Outline · [ Standard ] · Linear+ LINUX corner, cu si despre Linux (DOAR LINUX).

fail2ban este cea mai abjecta idee proasta cretina scoasa pe fund existenta. Strica toate mecanismele de control al erorii si fluxului de la layer 3 in sus, face depanarea problemei cvasi-imposibila, cu un pic de grija iti garantezi un denial of service clasa intii si genereaza nervi exponential. Am avut anul trecut un schimb de mailuri cu unul, vreo treizeci de bucati, a ajuns sa-mi ataseze chainurile lui din iptablesul ma-sii de rahat (pf il maninca de viu) si cind colo, ce sa vezi la sfirsit? Chain f2b, target drop. "Vai da, aveti dreptate". Nu puisorilor, exponential backoff este solutia decenta daca va provoaca angoasa logurile si cam toate implementarile de servicii L7 ofera acum asa ceva. ssh are, sendmail are, squid are, dovecot are, bind are. Securitatea se implementeaza in alta parte, nu se prinde cu sirma peste protocolul de comunicatie.

fail2ban este cea mai abjecta idee proasta cretina scoasa pe fund existenta.

Strica toate mecanismele de control al erorii si fluxului de la layer 3 in sus, face depanarea problemei cvasi-imposibila, cu un pic de grija iti garantezi un denial of service clasa intii si genereaza nervi exponential.

Am avut anul trecut un schimb de mailuri cu unul, vreo treizeci de bucati, a ajuns sa-mi ataseze chainurile lui din iptablesul ma-sii de rahat (pf il maninca de viu) si cind colo, ce sa vezi la sfirsit? Chain f2b, target drop.

"Vai da, aveti dreptate".

Nu puisorilor, exponential backoff este solutia decenta daca va provoaca angoasa logurile si cam toate implementarile de servicii L7 ofera acum asa ceva. ssh are, sendmail are, squid are, dovecot are, bind are.

Securitatea se implementeaza in alta parte, nu se prinde cu sirma peste protocolul de comunicatie.

fail2ban este cea mai abjecta idee proasta cretina scoasa pe fund existenta.

Amu' in cazul unui router, mie-mi place ca trimite la plimbare jumate din chinejii/rusii care incearca parolele de ssh. Bine, inainte sa-i dai drumul, mai intri un pic prin config, sa nu il lasi sa te impuste in picior cu prima ocazie.

Dar si daca mergem mai departe, ia in considerare ca are out of the box banare de bot scanners pe apache/nginx, poti sa adaugi in el usor integrare cu wordpress-ul (si la cat de des se instaleaza asa ceva in ultima vreme, merita bagat in seama), mno, chestii cu un nivel mai sus decat ce zici tu.

Amu' in cazul unui router, mie-mi place ca trimite la plimbare jumate din chinejii/rusii care incearca parolele de ssh.

MaxAuthTries 1
PasswordAuthentication no
PermitRootLogin no

ssh-keygen -N "Am gagica cea mai tare si masina cea mai mare"
importi in putty, copiezi in ~/.ssh, etc

Asa se rezolva, nu cu fail2ban.

Ok, io inteleg, dar cred ca stii si tu ca poti seta si fail2ban-ul incat sa nu te muste de fund. Destul de usor, daca e sa ma iau dupa cele 5 minute petrecute prin conf-ul lui.

Si dupa intervin si micile avantaje mentionate de mine mai sus, ca pe vreunul care iti scaneaza orice vulnerabilitate, fie si numai incearca sa te scaneze daca ai phpmyadmin instalat, sau iti pistoneaza serverul de mail, etc , l-ai trimis la plimbare de pe intreg serverul.

Da, poti seta fiecare aplicatie in parte sa fie mai sigura decat default-ul, ca ala de obicei e un compromis, dar asa te asiguri ca o sa ai cate ceva de facut la serverul ala tot timpul.

Da, e comod cu fail2ban.

Dar asa-ti asiguri ura mea, prins la mijloc intre client care nu poate trimite mail si provider care da din umeri si spune ca totu-i ok. Si trebuie sa sapi pina dai de fatuca nou angajata care "a tastat gresit parola" si din cauza careia nu are conectivitate un birou intreg. P-orma trebuie sa-l convingi pe alalalt ca f2b-ul lui de fecala, comod si simplu de configurat, taie matzu' la sendmailul lui care "merge perfect de ani de zile, problema e la voi".

Si sa vezi ce fain e cind folosesti rute multiple pentru iesire si la unii le merge si la aia de linga nu, ca asa s-a potrivit hash-ul pe adresa sursa.

Mai sint boii care vor sa faci AXFR de pe scula lor dar uita sa te adauge in allow-transfer, fail2ban-ul insa merge perfect si ei holbeaza ochii si dau din umeri: "la noi nu vine nici o cerere, la voi trebuie sa fie ceva..."

samd, samd.

Moarte lu' fail2ban.

pai si fail2banu' e de vina ca-l folosesc toti berbecii ?

Da, ca trebuie sa vina cu disclaimer mare in documentatie, breaks RFCs x,y,z and causes cancer.

Sau hai sa ne gindim la un scenariu in care syslogul baga citeva sute/mii de linii pe secunda (se ocupa unii cu asta) si fail2ban da drumul la o hoarda de regex-uri pentru fiecare, regexuri a caror implementare merge in timp exponential. Si uite asa, pui fail2ban sa te protejeze de DoS si ajungi sa te DoSezi singur cu doua mii de invalidari de cache pe secunda din cauza a saispe threaduri care fac toate backtracking simultan.

O idee timpita, pusa in practica de genul de om "block drop all proto icmp".

This post has been edited by yhattori: 13 Apr 2016, 13:09

un scenariu in care syslogul baga citeva sute/mii de linii pe secunda (se ocupa unii cu asta) si fail2ban da drumul la o hoarda de regex-uri pentru fiecare, regexuri a caror implementare merge in timp exponential.

1. Orice solutie se alege in functie de situatia data. La asa ceva, mai degraba te abtii, sunt de acord.

2. Daca totusi insisti, tot ce poti sa faci e sa ai grija sa fie regex-uri simple, care sa fail-uie iute.

2. Daca totusi insisti, tot ce poti sa faci e sa ai grija sa fie regex-uri simple, care sa fail-uie iute.

Oricit de simple ar fi, daca implementarea permite backreferences (toate uzuale permit), poti construi o secventa de intrare care sa duca la executie in timp exponential. Mai greu s-o filtrezi prin syslog, dar nu imposibil.

http://www.cs.bham.ac.uk/~hxt/research/reg-exp-sec.pdf

For a minimalistic example [6], consider matching the regular expression a** against the input string a. . .a b, with n repetitions of a. A backtracking matcher takes an exponential time [6] in n when trying to  nd a match; all matching attempts fail in the end due to the trailing b. For such vulnerable regular expressions, an attacker can craft an input of moderate size which causes
the matcher to take so long that for all practical purposes the matcher fails to
terminate, leading to a denial-of-service attack.

This post has been edited by yhattori: 13 Apr 2016, 15:27

Mbun, deci am trecut azi de la Xubuntu 14.04.5 LTS la 16.04.1 LTS. A durat vreo 3 ore pana si-a facut numarul cu download de pachete, instalat, dezinstalat, reinstalat. A dat evident disable la repository-urile partenerilor, le-am pus eu inapoi ulterior

Doua bube minore pana acum:
1. Icon-ul de pe butonul whiskermenu-ului a trebuit sa-l repun la loc manual
2. Teamviewer-ul nu mai mergea nici batut, a trebuit sa-l dezinstalez si sa-l reinstalez la loc.

Chestii enervante:

1. Dupa upgrade, driverele de nVidia tin neaparat sa-mi faca un splash screen cu reclama (la nVidia, desigur).
2. Spatiul ocupat de pe / a crescut de la 6,5 GB la 9,1 GB.
3. Mi-a schimbat tema de xfce si nu mai gasesc tema veche in lista. Nici nu mai stiu cum se numea
4. Noua aplicatie de gestionare a software-ului (de) instalat e ciudata rau. Interesant c-a pastrat si Ubuntu Software Center.
5. Dropbox-ul nu mai are icon in system tray, dar e acolo, chiar s-a actualizat la ultima versiune.
6. Rasnita mea e din 2010, asa ca i-am dat disable la "display compositing" cand am instalat 14.04-le. 16.04 a considerat ca e mai bine sa-i dea enable. Aici a fost Microsoft-style: "las' ca stim noi mai bine decat tine".

Chestii ciudate:
1. Desi n-am nicio conexiune broadband mobila, Network Manager imi arata "You are now registered on the home network". Cool, fara modem/mobil pot sa ma conectez la retele mobile.

This post has been edited by marksman: 22 Sep 2016, 13:34

In mod normal astfel de schimbari majore se fac prin instalare pe curat. E o noua versiune majora de kernel, unele pachete din 14.04 s-ar putea sa nu mearga cu kernel-ul 4.x (surprize neplacute s-ar putea sa ai mai tirziu daca folosesti Linux ca sistem la servici). Daca il folosesti numai acasa s-ar putea sa fie OK daca nu faci development si nu folosesti biblioteci specifice)

Intr-adevar, un sistem folosit in productie e mai bine sa fie instalat "pe curat". O sa vad daca pe partea de development (Eclipse + avr-gcc) exista vreo problema. Din ce stiu eu, pachetele de 14.04 se inlocuiesc cu cele de 16.04. Cand a inceput procesul de upgrade m-a avertizat ca va descarca 1,6 GB de pachete.
Motivul pentru care am preferat upgrade-ul e ca mi-e lene sa adaug manual pachetele care ma intereseaza la instalarea default (desi se poate face intr-un oneliner in bash). Mai e un aspect: sunt pachete care nu se mai folosesc de la un release la altul. Upgrade-ul le dezinstaleaza manual si imi actualizeaza pachetele pentru aplicatiile pe care le folosesc fara sa-mi bat capul.

gcc si Eclipse nu sint probleme, merg fara probleme. Daca folosesti VmWare (player sau workstation), atunci s-ar putea sa ai surprize. Depinde de ce fel de gcc implicit e vazut de Linux. In 14.04 gcc este 4.8, in 16.04 e 5.x (nu retin cit e x). Daca upgrade-ul de distributie nu a facut si upgrade-ul de gcc (adica nu a actualizat versiunea de gcc), atunci s-ar putea sa ai probleme. Nu am reusit sa gasesc unde tine Ubuntu informatia despre versiunea gcc a distributiei.

Eu am inca 14.04 (am programe care NU merg pe kernel 4), dar am instalat de mult ultimul gcc (parca e 5.4), iar 4.8 l-am sters. De fiecare data cind fac un update de kernel VMWare vrea sa recompileze niste module, si bineinteles ca vrea musai gcc 4.8, nu recunoaste nici o alta versiune de gcc (spune ca nu am gcc instalat). E o adevarata aventura sa fac VMWare sa mearga din nou

Buuun, am migrat si celelalte doua sisteme de la 14.04 la 16.04. De data asta n-am intampinat probleme majore. Singurul lucru deranjant e ca, desi am aceeasi tema pe toate cele trei sisteme, la ultimele doua icoanele si unele butoane sunt afisate disproportionat. Desi n-as fi vrut, am schimbat tema. Regenerarea icon cache-ului da eroare si workaroundurile nu functioneaza. Rahat.
Problema cu driverul wireless Atheros care cica ar fi fost rezolvata in 16.04 ramane in continuare: periodic pierde legatura radio si sta deconectat pana la enable/disable wireless.
All in all, am aproape 5 ani fara Windows.

ce versiune de ubuntu sa pun pe un dell mai vechi? am incercat cu ultima insa nu sunt deloc multumit... merge greoi tare (plus probleme cu net-ul, mai tot timpul se deconecteaza)

Xubuntu daca e "mai vechi", Lubuntu daca e in zona "al dreq, nu vrea sa moara hodorogu'"

Corect. Ca si "guideline":
- Core Duo sau Core 2 Duo cu 2-4 GB RAM: Xubuntu
- Atom cu 2-4 GB RAM: merge Xubuntu, dar sa nu te astepti la performante deosebite. Musai "Disable dispay compositing"
- altele mai vechi sau cu RAM mai putin (in general inainte de 2009-2010): Lubuntu

This post has been edited by marksman: 14 Nov 2016, 15:13

multam frumos..... Lubuntu sa fie

am si eu nevoie de ajutor, ca sunt in pana mare de idei..... am descarcat lubuntu, am facut stick bootabil cu rufus si nu am reusit sa-l instalez, nu incarca grub-ul.... am incercat formatarea cu rufus cu optiunea DD activata (sa-l vada ca un disc).....nici asa nu am reusit. am incercat versiunea live , am activat net-Ul (configurat dsl-ul, ca sunt pe rds) si am dat instalare...... am bifat sa descarce de pe net ce-i trebuie si am apasat continuare.......si asa ramane, nu trece la pasul urmator. sugestii?

This post has been edited by kato: 15 Nov 2016, 17:02

Zi si tu exact ce model de dell ai, desi astia n-ar trebui sa aiba probleme cu linucsul de felul lor.
care versiune ai incercat s-o instalezi, cea de 32 sau de 64 de biti?

Optiplex gx 280, ceva degenul asta. Si am pus pe 32.

La optiuni de instalare ce ai ales? Vrei dual boot cu Windows? Daca nu, alege sa formatezi tot discul si sa instalezi GRUB in MBR. A, si vezi prin BIOS sa nu ai activata vreo optiune "antivirus". Am stat mai demult o zi din cauza asta, pana n-am dezactivat-o nu ma lasa sa modific MBR-ul, dadea erori de scriere.

nu vreau dual boot, nu vreau pastrare de date, nimic.... de aici si frustrarea. bios-ul e vechi, de prin 2006, dar am sa vad, poate gasesc ceva de genul antivirus..deja devine frustranta treaba........

Dell Optiplex accepta f bine o distribuție Linux. In afara unor probleme hardware, m-as gândi sa verific suma de control a imaginii iso descărcate.
As schimba si ediția lubuntu 16.04 sau 14.04. Sau alt stick, de proba.
Succes!

Banuiesc ca fiind un computer mai vechi are unitate dvd. Scrie imaginea pe un dvd si boot-eaza asa sa vezi daca merge. Bios-ul din 2006 poate nu se descurca asa bine cu boot-area de pe stick

O ajuns in live interface, deci banui ca o trecut de bootat.

Dar da, prin perioada aia comportamentul la boot from usb era mai ciudat, si eu as prefera s-o scriu pe un dvd.
daca ai incercat 16.10, desi imporibabil sa fie ala motivul, cum s-a zis, mergi pe LTS, adica 16.04
Aici ai imaginea de 32 de biti.
http://cdimage.ubuntu.com/lubuntu/releases...esktop-i386.iso

Exista vreo cauza pentru care cu ssh-add -L nu-mi genereaza o cheie publica valabila pe care sa pot sa o distribui?

L.E. Am rezolvat.

This post has been edited by AR-18-MOS: 16 Nov 2016, 12:34

multumesc de ajutor. incerc alt stick si versiunea asta poate am noroc totusi

Cu placere! Si altadata!

https://www.extremetech.com/computing/23961...inux-foundation

Orice flame declansat ca "razboi" intre OS-uri se va pedepsi cu warn si in caz de recidiva cu suspend. Pe acest topic se discuta STRICT de linux si problemele/reusitele sale. Comparatiile cu alte OS-uri nu isi au locul aici.

Regula ce se aplica incepand cu 3 februarie 2010, ora 21:00.