Freebsd не работает traceroute

• RE: traceroute не работает, lavr, 15:16 , 12-Июл-01, (1)
  • RE: traceroute не работает, DmitryDemin, 16:50 , 12-Июл-01, (2)
    • RE: traceroute не работает, lavr, 17:07 , 12-Июл-01, (3)
• RE: traceroute не работает, artem, 16:31 , 13-Июл-01, (4)
  • RE: traceroute не работает, DmitryDemin, 21:30 , 13-Июл-01, (5)
    • RE: traceroute не работает, lubeg, 03:55 , 15-Июл-01, (6)
    • RE: traceroute не работает, lubeg, 03:57 , 15-Июл-01, (7)
      • RE: traceroute не работает, DmitryDemin, 15:01 , 15-Июл-01, (8)
        • RE: traceroute не работает, lavr, 15:51 , 15-Июл-01, (9)
          • RE: traceroute не работает, DmitryDemin, 18:28 , 16-Июл-01, (10)
            • RE: traceroute не работает, Yuri A. Kabaenkov, 19:26 , 16-Июл-01, (11)
              • RE: traceroute не работает, DmitryDemin, 21:26 , 16-Июл-01, (12)
                • RE: traceroute не работает, lavr, 23:15 , 16-Июл-01, (13)
                  • RE: traceroute не работает, DmitryDemin, 19:16 , 17-Июл-01, ( 15 )
                    • RE: traceroute не работает, lavr, 20:13 , 17-Июл-01, ( 16 )
                      • RE: traceroute не работает, DmitryDemin, 21:26 , 17-Июл-01, ( 17 )
                      • RE: traceroute не работает, lavr, 22:06 , 17-Июл-01, ( 18 )
            • RE: traceroute не работает, lavr, 14:21 , 17-Июл-01, (14)

Hi! Да, нашел /usr/sbin/traceroute. Вот его
атрибуты
-r-sr-xr-x 1 root wheel 12076 Mar 20 2000 traceroute
Что за атрибут «s»? set user id on execution — что это, может тут проблема? хотя пробовал ставить rwxrwx— — проблема остается. директория drwxr-xr-x. Все делается под рутом.

Всего хорошего!
С уважением, Dmitry.

>Hi! Да, нашел /usr/sbin/traceroute. Вот его
>
>атрибуты
>-r-sr-xr-x 1 root wheel
> 12076 Mar 20
>2000 traceroute
>Что за атрибут «s»? set user
>id on execution — что
>это, может тут проблема? хотя

setuid bit, все нормально.

>пробовал ставить rwxrwx— — проблема
>остается. директория drwxr-xr-x. Все делается
>под рутом.

странно, смотри сетевые устройства, хотя root’у
можно все.

>Всего хорошего!
>С уважением, Dmitry.

А у тебя гейт — то пингуется вообще?
Может какая-нибудь хрень прописана в /proc/sys/net/ipv4/ ?

Hi! Да, все пингуется. А такой директории /proc/sys. нет, есть /proc/1.
Вот пока и все. Главное что из виндовой машины работает! (пакет WS_PingProPack). А захожу с нее же телнетом — пермишн дениед 🙁

Всего хорошего!
С уважением, Dmitry.

у тебя случаем не Mandrake стоит?
у меня была такая проблема после того как я поигрался малость с /proc
т.к. времени на поиск не было, то пришлось переустанавливать — помогло. 🙂

у тебя случаем не Mandrake стоит?
у меня была такая проблема после того как я поигрался малость с /proc
т.к. времени на поиск не было, то пришлось переустанавливать — помогло. 🙂

Hi! Нет, это все под FreeBSD 4.0. В /proc я вообще никогда не лез. Переустановить 🙂 да ты что! сколько уже там сделано для работы.

Всего хорошего!
С уважением, Dmitry.

>Hi! Нет, это все под FreeBSD
>4.0. В /proc я вообще
>никогда не лез. Переустановить 🙂
>да ты что! сколько уже
>там сделано для работы.

смотри что выдает sysctl и сетевые устройства.

>Всего хорошего!
>С уважением, Dmitry.

Hi! Вобщем кажется я нашел причину странностей трасероуте (или лишь выход из ситуации) — он почему-то хочет работать через «высокие» порты и когда в правила файрвола я добавил строки
ipfw add 1251 pass udp from any 33000-45000 to 172.20.0.1 33000-45000 via fxp0
ipfw add 1252 pass udp from 172.20.0.1 33000-45000 to any 33000-45000 via fxp0

он заработал. Но! сразу у меня вопрос — разве это нормально? Зачем ему такие порты и тем более что они постоянно меняются (поэтому я задал и диапазон)?

Всего хорошего!
С уважением, Dmitry.

тут все просто
у тебя просто закрыт на твоем фаерволе
или на фаерволе выше (скорее всего на твоем) icmp
открой и все будет окей
это частая проблема

Hi! Вот первые строчки из файрвол-конфига —
ipfw add 100 pass all from any to any via lo0
ipfw add 200 pass icmp from any to any
ipfw add 300 deny icmp from any to any frag

Дальше уже для конкретных машин. Ведь есть icmp, пинги ведь ходят. 🙁

Всего хорошего!
С уважением, Dmitry.

>Hi! Вот первые строчки из файрвол-конфига
>-
>ipfw add 100 pass all from
>any to any via lo0
>
>ipfw add 200 pass icmp from
>any to any
>ipfw add 300 deny icmp from
>any to any frag

сперва deny фрагментированные пакеты,
затем разрешить icmp

>Дальше уже для конкретных машин. Ведь
>есть icmp, пинги ведь ходят.
>:(

icmp имеет целый набор пакетов из без 5’ого
жить просто нельзя, вот ссылка:

там в архивах pdf’ы по атакам, сканированию и
блокированию ICMP пакетов

1.75mb when zipped

>Всего хорошего!
>С уважением, Dmitry.

Hi! А разве строка
ipfw add 200 pass icmp from any to any
не открывает доступа всем icmptypes?

А вопрос с трасероуте все-таки открыт — как народ дает доступ такой программе из-под файрвола? Ведь если я открою диапазон портов (как-бы для него), но ведь это же потенциальная дыра.

Может тогда немного по другому — ipfw может ориентироваться на user/group в доступе, а можно ли сделать доступ по названию (или еще какому идентификатору) программы?

ps. а deny frag у меня действительно стояли перед all icmp, это я ошибся.

Всего хорошего!
с уважением, Dmitry.

>Hi! А разве строка
>ipfw add 200 pass icmp from
>any to any
>не открывает доступа всем icmptypes?
>
>А вопрос с трасероуте все-таки открыт
>- как народ дает доступ
>такой программе из-под файрвола? Ведь
>если я открою диапазон портов
>(как-бы для него), но ведь
>это же потенциальная дыра.

потенциальных дыр — пруд пруди, а куча софта
использует свободные порты, например для
данных в верхней части, и что, ВСЕ закрывать?

Запусти сетевой монитор с логгированием, напиши
по нему разбор логов и будешь смотреть что и
откуда, для последующих решений что и как
закрывать.

>Может тогда немного по другому —
>ipfw может ориентироваться на user/group
>в доступе, а можно ли
>сделать доступ по названию (или
>еще какому идентификатору) программы?

wrapper или группа которой можно выполнять
traceroute, если я правильно понял.

>ps. а deny frag у меня
>действительно стояли перед all icmp,
>это я ошибся.
>
>Всего хорошего!
>с уважением, Dmitry.

Hi!
>Запусти сетевой монитор с логгированием, напиши
>по нему разбор логов и будешь смотреть что и
>oткуда, для последующих решений что и как
>закрывать.

Что можешь посоветовать для такого дела? сам файрвол пишет только адрес:порт, но без владельца запроса. tcpdump. тоже нет владельца.

>wrapper или группа которой можно выполнять
>traceroute, если я правильно понял.

wrapper — это программа? а над идеей группы доступа надо подумать.

Всего хорошего!
С уважением, Dmitry.

>Hi!
>>Запусти сетевой монитор с логгированием, напиши
>>по нему разбор логов и будешь смотреть что и
>>oткуда, для последующих решений что и как
>>закрывать.
>
>Что можешь посоветовать для такого дела?
>сам файрвол пишет только адрес:порт,
>но без владельца запроса. tcpdump.
>тоже нет владельца.

на предмет от кого: uid/gid я не в курсах,
не задавался таким вопросом, что-то типа ipacct
вроде есть.
Я обычно мониторил на предмет лишь с какого
ip на какой и по каким портам, ломают JINR
часто, бардачная контора.

>>wrapper или группа которой можно выполнять
>>traceroute, если я правильно понял.
>
>wrapper — это программа? а над
>идеей группы доступа надо подумать.

хошь программа на C, хошь скрипт на чем могешь,
типа: traceroute запрещаешь на выполнение
group/world, переименовываешь, вместо него
traceroute — скриптовый wrapper 711.

типа проверку на то от какого uid запущено и
сверка из разрешенных, короче можно придумать.

>Всего хорошего!
>С уважением, Dmitry.

>Hi! Вобщем кажется я нашел причину
>странностей трасероуте (или лишь выход
>из ситуации) — он почему-то
>хочет работать через «высокие» порты
>и когда в правила файрвола
>я добавил строки
>ipfw add 1251 pass udp from
>any 33000-45000 to 172.20.0.1 33000-45000
>via fxp0
>ipfw add 1252 pass udp from
>172.20.0.1 33000-45000 to any 33000-45000
>via fxp0
>
>он заработал. Но! сразу у меня
>вопрос — разве это нормально?
>Зачем ему такие порты и
>тем более что они постоянно
>меняются (поэтому я задал и
>диапазон)?

почитай Стивенса — socket/streams network
programming.

говорили же посмотри tcpdump/trafshow

>Всего хорошего!
>С уважением, Dmitry.
>
>

Источник