Re: security-cdn.debian.org weigert me?
Op 28-09-17 om 19:17 schreef Geert Stappers:
> On Thu, Sep 28, 2017 at 01:22:44PM +0200, Paul van der Vlis wrote:
>> Op 28-09-17 om 12:27 schreef Floris:
>>> Waar verwijzen de guests naar?
>> security.debian.org verwijst daar ook naar villa.debian.org.
>>
>> Hmm, op de probleem-machine verwijst dit naar
>> mirror-conova-security.debian.org. En op een andere machine naar
>> wieck.debian.org. Blijkbaar verschilt dit.
>>
>> Maar de melding gaat niet over security.debian.org, maar om
>> security-cdn.debian.org, en dat verwijst naar
>> prod.debian.map.fastly.net. Zowel op de host als op de guests.
>
> De host in kwestie, kan die wel bij andere webservers?
>
> curl http://stappers.it/t/
>
> zou tijdstip en IP-adres ( v4 of v6 ) moeten laten zien.
Dit geeft een timeout.
Ik ben er ondertussen achter. De firewall accepteert alleen uitgaand
verkeer naar bepaalde hostnames, die hij regelmatig resolved. Echter als
een naam een CNAME is naar een andere naam, dan gaat het blijkbaar mis.
Eigenlijk vind ik het een heel goede zaak om alleen uitgaand verkeer toe
te staan naar een whitelist van hosts. Maar het heeft wel onderhoud
nodig... Ik doe het met code zoals onderstaande, maar blijkbaar is dat
niet helemaal OK:
names="security.debian.org ftp.nl.debian.org popov.debian.org \
popcon.debian.org ns1.vandervlis.nl ns2.vandervlis.nl"
ip4=""
for name in $names; do
ip4="$ip4 `dig -t A +short $name | tr '\r \n' ' '`"
done
for ip in $ip4; do
iptables -I OUTPUT -d $ip -j ACCEPT
done
Nu ik security-cdn.debian.org heb toegevoegd lijkt het weer te werken.
Groeten,
Paul
--
Paul van der Vlis Linux systeembeheer Groningen
https://www.vandervlis.nl/
Reply to: