleen thuis of ook nog op andere plekken ?

(foutje van mij (tuxx) ik ben nog ingelogd als niekniek, lol )

[ Voor 7% gewijzigd door niekniek op 19-01-2006 16:20 ]

[niekniek]

[b]
Waarom niet gewoon, omwille van de leesbaarheid:

$DNAT[0]['internalip'] = "192.168.1.100";
$DNAT[0]['externalport']="22";

Ik weet niet of Bash dit snapt hoor, maar Perl vast wel.

Ik krijg het niet aan de gang Java kan het wel, dat weet ik zeker, maar perl slikt het niet. Hij geeft geen fout, maar je krijgt overal dezelfde inhoud terug, met ', met " en ook met niks eromheen als je begrijpt wat ik bedoel. Iemand een idee??

[Bor]

niekniek schreef op woensdag 18 januari 2006 @ 15:42:
[...]

Uitleg, doe eerst wat meer huiswerk voordat je dat vraagt, dit staat er op de lokiwall site:
- Dual routing (Dual Routing gives you the ability to use two internet connections simultaniously)
- Fail Over (When one of two internet connections goes down, the other takes over the full load)
- Load Balancing (When using two internetconnections the slower one will get less traffic)
- Traffic Control (Traffic control is not yet functional in version 0.1)
- Advanced Masquerading (Gives you the ability to masquerade traffic from certain ip's or subnets (and block certain ip's etc.))
- Advanced DNAT (Portforwarding, virtual server or whatever fancy name u think is best )
- Advanced Marking (to be able to direct certain traffic to a certain interface)

Mijn punt is dat je termen gebruikt die niet standaard zijn en dus snel door een ander fout geinterpreteerd zullen worden. Dual routing is in veel gevallen het hebben van een failover routing module (dus fail over voor de routing module). Traffic control is zo breed en vaag dat het weinig zegt, bedoel je hier bv QoS mee of alleen op de router poortjes knijpen? Marking is geen "standaard" term maar meer een vorm van routing (via welke interface route ik naar buiten). Load balancing is het verdelen van load over 2 of meerdere verbindingen, dat wil niet direct zeggen dat de langzamere verbinding minder traffic krijgt te verstouwen.

Niet als negatief punt maar meer als opbouwende kritiek. Zorg dat de definities helder en standaard zijn.

[Randal Peelen]

Ik heb zojuist de documentatie flink uitgebreid. De punten zijn nu iig een stuk duidelijker, dus als er binnen het Lokiwall project later nog naar verwezen wordt lijkt het me duidelijk wat er bedoeld wordt .

http://lokiwall.sourceforge.net/documentation.php

[BoAC]

Komen er ook nog configuratie-pagina's aan in een of andere vorm?
Bijvoorbeeld om de firewall te configureren via http oid

[Verwijderd]

niekniek schreef op donderdag 19 januari 2006 @ 17:44:
[...]


Ik krijg het niet aan de gang Java kan het wel, dat weet ik zeker, maar perl slikt het niet. Hij geeft geen fout, maar je krijgt overal dezelfde inhoud terug, met ', met " en ook met niks eromheen als je begrijpt wat ik bedoel. Iemand een idee??

Een paar maanden geleden ben ik voor mijn afstudeerstage bezig geweest met Perl. Ik zocht ook een soortgelijke functionaliteit. Een oplossing:

code:

#!/usr/bin/perl

# vul een hash met waardes
$hash{'foo'}="foo";
$hash{'bar'}="bar";

# sla het adres (de referentie) van de hash op in een array element, dmv de \
$array[0]=\%hash;

# print de waardes in de hash door het adres in de array te derefereren, dmv ->
print $array[0]->{'foo'} . "\n";
print $array[0]->{'bar'} . "\n";

Mijn ervaring is dat je even goed moet door hebben hoe het zogenaamde (de)referencing van verschillende datatypes werkt in Perl. Een link die mij enorm heeft geholpen met het begrijpen hoe Perl met dergelijke zaken omgaat is: http://www.unix.org.ua/orelly/

Hier vind je een aantal online boeken over Perl. Dat ze al wat ouder zijn maakt bij dit onderwerp niet veel uit. Bijna allemaal hebben ze topics met betrekking tot reference dus neem er even de tijd voor! Als je het eenmaal goed door hebt is het heel handig.

[Bor]

BoAC schreef op vrijdag 20 januari 2006 @ 13:00:
Komen er ook nog configuratie-pagina's aan in een of andere vorm?
Bijvoorbeeld om de firewall te configureren via http oid

Interessant. Wordt een gui als FWbuilder meegeleverd / ondersteund?

[Randal Peelen]

Voorlopig staat een html interface op de plannig voor versie > 0.3, dat plan bestaat dus al en gaat er ook komen.

Staat ook op:
http://lokiwall.sourceforge.net/todo.php

v0.?
----
- Web interface
- IPv6

Verder is het idee van Lokiwall juist dat het mooi simpel is, even uitpakken en het werkt. Of iig, dat zou het moeten doen, dat wordt dus nog getest. Aan een grafische interface heb je niet zoveel als je dat ding eigenlijk maar een keer in hoeft te stellen en alleen maar een paar jaar zijn werk hoeft te laten doen. Mensen die thuis zijn op de commandline, of alleen al in een grafische, simpele, tekstverwerker, zouden hier geen problemen mee moeten hebben.

Maar wie weet staat er ooit iemand op die aan een grafische interface begint, daar is het tenslotte open source voor!

Anyhow, dat is het idee achter het project, tot nu toe

[ Voor 8% gewijzigd door Randal Peelen op 20-01-2006 13:51 ]

[Bor]

Jimmy Pop schreef op vrijdag 20 januari 2006 @ 13:49:
Voorlopig staat een html interface op de plannig voor versie > 0.3, dat plan bestaat dus al en gaat er ook komen.

Staat ook op:
http://lokiwall.sourceforge.net/todo.php

[...]


Verder is het idee van Lokiwall juist dat het mooi simpel is, even uitpakken en het werkt. Of iig, dat zou het moeten doen, dat wordt dus nog getest. Aan een grafische interface heb je niet zoveel als je dat ding eigenlijk maar een keer in hoeft te stellen en alleen maar een paar jaar zijn werk hoeft te laten doen. Mensen die thuis zijn op de commandline, of alleen al in een grafische, simpele, tekstverwerker, zouden hier geen problemen mee moeten hebben.

Anyhow, dat is het idee achter het project, tot nu toe

Kan ik mij voorstellen dat je dat als uitgangspunt hebt genomen. Zelf zou ik de afwezigheid van een gui een showstopper vinden in een omgeving die vrij dynamisch is. Een gui en een goede logviewer zijn dan super. Een precompiled script als deze is namelijk ook vooral interessant voor de mensen die zelf de kennis niet hebben om het geheel samen te stellen lijkt me. Zijn jullie ook van plan VPN mogelijkheden in te gaan bouwen?

[Randal Peelen]

Er is al ondersteuning om meerdere types vpn toe te staan op de firewall zelf, dan moet een andere daemon het dus verder afhandelen. Het configureren van een vpn staat nog niet op de agenda voor Lokiwall, ik denk ook niet dat dat voorlopig een van de doelen zal zijn.

Verder heb je helemaal gelijk dat een gui handig is. Persoonlijk zou ik het ook leuk vinden als die er ooit komt, maar voorlopig zie ik alsnog veel nut in de huidige configuratie. Ik heb zelf niet meegedaan met het ontwikkelen van de firewall, maar heb er regelmatig met de neus bovenop gezeten dat men bezig was alle iptables patches uit te zoeken, kernel modules te vinden en eindeloze regels code te tweaken. Voordat je op eigen kracht bereikt wat je met Lokiwall in een paar minuten kan opzetten, ben je gegarandeerd een paar dagen tot weken verder.

Maargoed, voorlopig zit het project op een punt dat er vooral veel getest moet gaan worden met de huidige mogelijkheden, vandaar ook dit topic. Een aantal onderdelen kan daarna toegevoegt worden. Ideaal zou zijn als er mensen zijn die zelf een en ander aan extra's willen aanleveren.

[Confusion]

igmar schreef op woensdag 18 januari 2006 @ 16:52:
Sja.. niks verhinderd mij om SSH over poort 80 te gooien. Dat maakt een firewall al heel wat minder zinnig. Is het gecompliceerd : ja. Is het te doen : Ja.

Als een server SSH niet op poort 80 aanbiedt, dan kan je het daar toch ook niet overheen gooien? En als je het zelf op die poort aanbiedt, kan je je firewall daar toch op aanpassen?

[Verwijderd]

En denk nu eens andersom

Ik wil vanuit een door een firewall beschermd restrictief (bedrijfs-)netwerk naar buiten zien te komen om mezelf bepaalde diensten aan te bieden.

Of ik wil vanuit datzelfde netwerk via mijn client PC de boel wagenwijd open zetten.

[ Voor 72% gewijzigd door Verwijderd op 20-01-2006 19:44 ]

[niekniek]

Heeft iemand hem nu al geprobeerd?? Zo ja, post wat bevindingen! En met proberen bedoel ik dus het daadwerkelijk draaien van het gebeuren.

Ik hoor het wel.

[BoAC]

Jimmy Pop schreef op vrijdag 20 januari 2006 @ 13:49:
Voorlopig staat een html interface op de plannig voor versie > 0.3, dat plan bestaat dus al en gaat er ook komen.

Staat ook op:
http://lokiwall.sourceforge.net/todo.php

[...]

Verder is het idee van Lokiwall juist dat het mooi simpel is, even uitpakken en het werkt. Of iig, dat zou het moeten doen, dat wordt dus nog getest. Aan een grafische interface heb je niet zoveel als je dat ding eigenlijk maar een keer in hoeft te stellen en alleen maar een paar jaar zijn werk hoeft te laten doen. Mensen die thuis zijn op de commandline, of alleen al in een grafische, simpele, tekstverwerker, zouden hier geen problemen mee moeten hebben.

Ik zou dan bijv. ook de status van mijn firewall daar willen zien en de data-hoeveelheden die er zijn verstouwd

Maar wie weet staat er ooit iemand op die aan een grafische interface begint, daar is het tenslotte open source voor!

Anyhow, dat is het idee achter het project, tot nu toe

niekniek schreef op maandag 23 januari 2006 @ 16:01:
Heeft iemand hem nu al geprobeerd?? Zo ja, post wat bevindingen! En met proberen bedoel ik dus het daadwerkelijk draaien van het gebeuren.

Ik hoor het wel.

Geduld ik ga er zeker naar kijken

[niekniek]

[b]
Een paar maanden geleden ben ik voor mijn afstudeerstage bezig geweest met Perl. Ik zocht ook een soortgelijke functionaliteit. Een oplossing:

code:

#!/usr/bin/perl

# vul een hash met waardes
$hash{'foo'}="foo";
$hash{'bar'}="bar";

# sla het adres (de referentie) van de hash op in een array element, dmv de \
$array[0]=\%hash;

# print de waardes in de hash door het adres in de array te derefereren, dmv ->
print $array[0]->{'foo'} . "\n";
print $array[0]->{'bar'} . "\n";

Bedankt voor de tip, weet ik dat het wel kan. We hebben echter besloten het toch maar bij de nummertjes te houden, want dit toepassen heeft geen voordelen wat betreft de leesbaarheid van de configuratiebestanden.

[Bor]

Is er al nagedacht over snmp ondersteuning overigens (of heb ik hier overheen gelezen)? Dat lijkt me een must in sommige omgevingen.

[leuk_he]

Verwijderd schreef op dinsdag 17 januari 2006 @ 15:59:

We hebben onlangs de eerste release van de firewall uitgebracht en hij heet LokiWall, Loki is de griekse Germaanse god van het vuur dus vandaar .

beetje offtopic..... maar ik wil het toch effe kwijt.

van wikipedia....

germaanse god & noorse mythologie....

Hij was een onruststoker die vaak van gedaante veranderde. Hij werd steeds boosaardiger en tenslotte sloten de goden hem op in een grot, waar hij zou blijven tot Ragnarok, het einde van de wereld. Loki verveelde zich daar vreselijk.

Zijn boosaardige inslag kwam misschien voort uit het feit dat zijn ouders reuzen waren. Hij kon het niet laten gewaagde grappen uit te halen en de goden in gevaar te brengen, al redde hij hen vaak ook weer dankzij zijn slimheid.

kortomn een slechte grap om je firewall zo te noemen.

[Verwijderd]

Lokiwall is ook in het nieuws!
http://www.opensourcenieuws.nl/index.php/content/view/3078/

En er is een nieuwe release, release 0.1.2.
Changelog: http://lokiwall.sourceforge.net/changelog.php

[ Voor 37% gewijzigd door Verwijderd op 08-02-2006 14:05 ]

[Verwijderd]

*geeft nog maar is een schopje*

We zoeken nog steeds beta-testers, nog vrijwilligers aanwezig ?

[Joghert]

goed dan, zal ik m ff testen, puur om de routing mogelijkheden dan. Mn desktop eindigt op een dubbele lijn, met daartussen nog meerdere routing pc's.

[ Voor 4% gewijzigd door Joghert op 10-04-2006 16:41 ]

[Verwijderd]

okay nice

offtopic:
zit je ook in #selwerd ?

[Joghert]

was je nick daar dan ?, gaan we daar slowchatten

[Superboer12]

Er worden dus meerdere externe (internet) netwerken ondersteund.
Hoe zit het met meerdere interne netwerken?

Ik heb zelf 1 internet verbinding en 2 compleet van elkaar staande interne netwerken.
Als dit ondersteund wordt heb je er volgende week een beta-tester bij (eerst nog wat tentamens..)

[Verwijderd]

hoe bedoel je dat precies?
heb je 1 interface waarop beide lans binnenkomen of zijn het 2 interfaces. In beide gevallen moeten we dat even implementeren maar dat lijkt ons geen probleem... GELD?

Beide lans mogen elkaar waarschijnlijk niet zien?

[psyBSD]

Verwijderd schreef op woensdag 12 april 2006 @ 17:31:
...
In beide gevallen moeten we dat even implementeren maar dat lijkt ons geen probleem... GELD?
...

Ehh grapjas.

[Polichism]

daft_dutch schreef op woensdag 18 januari 2006 @ 15:04:
Naar mijn weten is Loki een Reus.

Loki- Loki is known as the trickster god, the mischief maker, the father of lies and deceit. Loki is counted among the Æsir gods, but he is not one of them. Some say that he and Odhinn were blood brothers, which is why none of the gods dared to harm Loki, no matter how mischievous and malevolent he becomes. Loki is associated with the hearth fires and over time came to be associated with evil. It was due to Loki that the gods received the gifts of Ilvadi's sons and of Brokk and Sindri. It was due to Loki's words at Ægir's feast and his hand in the death of Balder that the gods finally set out to capture and punish Loki.

Loki (ook Loke of Lopt) is de god van het vuur in de Noorse mythologie en Germaanse mythologie.

Hij was een zoon van Farbauti en Laufey. Hij was een onruststoker die vaak van gedaante veranderde. Hij werd steeds boosaardiger en tenslotte sloten de goden hem op in een grot, waar hij zou blijven tot Ragnarok, het einde van de wereld. Loki verveelde zich daar vreselijk.

Zijn boosaardige inslag kwam misschien voort uit het feit dat zijn ouders reuzen waren. Hij kon het niet laten gewaagde grappen uit te halen en de goden in gevaar te brengen, al redde hij hen vaak ook weer dankzij zijn slimheid.

http://nl.wikipedia.org/wiki/Loki

[Superboer12]

Verwijderd schreef op woensdag 12 april 2006 @ 17:31:
hoe bedoel je dat precies?
heb je 1 interface waarop beide lans binnenkomen of zijn het 2 interfaces. In beide gevallen moeten we dat even implementeren maar dat lijkt ons geen probleem... GELD?

Beide lans mogen elkaar waarschijnlijk niet zien?

Het gaat om drie interfaces
eth0 = LAN1, 10.0.0.x
eth1 = LAN2, 192.168.1.x
eth2 = Internet
Er mag absoluut niet geroute worden tussen de twee LAN's.

Geld heeft deze scholier ook niet.......

[Verwijderd]

Superboer_12 schreef op donderdag 13 april 2006 @ 15:29:
[...]

Het gaat om drie interfaces
eth0 = LAN1, 10.0.0.x
eth1 = LAN2, 192.168.1.x
eth2 = Internet
Er mag absoluut niet geroute worden tussen de twee LAN's.

Geld heeft deze scholier ook niet.......

Dit is zeker een optie die handig kan zijn, we gaan hier zeker even naar kijken.. het lijkt me niet al te moeilijk te implementeren (like said before)

[Superboer12]

Ik heb het net op een test systeem gestart.
Ik post nu via die bak en dus via deze firewall

Ik vraag me alleen af wat nou precies de bedoeling is van:

code:

# update hosts for apt-get (just http)
UPDATES=1
UPDATE_HOST1=ftp.surfnet.nl
UPDATE_HOST2=security.debian.org
UPDATE_PROTO=ftp        # Choose a protocol, http, ftp

code:

# --------------------------------------------------------------
# EXT_TO_LO
# --------------------------------------------------------------

# Everything
EXT_TO_LO_EVERYTHING=0

#If the one above is 0, the following can be used:
EXT_TO_LO_SMTP=0
EXT_TO_LO_VPN=0
EXT_TO_LO_HTTP=1
EXT_TO_LO_HTTPS=0
EXT_TO_LO_POP=0
EXT_TO_LO_IMAP=0
EXT_TO_LO_IMAPS=0
EXT_TO_LO_SSH=0
EXT_TO_LO_MYSQL=0

Daarnaast zou ik aanraden om ook FTP in dit lijstje op te nemen.
En nog een vraagje, hoe voeg je hier een custom poort aan toe?

Ik moet zeggen dat het lekker snel werkt.
De config is goed te begrjipen en biedt toch genoeg opties.
Ook heel fijn dat er geen console messages gespuugd worden.
Op m'n echte server is dat wel het geval (firestarter).

[Verwijderd]

De update hosts zijn bedoelt voor als je bijv debian draait om daar de hosts in te zetten naar de apt-get repository, hiermee word voor hun dan de access open gezet om dingen te updaten

Ftp opnemen in het lijstje is zeker een goeie, verder kan je via DNAT in de advanced_settings een eigen port open zetten naar een host in het netwerk of naar de fileserver zelf.

[ Voor 36% gewijzigd door Verwijderd op 25-04-2006 12:30 ]

[Superboer12]

Okay dat ga ik straks proberen.

Dus die updates functie is voor als je voor de rest geen http/ftp verkeer toestaat?

[Verwijderd]

jup, als je bijv alles hebt dichtzitten dan kan je alleen voor die host het openzetten zodat jou package manager zichzelf kan blijven updaten, dit zou anders niet meer werken :-)

[Parasietje]

[Off-topic]
Ik denk dat application-level firewalls niet gemaakt worden omdat er
1) niemand nood aan heeft
2) het te saai werk is om steeds opnieuw RFC's te doorlezen en te implementeren in je firewall.

[On-topic]
Leuk initiatief, hoewel ik er zelf nooit voor geweest. Jullie hebben mij wel ideeën gegeven voor mijn eigen firewall, en nu kan ik meteen zien hoe dat makkelijk gedaan kan worden!

[Verwijderd]

veel plezier met het maken van je eigen firewall :-)

[Verwijderd]

Lokiwall 0.1.4 is net released, klik hierrrr voor de changelog

[Superboer12]

going to download

[Superboer12]

hmmm, misschien dat het aan mij ligt, maar 1.4 doet bijzonder weinig.
volgens het error log gaat het fout in firewall_start op regel 28

ik heb 1.3 er weer opgezet en het werkt weer.

[Verwijderd]

Ik heb even naar het probleem gekeken, als je op regel 28 in de firewall start een nutteloze var toevoegt werkt het wel.
Voorbeeld

code:

function customRules {
  var="nouse" # you can delete this line when you make your own iptables rules,
   # this line is only to prevent the firewall from not working ;-)
}

ik zal ook gelijk de release editen, bedankt voor het melden!

[Superboer12]

yep, net weer geupdate naar 1.4 en het werkt fijn (Y)

[Superboer12]

In 1.4 is het instellen van de special hosts veranderd, maar dit werkt bij mij nog niet.
De pc met IP 10.0.1.100 heeft alleen toegang tot HTTP (EXT_TO_LO HTTP staat aan), maar heeft voor de rest nergens toegang tot.

quote: settings

# Allow special hosts (Check the advanced_settings for more configurable options)
ALLOW_SPECIAL_HOSTS=1

quote: advanced_settings

#-----------------------------------
# Hosts to allow
#-----------------------------------
$ALLOW_HOST[0] = "10.0.1.100";

[TGEN]

Verwijderd schreef op dinsdag 17 januari 2006 @ 15:59:
[...] Deze firewall is gemaakt omdat wij vonden dat er nog geen firewall was die dualrouting, failover, loadbalancing, QoS, traffic control en nog meer dingen aankon en daarnaast ook nog eens vrij simpel te configureren was. [...]

Misschien offtopic, maar ik wil je dan graag wijzen op pf, dat dualrouting ondersteunt met pfsync, failover met CARP, loadbalancing inherent, QoS met ALTQ, traffic control inherent en nog meer .

[Verwijderd]

Ja, erg leuk dat pf.. is het ook onder linux beschikbaar? en volgens mij krijg je bij PF ook niet maarzo een dualrouting setup aan de gang.. hiervoor moet je afaik ook aardig configgen. Dit is lokiwall dus niet. Spare us the offtopics plz.

[TGEN]

Niet onder Linux nee, maar hoezo is dat een probleem?

[Verwijderd]

Zullen we het verder ontopic houden? Tis leuk dat pf bestaat, maar we hebben het in dit topic over lokiwall...

[Superboer12]

Hoe werkt het port forwarden nu precies?
Het wil namelijk nog niet lukken.

in settings staat ' DNAT=1'
en advanced settings:

# ---------------------------------
# DNAT
# ---------------------------------
$DNAT[0][0]="10.0.0.100"; # Ip Address
$DNAT[0][1]="64221"; # Port External
$DNAT[0][2]="64221"; # Port Interal
$DNAT[0][3]="tcp"; # Protocol
$DNAT[0][4]="bond0"; # Interface

Ik heb het ook geprobeerd met eth2 als interface (ADSL verbinding)

[niekniek]

Superboer_12 schreef op vrijdag 28 april 2006 @ 19:39:
In 1.4 is het instellen van de special hosts veranderd, maar dit werkt bij mij nog niet.
De pc met IP 10.0.1.100 heeft alleen toegang tot HTTP (EXT_TO_LO HTTP staat aan), maar heeft voor de rest nergens toegang tot.


[...]


[...]

Volgens mij snap ik waar het mis gaat; die functie dient ervoor om vanaf bepaalde externe IP's toegang te verlenen tot de server. Dus; niemand van internet mag iets doen met de server, behalve vanaf die IP's die in de special hosts staan, als je daar vandaan komt mag je via elke poort en elk protocol connecten met de firewall. Ideaal voor veilig remote beheer.

Jij gaat nu vanaf je ene LAN naar de firewall toe, dus draait er op de firewall een webserver, en verder kun je dus nergens bij zeg je. Waar dat nu precies in zit weet ik niet, zal wel iets zijn omdat het niet voor LAN bedoeld is ofzo, maar goed, je kunt ff wat custom rules toevoegen, dan ben je d'r ook weer. Hopelijk doe ik het in 1 keer goed:

iptables -A INPUT -p all -i eth0 -s 10.0.1.100/32 -j ACCEPT
iptables -A OUTPUT -p all -o eth0 -d 10.0.1.100/32 -j ACCEPT

Overigens is je subnet 10.0.0.x zeg je, en het ip in kwestie is 10.0.1.100, dat komt niet helemaal overeen, dat ken ook wat wezen...

[ Voor 8% gewijzigd door niekniek op 17-05-2006 22:39 ]

[niekniek]

Superboer_12 schreef op zondag 07 mei 2006 @ 16:41:
Hoe werkt het port forwarden nu precies?
Het wil namelijk nog niet lukken.

in settings staat ' DNAT=1'
en advanced settings:
[...]

Ik heb het ook geprobeerd met eth2 als interface (ADSL verbinding)

Zou moeten gaan... gaan we naar kijken...

[Superboer12]

niekniek schreef op woensdag 17 mei 2006 @ 22:37:
[...]
Jij gaat nu vanaf je ene LAN naar de firewall toe, dus draait er op de firewall een webserver, en verder kun je dus nergens bij zeg je. Waar dat nu precies in zit weet ik niet, zal wel iets zijn omdat het niet voor LAN bedoeld is ofzo, maar goed, je kunt ff wat custom rules toevoegen, dan ben je d'r ook weer.
[....]
Overigens is je subnet 10.0.0.x zeg je, en het ip in kwestie is 10.0.1.100, dat komt niet helemaal overeen, dat ken ook wat wezen...

Voor de test-server is mijn eerste LAN gelijk aan het internet. Dit zou toch niet uit mogen maken?
Met v1.3 werkte het trouwens wel.