- UANOG - uanog.one

suricata Qs
by Volodymyr Litovka 25 Sep '23

25 Sep '23

Привіт, є декілька запитань по Suricata, якщо хтось має досвід - 1. чи можна якось обмежити інформацію, що пишеться в EVE, алертами з severity < 3 ? Бо інакше файл росте в розмірі як на дріжджах, а, чесно кажучи, таке - --- vvvvv 1146 "signature": "ET HUNTING Telegram API Domain in DNS Lookup", 1230 "signature": "ET INFO Session Traversal Utilities for NAT (STUN Binding Request)", 2390 "signature": "ET INFO Session Traversal Utilities for NAT (STUN Binding Request On Non-Standard High Port)", 1230 "signature": "ET INFO Session Traversal Utilities for NAT (STUN Binding Response)" 11 "signature": "SURICATA STREAM CLOSEWAIT FIN out of window", 235 "signature": "SURICATA STREAM ESTABLISHED invalid ack", 77 "signature": "SURICATA STREAM excessive retransmissions", 5 "signature": "SURICATA STREAM FIN out of window", 235 "signature": "SURICATA STREAM Packet with invalid ack", 15 "signature": "SURICATA STREAM reassembly overlap with different data", 257 "signature": "SURICATA STREAM TIMEWAIT ACK with wrong seq", --- ^^^^^ може бути не цікавим. 2. наприклад, у сурікати є правила, що контролюють files downloads типу "ET POLICY PE EXE or DLL Windows file download HTTP". В цілому, правило файне, але якщо це завантаження з *.microsoft.com, то його можна ігнорувати (життя windows своє й як там майкрософт завантажує свої апдейти - то їх справа). Питання - чи можна вказати сурікаті, що певні правила не треба аплаїти до певних доменів? 3. оскільки правила завантажуються batch'ем (ну типу по кронтабу раз на добу suricata-update), то можна якось написати, що певні правила тупо ігнорувати. Ясно, що завантаження правил можна пропускати через фільтр й коментувати правила, які хочеться подізейблити, але може можна це зробити більш цивільно? :) Дякую. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

1 0

а такое есть вообще?
by Gregory Edigarov 20 Sep '23

20 Sep '23

Добрый день, возник вопрос, а есть ли где-нить ресурс, где были бы собраны все ip которые могут использоваться мессенджерами? а то конечно можно вооружиться tcpdump/wireshark, и потратив какое-то количество времени отдебажить, но может быть кто-то эту работу уже сделал и выложил в сеть? конкретно в данный момент интересует viber. заранее спасибо!

3 3

postgresql backup
by Gregory Edigarov 02 Sep '23

02 Sep '23

Добрый день, а у кого огромные базы в постгри, кто какими методами и софтом пользуется? что хочется: - полные и инкрементальные бекапы - адекватное время выполнения бекапа - возможность восстановить базу определенное время. пока смотрю на barman и pgbackrest, но вдруг что-то еще порекомендуете. спасибо заранее. ps: база в данный момент - 2.8 Tb и растет

3 2

rewrite ingress packet
by Volodymyr Litovka 11 Aug '23

11 Aug '23

Колеги, може у кого є більш-менш готова відповідь :) У мене така задачка - мені вливається декілька десятків мегабайтів ERSPAN трафіка, але цікавлять тільки певні порти. Я хочу все що мені не треба, залишити не далі дверей, а те, що треба, розкидати по декільком прийомникам. Але коли я розгортаю erspan, то проблема в тому, що лінукс бачить цей пакет як не свій по купі ознак - чужа MAC-адреса, чужа dst ip... воно навіть до iptables не доходить, тому ідея полягає в тому, шоб на вході переписати mac (а в іделі - ip та порт) на свої, після чого можна вже хоч щось робити, типу port == N,M -> rewrite mac/ip, port+=20000 або port == N -> rewrite mac/ip/port port == M -> rewrite mac/ip/port Є якісь ідеї, як цього можна досягнути? Дякую. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

2 3

stable FRR version
by Volodymyr Litovka 10 Aug '23

10 Aug '23

Привіт, а хто користує FRR? Яка версія стабільно працює? У мене на убунті стоїть останнє stable (8.5.2) й воно ні разу не stable в частині OSPF. Раз на декілька діб втрачає частинки раутінгу. Понятно шо на bird можна зіскочити, але хочеться простіше спочатку :) Дякую -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

2 5

Таки п..данули по kiae... 😁
by Oleh Hrynchuk 10 Aug '23

10 Aug '23

Subj. Какая нєлєпая і страшная гражданская вайна 😎 Зачєм ані самі сєбя дамбят?

3 5

Ми таки х..йнули по кiae 👍😁
by Oleh Hrynchuk 09 Aug '23

09 Aug '23

Власне сабдж.

1 0

erspan -> networkd
by Volodymyr Litovka 08 Aug '23

08 Aug '23

Привіт, щось я туплю безжально, потрібен свіжий погляд. Як оце - ip link add dev inspan type erspan seq key 10 local 10.171.165.65 remote 192.168.1.3 erspan_ver 1 ip link set dev inspan up перетворити на конфіг networkd? (Це убунта 22.04, тут є ще нетплан, але у нього в документації навіть слова 'erspan' немає) Пробую ось таке - # cat /etc/systemd/network/inspan2.netdev [NetDev] Name=inspan2 Kind=erspan [Tunnel] Local=10.171.165.65 Remote=192.168.1.2 Key=10 ERSPANVersion=1 Independent=true потім networkctl reload (або systemctl restart systemd-networkd) - інтерфейс inspan2 не з'являється. Шо я роблю не так? Дякую. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

1 1

Тем кто занимается UPS и АКБ к ним. RID HC 12-190, 12V 190 HIGH CYCLING CARBON AGM VRLA BATTERY
by Alexander V Soroka 30 Jul '23

30 Jul '23

Привет всем ! Периодически возникали у народа вопросы по свинцовым АКБ, и сейчас лето а на осень по всему видно, что будет снова все херово с УПС, так что готовим АКБ пока есть время. Может кому то будет интересно моя свежая тема с восстановлением АКБ от солнечной электростанции. По ссылке тут http://adopt-zu.soroka.org.ua/work.html#question-29 пишу "отчет". АКБ = RID HC 12-190, 12V 190 HIGH CYCLING CARBON AGM VRLA BATTERY "модные", но их полгода убивали неправильной эксплуатацией. Хорошо хоть вовремя спохватились... но уже там проблемы начались с АКБ. Читайте в общем :-) кому тема интересна. -- Best regards, Alexander V Soroka http://www.svr.ua/ AS106-RIPE mailto:alex@euro.net.ua

7 33

Firmware OpenWrt Upgrade for TP-Link TL-WR841N v13
by Alexander V Soroka 27 Jul '23

27 Jul '23

Привет ! наконец-то я подключился "по проводам" и мои приключения с 4Г закончились... Но тут меня любопытство настигло :-) в моем старом раутере (если его так можно назвать) TP-Link TL-WR841N v13 прошивка которая как г-но мамонта , и я решил проверить что там есть нового на офф сайте. Ну там такое же г-но мамонта лежит как и у меня уже вкачано... Но мы не ищем легких путей :-) Гугль мне показал вот это: https://openwrt.org/toh/hwdata/tp-link/tp-link_tl-wr841n_v13 и смотрю я что: Supported Current Rel: 22.03.5 Линуксов у меня нет на компах, а там Git дает ссылки со словами Линукс. Вот я и хочу спросить: а может кто-то уже игрался с openwrt на ТП-линке? -- Best regards, Alexander V Soroka http://www.svr.ua/ AS106-RIPE mailto:alex@euro.net.ua

3 3