Názory k článku Linux jako internetová gateway (3)

...tak to je teda sila...

drahé korektorstvo asi spí :-)
terminilogii => terminologii
intetd => inetd
hostst.allow => hosts.allow
... víc jsem si (zatím) nevšiml

tak ještě ...
naistalujete => nainstalujete

tak by mne zajímalo kdo v redakci roota ten článek přijal a prohlédl. Za chyby autora neviňte,ale redakci roota.

Ja, kdo jiny. Sorry, ty chyby opravim. Delala jsem vsechny dily najednou kdysi vecer, a tak se to ponekud projevilo na me otupelosti.
Nemuzu rict "uz se to nestane", protoze toho opravdu mam obcas nad hlavu, ale budu se aspon snazit.

No ja to nechci nejak rozvadet.
Je to takove chaoticke. Nejdriv se v tom clanku vysvetluje jak se manipuluje z procesy a zabira to pulku clanku.
Na telnet bych uplne zapomel.Patri minulosti. Prave ze na LAN je proflaknuti hesla tou nejprimitivnejsi veci.
Naky uzivatel se najednou dozvi ze existuje neco jako packet sniffer a staci jedno vase lognuti a heslo roota je tu.A spoofing vam nic nerika?Nejake host.allow a deny vam nepomuze.
Mnohem uzitecnejsi by bylo misto telnetu sem napsat zprovozneni konzole na seriovem portu. Velmi uzitecne toto jest u routeru.
Ssh nutnost co dodat.
Abych taky porad jen nekritizoval. Clanek ma dobrou myslenku.

Myslel jsem ze na rootu jsou clanky jine urovne...

Jak je jednoduchy sniffovani packetu na LANu? Obycejny huby co posilaj vsechno co prijde na vsechny porty sem nevidel uz nekolik let. Pokud pouzijes switche tak je ti sniffer na prak...

Prave proto, ze jsou uz nekolik let vsude switche, tak vetsina slusnejsich sniffovacich nastroju pro BFU pod Win to ma osetreno (i automaticky) zahlcenim MAC tabulky switche tim, ze posilaji hromady nahodne vygenerovanych MAC adres...

... a právě proto se snad většina lidí snaží, alespoň u administrovatelných switchů, mít nastavený maximální počet mac adres, které se na interfacu můžou objevit, čímž se zabrání zahlcení tabulek...

To je sice pravda, ale situaci to neresi, protoze existujou veci jako ettercap. Nepotrebuju zahltit pamet switche, protoze mohu presmerovat jen a pouze konkretni smer mezi konkretnimi kompy.

Resenim je zamknuti pameti (update) switche, nikoliv omezeni mnozstvi. Tim se zabrani jen prepnuti do "pekelneho" modu.

Petr

I sniffingu na LAN se da zabranit. Zkus co udela, kdyz do fajlu /etc/ethers (nebo /etc/ether, ted nevim) napises:
FF:FF:FF:FF:FF 192.168.1.10
EE:EE:EE:EE:EE 192.168.1.20

Zkus a uvidis :-)

...pokud ovsem nezaplavis sit falesnyma MAC adresama aby se ti z toho switche nestal HUB:-)

dodal bych poznamku ze jsem instaloval switch ktery o sobe tvrdi ze po zaplneni ARP tabulky se sam zrestartuje takze zase muzes zaplnovat :) a jeste jeden pripad mel jsem switch ukteryho kdyz se zaplnila ARP tabulka tak prestal funkovat :))

To ma snad dnesni vetsina switchu, ne? Mazani ARP tably.

tebou pozadovana seriova konzola:
1. musis mat na nu podporu v jadre (nachadza sa to v casti character devices a vola sa to Support for console on serial port)
2. ak chces aby si vedel na seriaku ovladat aj lilo, tak si do lilo.conf pridaj polozku serial = 0,9600n8 (co znamena ze ti pri boote pouzije lilo ako seriovu konzolu port ttyS0 na rychlosti 9600 a nastaveni 8n1)
3. vypisovanie hlasok jadra aj na seriak: zase do lilo.conf treba pridat nasledujuci riadok:
append = "console=ttyS0 console=tty0" co sposobi to ze jadro bude pisat konzolove hlasky na ttyS0 aj grafiku (v pripade pouzitia ineho boot manageru treba zabezpecit aby bol jadru odovzdany pri boote string console=ttyS0 console=tty0)
(4.) presmerovanie tty0 na ttyS0 (staci symlink) - toto je uzitocne na to aby aj vystup z bootscriptov a pod siel na seriak, pozor ale, pojde bud na seriak alebo na grafiku, na oboje nie ! a v pripade ze sa nieco fakt zavazneho udeje a je k pocitacu pripojeny monitor moze ten vystup na monitor dost chybat.
5. uprava /etc/inittab - odkomentovat alebo pridat do tohto configu nasledujuci riadok:
s1:12345:respawn:/sbin/agetty -L ttyS0 9600 vt100
zabezpeci to aby po nabootovani cakalo na seriaku agetty a dalo sa tam prihlasit. (pripadne modifikacia /etc/securetty a povolenie prihlasenie roota z ttyS0 moze byt usefull, nie je vsak nutnostou). v zijucom systeme bez rebootu mozme overit to ci nam bude pustat agetty aj na seriaku tak, ze pustime telinit q a potom sa na ten seriak prihlasime...

PS: vsade uvazujem s nastavenim serioveho portu ako 9600 8n1.

prajem vela zabavy

Já bych se autora zastal. Zkuste si to vyplodit vy, aby to bylo polopatě. Pro začátek to stačí, funguje to, další se přidá později, až se vůbec naučím s těmi balíčky, který soubor kde co znamená, a podobně. Všechno přijde, časem.

nebudu zkoušet, na co nemám [grin]

opravdu si nemyslím, že je vhodné učit začátečníky nedobré návyky tam, kde není problém jim rovnou prozradit preferovanou cestu ...

btw, tyhle diskuse pod články snad nemají být o tom, že chceme, aby se šel autor zahrabat - přeci zde jen presentujeme své názory (pokud možno podložené fakty) na to, co je či není lepší - každý se učí ... a že někdo řekne, že je špatný článek ... well, třeba se poučí i autor

Neni dobre ucit se ze zacatku nebezpecna reseni. Vymluva ze je to pro zacatecniky nedostatecna. Ja jsem se taky ucil z podobnych clanku a vim jak je spatne mit spatne zaklady. Muj vyse uvedeny nazor mnel jenom upozornit zacatecniky a tuknout autora.Mozna pristi clanek bude uz mnohem lepsi a autor si da zalezet. Ja taky nejsem neomylny ale kdyz mam tu moznost tak upozornim ne? Od toho ty komentare jsou.

Vim az moc dobre co je to vysvetlovat neco BFU...

Ad. posledni veta mi nak uklouzla. Ehm kdyz taky ten den mate uz treti kafe...

> ... intetd. Tento daemon řídí spouštění všech ostatních daemonů pro síťové služby, třeba i ftp.

opravdu všech? u mě teda ani to ftp ne, jinak třeba o ssh bych pochyboval (viz konec článku) ...

> Telnet je služba poněkud napadnutelná a odposlechnutelná, ...

což třeba telnet over ssl? (ale o upřednostnění ssh se psalo již ve starší diskusi)

> ... použijeme sshd, ale pro jednodušší ovládání teď použijeme telnet.

hm, to je ironie ... jednodušší? ... proč je zprovoznění telnetu věnován skoro celý článek a zprovoznění ssh jen odstaveček?

ad /etc/securetty
- není lepší tady nic neměnit, nalogovat se jako user a použít su?
- Slackware nezná vc?

ad netstat -a
- u mě má (právě teď) výpis 419 řádek, super počtení :-) - myslímže není od věci přidat parametr --inet, unixové sokety nás asi tak moc nezajímají
- můj oblíbený _špinavý_ trik je nmap localhost (zajímá mě obvykle tcp, jinak -sU)

ad restart (x)inetd
- třetí způsob: killall -HUP inetd
- Slackware neumí něco jako "/etc/init.d/inetd restart"? - minimálně bych čekal po zabití (x)inetd nějakou jeho opětovnou inicialisaci (jako nastavení en locales a spuštění démona ... aspoň v mdk to tak je, nevim, (x)inetd nepoužívám, na svém Gentoo-positive routeru se bez něj v pohodě obejdu :-)

poslední odstavec je fakt dobrej :o)

p.s. ale je to docela pruda, když člověk v noci nemůže spát, a přitom už nemá dost energie na to, aby dělal něco rozumnějšího, než blbě kecal :-/

>ad restart (x)inetd
>- třetí způsob: killall -HUP inetd
>- Slackware neumí něco jako "/etc/init.d/inetd >restart"? - minimálně bych čekal po zabití (x)inetd >nějakou jeho opětovnou inicialisaci (jako nastavení >en locales a spuštění démona ... aspoň v mdk to tak >je, nevim, (x)inetd nepoužívám, na svém Gentoo->positive routeru se bez něj v pohodě obejdu :-)

hehe, sorry, ale to fakt nema. Slack uz neni zadne "paci paci" ... jako ani nevidim duvod, proc by tam takovy shitecek a jemu podobne byly. Obvzlaste na routeru(heh, no tak ne no, i normalne). Snad zname prikazy, ne? :) Na druhou stranu to treba urychli praci :) Fakt to tam neni a jsem za to vdecny ;o)

A kdo tady podle vas zabiji inetd? Pokud dobre koukam, tak se tu posila signal HUP procesu(m) inetd, cimz se mu rekne, aby zreloadoval konfiguraci - funguje to i u spousty jinych slusne naprogramovanych daemonu.

Prikazy kill a killall neslouzi jen k zabijeni. Pokud neni receno jinak, posila sice TERM signal, ale muze poslat i jakykoliv jiny. Opravdovi zabijaci maji v oblibe kill(all) -9, ktery misto laxniho TERM posle smrtici KILL. Bohuzel na nemrtve zombie procesy to stejne vetsinou nefunguje...

pardon, nevěděl jsem, jak se inetd po přijmutí sighup chová ... nenapadlo mě nad tím přemýšlet, sighup je odpojení od terminálu, což obvykle znamená konec, ale jelikož je to daemon, nějaký terminál je mu ukradený ... no lehce mi to připomíná situaci, když LiteOn zneužije nějaký atapi příkaz (~ vyhrazený signál), který čtečka nepodporuje (~ daemon "nepodporuje" terminál), k "reloadu" :-) firmware...

man kill
vitejte mezi *nix systemy

Pre mna ako BFU ktory bude neco podobne v blizkej dobe rozbehavat v nasom baraku je to super clanok, len tak dalej. A hlavne co ste vrtaci tak vrtajte, tym neznizujete hodnotu clanku ale naopak zvysujete. Terazky uz viem ze telnet radsej nie.

Ano telnet radeji ne, ale na tom telnetu jsem se snazil vysvetlit prave fungovani inetd.
Za preklepy a chaos se omlouvam, zlepsim se, je to ma prvni publikace.
Co se tyce skill levelu pro uzivatele i autora, myslim, ze to je supr napad.

Clanek ma stylisticke, metodicke i odborne nedostatky,
to je asi jasne vsem. Na druhou stranu si myslim, ze
je velmi blizko mysleni zacatecnika - prave proto muze
byt dosti cenny. Sam jsem se ledacos dozvedel prave
ze zcela chaotickych poznamek nekoho jineho.

Takze me napada, ze by mozna stalo za to zavest neco
jako skill-level autora a treba i ctenare. Ta by byla
uvedena u kazdeho clanku. Tim by se clanky zacatecniku
pro zacatecniky dostaly do samostatne kategorie.
Dostali by sanci a odrazovy mustek jak zacatecnicti
ctenari tak rovnez zacatecnici autori.

A nestaci jenom komentare k clanku? To, ze je autor zacatecnik podle me vubec nevadi. Alespon je tu nejaka snaha o neco. Skill levely se mi nejevi jako nejlepsi reseni, protoze nejsem zadny expet na linxe, ale obcas potrebuju ruzne veci a ne napr. celou zaverecnou praci CVUT "jak spravne chodit na zachod"(omlouvam se za pouziti skoly CVUT, nema to nic delat s hanobenim jmena, pouze uvedeny priklad, jelikoz je tato skola dobra a me mineni je jenom kladne). Tim by se asi udelala propast mezi rooty a BFU(kdyz to opravdu prezenu) :)

Pripojuji se k navrhu zavest skill-level, treba uz na urovni jmena webu. Pokrocile clanky by mohly byt zverejnovany na www.root.cz, zacatecnicke na www.bfu.cz nebo podobnem.

:)

hmmm radsi se zdrzuji komentare. mohl by byt oznacen za nezadouci, nevhodny, atd.

Osobne bych to videl tak, ze si autor da priste pozor a nebude zacatecniky ucit kombinaci telnet/inetd. Kombinace je to nebezpecna, ziskaji tim prilis pohodlne navyky a jejich okoli jim pak to ssh/sshd bude muset zbytecne vtloukat do hlavy. Myslenka clanku je ale dobra.

Skutecne hosts.allow a hosts.deny pouzivaji vsichni demoni? Ja tyhle soubory tedy nepouzivam, prijde mi lepsi pravidla definovat ve firewallu, ale zajimalo by me to.

Nepoužívají. Jen slinkovaní s libwrap, spouštění z inetd skrz tcpd, spouštění z xinetd slinkovaným s libwrap (a nejspíš existuje i jiné možnosti, jak používat tcp_wrappers...). Prakticky cokoli lze zkompilovat i bez jejich podpory, ale v běžných pracích prášcích, totiž distribucích, používá tcp_wrappers kdeco.

no tak tady je otazka kdo je vetsi lama nez ten druhy..

je jasny, ze pouziti cisteho telnetu tak jak je popisovano (a neni zdurazneno!) v clanku se hodi pro malou domaci sit kde neni dulezite (babicka) jestli nekdo zna root heslo pripadne ho znaji vsichni, tim tcpwraperem (pres /etc/hosts.allow) nebo firewallem se omezi kdo se muze odkud na dany port pripojit a je to tedy bezna uroven zabezpeceni, zrejme zdurazneni techto veci by znacne pomohlo urovni clanku

v praxi je ovsem i jinak situace kdy je rozumne nechat bezet telnet na verejnem pocitaci a to v pripade, ze to neni obycejny telnet, ale telnet prelozeny se ssl podporou, v takovem pripade je velmi zadouci startovat jej v inetd s parameterm -z secure ktery zabezpeci ze navazane spojeni je vzdy tunelovano pres ssl kanal a v tom pripade je ovsem telnet stejne bezpecny jako ssh a je asi lepsi mu dat prednost kvuli mensi rezii

zajimavy rozdil je v tom ze se telnet startuje pres inetd zatimco ssh obycejne bezi jako samostatny proces i kdyz i na vybranych strojich (muj notebook) jej startuju pres inetd

vyhodne jsou pak kombinace kdy je na stroji oboje a spravovat jej muzete pouze vzdalene, v tom pripade pri chybe jednoho serveru se na pocitac dostanete pres druhou sluzbu

po lopate receno, telnet se ssl je stejne bezpecny jako ssh ale bohuzel to lide od ruznych slavnych distribuci nevi protoze se neobtezuji projit databazi svych balicku pripadne si reknou, ze "telnet je minulost" jak jsem tu nekde cetla, pokud vim, tak solidni podporu ma pouze u debianu a free,net,openBSD

No jestli ono pro bfu neni jednodussi zprovozneni ssh nez ssl telnetu.
Je jasne ze pouzivat zapezpecene pripojeni nekde u sebe na domaci siti nema vyznam. Ale o tom nebyla v clanku zminka.
Pokud uz delate branu pro panelak je treba se mit na pozoru. Najdou se ruzna individua. Paranoia(ne ta s hopsinkama) vyhodou.

Prosim prectete si jeste jednou clanek, o napadnutelnosti je zminka ve 3. odstavci.
Souhlasim, ze ssh je jednodussi na spusteni a instalaci, proto se o nem take na konci teto casti zminuji.
(zde reaguji i na prispevek zdenka stepanka proc tak slozite)
Tato cast neni totiz venovana jen dalkove sprave, ale aby takovy bfu vedel, ze neco jako inetd existuje. Jak se pouziva netstat, restartuji sluzby atd.

ach Paranioa, kde té je konec ... nevíte náhodou o linuxovém portu? :o)

Port by bodl.Ale nemam cas:-) V dosemu beha dobre. Samozrejme pokud mas pccko:-]

no, v dosboxu nicmoc :-( ... dosemu mi vzdy delalo nejake vylomeniny, tak jsem ho zavrhl, ale ze by byl cas zkusit novou verzi? :-)

pokud BFU dělá síť pro svojí babičku, asi udělá lépe, pokud sáhne po woknech s winproxy ... když už se chce učit linux, měl by se ho učit se vším, co k tomu patří, tedy i s bezpečnostními zásadami ... myslímže níže zmiňovaný příklad sítě v paneláku je mnohem reálnější, nežli to, že by někdo kvůli dvěma počítačům doma chtěl přidávat ještě třetí elektřinoužrout jako router ...

ad proces vs. inetd - jestli ono v tom taky nebudou nějaká uživatelská práva (např. jsem klidnější, když mi proftpd běží standalone pod userem ftp, nežli když by ho měl spouštět xinetd s rootem - ale to jsou třeba jen nějaké moje trapné předsudky :-)

kombinace telnet+ssh zároveň - na co? jaké selhání? ... no ale kdybych se náhodou obával, že mi nějaká služba klekne, od čeho je watchdog?

(ne)vhodnym manipulovanim s konfiguraci snadno dosahnes situace, kdy watchdog neni spasou.
to ze prislusny server bezi neznamena, ze se na nej pripojis, pokud sis prave podriz' vetev :-)

Zdravim

Nejprve musim autora pochvalit za snahu, ta se vzdycky ceni, ale autore, jdes na to silene slozite. Na slackwaru staci pri instalaci zaskrtnout sshd a pak na konci instalace zapnout spousteni rc.sshd. Pripadne pozudeji doinstalovat rucne a nastavit 0755 rucne a pak jeste rucne vygenerovat klice (pri instalaci sshd pri instalaci systemu se generuji automaticky). Od tohoto okamziku se kdokoliv muze prihlasit pres SSH. Zadny silenosti s inetd demonem ani odkomentovani v jakychsi souborech neni treba. Trvale spusteny sshd mi vubec nevadi, narozdil od (jak si sam napsal) zastaraleho inetd. Je to opravdu tak trivialni ze o tom clanek snad ani napsat nelze. (nehlede na serialek o SSH od johanky)

Zdenek

Co porad mate proti inetd? V cem je jeho nebezpeci? Snad zalezi na jednotlivych daemonech, ktere inetd spousti, a ne na samotnem inetd....

Na to se da namitnout asi toto: Procpak vznikal xinetd jako nahrada inetd?

Docela me prekvapuji nektere reakce tady. To nikdo z Vas nebyl nikdy BFU? Koukam, ze se tu vetsina z Vas narodila s CD(ehm, disketami Unixu) v kolebce, ze?
Loockey Fish tu rikal, ze vi, jake to je neco vysvetlovat BFU. Plne s nim souhlasim. Take jsem byl BFU(btw ja se za BFU porad povazuji) a pomoc jsem hledal napr. na jedno irc chanu(poznal me uz nekdo?). Byli tam ze me celi stastni, ale pomohli mi vice nez dost :)
O telnetu cez SSL toho fakt moc nevim(vubec nic), protoze jsem telnet proste zavrh(a ani se mi moc nelibi). Clanek je docela dobry. Kdybych mel i nejaky ten cas, tak neco takoveho vyprodukuji. Moc se mi nelibi to rozdeleni clanku na www.root.cz a www.bfu.cz. Nevidim k tomu duvod. Tak to nectete, ne? Vetsinu clanku ctu jenom ze zvedavosti a to, co mi vetsinou poradi, jsou ty komentare. Hadam, ze na BFU bych se toho asi moc nedovedel, kdyz by komenty posilali same BFUcka :) Takhle jsou napr. i pod clankem pro zacatecniky videt nejake uzitecne rady(viz napr. LNX jako i-net gateway(2)) :)

A ted si me kamenujte ;)

Tady je to sama masirka, ohanejici se BFU na vsechny strany. Jste namyslena pakaz, BFG na vas :)

souhlas :)

V ramci dalsiho pokracovani jsem pripravil i upgrade kernelu a nejake bych predkompiloval. Bare.i je pro 486, mel by nekdo zajem aby soucasti dalsiho clanku byly predpripravene kernely na zaklade bare.i ale kompilovane treba pro pentium... napise prosim jestli by byl zajem a pro jake procesory, pokud zajem nebude tak predkompilaci zrusim.

To je ale masochismus ten Slackware. Na Mandraku udělám urpmi ssh-server a mám funkční ssh server. Telnet si maximálně nainstaluju jako klienta........

AHoj,

nejak mi nejede ten proftp, pise, ze "sice nejede, ale subsystem je zamcen". Co to je? Port 21 mam na 100pro volnej.

Dal jsem narazil na problemek s telnet a jeho povolenim z dalky dle clanku. Je tam, ze mam odkomentovat radky ohledne telnetu v inet konfigu (mam ten chytrejsi xinetd). Problem je v tom, ze tam zadne takove radky nejsou. Je tam jen odkaz na adresar s ukazkama, ale ten je kupodivu uplne prazdny, i kdyz je includovany do hlavniho konfigu. Zasekl jsem se na tomto mrtvem bode.

Diky za radu, nejlepe na ICQ 68893970, nebo na majla kear (sardinka) centrum cézét.