Ычан — Электроника и ПО

rzz83.png - (112 KB, 726x1443)

iptables Чии Пн 20 ноября 2017 18:14:14 №198389 [Ответ]

Темы посвященной файрволам вообще и iptables в частности не нашел, так что пусть будет здесь.
И сразу вопрос. У меня, среди правил iptables имеется вот такая цепочка:
-A chk_attack -m conntrack --ctstate INVALID -j is_attack
-A chk_attack -f -j is_attack
-A chk_attack -p tcp --tcp-flags ALL ALL -j is_attack
-A chk_attack -p tcp --tcp-flags ALL NONE -j is_attack
-A chk_attack -p tcp ! --syn -m conntrack --ctstate NEW -j is_attack
Она применяется ко всему, что попало в INPUT или FORWARD. Собственно вопрос: насколько такой набор правил эффективен и велика ли вероятность false positive? Что тут следует добавить/убавить?
Сейчас я поднял ipfs-ноду и вижу, что где-то треть пакетов, пришедших на 4001 порт, эти правила блокируют. Мешает ли это работе ноды — без понятия. Вроде работает, но насколько эффективно?

Чии Ср 22 ноября 2017 03:40:14 №198417

У меня человеческий фаервол с человеческим интерфейсом. Его можно даже не настраивать. А если решишься то достаточно элементарных знаний и мышки. Правда он больше не поддерживается и не обновляет файлы автокофигурации. Так что все новые программы он считает неизвестными и подозрительными. Приходится настраивать вручную.
После него никак не могу к другим привыкнуть, где нужно всё помногу раз одно и тоже ручками вводить и даже нету масок подсети.

Чии Ср 22 ноября 2017 07:35:10 №198419

Покажи счетчики для этих правил. iptables -L -n -v
>>198417
> У меня человеческий фаервол с человеческим интерфейсом. Его можно даже не настраивать.
Это как не настраивать? Может отключить его лучше в этом случае?
> нужно всё помногу раз одно и тоже ручками вводить и даже нету масок подсети.
Можно копипастить текстовый конфиг же.

Чии Ср 22 ноября 2017 10:22:03 №198420

>>198419
>Это как не настраивать?
За меня его создатели настраивали. Это для блондинок. Всегда можно было что да как и ручками всё поправить.
>Можно копипастить текстовый конфиг же.
Всёравно ведь от одного фаера к другому конфиги не подходит. Первый раз нужно в ручную настраивать. А после графического удобного и лаконичного интерфейса стены текстовой копипасты выглядят и воспринимаются не иначе как дикость. Вот имеется например программа, для которой нужно настроить правила сетевого доступа. Одно дело протоколы указать и маски сетевые с направлениями и совсем другое для каждого используемого ею айпишника из диапазона вручную прописывать. Потому к примеру вcтроенные в авиру и нод фаерволы меня жутко бесят. Зажрался, да.

Чии Ср 22 ноября 2017 13:29:18 №198424

>>198419
>Покажи счетчики для этих правил. iptables -L -n -v
Chain chk_attack (2 references)
 pkts bytes target     prot opt in     out     source               destination         
17194 1248K is_attack  all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate INVALID
    0     0 is_attack  all  -f  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 is_attack  tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp flags:0x3F/0x3F
    0     0 is_attack  tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp flags:0x3F/0x00
 7536  856K is_atkack  tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp flags:!0x17/0x02 ctstate NEW
Хм… Отсеивает пакеты, как можно видеть, первое и последнее правила.
Первое, наверное, делает это правильно. Пакеты со статусом INVALID — это ведь мусор, так?
А вот последнее — я не уверен (с самого начала подозревал, что с ним что-то не так). Возможно, от потенциального syn-флуда лучше защищаться как-то иначе…

Сообщение слишком длинное. Полный текст.

Чии Ср 22 ноября 2017 14:42:25 №198426

>>198424
> Пакеты со статусом INVALID — это ведь мусор, так?
Так.
Invalid: If none of the previous states (NEW, ESTABLISHED, RELATED) apply the packet is in state INVALID. This could be caused by various types of stealth network probes, or it could mean that you're running out of CONNTRACK entries (which you should also see stated in your logs). Or it may simply be entirely benign.
Второе правило можно погуглить по "new not syn". С ним не всё так однозначно.

>>	Чии Ср 22 ноября 2017 14:43:07 №198427 >>198426 Второе - т.е. последнее.

>>	Чии Ср 22 ноября 2017 20:04:44 №198447 >>198419 Кстати да, вот так поставишь автоматический режим в каком-нибудь комплексном продукте защиты, заглядываешь в конфиг а там "разрешить всё". Нужно аккуратнее с такими штуками, всегда следить и проверять за незнакомыми фаерфолами.

85_t.jpg - (371 KB, 2500x1875)

Аудиовизуальная аппаратура Чии Чт 27 октября 2016 15:47:31 №185712 [Ответ]

Недавно узнал что 27 октября праздник аудиовизуальной аппаратуры. Ну, с праздником!

Пропущено 4 сообщений и 1 изображений. Для просмотра нажмите "Ответ".

>>	Чии Чт 27 октября 2016 19:41:03 №185730 Где-то у меня валялся диплом инженера аудиовизуальной техники.

>>	Чии Сб 07 октября 2017 05:38:03 №197084 >>185712 Бамп спустя почти год!

>>	Чии Сб 07 октября 2017 08:59:39 №197091 >>185712 Обязательно отметим фотками сетапов. мимо-аудиозадрот

>>	Чии Сб 07 октября 2017 11:06:03 №197094 Искал однажды кабель с ферритовыми фильтрами, на меня смотрели как на аудиофила, палатки после третьей стало стыдно спрашивать такой провод.

>>	Чии Сб 07 октября 2017 12:30:59 №197097 >>197084 Э, еще 20 дней.

>>	Чии Сб 07 октября 2017 16:14:24 №197110 s-l1600[1].jpg - (101 KB, 1200x1200) >>197094 Покупай отдельно же и вешай хоть на шнур питания холодильника.

>>	Чии Сб 07 октября 2017 18:48:37 №197118 >>197110 Хм. Славная штучка. А то у меня есть один питальник, и он пошумливает в предусилитель (не 50 Гц наводит, хотя и такой тоже есть, а какой-то шум повыше), вот мне кажется, что ему это дело может даже помочь.

>>	Чии Сб 07 октября 2017 22:56:24 №197133 Кошмар. Это мой тред.

>>	Чии Вс 08 октября 2017 03:45:16 №197148 >>197133 Надеюсь, тебе за него стыдненько.

>>	Чии Вс 08 октября 2017 11:12:53 №197160 >>197148 Стыдно. Очень.

__altera_fate_series_drawn_by_anmi__dde6(...).jpg - (1205 KB, 1418x1000)

mpv Чии Чт 13 июля 2017 11:46:13 №194654 [Ответ]

Чии, помнится, здесь часто появлялись пользователь mpv, которые смотрят аниму. Решил тоже перекатиться на mpv, подскажите, что писать в конфигах, чтобы субтитры из каталога подгружало? У меня равки оверлорда от neko-raws и субтитры от sallysubs. Хочу, чтобы плеер подхватывал их из каталога "subs" и "subtitles". Ну и еще каких-нибудь интересных опций подскажите. Вывод opengl-hq ставить?

Пропущено 100 сообщений и 24 изображений. Для просмотра нажмите "Ответ".

Тем временем MPC всё Чии Ср 19 июля 2017 18:28:43 №194838

https://mpc-hc.org/2017/07/16/1.7.13-released-and-farewell/
>v1.7.13 — это наиболее актуальная и, возможно, последняя версия нашего проекта.
>Последние несколько месяцев (или даже лет) число активных разработчиков неуклонно уменьшалось и наконец достигло нуля. Этот печальный факт означает, что проект официально умер и эта версия MPC-HC станет последней…
>… если только не появятся люди, готовые занять пустующие места.
>Так что если у вас есть опыт программирования на C/C++ и вы хотите внести вклад в этот проект — свяжитесь со мной по IRC или электронной почте.
>Если никто не откликнется — ничего страшного. Всё когда-то заканчивается, а жизнь продолжается. Это было увлекательное путешествие, и то, что я сейчас пишу этот пост, очень многое для меня значит.
>MPC-HC — проект с одиннадцатилетней историей. Спасибо всем, кто все эти годы вносил свой вклад в его развитие.

>>	Чии Ср 19 июля 2017 19:03:26 №194839 >>194838 Свободно, бесплатно, мертво!

>>	Чии Ср 19 июля 2017 19:49:59 №194840 MPC-QT же! :3

>>	Чии Ср 19 июля 2017 20:44:37 №194841 >>194838 Давно пора, на самом деле. Они баги уже давно фиксить перестали, так что это было ожидаемо.

>>	Чии Ср 19 июля 2017 22:07:47 №194842 >>194838 Good night, sweet prince. Они его успели научить правильно проигрывать линкованные файлы из коробки, как обещали?

>>	Чии Ср 19 июля 2017 22:30:52 №194843 >>194842 > 2017 > линкованные файлы

>>	Чии Ср 19 июля 2017 22:55:24 №194844 >>194843 Ну у меня ещё где-то осталась пара тайтлов с такими сериями, которые я скачал лет шесть назад. Да и обещали же всё-таки, ещё во времена 1.6.

>>	Чии Ср 19 июля 2017 23:57:36 №194845 >>194842 U menya posle kakogo-to apdeita pochinilos.

>>	Чии Чт 20 июля 2017 00:35:14 №194846 Totalcmd_2017-07-20_00-34-38.png - (35 KB, 953x261) >>194843 Между прочим, лучшим релизом серии моногатари до сих пор является релиз от коалы, а у них линкованые файлы. И это имеет смысл, так как там некоторые опенинги и эндинги весит под 400 мегабайт.

>>	Чии Вс 23 июля 2017 00:41:02 №194889 >>194842 Пять лет назад смотрел аниме с линкованными опенингами из коробки. Все работало, как и работает по сей день.

.jpg - (86 KB, 600x400)

Спасение от рекламы Чии Вт 20 сентября 2016 04:45:09 №184151 [Ответ]

Когда-то AdBlock Plus был очень хорош. Но теперь он даже принудительно не может заблокировать яндеск.директ на некоторых страницах, он все равно возвращается. Его каким-то образом детектят на множестве сайтов и либо ограничивают функционал, либо ставят навязчивые объявления чтобы отключить его. Список удаления предупреждений об Adblock как-то так себе работает.
В связи с этим, какая теперь есть альтернатива чтобы было так как работал adblock раньше?

Пропущено 39 сообщений и 6 изображений. Для просмотра нажмите "Ответ".

>>	Чии Вс 09 октября 2016 19:54:22 №185062 >>185056 Что именно?

>>	Чии Вс 09 октября 2016 20:00:04 №185064 >>185062 Вот прямо всё: уродливая огромная кнопка вкл/выкл, ненужная статистика, неинформативные кнопочки управления режимом работы, отсутствие возможности быстро проверить отработавшие фильтры и отключить их.

>>	Чии Пн 10 октября 2016 03:17:35 №185077 В чем там разница между мюБлоком и Ориджином и есть ли глубинный смысл перекатываться с одного на другой?

>>	Чии Пн 10 октября 2016 05:18:07 №185078 >>185058 Абсолютно неудобно. Как предлагаешь таким образом блеклистить динамику? Как посмотреть отработавшие и поправить их в реалтайме?

>>	Чии Пн 10 октября 2016 10:15:53 №185086 >>185077 Долгая история, но если выбирать из этих двух, то нужно быть на Ориджине.

>>	Чии Пн 10 октября 2016 11:05:09 №185091 >>185086 Я очень ценю мнение автора Ориджина, но хотелось бы и пользователей услышать

>>	Чии Пн 10 октября 2016 12:25:08 №185098 >>185058 А в браузере всё так же плохо или таки есть человеческое окно написания(!) фильтров?

>>	Чии Пн 10 октября 2016 12:45:36 №185099 >>185098 Есть окно написания, есть. Можно ручками отредактировать и при визуальном выделении нежелательного объекта.

>>	Чии Пн 10 октября 2016 13:07:35 №185100 >>185086 Ычую.

>>	Чии Вт 11 октября 2016 15:32:38 №185171 >>184180 Чего блин, а если там баку хотят поймать и зацепить на крючок спама? Или вообще троян искаропки при заходе на сайт? Непорядок.

624594_f260.jpg - (16 KB, 260x232)

Необычного железа тред Чии Вт 03 мая 2016 18:06:04 №180769 [Ответ]

Около двух с половиной лет назад уже создавал такой тред, но он давно утонул.
Здесь есть обладатели различных компьютеров (рабочих станций, серверов, ноутбуков) на процессорах не-x86 архитектур?
Хотелось бы услышать, что это за железо, как его заполучили и прочие интересные вещи.
Особенно интересно послушать тех, кто на этой радости работает или вообще админит её (или делал это когда-то раньше).

Чии Вт 03 мая 2016 19:38:47 №180771

>>180769
Я давеча разбирал дальнюю комнатку в подвалах своего университета. И было там много интересных вещей: терминалы для ЭВМ, стойки с платами, компьютеры DEC, телетайпы.
Большая часть всего этого хозяйства пойдет под списание.
Особенно у меня бомбит от польских кулеров для серверных стоек. Они лежали не распакованные, прямо в деревянных ящиках.

>>	Чии Вт 03 мая 2016 20:43:05 №180772 >>180771 Забирай домой.

>>	Чии Вт 03 мая 2016 20:47:58 №180773 >>180772 Мамка не пустит. И охрана тоже, на самом деле. Отдал бы любой согласившейся кафедре, но у меня нет должных связей.

>>	Чии Вт 03 мая 2016 21:48:54 №180776 >>180769 Здесь наверняка у каждого первого есть девайсы на ARM, а у каждого второго - на MIPS, поэтому ничего необычного в этом нет

>>	Чии Вт 03 мая 2016 22:21:22 №180779 >>180776 Речь не о мобильных гаджетах и роутерах, а разного рода серверах и рабочих станциях - HP 9000, Sun Ultra, PowerPC-based ThinkPad, AlphaServer, SunFire и прочем в этом духе.

>>	Чии Вт 03 мая 2016 22:36:48 №180781 >>180779 Наверно, на /s/ найдётся полтора маковода с PowerPC-времён, но Apple едва ли интересна в этом плане, ведь там софт плавно перетекает с одного Мака на другой.

>>	Чии Ср 04 мая 2016 11:13:28 №180788 >>180771 Погугли компьютерные музеи и форумы, отдай туда же. Ну или на одном небезызвестном форуме номер два есть раздел радиоэлектроники, анон тоже будет благодарен. Когда учился в техникуме, распиливали счётно-вычислительный аппарат какой-то советский. Стыдно.

Чии Ср 04 мая 2016 13:56:37 №180791

>>180781
То, что здесь есть люди с разного рода экзотикой - это я знаю. Как минимум, я. Ещё человек, глядя на которого, я, собственно, во всё это полез (не только в компьютерную экзотику, а вообще во всю эту околоайтишную область, пусть, пока что, исключительно в рамках увлечения).
Но помню, что, вроде бы, здесь были владельцы HPшных серверов на PA-RISC, владелец SGI Indy, админы SPARC-машин. Хотелось бы послушать их.

Чии Ср 04 мая 2016 17:31:34 №180795

>>180788
Ну один из семпаев в принципе уже пытался наложить лапу на часть железок как раз с музейными целями (почему-то он хочет забрать себе все пентоды, например). Но крупноразмерные экспонаты вытащить никуда не удастся, кровавый пропускной режим, у меня явно не хватит связей, чтобы это разрулить.
с другой стороны, многое из хранящегося там железа - это все-таки больше хлам, чем раритеты. Телевизор "Юность 402" и черно-белый польский монитор без заземления - это круто, но до музея явно не дотягивает.
Так что пока придется довольствоваться калькуляторами "Электроника Б3-18А", работающими от сети.

>>	Чии Сб 28 мая 2016 23:13:44 №181442 >>180769 Есть железо 1995-го года, отдал его интернетчик с моего города. Пенёк 1, Сокет 7.

Удалить сообщение [только файл]
Пароль