Témata

1

Sítě / WireGuard na MikroTiku vs. v Debianu

« kdy: 09. 09. 2024, 15:59:25 »

Caute, este stale pouzivam mikrotik v6 pretoze som nemal silny dovod k prechodu na 7 + zaznamenal som rozne spekulacie (na prekvapenie aj na oficialnom fore mikrotiku), ze verzia 7 moze mat skryte nejake vaznejsie bezpecnostne problemy. Zaujimave je aj to, ze mikrotik uz relativne dlhu dobu stale popri v7 vydava updates aj na v6. K updateu na 7 ma prinuti plnohodnotna implementacia MDNS, ktora by uz mala byt na spadnutie. Okrem tejto funkcii ma v7 implementovany aj Wireguard a mna by zaujimalo ci by ste verili Wireguardu pod mikrotikom alebo ci by ste radsej uprednostnili Wireguard priamo pod debianom?

2

Server / Migrace z IMAP na Microsoft Exchange Online

« kdy: 03. 08. 2024, 15:57:19 »

Pozdravujem vo spolok, viem, ze toto forum je prevazne o linuxovych temach, ale napadlo mi, ze sa predsa skusim spytat resp. overit si teoriu. Potrebujeme migrovat niekolko emailovych schranok zo zdielaneho hostingu do MS Echange Online, ide o aktivne schranky, ktoré sú v prevádzke. Máme v pláne migráciu previesť cez IMAP prepojenie aktuálneho hostingu a Exchange servera pricom zapiseme do migracneho CSV v Exchange vsetky pristupove udaje do schranok a Exchange si stiahne data z hostingu lenze, aby nedoslo k vypadku emailovej komunikacie, tak musime do DNS domeny pridat dalsi MX zaznam odkazujuci na Exchange a tym zabezpecime, ze istu dobu bude funkcny Exchane a zaroven aj hosting. Je tento predpoklad spravny?

3

Studium a uplatnění / Jaké online kurzy se vyplatí absolvovat?

« kdy: 30. 04. 2024, 18:12:09 »

Zdravim,
skusal som sa naucit programovat, ale na to asi proste nemam bunky. Subjektivne mam pocit, ze hlavnou pricinou je nedostatok kreativity. Skusal som aj tvorit weby na principe upravy "hotovych" sablon (napr wordpress), ale neslo mi to. Proste vzdy som mal z "vysledku" dojem, ze keby to bolo pred 20-30 rokmi, tak je to ok .
Mam ale motivaciu sa nejako "pohnut" v IT. Preto ma zaujima Vas nazor, ci je realne mozne dosiahnut nejake uplatnenie aj v nejakych segmentoch mimo programovania a zaroven sa k potrebnym znalostiam dostat formou online kurzu a nasledne mat moznost pracovat vzdialene?

Dakujem vsetkym za napady a (konstruktivnu) kritiku, tej bude mozno dost.

4

Server / Zabezpečení Home Assistanta

« kdy: 06. 02. 2024, 00:52:55 »

Ahojte, uz nejaky cas pouzivam Home Assistant s prevazne zigbee zariadeniami (plus 2 wifi zariadenia) a teraz ked uz to ako tak splna prakticku funkcnost, sa chcem spytat ake odporucania mate ohladom "bezpecnostnych nastaveni a opatreni"?

Sucasny stav je:
- nainstalovany proxmox virtual pre HA (zatial len v ramci "nutnych default nastaveni"
- Je to na samostatnej vlan pre iot spolu s tymi dvoma wifi zariadeniami
- zigbee usb stick
- Neplanujem pristup z netu a ak nahodou, tak len velmi zriedkavo cez wireguard

Diky za rady a mozno uvahy

5

Sítě / MikroTik: sdílení tiskárny napříč VLAN

« kdy: 05. 01. 2024, 18:23:39 »

Zdravim, mam vytvorenu domacu VLANu a zvlast VLANu pre hosti a chcem, aby mali hostia pristup k tlaciarni. Vo firewalle mam pravidlo:

Kód: [Vybrat]

20    ;;; Tlac_Host
      chain=forward action=accept dst-address-list=tlaciaren1 in-interface=host_vlan out-interface=fix_vlan log=no log-prefix=""
Napriek tomuto pravidlu zariadenia v hostovskej VLANe tlaciaren nevidia v ramci svojho OS, ale webove rozhranie tlaciarne cez browser otvoria - je to tlaciaren HP.

Mate niekto radu?

6

Server / Debian Bullseye: plánované spuštění skriptu

« kdy: 28. 04. 2023, 13:12:44 »

Zdravim, na debian bullseye mam problem naplanovat spustenie sh scriptu, ktory ma nasledne spustit py script.
Cez sudo crontab -e som skusal:

Kód: [Vybrat]

25 3 * * * bash $HOME/path/to/script/script.sh
@reboot bash $HOME/path/to/script/script.sh
Ani jeden zo scriptov sa nespustil. Skusal som aj absolutnu cestu /bin/bash aj /usr/bin/bash, ale nejde nic. Ked scripty pustim manualne cez konzolu, tak to funguje. Reboot script som skusal spustit aj cez rc.local alebo cez init.d a dokonca aj ako systemd service. Service sa sice automaticky po boote nezapne - neviem preco (samozrejme je enabled), ale ked ju spustim po boote manualne cez argument start, tak sa spusti bez problemov.
Samozrejme som na sh scripty uplatnil:
sudo chmod +x a v stave nudze som skusil aj sudo chmod 777 , ale nepomohlo.

Obsah reboot scriptu:

Kód: [Vybrat]

#!/bin/bash
cd /path/to/script/directory
/usr/bin/python3 script.py &>/dev/null &

Vie mi niekto kde moze byt problem a ako vyriesit autonaticke spustanie scriptov? V samotnych scriptoch pricina asi nebude pretoze pri manualnom spusteni funguju.

7

Sítě / Xiaomi Mi Home bez cloudu

« kdy: 27. 12. 2022, 03:20:22 »

Caute,
je nejaky sposob ako pohodlne manazovat nastavit roboticky vysavac Xiaomi, ale iba v ramci LAN, nie z netu a bez nutnosti prihlasovat sa na nejake cloud konto? Kludne by som ocenil, ak by to fungovalo cez Mi Home, ale odstrihnute od netu resp. cloud konta.

8

Server / Home Assistant Supervised se statickou IP

« kdy: 05. 11. 2022, 18:19:15 »

Zdravim, nainstaloval som home assistant supervised na debian 11 (RPI3) a aj ked som nastavil cez HA web ui staticku ip a tiez aj v /etc/network/interfaces.d/eth0 tak po restarte hosta si HA vzdy vypyta DHCP IP.
Viete poradit co s tym?

Pri instalacii som postupoval podla: https://community.home-assistant.io/t/installing-home-assistant-supervised-on-a-raspberry-pi-with-debian-11/247116

9

Sítě / Zabezpečení TCPIP ADB pro trvalé používání

« kdy: 26. 10. 2022, 21:31:38 »

Caute, potrebujem v ramci LAN vzdialene ovladat Android TV (nechcem rozoberat preco, to nie je dolezite) a jedine vhodne riesenie, ktore som nasiel je Scrcpy. Scrcpy funguje prostrednictvom TCPIP ADB (USB debug).

Viem, ze pouzivanie ADB je odporucane len takpovediac "jednorazovo" a ADB ako take nie je  asi moc bezpecne, preto sa chcem spytat ci mozem nejako "dodatocne" zvysit bezpecnost resp. povolit len vybranu MAC/IP alebo nieco podobne?

10

Server / Instalace ClamAV v Seafile Pro pod Dockerem

« kdy: 24. 06. 2022, 16:05:58 »

Caute, vedel by mi niekto podrobnejsie vysvetlit ako mozem nainstalovat/nastavit ClamAV v Seafile Pro pod Dockerom? Host OS je Debian.

Diky moc.

11

Sítě / Přesměrování GSM hovoru přes WiFi na iPhone

« kdy: 27. 01. 2022, 09:11:09 »

zdravim, ma niekto skusenosti s nejakym sposobom ako presmerovat normalny hovor cez wifi na mobill (iPhone) v sieti?
Wifi call (VoWIFI) ako moznost vypadava pretoze iPhone nie je kompatibilny s operatorom pre WIFI call

sorry ak som to dal do zlej sekcie

12

Sítě / RPi3 (Debian) pomalý WireGuard

« kdy: 19. 09. 2021, 22:09:07 »

caute,
nedavno som tu riesil nefunkcny WG na RPI3 pod debianom. Povodny problem som uz vyriesil takze tunel uz funguje ale rychlost je nizka.
Som si vedomi ze RPI3 ma len 100Mbit eth ale moj net dosahuje wan rychlost len 27-30 / 27-30Mbit, takze to by malo byt v ramci 100Mbit eth v pohode.

Problem je v tom ze ked sa pripojim cez wireguard tak dosahujem maximalnu wan rychlost cca 12-15 / 12-15Mbit a neviem cim je sposobeny tak vyrazny pokles rychlosti.

Skusal som experimentovat pridanim MTU do wg configu peera s tym ze som skusal zadat rozne hodnoty - 1500 (rovnaku hodnotu ma aj fyzicke rozhranie), 1440, 1412, a 1420 (default), ale zmena mtu nepomohla

Znizena rychlost sa prejavuje aj na Windows peerovi (original WG client) aj na debian 10 peerovi

13

Sítě / Wireguard? Mikrotik - Debian - NFTables

« kdy: 06. 08. 2021, 09:22:01 »

caute, nedari sa mi rozchodit WG pod debian 10 na RPI3 (cisty debian, nie raspbian), tipujem to na problem vo firewalle - bud v mikrotiku alebo v NFTables.
Na mikrotiku mam dve vlany - sukromnu a pre hosti. Na MT v ip addresses som pod sukromnu vlanu pridal dalsiu siet pre vpn peerov a pre wg0 (RPI3) pricom eth0 na RPI3 ma ip od povodnej sukromnej siete
Na MT som NATol WG port na ip eth0 v RPI a povolil som maskaradu pre vpn siet.

ip firewall filter vyzera takto:

Kód: [Vybrat]

0    chain=input action=accept connection-state=established,related

 1    chain=input action=accept in-interface=fix_vlan log=no log-prefix=""

 2    chain=input action=drop connection-state=invalid

 3    chain=input action=jump jump-target=WAN>INPUT in-interface-list=WAN log=no log-prefix=""

 4    chain=input action=drop log=yes

 5    chain=forward action=accept connection-state=established,related

 6    chain=forward action=accept in-interface=fix_vlan out-interface-list=WAN log=no log-prefix=""

 7    chain=forward action=accept in-interface=host_vlan out-interface-list=WAN log=no log-prefix=""

 8    ;;; DSTNAT
      chain=forward action=accept connection-nat-state=dstnat log=no log-prefix=""

 9    chain=forward action=accept src-address-list=host_ip dst-address-list=tlac in-interface=host_vlan log=no log-prefix=""

10    chain=forward action=accept src-address-list=vpn_ip in-interface=fix_vlan log=no log-prefix=""

11    chain=forward action=drop connection-state=invalid

12    chain=forward action=drop src-address-list=!fix_ip in-interface=fix_vlan log=no log-prefix=""

13    chain=forward action=drop src-address-list=!host_ip in-interface=host_vlan log=no log-prefix=""

14    chain=forward action=drop dst-address-list=bogon log=yes log-prefix="bogon"

15    chain=forward action=drop in-interface=host_vlan out-interface=fix_vlan log=no log-prefix=""

16    chain=forward action=drop log=yes log-prefix=""

17    chain=WAN>INPUT action=drop log=no log-prefix=""

nftables.conf na debiane (RPI) vyzera takto:

Kód: [Vybrat]

define WAN_IFC = eth0
define VPN_IFC = wg0

table inet filter {
        chain input {
                type filter hook input priority 0; policy drop;

                # Allow traffic from established and related packets.
                ct state established,related accept;

                # Drop invalid packets.
                ct state invalid drop;

                # Allow loopback traffic.
                iifname lo accept;

                # Allow all ICMP and IGMP traffic, but enforce a rate limit
                # to help prevent some types of flood attacks.
                ip protocol icmp limit rate 4/second accept;
                ip protocol igmp limit rate 4/second accept;

                # Allow SSH specific IPs
                tcp dport 22 ip saddr $SAFE_IPS accept;

                # Allow WG
                udp dport WG port accept;

                # Deny WG
                udp dport WG port ip saddr $HOST_NET drop;

                # Allow DNS
                udp dport 53 accept;

                # Allow WWW specific IPs
                tcp dport { http, https } ip saddr $SAFE_IPS accept;
                udp dport { http, https } ip saddr $SAFE_IPS accept;

        }
        chain forward {
                type filter hook forward priority 0; policy drop;

                # forward WireGuard traffic, allowing it to access internet via WAN
                iifname $VPN_IFC oifname $WAN_IFC ct state new accept
        }
        chain output {
                type filter hook output priority 0; policy accept;
        }
}

table ip router {
    # both prerouting and postrouting must be specified

    chain prerouting {
        type nat hook prerouting priority 0;
    }

    chain postrouting {
        type nat hook postrouting priority 100;

        # masquerade wireguard traffic
        # make wireguard traffic look like it comes from the server itself
        oifname $WAN_IFC ip saddr $VPN_NET masquerade
    }
}
wg0.conf na servery (RPI) vyzera takto:

Kód: [Vybrat]

[Interface]
Address = lan.ip.adresa.servera z rozsahu vpn_net vytvorenej v MT/24
ListenPort = WG port
PrivateKey = ...

[Peer]
PublicKey = ...
PresharedKey = ...
AllowedIPs = 0.0.0.0/0

client vyzera takto:

Kód: [Vybrat]

[Interface]
PrivateKey = ...
Address = lan.ip.adresa.clienta z rozsahu vpn_net vytvorenej v MT/32
DNS = lan.ip.adresa.mt (je na nom povoleny DNS)

[Peer]
PublicKey = ...
PresharedKey = ...
AllowedIPs = 0.0.0.0/0
Endpoint = verejna.ip.adr.esa:WG port
PersistentKeepalive = 25

Stav je taky ze pripojenie sice funguje (tunel je aktivny) ale vzdialeny client nema pristup na internet ani k zariadeniam v lan sieti.
Ciel: chcem aby mal vzdialeny client pristup k lan zariadeniam a pristup na internet tak aby traffic "pochadzal z miesta vpn

PS: Dufam ze som to napisal zrozumitelne, v pripade potreby nieco upresnim.
Diky za rady

14

Sítě / MikroTik - divný log (DHCP?)

« kdy: 14. 06. 2021, 01:42:28 »

zdravim, neviem presne kedy sa ten log zacal objavovat, ale pri nasadeni DNS serveru (pihole) som si ho vsimol. Su to dva typy logu:

Kód: [Vybrat]

input: in:host_vlan out:(unknown 0), src-mac (gateway od mojho ISP - NAT 1:1), proto UDP, 0.0.0.0:68->255.255.255.255:67, len 328

input: in:host_vlan out:(unknown 0), src-mac (klienty hostitelskej VLAN), proto UDP, (IP klienta):68->(IP mojho Mikrotiku pre hosti):67, len 328
Siet tvoria dve VLANy jedna sukromna v ktorej su vsetky zriadenia a druha pre hosti Na MT su spustene aj dva DHCP servery (pre kazdu VLANu jeden). DHCP servery funguju, ale ten hostovsky opakovane hadze vyssie uvedeny log.

Donedavna som na MT pouzival aj DNS server, ale presiel som na pihole, takze som z hostovskej VLANy otvoril port 53 na pihole v sukromnej VLAN (nemyslim ze to suvisi).

Tento filter pouzivam uz dlho a este som nezaznamenal log ohladom portu 67, 68 (az teraz) a v poslednej dobe som nemenil ani pravidla logovania. Vie mi niekto povedat co to moze znamenat? Je niekde problem?

Kód: [Vybrat]

0 chain=input action=accept connection-state=established,related

1 chain=input action=drop connection-state=invalid

2 chain=input action=jump jump-target=WAN>INPUT in-interface=WAN

3 chain=input action=accept in-interface=sukr_vlan log=no log-prefix=""

4 chain=input action=accept protocol=icmp

5 chain=input action=drop log=yes

6 chain=forward action=accept connection-state=established,related

7 chain=forward action=drop connection-state=invalid

8 chain=forward action=drop src-address-list=sukr_ip in-interface=sukr_vlan log=no log-prefix=""

9 chain=forward action=drop src-address-list=!host_ip in-interface=host_vlan log=no log-prefix=""

10 chain=forward action=drop dst-address-list=bogon log=yes log-prefix="bogon"

11 chain=forward action=accept in-interface=sukr_vlan out-interface=WAN

12 chain=forward action=accept in-interface=host_vlan out-interface=WAN

13 ;;; DSTNAT chain=forward action=accept connection-nat-state=dstnat log=no log-prefix=""

14 ;;; DNS UDP chain=forward action=accept protocol=udp dst-address-list=DServer in-interface=host_vlan dst-port=53 log=no log-prefix=""

15 ;;; DNS TCP chain=forward action=accept protocol=tcp dst-address-list=DServer in-interface=host_vlan dst-port=53 log=no log-prefix=""

16 chain=forward action=accept src-address-list=host_ip dst-address-list=tlac in-interface=host_vlan log=no log-prefix=""

17 chain=forward action=drop in-interface=host_vlan out-interface=sukr_vlan log=no log-prefix=""

18 chain=forward action=drop log=yes log-prefix=""

19 chain=WAN>INPUT action=drop log=no log-prefix=""


15

Sítě / Mikrotik VLAN - Zmena MAC

« kdy: 17. 12. 2020, 23:01:25 »

zdravim, ako je mozne zmenit MAC adresy VLANiek? Su to "ciste" VLANy, nie je medzi nimi bridge