Příspěvky

1

Sítě / Re:Důvěryhodný certifikát v rámci LAN

« kdy: Dnes v 00:08:38 »

Mozna jsem mene chapavy, ale jedine dva duvody pro sit oddelenou od internetu vidim:

• (oduvodnene) bezpecnostni pozadavky,
• namam na to pripojeni penize.

Druhou moznosti se zabyvat nebudu a s prvni mi nekoreluje zadani (neexistujici segmentace site, server v uzivatelske LAN).

2

Sítě / Re:Důvěryhodný certifikát v rámci LAN

« kdy: 27. 11. 2023, 22:48:07 »

Pocitajte napr. s tym, ze v LAN neni pristupny internet.

Nez zacneme s (pravdepodobne) zbytecnou mentalni gymnastikou nad hypotetickym problemem, tak by se sluselo rici, zda je ta sit skutecne a nezvratne oddelena od internetu... Neco mi rika, ze ne.

Z mych znalosti:

• Nechate si vystavit certifikat od uznavanych verejnych CA, jejichz certifikat (nebo nadrizeny) maji klienti ve svem certificate store. Jak ho na server dopravite je vcelku jedno - klidne si ho nechte vystavit od napr. RapidSSL na dva roky a preneste ho server pres USB disk.
• Vystavite si certifikat z privatni CA a pak musite nejakym zpusobem klientum updatovat certificate store tak, aby CA duverovali. Jak to konkretne udelate, je znovu jen na vas.

Nevim, jak byste to chtel jinak udelat a zaroven zachovat smysl pouziti certifikatu...

Stale jste se neobtezoval upresnit, jestli se jedna o verejnou domenu (prakticteji spise jeji subdomenu), kterou vlastnite nebo jde o nejake zverstvo typu ".local".

3

Sítě / Re:Důvěryhodný certifikát v rámci LAN

« kdy: 27. 11. 2023, 10:44:05 »

Na DNS (unbound, bind ...) sa vytvori A zaznam, na nejaky vhost apache.
Napr. vhost bezi na 192.168.1.20 na ktrom bude, nejakypriklad.sk.

Pokud je to skutečne sk doména a vlastníte ji, tak si vystavte certifikát třeba z LE. Pokud nemá být webserver otevřený do internetu, tak přes DNS challenge.
(nebo) Pokud máte (náhodou) Windows doménu, tak si můžete vystavit certifikát z vlastní CA a certifikát na stanice distribuovat pomocí GPO.

4

Sítě / Re:MikroTik - zablokování MAC

« kdy: 14. 11. 2023, 10:44:49 »

Pokud chcete zarizeni zabranit v pripojeni k siti (?), tak k tomu je 802.1x. Pripadne (na WiFi) vyzkouset ten Block access nebo pouzit L2 filter. Nastavovat to na L3+ firewallu nedava valneho smyslu...

5

Sítě / Re:Protokol blokován jen na specifické BTS?

« kdy: 09. 11. 2023, 12:56:22 »

Tohle mi komplikuje zivot:

navstivil jsem on site v Nemecku, zatraceny Remote Desktop ke mne domu nefunguje.
Pres firemni Guest AP, nejde. OK, zadne prekvapeni.

Ale nejde mit  ani pres hotspot na mym mobilu. Myslel jsme si, ze mam neco rozvrtane doma nebo na roamingu. Jenomze v hotelu to funguje.

Ze by budova mela nejaky BTS opakovac ci primo malou BTS a ta by blokovala RDP ci zahranicni IP adresy? To uz je hodne paranoidni.

No, vzhledem k tomu, ze jste se neobtezoval sdelit o jakeho ISP a rozsah adres se jedna (treba v tom hotelu nebo u Vas doma), ani jaky byl vysledek packet capture na Vasem domacim FW (abyste zjistil, zda tam pakety dorazi), tak si chcete asi jen postezovat...
Pokud si na to VM nebo Proxmox nahodite jinou ale bezpecnou sluzbu (treba SFTPGo nebo webserver v dockeru - prace na 5 minut), tak se k ni take nepripojite?
Nevim, co je firemni Guest AP. Tuneluje to provoz na controller (v tom pripade Vas nemuze pritomnost v Nemecku nicim limitovat, pokud je AP ke controlleru pripojeno)? V Cechach Vam to normalne funguje?
Vystavovat RDP do internetu dle me "zakazane" neni, ale je to samozrejme volovina. Nevim, v cem by Vas melo ochranit, ze jde o "locknute" VM, pokud ho tedy nemate jen k tomu, abyste se cas od casu kouknul zda bezi. Pokud na nem pracujete (zjevne), tak je to stale bezpecnostni riziko.

6

Sítě / Re:Síť pro hosty na Sagemcom 5670 AX

« kdy: 31. 10. 2023, 20:10:30 »

Skusil som najprv nastavit 2.4 GHz siet. Je tam len button zap/vyp, natavit sifrovanie a zmenit SSID. Aktivoval som siet, vypol sifrovane  a nastavil vlastne SSID.

Siet je viditelna, da sa na nu pripojit, ale je bez internetu. Skusil som zapnut sifrovnie WPA2/PSK, ale vysledok bol rovnaky. Skusil som to teda s 5GHz sietou, ale bohuzial.

Informace jak stehno. Dostane zařízení po připojení IP adresu? Pokud ano, da se pingnout brana? Jakou dostane adresu DNS? Resolvuje DNS?
Taktez nechapu, proc jste dle vlastnih vyjadreni, vypinal sifrovani nadvakrat.

7

Bazar / Re:Prodám nebo vyměním za mobil 3x swiche cisco 2960

« kdy: 31. 10. 2023, 15:21:52 »

Vzhľadom k tomu že je to model z roku 2005, a predaj skončil v 2014, a od 2019 ani už nie je podpora pre firmware, tak sú tie switche vhodné len na zberný dvor. 18 ročný šrot nemá hodnotu. A vzhľadom k tomu aké množstvá boli v tých časoch vyrobené, tak to hodnotu pozdejšie nenaberie ani ako historický zberateľský kúsok.

Jake konkretni vlastnosti byste potreboval treba na home lab, ktere by Vam tento switch nenabidl? Myslite, ze to bude prehazovat packety hure nez switch z roku 2015 s firmware z roku 2021?

8

Windows a jiné systémy / Re:Modbus TCP widget pro Android

« kdy: 22. 10. 2023, 15:09:15 »

Widget je "funkce" ktera je soucasti aplikace. Neni to samostatny program..

A?

9

Server / Re:Nástroj pro hromadnou konfiguraci bez použití ssh

« kdy: 08. 10. 2023, 22:11:22 »

A ansible-pull? Osobni zkusenost s tim nemam...

https://docs.ansible.com/ansible/latest/cli/ansible-pull.html#common-options

10

Sítě / Re:Konfigurace pro MikroTik nefunguje po aktualizaci

« kdy: 02. 10. 2023, 15:41:14 »

V prve rade by se hlavne hodilo, kdyby tazatel popsal v cem spociva problem.

Ja nevlastnim vesteckou kouli, takze netusim, co si mam predstavit pod vetou "Zda sa, ze je problem s DNS...".

• Zda se?
• Je problem na Mikrotiku? Porad, obcas? Jaka je konfigurace Mikrotiku? Upgrade na ROS 7 pres netinstall? Jsou nastavene DNS servery dostupne? Co vraci :resolve? Co je v logu (/system logging add action=memory target=dns)? Jake je vytizeni Mikrotiku? Co jste odchytil v /tool sniffer pri DNS dotazu?
• Problem je v klientech? Porad, obcas? Na vsech klientech nebo jen nejakych? Jak maji nastaveni DNS? Jaka je konfigurace Mikrotiku? Upgrade na ROS 7 pres netinstall? Co vraci napr. nslookup? Co je v packet capture (Mikrotik, client)?

11

Sítě / Re:Konfigurace pro MikroTik nefunguje po aktualizaci

« kdy: 02. 10. 2023, 09:09:26 »

Mne DNS v 7.11.2 funguje (netinstall z 6.x). Nevim, co vic na takto formulovany dotaz napsat.

12

Server / Re:Nefunkční DNS servery

« kdy: 26. 09. 2023, 19:40:53 »

Jako minimalni relevantni informace pro to, aby se tim nekdo zabyval (muj nazor), bych povazoval:
  * verzi Debianu,
  * vypis konfigurace site, vypis konfigurace bind, vypis resolv.conf,
  * vypis syslogu (z doby, kdy se bind startuje!, takze ne tak jako doposud),
  * vysledek ping na default gateway,
  * netstat/ss vyfiltrovany treba na TCP/UDP 53.

13

Server / Re:Nefunkční DNS servery

« kdy: 26. 09. 2023, 19:26:01 »

Resit to nemam naladu, takze jen kratke shrnuti:
  * pisete to jako pohadku, nevim, jestli ma tu bramboracku nekdo naladu desifrovat,
  * nevim, proc alespon ty vystupy z terminalu nezkopirujete cele (seriznuti na sirku), ale lepsi nez ty fotky monitoru v uhlu asi 45° na abclinuxu,
  * pouzivate system, kteremu absolutne nerozumite, neznate ani zaklady,
  * neuvadite dulezite relevanti informace - jako treba, ze jste si server rozbil vlastnim neodbornym zasahem pres ispconfig (pouze vagni zminka o zachranenem serveru), takze problem je na 99% v rozbite konfiguraci,
  * kde je problem se startem bindu najdete v logu,
  * https://www.abclinuxu.cz/poradna/linux/show/492646 .

14

Server / Re:Oracle Free Tier - založení účtu

« kdy: 18. 09. 2023, 21:34:12 »

Ahoj,

rovnako nefunguje s kartami Revolut, Wise, pripadne jednorazovanymi kartami generovanymi bankou. Debetne som neskusal.

Kreditna karta presla na prvykrat. Hladal by som problem tam.

Zakládal jsem, tuším, 10/2022. Debetní karta - Visa/mBank. Bez problémů. Takže tam (v debetních kartách obecně) bych problém nehledal.

15

Server / Re:MS 365: podvržené emaily

« kdy: 16. 09. 2023, 23:49:44 »

Dá se to nastavit. V v DNS je záznam na SPF, kde definujete , které servery smí posílat maily z vaší domény. Ostatní SMTP servery podvrh poznají, pokud to kontrolují, ale váš přijímací server také. Takže falešného ředitele vyf**kuje. A s ním i 90% phishingu . K tomu DKIM a DMARC a hrajme. Náš server, protože  přijímá poštu jen zvenku samozřejmě odhalí domain spoofing i tak, ale SPF je lepší. Servery z 365 do něj zahrnete pomocí tzv. include.

Mate pravdu, ale nebyl by to Microsoft, aby to nedo****l. Takže ve výchozím nastavení fail na SPF neznamená, že email nebude příjemci doručen, jako by se nic nedělo Stalo se nám to ve firmě cca. 5 měsíců zpět.
Nechce se mi to teď hledat, tak první, co jsem našel:
https://techcommunity.microsoft.com/t5/microsoft-365/office-365-mail-spf-fail-but-still-delivered/m-p/1491495