Zdravim,
tak jsem si po prectenei clanku vzpomel jak jsem to sam (cca pred mesicem a pul) rozjizdel. Ma nevyhoda/vyhoda byla v tom, ze to byl muj prvni DNS server vubec. Podle toho taky vypadala prvotni konfigurace. Jinak musim rict, ze zatim mi prave sluzby jako svscan apod. moc nesedly a uz jsem si s nima uzil sve (najednou load na systemu na 6, odezva 300ms po lokale apod...)
A proc ze jsem se tak trapil? Viz posledni veta v clanku, plne s ni souhlasim :-)
Jake remote root exploity, pokud bezite BIND pod ne-rootovskym uzivatelem
v chrootovanem prostredi? Tak maximalne DoS, ale i ten lze vetsinou
omezit pomoci setrlimit/ulimit. Abych si udelal reklamu, tak RPMka
chrootovaneho BINDU najdete na ftp.linux.cz:/pub/linux/people/jan_kasprzak/bind-chroot.
Pokud se něco nezměnilo, dostat se z chrootu bylo ještě donedávna poměrně snadné... Pokud by se mi někdo na ten stroj chtěl dostat, tak myslím není problém modifikovat shellkód potencionálního exploitu tak, že se mezi získání roota a spuštění shellu vrazí notoricky známý kód pro opuštění chrootu.
Nicméně - pro statistiku - běžím též chrootnutý bind. :*)
Dostat se z chrootu neni snadne, pokud chrootovany proces
neni superuzivatelsky a pokud chrootovane prostredi neni
nakonfigurovano dostatecne restriktivne (zadne specialni soubory,
zadny /proc, ...).
Ahojte,
jen chci poznamenal, ze ty binarni balicky, ktere inzerujete porusuji licenci od DJB. Djbdns neni pod GPL (nutno rict: bohuzel neni), vice na http://cr.yp.to/distributors.html
IMHO je toto taky hlavni duvod, proc vsechny linuxove distribuce siri bind a ne djbdns.
Prechazim z BINDu k jdbdns a vubec se mi nezda uzivatelsky nepritulny, prave naopak.
Autoruv unifikovany a cisty pristup k veci mi zcela vyhovuje, zvlaste stroha, ale zaroven polopaticka dokumentace. Take nemam rad ukecane manualy.
Myslim, ze rozdeleni velkeho molocha do malych dobre funkcnich programku je velice dobre.
Konfigurace je, podle meho, jednodussi nez BINDu, navic lze jednotlive programky dobre vyuzivat ve skriptech (napr. synchronizace s DHCP).
Co se tyce /service, nemel jsem s nim problemy, dival jsem se na jejich popis a zjistil, ze je to pomerne jednoduchy, ale velmi ucinny system.
Proste se mi to cele libi, pravda, nejsem konzervativni uzivatel a la "Se svym trabantem jsem spokojen, jezdi, jako ostatne jezdi i jina auta." :)
