[Comm] Умно зашаренная /home

[Comm] Умно зашаренная /home

[Michael Pozhidaev]

Привет всем!

Хочу обсудить стары уже вопрос. Есть ли какое-нибудь отработанное решение для 
подключения /home на рабочих местах при его едином хранении на сервере?
Что-нибудь вроде такого:
юзер логинится, по его логину и паролю сразу 
монтируется /home по smb, а затем уже отрабатываются profile и остальное в этом роде.
Но, как понял, даже при включенных unix extensions не работают симлинки,
да и как выполнить такое монтирование?
Решение хочется видеть таким, чтобы авторизация при обращении 
к файлам выполнялась бы на сервере. uid'ы и gid'ы, разумеется, предполагаются везде одинаковые.
Как такое делают?
-- 
С уважением и наилучшими пожеланиями, Михаил Пожидаев. E-mail: msp@altlinux.ru.
Томский государственный университет. Факультет информатики. http://www.csd.tsu.ru
AltLinux Team. http://www.altlinux.ru

Re: [Comm] Умно зашаренная /home

[Владимир]

> Решение хочется видеть таким, чтобы авторизация при обращении
> к файлам выполнялась бы на сервере. uid'ы и gid'ы, разумеется,
> предполагаются везде одинаковые. Как такое делают?
LDAP, ACL, NFS4
у меня кроме первого пункта, монтирование NFS сразу /home, а там уже все 
пользовательские лежат... 

Re: [Comm] Умно зашаренная /home

[Michael Pozhidaev]

Здравствуйте, Владимир!

>> предполагаются везде одинаковые. Как такое делают?
> LDAP, ACL, NFS4
> у меня кроме первого пункта, монтирование NFS сразу /home, а там уже все 
То есть сервер всё отдаёт просто любому кто на нём примонтируется?
-- 
С уважением и наилучшими пожеланиями, Михаил Пожидаев. E-mail: msp@altlinux.ru.
Томский государственный университет. Факультет информатики. http://www.csd.tsu.ru
AltLinux Team. http://www.altlinux.ru

Re: [Comm] Умно зашаренная /home

[Владимир]

> То есть сервер всё отдаёт просто любому кто на нём примонтируется?
он /home отдаст, как на локальной станции. а дальше доступ по uid, можно 
поставить, что бы чужие и смотреть не мог.

Re: [Comm] Умно зашаренная /home

[Michael Pozhidaev]

Здравствуйте, Владимир!

>> То есть сервер всё отдаёт просто любому кто на нём примонтируется?
> он /home отдаст, как на локальной станции. а дальше доступ по uid, можно 
> поставить, что бы чужие и смотреть не мог.
Ну вот, это будет работать только в случае, если у пользователей 
все рабочие места "честные".
Чтобы появился юзер в системе, он должен залогиниться локально. 
Но: смотрю uid своего соседа. потом беру ноут,
заделываю на нём юзера с таким же uid, монтирую /home и залезаю в его файлы.
-- 
С уважением и наилучшими пожеланиями, Михаил Пожидаев. E-mail: msp@altlinux.ru.
Томский государственный университет. Факультет информатики. http://www.csd.tsu.ru
AltLinux Team. http://www.altlinux.ru

Re: [Comm] Умно зашаренная /home

[Хихин Руслан]

[-- Attachment #1: Type: text/plain, Size: 430 bytes --]

Здравствуйте Michael Pozhidaev
  В сообщении от 13 марта 2008 Michael Pozhidaev написал(a):
 > Но: смотрю uid своего соседа. потом беру ноут,
 > заделываю на нём юзера с таким же uid, монтирую /home и залезаю в
 > его файлы.
А запретить всяким ноутам монтировать без авторизации в ldap :)


-- 
  А ещё говорят так  (fortune):
 
 

________________________________________________________________________
С уважением Хихин Руслан

[-- Attachment #2: This is a digitally signed message part. --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

Re: [Comm] Умно зашаренная /home

[Michael Pozhidaev]

Здравствуйте, Хихин Руслан!

>  > Но: смотрю uid своего соседа. потом беру ноут,
>  > заделываю на нём юзера с таким же uid, монтирую /home и залезаю в
>  > его файлы.
> А запретить всяким ноутам монтировать без авторизации в ldap :)
Гм, может быть. 
Хотя уровень защиты всё равно получается ниже, чем через smb. Авторизация 
на клиенте есть авторизация на клиенте.

-- 
С уважением и наилучшими пожеланиями, Михаил Пожидаев. E-mail: msp@altlinux.ru.
Томский государственный университет. Факультет информатики. http://www.csd.tsu.ru
AltLinux Team. http://www.altlinux.ru

Re: [Comm] Умно зашаренная /home

[Maxim Tyurin]

Michael Pozhidaev writes:

> Здравствуйте, Хихин Руслан!
>
>>  > Но: смотрю uid своего соседа. потом беру ноут,
>>  > заделываю на нём юзера с таким же uid, монтирую /home и залезаю в
>>  > его файлы.
>> А запретить всяким ноутам монтировать без авторизации в ldap :)
> Гм, может быть. 
> Хотя уровень защиты всё равно получается ниже, чем через smb. Авторизация 
> на клиенте есть авторизация на клиенте.

Изначально говорилось про NFS4, а не NFS3.
В четвертом есть авторизация.
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
   ___                                 
  / _ )__ _____  ___ ____ _______ _____
 / _  / // / _ \/ _ `/ _ `/ __/ // (_-<
/____/\_,_/_//_/\_, /\_,_/_/  \_,_/___/
               /___/  

Re: [Comm] Умно зашаренная /home

[Michael Pozhidaev]

Здравствуйте, Maxim Tyurin!

> Изначально говорилось про NFS4, а не NFS3.
> В четвертом есть авторизация.
Угу, понял, спасибо.

-- 
С уважением и наилучшими пожеланиями, Михаил Пожидаев. E-mail: msp@altlinux.ru.
Томский государственный университет. Факультет информатики. http://www.csd.tsu.ru
AltLinux Team. http://www.altlinux.ru

Re: [Comm] Умно зашаренная /home

[Yura Kalinichenko]

[-- Attachment #1: Type: text/plain, Size: 600 bytes --]

Michael Pozhidaev пишет:
> Здравствуйте, Хихин Руслан!
>
>   
>>  > Но: смотрю uid своего соседа. потом беру ноут,
>>  > заделываю на нём юзера с таким же uid, монтирую /home и залезаю в
>>  > его файлы.
>> А запретить всяким ноутам монтировать без авторизации в ldap :)
>>     
> Гм, может быть. 
> Хотя уровень защиты всё равно получается ниже, чем через smb. Авторизация 
> на клиенте есть авторизация на клиенте.
>
>   
А вы не раздавайте весь /home абы кому. А каждому ноуту - только свою 
пользовательскую поддиректорию. Конечно, и IP-адрес можно подделать, но 
это ловится.


[-- Attachment #2: yuk.vcf --]
[-- Type: text/x-vcard, Size: 177 bytes --]

begin:vcard
fn:Yura Kalinichenko
n:Kalinichenko;Yura
email;internet:yuk@kalina.in.ua
tel;home:8-0432-465743
tel;cell:+38-067-5878302
x-mozilla-html:FALSE
version:2.1
end:vcard

Re: [Comm] Умно зашаренная /home

[Konstantin S. Uvarin]

On Thursday 13 March 2008 04:41:07 Michael Pozhidaev wrote:
> Привет всем!
>
> Хочу обсудить стары уже вопрос. Есть ли какое-нибудь отработанное решение
> для подключения /home на рабочих местах при его едином хранении на сервере?
> Что-нибудь вроде такого:
> юзер логинится, по его логину и паролю сразу
> монтируется /home по smb, а затем уже отрабатываются profile и остальное в
> этом роде. Но, как понял, даже при включенных unix extensions не работают
> симлинки, да и как выполнить такое монтирование?
> Решение хочется видеть таким, чтобы авторизация при обращении
> к файлам выполнялась бы на сервере. uid'ы и gid'ы, разумеется,
> предполагаются везде одинаковые. Как такое делают?

У нас на работе использовался nfs, получалось ровно то, что описано выше, как 
именно -- не знаю. (Причем, на клиентской машине в /home были видны только те 
пользователи, которые в данный момент залогинены). Да, samba там тоже активно 
использовалась, но не для этого. 

Есть ли какие-то соображения против nfs? 

-- 
Konstantin S. Uvarin
"Народ наш легок на побьем" (c) А. Левин

Re: [Comm] Умно зашаренная /home

[Michael Pozhidaev]

Здравствуйте, Konstantin S. Uvarin!

>
> У нас на работе использовался nfs, получалось ровно то, что описано выше, как 
> именно -- не знаю. (Причем, на клиентской машине в /home были видны только те 
> пользователи, которые в данный момент залогинены). Да, samba там тоже активно 
> использовалась, но не для этого. 
>
> Есть ли какие-то соображения против nfs? 
Когда глядел его (это было уже, правда, очень давно) в нём получалось так, что права проверяются 
на стороне клиента, и всё это выглядело очень несекьюрно.
Про SMB мысль пришла потому что в ней пароль пересылается 
серверу и он уже сам разберётся кому и что. Без пароля доступ не получить.
В NFS получалось так, что имея под рукой ноут и зная нужные uid,
можно было залесть в чужие файлы. Если сейчас это уже не так, то сильно извиняюсь за сумбур, 
но воспоминания именно такие. :)

-- 
С уважением и наилучшими пожеланиями, Михаил Пожидаев. E-mail: msp@altlinux.ru.
Томский государственный университет. Факультет информатики. http://www.csd.tsu.ru
AltLinux Team. http://www.altlinux.ru

Re: [Comm] Умно зашаренная /home

[Eugene Ostapets]

13.03.08, Michael Pozhidaev<msp altlinux.ru> написал(а):
> Привет всем!
>
>  Хочу обсудить стары уже вопрос. Есть ли какое-нибудь отработанное решение для
>  подключения /home на рабочих местах при его едином хранении на сервере?
>  Что-нибудь вроде такого:
>  юзер логинится, по его логину и паролю сразу
>  монтируется /home по smb, а затем уже отрабатываются profile и остальное в этом роде.
>  Но, как понял, даже при включенных unix extensions не работают симлинки,
>  да и как выполнить такое монтирование?
>  Решение хочется видеть таким, чтобы авторизация при обращении
>  к файлам выполнялась бы на сервере. uid'ы и gid'ы, разумеется, предполагаются везде одинаковые.
>  Как такое делают?
pam_mount + nfs + ldap в любом его варианте
-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Comm] Умно зашаренная /home

[Michael Shigorin]

On Thu, Mar 13, 2008 at 07:41:07AM +0600, Michael Pozhidaev wrote:
> Хочу обсудить стары уже вопрос. Есть ли какое-нибудь
> отработанное решение для подключения /home на рабочих местах
> при его едином хранении на сервере?  Что-нибудь вроде такого:
> юзер логинится, по его логину и паролю сразу монтируется /home
> по smb, а затем уже отрабатываются profile и остальное в этом
> роде.  Но, как понял, даже при включенных unix extensions не
> работают симлинки, да и как выполнить такое монтирование?

pam_mount

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/