Alle Beiträge von Don Matteo

lebt in der Schweiz, ist System Engineer MCP bei A-Enterprise GmbH. Mitglied des UNBLOG Network. Author und Blogger zu den Themen, Linux und Open Source. Tutorials für Windows, VMware, Synology, Fortinet.

Linux Howto Tutorials

Verdächtige IP mit Linux Firewall Daemon sperren

7. 05. 2021 Don Matteo Schreibe einen Kommentar

Brute-Force Angriffe mit Firewall Daemon blockieren aus Bash Script

Firewall Daemon für den Schutz vor laufenden Brute-Force Attacken, bei der Erkennung versuchter Angriffe auf den Linux Host. Um den Host permanent zu schützen, können verdächte Anfragen von angreifenden Quellen schnell gesperrt werden. Das folgende bash Script sperrt die IP, diese als Argument übergeben wird und von firewall-cmd auf reject gesetzt wird.


#!/bin/bash
# use in a script to reject a source ip given as an argument
if [[ $# -eq 0 ]] ; then
   echo "No argument supplied"
   echo "use: reject [source ip address]"
   exit 0
fi
echo "$1 to reject"
firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="'$1'" reject'
firewall-cmd --reload
sleep 1
systemctl restart fail2ban
sleep 3
firewall-cmd --list-all
iptables -vnL

#!/bin/bash

# use in a script to reject a source ip given as an argument

if [[ $# -eq 0 ]] ; then

echo "No argument supplied"

echo "use: reject [source ip address]"

exit 0

echo "$1 to reject"

firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="'$1'" reject'

firewall-cmd --reload

sleep 1

systemctl restart fail2ban

sleep 3

firewall-cmd --list-all

iptables -vnL

Das Script wurde auf Debian 10 (buster) geschrieben, bei Debian muss firewalld erst installiert werden, wie auch unter Ubuntu 20. Bei RHEL und CentOS Linux 7+ und Fedora 30 oder höher ist firewalld im Standard und das Script ist gleich anwendbar.

Firewalld Installation auf Debian

Das firewalld-Paket ist in den offiziellen Debian 10 Repositorys verfügbar. Die Installation ist unschwer wie folgender Ablauf zeigt.


$ sudo apt update
$ sudo apt -y install firewalld

$ sudo apt update

$ sudo apt -y install firewalld

Bereitstellung von Firewalld im Terminal mit Root Privileg.


$ sudo ufw disable

1 2	$ sudo ufw disable

Wenn ufw aktiviert ist, muss die Uncomplicated Firewall (ufw) zur Verwaltung der Netfilter deaktiviert werden, um firewalld zur Standard-Firewall zu machen.


$ sudo systemctl enable firewalld
$ sudo systemctl start firewalld

$ sudo systemctl enable firewalld

$ sudo systemctl start firewalld

Den Firewall daemon starten und für den Systemstart aktivieren.


$ sudo firewall-cmd --state
running

$ sudo firewall-cmd --state

running

Ausführung und Erreichbarkeit des Dienstes überprüfen.


$ sudo firewall-cmd --reload

1 2	$ sudo firewall-cmd --reload

Laden der neuen Firewall-Regeln unter beibehalten des Status.

Erscheint bei Debian nach firewall-cmd –reload der Fehler:

Error: COMMAND_FAILED: ‚/usr/sbin/ip6tables-restore -w -n‘ failed: ip6tables-restore v1.8.2 (nf_tables:
line 4: RULE_REPLACE failed (no such file ordirectory): rule in chain OUTPUT

Ist die Lösung das Ausführen von update-alternatives, um Debian zu erzwingen, iptables anstelle von nftables zu verwenden.


$ sudo update-alternatives --set iptables /usr/sbin/iptables-legacy
$ sudo update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy

$ sudo update-alternatives --set iptables /usr/sbin/iptables-legacy

$ sudo update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy

Nach dem wechsel von nftables zu iptables den Linux Rechner mit reboot neu starten.

Firewalld Konfiguration

Firewalld ist eine Firewall-Verwaltungslösung als Frontend für das vom Linux-Kernel bereitgestellte iptables-Paketfiltersystem. firewall-cmd ist das Dienstprogramm zum Verwalten der Firewall-Konfiguration. Der firewalld Daemon verwaltet Gruppen von Regeln mithilfe von Entitäten, die als „Zonen“ bezeichnet werden. Zonen sind wie Regelsätze, die festlegen, welcher Datenverkehr zugelassen werden soll, anhand des Vertrauen der Netzwerke, mit denen der Computer verbunden ist. Den Netzwerkschnittstellen wird eine Zone zugewiesen, um das Verhalten festzulegen, das die Firewall zulassen soll.

Ein Netzwerk Interface zur Default Zone public zugewiesen, unter Verwendung des firewall-cmd Tools, mit dem Kommand zur Überprüfung von Zonen und den Interfaces.


$ sudo firewall-cmd --zone=public --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: dhcpv6-client https ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
        rule family="ipv4" source address="10.10.10.1" reject

$ sudo firewall-cmd --zone=public --list-all

public (active)

target: default

icmp-block-inversion: no

interfaces:

sources:

services: dhcpv6-client https ssh

ports:

protocols:

masquerade: no

forward-ports:

source-ports:

icmp-blocks:

rich rules:

rule family="ipv4" source address="10.10.10.1" reject

Erscheint bei interfaces (bei Zeile 6) keine Netzwerk Schnittstelle, muss dieses der Zone noch zugeweisen werden, dazu mit ip oder ifconfig (net-tools) die Schnittstellen abfragen.


$ ip link
$ ip addr
$ ifconfig

$ ip link

$ ip addr

$ ifconfig

Hier bei unserem virtuellen Debian (buster) ist es Link 2 ens33.

Das Interface ens33 wird zur Default Zone public zugewiesen.


$ sudo firewall-cmd --zone=public --change-interface=ens33

1 2	$ sudo firewall-cmd --zone=public --change-interface=ens33

Das zur Zone zugewiesene Interface überprüfen mit der Ausgabe.


$ firewall-cmd --get-active-zones
public
  interfaces: ens33
$ sudo firewall-cmd --zone=public --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources:
  services: dhcpv6-client https ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
        rule family="ipv4" source address="10.10.10.1" reject

$ firewall-cmd --get-active-zones

public

interfaces: ens33

$ sudo firewall-cmd --zone=public --list-all

public (active)

target: default

icmp-block-inversion: no

interfaces: ens33

sources:

services: dhcpv6-client https ssh

ports:

protocols:

masquerade: no

forward-ports:

source-ports:

icmp-blocks:

rich rules:

rule family="ipv4" source address="10.10.10.1" reject

Das Interface ens33 ist mit der Zone verbunden.

Fail2ban und Firewalld Interaktion

Fail2ban (Fehlschlag führt zum Bann) ist ein in Python entwickeltes IPS und Framework zur Vorbeugung gegen Einbrüche, das auf allen Unixoiden OS läuft, die ein manipulierbares Paketfiltersystem oder eine Firewall besitzen wie iptables oder firewalld unter Linux.

Bei Zeile 13 im Script reject.sh (oben), wird falls vorhanden und ausgeführt, die von Fail2ban verbannten (banned) Adressen nach der manipulation von firewalld, den zuvor aktive Zustand wieder hergestellt. Wird Fail2ban nicht angewandt, können die Zeilen 12 – 14 gelöscht werden.

Script ausführen


./reject.sh 10.10.10.1

1 2	./reject.sh 10.10.10.1

Mit Übergabe der Source-IP wird das Script in der bash ausgeführt, um verdächtige Anfragen durch die Firewall abzulehnen.

Die abgelehnte IP-Adresse kann mit folgender Kommandozeile in der Shell wieder entfernt werden.


$ sudo firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="10.10.10.1" reject'

1 2	$ sudo firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="10.10.10.1" reject'

Die Regel mit firewall-cmd –remove wieder entfernen.


$ sudo firewall-cmd --reload

1 2	$ sudo firewall-cmd --reload

Mit firewall-cmd –reload wird die Änderung aktiviert.

Anwendung und Hilfe zu firewall-cmd


$ sudo firewall-cmd --zone=public --list-all

1 2	$ sudo firewall-cmd --zone=public --list-all

Ausgeben der geänderten und aktivierten Regel der Zone Public.


$ sudo firewall-cmd --list-all
$ sudo iptables -vxnL

$ sudo firewall-cmd --list-all

$ sudo iptables -vxnL

Aktuelle Firewall Regeln überprüfen mit folgenden Kommandos.


$ firewall-cmd --get-default-zone

1 2	$ firewall-cmd --get-default-zone

Standardzone für Verbindungen und Schnittstellen ausgeben.


$ sudo firewall-cmd --set-default-zone=zone_name

1 2	$ sudo firewall-cmd --set-default-zone=zone_name

Eine Zone zur Defaultzone festlegen.


$ firewall-cmd --get-active-zones

1 2	$ firewall-cmd --get-active-zones

Derzeit aktive Zonen ausgeben.


$ firewall-cmd --get-zones

1 2	$ firewall-cmd --get-zones

Vordefinierte Zonen ausgeben.


$ firewall-cmd --help
$ man firewall-cmd

$ firewall-cmd --help

$ man firewall-cmd

Hilfe und man page von firewall-cmd ausgeben.

Windows Tutorials

Netzwerk Drucker Verwaltung aus Command Prompt

5. 05. 2021 Don Matteo Schreibe einen Kommentar

rundll32 printui.dll,PrintUIEntry

printui.dll ist eine ausführbare Datei für automatisierte Druckerkonfigurationsaufgaben mit Funktionen die von den Dialogfeldern für die Druckerkonfiguration verwendet werden. Diese Funktionen können auch aus einem Skript oder einer Befehlszeilen-Batchdatei heraus aufgerufen werden, oder interaktiv über die Eingabeaufforderung ausgeführt werden.

printui.dll wird mit rundll32.exe ausgeführt um Werkzeuge für anspruchsvolle Aufgaben bereitzustellen, für Drucker hinzufügen, Verwalten, löschen und Netzwerkdruckerverbindung herstellen.

Eigenschaften von Druckerserver öffnen

Netzwerkdruckerverbindung herstellen:


rundll32.exe printui.dll,PrintUIEntry /in /n \\server\LaserJet

1 2	rundll32.exe printui.dll,PrintUIEntry /in /n \\server\LaserJet

Der auf dem SERVER freigegebene Netzwerkdrucker LaserJet wird auf dem Client Computer installiert und mit dem Server verbunden.

Drucker Installation mithilfe der Druckertreiber INF-Datei:


rundll32 printui.dll,PrintUIEntry /if /b "AddressLabel" /f C:\Driver\Zebra\ZBRN\ZBRN.inf /r "10.10.10.89" /m "ZDesigner GK420t" /Z

1 2	rundll32 printui.dll,PrintUIEntry /if /b "AddressLabel" /f C:\Driver\Zebra\ZBRN\ZBRN.inf /r "10.10.10.89" /m "ZDesigner GK420t" /Z

/if Installiert Drucker mithilfe der angegebenen INF-Datei.
/b Basisdruckername AddressLabel
/f Pfad zu der Druckertreiber INF-Datei.
/r Portname oder IP Adresse.
/m Modellname des Druckertreibers aus der INF-Datei.
/Z Drucker freigeben, Verwendung nur mit Option „/if“ möglich.

Lokaler Druckertreiber löschen:


rundll32 printui.dll,PrintUIEntry /dd /m "LaserJet" /q

1 2	rundll32 printui.dll,PrintUIEntry /dd /m "LaserJet" /q

/dd Löscht den lokalen Druckertreiber.
/m Modellname des Druckertreibers.
/q Mögliche Fehlermeldungen nicht ausgeben.

Netzwerkdruckerverbindung löschen:


rundll32 printui.dll,PrintUIEntry /dn /n "LaserJet" /q

1 2	rundll32 printui.dll,PrintUIEntry /dn /n "LaserJet" /q

/dn Löscht die Netzwerkdruckerverbindung.
/n Der Name des Druckers.

Hilfe zu printui.dll wird mit folgendem Kommando in der Eingabeaufforderung ausgegeben.


rundll32 printui.dll,PrintUIEntry /?

1 2	rundll32 printui.dll,PrintUIEntry /?

Batch Beispiel:

Beispiel für Netzwerkdruckerverbindung aus einem Loginscript.


@echo off
@REM Batchdatei Netzwerkdruckerverbindung
if /i %computername:~0,2%==BE goto Bern 
if /i %computername:~0,2%==BS goto Basel
if /i %computername:~0,7%==SPECTRE goto LAPTOP
goto END
:Bern
@REM Netzwerkdruckerverbindung Bern
rundll32 printui.dll,PrintUIEntry /in /n \\SERVER\LaserJet_BE
goto END
:Basel
@REM Netzwerkdruckerverbindung Basel
rundll32 printui.dll,PrintUIEntry /in /n \\SERVER\LaserJet_BS
goto END
:LAPTOP
@REM Netzwerkdruckerverbindung SPECTRE
rundll32 printui.dll,PrintUIEntry /in /n \\SERVER\OfficeJet_HO
goto END
:END

@echo off

@REM Batchdatei Netzwerkdruckerverbindung

if /i %computername:~0,2%==BE goto Bern

if /i %computername:~0,2%==BS goto Basel

if /i %computername:~0,7%==SPECTRE goto LAPTOP

goto END

:Bern

@REM Netzwerkdruckerverbindung Bern

rundll32 printui.dll,PrintUIEntry /in /n \\SERVER\LaserJet_BE

goto END

:Basel

@REM Netzwerkdruckerverbindung Basel

rundll32 printui.dll,PrintUIEntry /in /n \\SERVER\LaserJet_BS

goto END

:LAPTOP

@REM Netzwerkdruckerverbindung SPECTRE

rundll32 printui.dll,PrintUIEntry /in /n \\SERVER\OfficeJet_HO

goto END

:END

Windows Tutorials

Desktop Verknüpfung erstellen

2. 05. 2021 Don Matteo Schreibe einen Kommentar

Windows Einstellungen Snap-In als Verknüpfung auf dem Desktop

Windows Desktop Verknüpfungen können nützlich sein, um längere Befehle nicht erneut eingeben zu müssen. Mit Windows Kurzbefehle zu den MMC Snap-In Verwaltungsprogramme lassen sich ebenfalls Verknüpfungen erstellen, wie in diesem Beitrag gezeigt wird.

MMC Snap-In sind ausführbare Dateien die es als Kurzbefehle bei Windows 10 gibt, wie die von Windows 7 bekannten Fenster für die Verwaltungsprogramme. Zu einem solchen Kurzbefehl kann eine Verknüpfung erstellt werden, wie hier für die Einstellungen.

Verknüpfung auf Desktop erstellen mit Rechtsklick – Neu – Verknüpfung

Microsoft Management Console (MMC)

Die Microsoft Management Console (MMC) ist eine grafische Benutzeroberfläche zur Verwaltung von Computern unter Microsoft Windows. Die MMC selbst führt keine Verwaltungsaufgaben aus, sie führt die Verwaltungsprogramme zusammen. Ein solches Programm für die MMC wird Snap-In genannt und trägt die Dateinamenserweiterung msc. Über die Kurzbefehle sind die einzelnen MMC Snap-In direkt aufrufbar.

MMC Snap-In Kurzbefehle

Eine Zusammenfassung der wichtigsten Windows Kurzbefehle zu den MMC Snap-In gibt es hier.

Brute-Force Angriffe mit Firewall Daemon blockieren aus Bash Script

Firewalld Installation auf Debian

Error: COMMAND_FAILED: ‚/usr/sbin/ip6tables-restore -w -n‘ failed: ip6tables-restore v1.8.2 (nf_tables:line 4: RULE_REPLACE failed (no such file ordirectory): rule in chain OUTPUT

Firewalld Konfiguration

Fail2ban und Firewalld Interaktion

Script ausführen

Anwendung und Hilfe zu firewall-cmd

rundll32 printui.dll,PrintUIEntry

Eigenschaften von Druckerserver öffnen

Netzwerkdruckerverbindung herstellen:

Drucker Installation mithilfe der Druckertreiber INF-Datei:

Lokaler Druckertreiber löschen:

Netzwerkdruckerverbindung löschen:

Batch Beispiel:

Windows Einstellungen Snap-In als Verknüpfung auf dem Desktop

Microsoft Management Console (MMC)

MMC Snap-In Kurzbefehle

Error: COMMAND_FAILED: ‚/usr/sbin/ip6tables-restore -w -n‘ failed: ip6tables-restore v1.8.2 (nf_tables:
line 4: RULE_REPLACE failed (no such file ordirectory): rule in chain OUTPUT