Але за великої кількості підключень спрацьовують обмеження на кількість одночасних сесій підключень.
 |
| Proxmos VE, Shell, dmesg |
 |
| Not help, /etc/sysctl.conf |
 |
| Proxmox VE, GUI, Node, Firewall. Options. nf_conntrack_max |
Моніторинг значень - nf_conntrack_count: "watch -n 1 "cat /proc/sys/net/netfilter/nf_conntrack_count"
 |
| watch -n 1 "cat /proc/sys/net/netfilter/nf_conntrack_count" |
⌛ Нові часи швидкостей 📶 і нове обладнання приходиться опановувати.
Так опановую налаштування 100Gb обладнання 🔨 на прикладі "Celestica Seastone DX010, 32-Port 100G QSFP28 Onie Switch" з операційною системою SONiC OS.
🚆 Великі швидкості передачі - великі вимоги до часу ⛳ обробки мережевих пакетів. Для пришвидшення обробки використовуються спеціальні апаратні акселератори (ASIC), наприклад, Broadcom Tomahawk ASIC.
🚀 ASIC своєю чергою можуть мати свої обмеження 🚧, такі, наприклад як
stateless firewall правила в
ACL
|
|
stateless firewall |
|
|
statefull firewall |
Ось це 6-й курс "Sound the Alarm: Detection and Response" з 8-ми курсів за напрямком Google Cybersecurity Professional Certificate на платформі Coursera та за підтримки (2022-2023 UA Prometheus) - успішно завершено.
Google Cybersecurity Professional Certificate - Sound the Alarm: Detection and Response
Ось це 5-й курс "Assets, Threats, and Vulnerabilities" за напрямком Google Cybersecurity Professional Certificate на платформі Coursera та за підтримки (2022-2023 UA Prometheus) - успішно завершено.
Google Cybersecurity Professional Certificate - Assets, Threats, and Vulnerabilities
Ось це 4-й курс "Tools of the Trade: Linux and SQL" за напрямком Google Cybersecurity Professional Certificate на платформі Coursera та за підтримки (2022-2023 UA Prometheus) - успішно завершено.
 |
| Google Cybersecurity Professional Certificate - Tools of the Trade: Linux and SQL |
Ось це 3-й курс "Connect and Protect: Networks and Network Security" за напрямком
Google Cybersecurity Professional Certificate
на платформі
Coursera та за
підтримки (2022-2023 UA Prometheus) - успішно завершено.
 |
| Google Cybersecurity Professional Certificate - Connect and Protect: Networks and Network Security |
Є задача підключити nginx як ssl proxy для служб електронної пошти, з перевіркою авторизації у nginx. Використання nginx дозволить використати сучасні ssl сертифікати, у випадку коли поштові сервіси не можуть це зробити за певних умов. Наприклад коли необхідна додаткова перевірка авторизації через сертифікати ssl клієнта.
|
|
Додаткова авторизація через SSL client certificate. |
Для підтримки авторизації через SSL client certificate сторона сервера посилає додатковий запит клієнту на те що очікує від нього особистого сертифікату. Запит описує чи має бути відновіть від клієнта з особистим сертифікатом клієнту обов'язковим чи за бажанням. Надалі клієнт надсилає, а сервер перевіряє отриманий особистий сертифікат клієнту чи був він виданий певним центром сертифікації (CA) та чи він не був відкликаний, або не слив термін придатності. На цьому перевірка закінчена, будь який дійсний сертифікат виданий центром сертифікації (CA) буде прийнятним для сервера.
Забезпечити безпечне мережеве з'єднання між двома офісами і віддаленим користувачем.
За даних умов вибирається VPN підключення на базі сервера OpenVPN, через підключення UDP IPv4.
Схематично план підключення зображено на малюку.
 |
| OpenVPN client - OpenVPN client |
Базово, якщо створити віртуальну машину у TrueNAS/FreeNAS то дещо обмежено у користуванні: мережа підключається через bridge а він не пропускає не IP пакети.
Це тому-що bridge в TrueNAS/FreeNAS має ввімкнуте налаштування: net.link.bridge.pfill_onlyip=1, що обмежує проходження пакетів тільки протоколу IP, (set to 0 to unconditionally pass all non-IP Ethernet frames).
Тому встановимо net.link.bridge.pfill_onlyip=0 в системних налаштуваннях TrueNAS/FreeNAS:
 |
| Sysctl: net.link.bridge.pfill_onlyip |
Після перезавантаження віртуальна машина зможе отримати всі non-IP Ethernet пакети котрі недохідні для PPPoE, DHCP або іншого сервера наприклад в pfSense.
За матеріалами:
 |
| Діаграма підключень |
 |
| Email Report pfSense-upgrade -c |
 |
| Використання таблиці IP_COUNTRY_ALLOWED_NG у правилах |
#!/bin/sh
cntlines=$(/sbin/pfctl -t IP_COUNTRY_ALLOWED_NG -T show | wc -l)
if [ $cntlines -le 100 ]
then
echo "count of pf table IP_COUNTRY_ALLOWED_NG is ($cntlines) less than 100, try reload pfblockerng.php"|/usr/local/bin/php /usr/local/bin/mail.php -s'[gw] IP_COUNTRY_ALLOWED_NG' postmaster@yourdomain.com
/usr/local/bin/php /usr/local/www/pfblockerng/pfblockerng.php cron >> /var/log/pfblockerng/pfblockerng.log 2>&1
fi
 |
| Додав перевірку таблиці за розкладом cron |
# basic pfctl control # == # Related: http://www.OpenBSD.org # Last update: Tue Dec 28, 2004 # == # Note: # this document is only provided as a basic overview # for some common pfctl commands and is by no means # a replacement for the pfctl and pf manual pages. #### General PFCTL Commands #### # pfctl -d disable packet-filtering # pfctl -e enable packet-filtering # pfctl -q run quiet # pfctl -v -v run even more verbose
#!/bin/sh
echo "START"
for i in $(jot - 1 99); do
hip="m$i.esputnik.com";
ip=$(host -t a $hip | awk '{print $4}');
for addr in $ip
do
echo "$addr" >> block_ip_loop.txt
done
done
for addr in $(sort -u block_ip_loop.txt).
do
echo "blocking $addr"
./ipfw-blockip-by-hand.sh 9999999 $addr
done
rm block_ip_loop.txt
echo "END"
touch /etc/fw-cron/child.1.sh
touch /etc/fw-cron/child.0.sh
chmod +x /etc/fw-cron/child.*
