Hálózatok általános

Mi az a "DNS zone transfer attack"?

Azt írja a RHEL9 doksi, hogy: "Attackers can use zone transfers to update DNS servers with false information."

Namost, ez nekem gyanús, mert addig oké, hogy ha valaki tud AXFR-t (vagy akár IXFR-t), akkor megtudhat olyanokat is, amit nem feltétlen akarunk hogy megtudjon. Ez oké.

De... hogyan lehet AXFR-rel hamis információt juttatni a DNS szervernek? Mármint értem én hogy lehúzok egy zónát, átírom amit akarok, és valahogy bekamuzom hogy én vagyok az egyetlen igazi DNS szervere a zónának, de ebben az esetben nem magát az AXFR-t látom az igazi problémának.

Vagy... mit értek félre?

Windows DNS kezelése

Sziasztok,

 

van az a jelenségem, hogy a Windows 10 egyszer csak elkezdte használni a DoH-ot (DNS over HTTPs) ami nagyon érdekes csakhát az vele a baj, hogy a belső hálózaton a kliens kérdezgesse csak a neki kijelölt (belső DNS szervereket). Ne nyúlkáljon ki nekem ki tudja, hogy hová?

Nem is tudom ez pontosan hogyan működik vagy hogyan kellene szabályozni.

Ami probléma akadt az nem biztos, hogy innen fakad de még rátesz erre egy lapáttal. Ugynis van egy cég akinek a domain neve például: ceg.hu.  Ide akar beVPN-ezni a kliens majd a hálózat tagjaként a subnet.ceg.hu-ban elérni a hostokat. Ehhez a VPN kiépülése után a kapott belső DNS szervereket kellene szólongatnia. De! A cég domain kiszolgálójában van egy A record ami *.ceg.hu és a www.ceg.hu IP-jét adja vissza. Ezáltal amikor elindul a kliens gép és volt egy hivatkozás vagy egyéb ok miatt de fel akarja oldani a server.subnet.ceg.hu címet. Amint kijut a netre megkérdezi a DNS-eket amik a *.ceg.hu-s értéket adják vissza mert nincs ilyen bejegyzés a külső DNS-ben. Ezt be is cache-eli TTL szerint. A kliens kapcsolódik a VPN-hez és már hiába más a DNS kiszolgáló mivel be van cache-elve a server.subnet.ceg.hu ezért azt kapja és ez nem jó!

 

Kérdés, hogyan lehetne a VPN kapcsolat felépülésével a locális DNS cache ürítését kikényszeríteni? (#ipconfig /flushdns)

Hogyan lehet VPN kapcsolat során a DHCP azaz nem manuális beállítások esetén a DoH-ot letiltani!?

-thx-

Tömör kábel krimpelése

Sziasztok!

A lakásban a fali végpontokhoz menő kábelek egy szekrényben végződnek szabadon lógva. Cat5e tömör kábelek. Két kérdésem lenne:

1. Tömör kábelhez való RJ45 dugót krimpelhetek rá? Ha nem, akkor mit javasoltok?
https://www.hqelektronika.hu/hu/rj45-utp-dugo-8p-8c-modular-cat6-csat-t…

2. Egyenesre vagy keresztre kell krimpelnem a kábelt?

Köszi előre is!
 

VPN over VPN mikrotikkel

Tartózkodási helyet szeretnék teljes mértékben elrejteni egy mac laptopon. A laptopon GlobalProtect VPN-nek kell működnie.

Ahogy elnéztem a GlobalProtect layer 3 VPN, a routing táblába pakol bele egy csomó extra sort, illetve a dns szervert cseréli le.

Az az elképzelésem hogy veszek egy mikrotiket amit simán bedugok a szolgáltatói router mögé, felhúzok rá egy layer 2-es vpn-t (a vpn szerver aws-ben fog futni a megfelelő régióban), és annak a wifijére kapcsolódok a laptoppal a szolgáltatóé helyett.

Kérdések:
- jó-e az elképzelés? :) sajnos több mint 10 éve nem foglalkoztam már vpn hálózatokkal, erősen megkopott az ez irányú tudásom
- milyen layer 2-es vpn szervert használjak amit amazon linuxon egyszerű felhúzni és támogatja a mikrotik kliens oldalról?

Előre is köszi mindenkinek.

domain.com neha kiakad(?)

Sziasztok!

Talalkozott valaki mar olyasmivel hogy a targybeli szolgaltatoknal levo domainek idoszakosan (mondjuk heti 1x-2x-3x, igy par percre - fel orara) nem elerhetoek? Egyreszt ez eleve nem jo, masreszt meg ennek kovetkezteben a kimeno emailek SPF/DKIM/DMARC rekordjait se tudja ellenorizni a fogado oldal - es emiatt a kimeno emailek egyresze visszapattan. Valojaban ezutobbi az ahol feltunik hogy akadozik a domain(.com) is mert egy-egy visszapattant email utan a dig A/TXT/NS dolgokat sem igazan lehet lekerdezni.

thx, A.

A szolgáltató miért optikát húz be a lakásba?

Konkrétan: Miért nem Ethernet kábelt használnak a társasházon belüli központi egység, és a lakásba telepített router közt?

A kérdés azért merült fel, mert a Digis szaki amikor bekötötte hozzám a gigabites előfizetést külön megjegyezte, hogy ezt a kábelt aztán nem szabad hajlítgatni, és onnantól hogy ő méretre vágja nincs helye toldásnak.

És az eredményen is látom, hogy egy merev, kezelhetetlen kábelt kaptam, aminek egyik fele igénytelenül feltűzdelve lóg a falon, vagy az ajtókereten amit azóta nem lehet becsukni teljesen, a másik fele pedig feltekerve a szekrény mögött búslakodik, mert a szaki úgy gondolta hagy pár méter extrát.  

Az igénytelen munka akkor is megvolt, amikor az UPC kötötte be annó a koaxot vagy a T az ADSL-t, de azokkal a kábelekkel mégis csak könnyebb volt dolgozni.

Ezzel igazából együtt tudok élni, egyszer felszedem az egészet, és a belépési pont mellé rakok egy kis szekrényt, amiben eldugom a kábelt, és a szolgáltatói eszközből majd csak egy ethernet fog kijönni...

Viszont nem értem a motivációt. Nem overkill az optika ide? Nem jobb választás az ethernet? 

Az Ethernet kábel könnyebben kezelhető, toldani, falba, bútorok mögé, kábelcsatornákba eldugni is egyszerűbb, szóval praktikusabb. Ráadásul mint ha olcsóbb is lenne. 

Ráadásul ugyanez a szolgáltató egy kerülettel arrébb a testvéremék lakásába - igaz pár évvel korábban - ugyanazt a gigabites sávszélt Ethernet kábellel húzta be.

NAS - megoldás?

Sziasztok,

A történet a köv.: Adott egy elhalálozott öreg laptop, és adott egy szintén elhalálozott Synology DS kicsi NAS, amely kiszolgálta az 5 fős reklám, és pici nyomdai szerkesztő csapatot rendesen 2012 óta. A helyére egy DELL 3500 2-in-1 munkaállomás került a teljes hordozhatóság jegyében, tehát ha tablet kell linuxxal, az is megy, idegen billentyűzet, vagy szignózás, mobil töltő vagy ha utazni, minden célra megfelel. Synology DS tartalmát sikerült menteni, több száz doksi, kép, és nyomdai anyag hála istennek megmaradt. Mivel a legtöbb NAS megoldás meglehetősen drága (szerintük), egy korábbi projektből visszamaradt Deskmini X300-ast toltak elém Athlon, Noctua és jópár terabájt háttérkapacitás tartalommal, és 16 Gb rammal, és a kérés az volt hogy valami olyan NAS szoftver kellene rá ami távolról is elérhető, linux alapú és birná a 0-24 órás üzemidőt, állandó elérési lehetőséget. A cucc egy kicsit overkill NAS célra, de legyen. Viszont DIY vonalon nem tudom mit lehetne feltenni, ami nem kér enni, és megfelelne a feladatnak, inkrementális office és nyomdai anyag mentéseknek. Lenne igény egy KVM kapcsolóra is, a monitor egy 24 colos LG HDMI csatival, mig a Deskmini csak VGA-t hajlandó produkálni valamiért (kibontva se találtam rá választ miért)- kérdés létezik-e olcsó megoldás amivel átkattintható lenne a NAS és a desktop felülete közt. MI lenne az ideális megoldás? Windowst itt nem használnak, tehát mindenképp valami open source megoldás kellene. Ötletek?

Új házba minden IS!

Sziasztok, úgy néz ki hamarosan egy új építésű ház boldog, első tulajdonosai leszünk kis családommal. Jelenleg a végszerelési munkálatok zajlanak, változtatásokat már nem tudok eszközölni az átadás-átvételig.

Jelenleg a következők vannak: Cat5e van a falban (nem értem miért), mind az összes (5+) helyiségben a) fali dugaszban végeztetve, b) szobákban / lépcsőházban / homlokzaton ~2m magasságban szintén egy-egy kiállás PoE vagyonvédelmi eszközöknek (kamera / mozgásérzékelő, whatnot). Ezek mind a bejárat mellett futnak egy fali szekrényben, ahol van áram kiállás is; valamint Telekom optika van kizárólag az utcában, a ház előtt végpontozva, így 2 választási lehetőségem van: 1000/1000-es net, vagy 2000/1000-es net (1500ft-tal többért). A szolgáltatói eszközöket lehetőség szerint NEM szeretném használni.

A jelenlegi sokkal kisebb kecóban egy Mikrotik hap2 router meg egy gigabites switch van, ez nyilvánvalóan a 2 szintre + 8 helyiségre nem lesz elég. Az okosotthon-as-a-service-t egy RP3+HomeAssistant adja jelenleg (zigbee alapon van a legtöbb égő / szenzor stb., klímavezérlés custom esp32 stb.)

Kérdéseim a következőek lennének:

a) ti mit vennétek (ésszerű keretek között) switchet / routert amivel ezt a 8x2 végpontot lehet kezelni? (lehet csak 6 vagy 10 nem emlékszem pontosan) Mikrotik hap3-on gondolkodom; de tudnia kellene elég delejt adni az eszközöknek PoE-n.

b) mivel csiholjak wifit az emeleten / nappaliban (ami a bejárattól a legtávolabb van) Lehetőleg PoE-n?
Fun fact, volt pár gigabites routerem, azok erre alkalmasok lettek volna, de amikor legutóbb haver felújítás alatt lévő házában mértünk, ellopták a melósok...

c) milyen kamerát / mozgásérzékelőt ajánlanátok (nem 200e-ért) ebbe a setupba ami integrálható a HA-ba?

d) érdemes-e 2.5Gbites hálózaton fantáziálnom? Elméletben a Cat5e ezen a távolságon elvinné, meg a PC-m alaplapján is már az van, jó router/switch választással megoldható lenne; de megér-e vajon különösebb erőlködést ez most, vagy várjak vele 3-5 évet még?

e) kinek milyen csengője van? van-e valami olyan megoldás, amihez nem kell kábelezni a kertkaputól (légvonalban a ház kb 4m). A fő homlokzaton egy jól beállított kamera tud lenni ahol látszik a hozzánk érkező delikvens.

f) Gardena vagy bármilyen KÉSZ TERMÉK "okoskerttel" valakinek van tapasztalata? Ez nyilván csak tavasszal lesz majd érdekes. A kertben egy helyen van áram és a víz kiállás, tehát több körös, automata öntözés lehetősége is benne van (lesz gyógynövényes kiskert, sövény, gyep, magaságyás és gyümölcsfák is, mindegyik más-más vízigénnyel) . Solenoid valve-okat már barkácsoltam másnak (működtek is remekül), de ide valami kész terméket szeretnék.

Apache2 gzip-et érdemes bekapcsolni?

Sziasztok!

 

Van egy otthoni szerverem, ami a lakás fogyasztását monitorozza és Raspberry Pi 4B és Apache2 alatt fut. Az éves fogyasztási adatokhoz a JSON file 500k, ami GZIP-pel tömörítve 138k.

Szemmel nagyon nem látható sebességnövekedés a GZIP bekapcsolásával.

Elvi szinten érdemes szerintetek nagy JSON adatokra GZIP-et rakni? Mikor érdemes bekapcsolni?