[mdk-re] Защита в серверной инсталляции

[mdk-re] Защита в серверной инсталляции

[Alex Savvin]

Hello mandrake-russian,

  Вот не могу разобраться с сабжем
  Поставил Spring 2001 в режиме "Сервер" (с настройкой).

  Теперь не могу поднять ни один коммуникационный сервер (ftp, telnet
  и т.п.)

  Кто бы прояснил - в каком порядке идет просмотр допуска на
  запрашиваемое соединение?

  Например, telnet.

  Установил in.telnetd, выключил "only_from localhost" в
  /etc/xinetd.conf, включил "disable = no" в /etc/xinetd.d/telnet,
  написал "ALL:ALL" в /etc/hosts.allow, все это завершил
  глобальным /etc/init.d/network restart. показало кучу "ОК",
  но не могу зайте telnet даже с localhost.

  Даже пропробовал inetd вместо xinetd - результат тот же. :-(

  Что делать?

-- 
Best regards,
 Alex                          mailto:alex@dag.bryansk.ru

[mdk-re] Re: [mdk-re] Защита в серверной инсталляции

[cornet]

Alex Savvin wrote:
> 
> Hello mandrake-russian,
> 
>   Вот не могу разобраться с сабжем
>   Поставил Spring 2001 в режиме "Сервер" (с настройкой).
> 
>   Теперь не могу поднять ни один коммуникационный сервер (ftp, telnet
>   и т.п.)
> 
>   Кто бы прояснил - в каком порядке идет просмотр допуска на
>   запрашиваемое соединение?
> 
>   Например, telnet.
> 
>   Установил in.telnetd, выключил "only_from localhost" в
>   /etc/xinetd.conf, включил "disable = no" в /etc/xinetd.d/telnet,
>   написал "ALL:ALL" в /etc/hosts.allow, все это завершил
>   глобальным /etc/init.d/network restart. показало кучу "ОК",
>   но не могу зайте telnet даже с localhost.
> 
>   Даже пропробовал inetd вместо xinetd - результат тот же. :-(
> 
>   Что делать?

Я надеюсь Вы не root'ом пытаететь по телнету зайти?
$ipchains -L -v
что показывает?

-- 
******** FIRE & STEEL ********

[mdk-re] Re: [mdk-re] Re: [mdk-re] Защита в серверной инсталляции

[Alex Savvin]

Hello cornet,

Wednesday, July 18, 2001, 10:57:52 AM, you wrote:

c> Alex Savvin wrote:
>> 
>>   Установил in.telnetd, выключил "only_from localhost" в
>>   /etc/xinetd.conf, включил "disable = no" в /etc/xinetd.d/telnet,
>>   написал "ALL:ALL" в /etc/hosts.allow, все это завершил
>>   глобальным /etc/init.d/network restart. показало кучу "ОК",
>>   но не могу зайти telnet даже с localhost.
>> 
>>   Даже пропробовал inetd вместо xinetd - результат тот же. :-(
>> 
>>   Что делать?

c> Я надеюсь Вы не root'ом пытаететь по телнету зайти?
c> $ipchains -L -v
c> что показывает?

Нет, конечно. ipchains вообще выключен (проверил chkconfig --list)
Пока выкрутился снижением уровня безопасности до 3 (было 4).

Вообще, есть претензия к разработчикам - пока новая фича не
документирована, лучше ее не включать в дистрибутив, во всяком случае,
не в режиме рекомендуемых установок. Ибо где теперь искать инфо
по всем этим делам - не знаю. Пытался даже разребать скрипты, но, к
сожалению, это пока не самая моя сильная сторона :(

Пока я выявил только несколько "приложений" (не знаю как правильно
назвать), отвечающих за безопасность:
1. inetd или xinetd - поднимают запрашиваемый сервис, проверяя
   возможность доступа в host.[allow|deny] и своих конфигах
2. msec - перенастраивает систему привилегий (permissions) и,
   наверное, еще что-то в зависимости от выбираемого уровня защиты
3. PAM - насколько я понял, отвечает за корректную работу системы с
   passwd. Пока еще не сильно туда влезал.
4. ipchains - файрволл, ограничивает прохождение пакетов через
   сетевые интерфейсы согласно заданным правилам (от кого, кому, какой
   и т.п.)
5. еще что-то, чьи конфиги лежат в /etc/security - изменяет
   permissions и еще что-то в соответствии с заданными правилами (с
   такого по такое время тому-то можно делать то-то).

Наверное еще что-то забыл, посмотреть пока не могу - пишу из под MS -
эксперименты с компиляцией и установкой ядра временно ограничили выбор
доступных OS  :-)

Может быть, кто-нибудь из разработчиков все-таки распишет, как оно
есть на самом деле.





-- 
Best regards,
 Alex                            mailto:alex@dag.bryansk.ru

Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Защита в серверной инсталляции

[Vyt]

On Wed, 18 Jul 2001 22:03:12 +0400
Alex Savvin <alex@dag.bryansk.ru> wrote:

> Hello cornet,
> 
> Wednesday, July 18, 2001, 10:57:52 AM, you wrote:
> 
> c> Alex Savvin wrote:
> >>
> >>   Установил in.telnetd, выключил "only_from localhost" в
> >>   /etc/xinetd.conf, включил "disable = no" в /etc/xinetd.d/telnet,
> >>   написал "ALL:ALL" в /etc/hosts.allow, все это завершил
> >>   глобальным /etc/init.d/network restart. показало кучу "ОК",
> >>   но не могу зайти telnet даже с localhost.
> >>
> >>   Даже пропробовал inetd вместо xinetd - результат тот же. :-(
> >>
> >>   Что делать?
> 
> c> Я надеюсь Вы не root'ом пытаететь по телнету зайти?
> c> $ipchains -L -v
> c> что показывает?
> 
> Нет, конечно. ipchains вообще выключен (проверил chkconfig --list)
> Пока выкрутился снижением уровня безопасности до 3 (было 4).
> 
> Вообще, есть претензия к разработчикам - пока новая фича не
> документирована, лучше ее не включать в дистрибутив, во всяком случае,
> не в режиме рекомендуемых установок. Ибо где теперь искать инфо
> по всем этим делам - не знаю. Пытался даже разребать скрипты, но, к
> сожалению, это пока не самая моя сильная сторона :(
> 
> Пока я выявил только несколько "приложений" (не знаю как правильно
> назвать), отвечающих за безопасность:
> 1. inetd или xinetd - поднимают запрашиваемый сервис, проверяя
>    возможность доступа в host.[allow|deny] и своих конфигах

Стандартные сервисы Linux, описаны в туче HOWTO на русском языке. Кстати,
есть мнение, что xinetd лучше.
Очень хорошие доки есть на
http://www.mgul.ac.ru/~t-alex/Linux/linux_home.htm
не пропустите раздел "Статьи".

> 2. msec - перенастраивает систему привилегий (permissions) и,
>    наверное, еще что-то в зависимости от выбираемого уровня защиты

Mandrake security tools, man msec, /usr/doc/msec-*/

> 3. PAM - насколько я понял, отвечает за корректную работу системы с
>    passwd. Пока еще не сильно туда влезал.

Это тоже, скорее, не фича, а стандарт.

> 4. ipchains - файрволл, ограничивает прохождение пакетов через
>    сетевые интерфейсы согласно заданным правилам (от кого, кому, какой
>    и т.п.)

Много документации на русском на любом нормальном русскоязычном сайте о
Linux.

> 5. еще что-то, чьи конфиги лежат в /etc/security - изменяет
>    permissions и еще что-то в соответствии с заданными правилами (с
>    такого по такое время тому-то можно делать то-то).

По названию файлов можно догадаться (drakconf, timeconfig), документацию
не искал.

> Наверное еще что-то забыл, посмотреть пока не могу - пишу из под MS -
> эксперименты с компиляцией и установкой ядра временно ограничили выбор
> доступных OS  :-)

Знакомо :)

> Может быть, кто-нибудь из разработчиков все-таки распишет, как оно
> есть на самом деле.

Они, вроде, большей частью на LinuxFest'е отдыхают.
А документации, не спорю, в общем маловато.

<skipped>

-- 
Regards, Vyt
mailto:vyt@vzljot.ru

[mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Защита в серверной инсталляции

[Dmitry S Kiselev]

Wed, 18 Jul 2001 22:03:12 +0400
Alex Savvin <alex@dag.bryansk.ru> написал(а):
AS> Hello cornet,

AS> Wednesday, July 18, 2001, 10:57:52 AM, you wrote:

c>> Alex Savvin wrote:
>>> 
>>>   Установил in.telnetd, выключил "only_from localhost" в
>>>   /etc/xinetd.conf, включил "disable = no" в /etc/xinetd.d/telnet,
>>>   написал "ALL:ALL" в /etc/hosts.allow, все это завершил
>>>   глобальным /etc/init.d/network restart. показало кучу "ОК",
>>>   но не могу зайти telnet даже с localhost.
>>> 
>>>   Даже пропробовал inetd вместо xinetd - результат тот же. :-(
>>> 
>>>   Что делать?

Загляните в /etc/hosts.deny - там запрещены все коннекты кроме localhost

--
WBR Dmitry S Kiselev  E-Mail:salvatore@cs.nstu.ru ICQ UIN:32904426

Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Защита в серверной инсталляции

[cornet]

Dmitry S Kiselev wrote:
> 
> Wed, 18 Jul 2001 22:03:12 +0400
> Alex Savvin <alex@dag.bryansk.ru> написал(а):
> AS> Hello cornet,
> 
> AS> Wednesday, July 18, 2001, 10:57:52 AM, you wrote:
> 
> c>> Alex Savvin wrote:
> >>>
> >>>   Установил in.telnetd, выключил "only_from localhost" в
> >>>   /etc/xinetd.conf, включил "disable = no" в /etc/xinetd.d/telnet,
> >>>   написал "ALL:ALL" в /etc/hosts.allow, все это завершил
> >>>   глобальным /etc/init.d/network restart. показало кучу "ОК",
> >>>   но не могу зайти telnet даже с localhost.
> >>>
> >>>   Даже пропробовал inetd вместо xinetd - результат тот же. :-(
> >>>
> >>>   Что делать?
> 
> Загляните в /etc/hosts.deny - там запрещены все коннекты кроме localhost

Секундочку! hosts.allow перекрывает собой hosts.deny, если в deny
всех нафиг, а в allow всем велкам - то должно пускать в систему.
Сам проверял, работает именно так.

-- 
******** FIRE & STEEL ********

[mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Защита в серверной инсталляции

[Dmitry S Kiselev]

Thu, 19 Jul 2001 10:45:31 +0400
cornet <cornet@zmail.ru> написал(а):
C> Dmitry S Kiselev wrote:
>> 
>> Wed, 18 Jul 2001 22:03:12 +0400
>> Alex Savvin <alex@dag.bryansk.ru> написал(а):
>> AS> Hello cornet,
>> 
>> AS> Wednesday, July 18, 2001, 10:57:52 AM, you wrote:
>> 
>> c>> Alex Savvin wrote:
>> >>>
>> >>>   Установил in.telnetd, выключил "only_from localhost" в
>> >>>   /etc/xinetd.conf, включил "disable = no" в /etc/xinetd.d/telnet,
>> >>>   написал "ALL:ALL" в /etc/hosts.allow, все это завершил
>> >>>   глобальным /etc/init.d/network restart. показало кучу "ОК",
>> >>>   но не могу зайти telnet даже с localhost.
>> >>>
>> >>>   Даже пропробовал inetd вместо xinetd - результат тот же. :-(
>> >>>
>> >>>   Что делать?
>> 
>> Загляните в /etc/hosts.deny - там запрещены все коннекты кроме localhost

C> Секундочку! hosts.allow перекрывает собой hosts.deny, если в deny
C> всех нафиг, а в allow всем велкам - то должно пускать в систему.
C> Сам проверял, работает именно так.

Тогда не знаю... Может на четвертом уровне это не так?..

C> -- 
C> ******** FIRE & STEEL ********

C> _______________________________________________
C> Mandrake-russian mailing list
C> Mandrake-russian@altlinux.ru
C> http://altlinux.ru/mailman/listinfo/mandrake-russian

--
WBR Dmitry S Kiselev  E-Mail:salvatore@cs.nstu.ru ICQ UIN:32904426

Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Защита в серверной инсталляции

[cornet]

Dmitry S Kiselev wrote:
> 
> Thu, 19 Jul 2001 10:45:31 +0400
> cornet <cornet@zmail.ru> написал(а):
> C> Dmitry S Kiselev wrote:
> >>
> >> Wed, 18 Jul 2001 22:03:12 +0400
> >> Alex Savvin <alex@dag.bryansk.ru> написал(а):
> >> AS> Hello cornet,
> >>
> >> AS> Wednesday, July 18, 2001, 10:57:52 AM, you wrote:
> >>
> >> c>> Alex Savvin wrote:
> >> >>>
> >> >>>   Установил in.telnetd, выключил "only_from localhost" в
> >> >>>   /etc/xinetd.conf, включил "disable = no" в /etc/xinetd.d/telnet,
> >> >>>   написал "ALL:ALL" в /etc/hosts.allow, все это завершил
> >> >>>   глобальным /etc/init.d/network restart. показало кучу "ОК",
> >> >>>   но не могу зайти telnet даже с localhost.
> >> >>>
> >> >>>   Даже пропробовал inetd вместо xinetd - результат тот же. :-(
> >> >>>
> >> >>>   Что делать?
> >>
> >> Загляните в /etc/hosts.deny - там запрещены все коннекты кроме localhost
> 
> C> Секундочку! hosts.allow перекрывает собой hosts.deny, если в deny
> C> всех нафиг, а в allow всем велкам - то должно пускать в систему.
> C> Сам проверял, работает именно так.
> 
> Тогда не знаю... Может на четвертом уровне это не так?..

И на четвертом точно так же, опять таки сам же проверял.
Рассудите логично, как работает стандартный метод, описаный в
куче разных HOWTO:
В deny говорим ALL:ALL то есть все идут нафиг;
В allow начинаем по мере необходимости открывать доступ к
определенным сервисам для определенных хостов;
Таким образом на всеобщий посыл из deny накладывается разрешающая
маска из allow.

Значит, если разрешающая маска ALL:ALL то она полностью покрывает
собой множество deny и разрешает доступ ко всем сервисам со всех
хостов.
Логично?

-- 
******** FIRE & STEEL ********

[mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Защита в серверной инсталляции

[Dmitry S Kiselev]

Thu, 19 Jul 2001 12:40:46 +0400
cornet <cornet@zmail.ru> написал(а):
C> Dmitry S Kiselev wrote:
>> 
>> Thu, 19 Jul 2001 10:45:31 +0400
>> cornet <cornet@zmail.ru> написал(а):
>> C> Dmitry S Kiselev wrote:
>> >>
>> >> Wed, 18 Jul 2001 22:03:12 +0400
>> >> Alex Savvin <alex@dag.bryansk.ru> написал(а):
>> >> AS> Hello cornet,
>> >>
>> >> AS> Wednesday, July 18, 2001, 10:57:52 AM, you wrote:
>> >>
>> >> Загляните в /etc/hosts.deny - там запрещены все коннекты кроме localhost
>> 
>> C> Секундочку! hosts.allow перекрывает собой hosts.deny, если в deny
>> C> всех нафиг, а в allow всем велкам - то должно пускать в систему.
>> C> Сам проверял, работает именно так.
>> 
>> Тогда не знаю... Может на четвертом уровне это не так?..

C> И на четвертом точно так же, опять таки сам же проверял.
C> Рассудите логично, как работает стандартный метод, описаный в
C> куче разных HOWTO:
C> В deny говорим ALL:ALL то есть все идут нафиг;
C> В allow начинаем по мере необходимости открывать доступ к
C> определенным сервисам для определенных хостов;
C> Таким образом на всеобщий посыл из deny накладывается разрешающая
C> маска из allow.

C> Значит, если разрешающая маска ALL:ALL то она полностью покрывает
C> собой множество deny и разрешает доступ ко всем сервисам со всех
C> хостов.
C> Логично?

Логично :)

C> -- 
C> ******** FIRE & STEEL ********

C> _______________________________________________
C> Mandrake-russian mailing list
C> Mandrake-russian@altlinux.ru
C> http://altlinux.ru/mailman/listinfo/mandrake-russian

--
WBR Dmitry S Kiselev  E-Mail:salvatore@cs.nstu.ru ICQ UIN:32904426

Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Защита в сервернойинсталляции

[vic ismakaev]

19 Июль 2001 14:40, Вы написали:
> Dmitry S Kiselev wrote:
> > Thu, 19 Jul 2001 10:45:31 +0400
> > cornet <cornet@zmail.ru> написал(а):
> >
> > C> Dmitry S Kiselev wrote:
> > >> Wed, 18 Jul 2001 22:03:12 +0400
> > >> Alex Savvin <alex@dag.bryansk.ru> написал(а):
> > >> AS> Hello cornet,
> > >>
> > >> AS> Wednesday, July 18, 2001, 10:57:52 AM, you wrote:
> > >>
> > >> c>> Alex Savvin wrote:
> > >> >>>   Установил in.telnetd, выключил "only_from localhost" в
> > >> >>>   /etc/xinetd.conf, включил "disable = no" в /etc/xinetd.d/telnet,
> > >> >>>   написал "ALL:ALL" в /etc/hosts.allow, все это завершил
> > >> >>>   глобальным /etc/init.d/network restart. показало кучу "ОК",
> > >> >>>   но не могу зайти telnet даже с localhost.
> > >> >>>
> > >> >>>   Даже пропробовал inetd вместо xinetd - результат тот же. :-(
> > >> >>>
> > >> >>>   Что делать?
Стоп. После правки xinetd.conf (/etc/xinet.d/telnet, hosts.allow,hosts.deny) 
перезапускали inetd или xinetd. (это сервисы xinetd и inetd, но никак не 
network).Далее, hosts.allow[deny] критичны к завершающему LF (конец строки) - 
в конце файла обязательно должен стоять перевод строки.
-- 
С уважением
Виктор В Исмакаев

Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Защита в сервернойинсталляции

[Alex Savvin]

On Thu, 19 Jul 2001 16:55:07 +0600
vic ismakaev <viclists@mail.esoo.ru> wrote:

> > > >> >>>   Даже пропробовал inetd вместо xinetd - результат тот же. :-(
> > > >> >>>
> > > >> >>>   Что делать?
> Стоп. После правки xinetd.conf (/etc/xinet.d/telnet, hosts.allow,hosts.deny) 
> перезапускали inetd или xinetd. (это сервисы xinetd и inetd, но никак не 
> network).Далее, hosts.allow[deny] критичны к завершающему LF (конец строки) - 
> в конце файла обязательно должен стоять перевод строки.

Да, разумеется. service xinetd.conf restart после каждого изменения в любом
из его конфигов. hosts.* с пустой строкой в конце (если не будет LF - он
предупреждает в messages).

Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Защита в сервернойинсталляции

[Vyt]

On Thu, 19 Jul 2001 21:22:06 +0400
Alex Savvin <xbow@bryansk.elektra.ru> wrote:

<skipped>

> Да, разумеется. service xinetd.conf restart после каждого изменения в любом

reload быстрее

> из его конфигов. hosts.* с пустой строкой в конце (если не будет LF - он
> предупреждает в messages).

<skipped>

-- 
Regards, Vyt
mailto:vyt@vzljot.ru

[mdk-re] Re: Защита в серверной инсталляции

[Mikhail Zabaluev]

Hello Alex,

On Wed, Jul 18, 2001 at 10:03:12PM +0400, Alex Savvin wrote:
>
> 3. PAM - насколько я понял, отвечает за корректную работу системы с
>    passwd. Пока еще не сильно туда влезал.

PAM - это универсальная модульная библиотека, занимающаяся
авторизацией. passwd - лишь одна из программ, которые ей
пользуются. Доступ к /etc/passwd обеспечивается лишь одним из множества
модулей авторизации.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
Between grand theft and a legal fee, there only stands a law degree.

Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] Защита в сервернойинсталляции

[Sergei]

Среда 18 Июль 2001 22:03, Вы написали:

> 3. PAM - насколько я понял, отвечает за корректную работу системы с
>    passwd. Пока еще не сильно туда влезал.
Попробуйте влезть сюда
-- 
С уважением, Епифанов Сергей.