Newsgroup: it.comp.os.linux.iniziare
Titolo: inetd.conf: cosa togliere?

Ciao a tutti.
Uso da poco linux (RH 6.2) e vorrei aumentarne la sicurezza.
Provando a telnettarmi, ho visto che mi veniva chiesta la login.
Ho cercato un po' nei 'man' e credo che il demone telnet partisse a
causa di una certa linea in /etc/inetd.conf. L'ho commentata, ho fatto
il reboot e adesso non posso piu' telnettarmi (bene).
Pero' vedo che posso ancora fare 'rlogin localhost'.
E' possibile commentare le righe 'shell, login,...' in inetd.conf o
questo mi impedirebbe di usare il sitema da locale? (cioe' mi
impedirebbe di usarlo del tutto?)
Riassumendo: se non ho -per ora- bisogno di amministrare in alcun modo
la macchina da remoto, quali sono le altre righe di inetd.conf che posso
commentare?
Allego le righe in essere nel mio sistema.
Grazie e ciao,
Gianluca
[root@localhost pet]# grep -v [#*] /etc/inetd.conf
shell	stream	tcp	nowait	root	/usr/sbin/tcpd	in.rshd
login	stream	tcp	nowait	root	/usr/sbin/tcpd	in.rlogind
talk	dgram	udp	wait	nobody.tty	/usr/sbin/tcpd	in.talkd
ntalk	dgram	udp	wait	nobody.tty	/usr/sbin/tcpd	in.ntalkd
linuxconf stream tcp wait root /bin/linuxconf linuxconf --http

 commentare?
Commenta tutto tranne "auth" (autenticazione, porta 113)
Ciao.

 commentare?
Tutte.
Occhio che non tutti i servizi partono da inetd (e che non serve certo
riavviare la macchina dopo che modifichi un file di conf: manda un
SIGHUP a inetd; man 1 kill).
Fai anche:
netstat -natu
per vedere cosa altro "offri".
-- 
Ditemi perche`... se la mucca fa muuu il merlo non fa meee?   _/Davide\_
   -- Elio                                                    \Alberani/

linuxconf stream tcp wait root /bin/linuxconf linuxconf --http
Commenta tutto senza problemi, in locale il sistema non ne risentira'. Se
vuoi aprire dellle connessioni in remoto consiglio di utilizzare ssh e non
via inetd. Ssh rimpiazza completamente shell, login, exec.
N.B i vari servizi di default passano attraverso i tcpd (tcp-wrappers) che
possono bloccare e/o permettere l'accesso a quel servizio solo da alcuni
host o reti. Quindi non e' sempre necessario disabilitare i servizi ma
piuttosto filtrarli usando i file di configurazione dei tcp-wrappers. Per
saperne di piu':
$ man 5 hosts_access
-- 
 +-------------------------------------------+ 
 |        Enrico Bodo  -   PhD student       |
 |      University of Rome "La Sapienza"     |
 |          Department of Chemistry          | 
 +-------------------------------------------+  

 Commenta tutto tranne "auth" (autenticazione, porta 113)
Nell'ultima installazione che ho fatto auth era commentato fin
dall'inizio.
Che sta succedendo quello che succede con winzoz, ogni installazione e'
diversa anche se si utilizzano le stesse procedure?
Bye,
-- 
*************************************************
* Danilo Marcucci				*
* University of Florence                        *
* Department of Physics                         *
* Via S.Marta 3  				*
* 50139 Florence				*
* E-mail mailto:
marc...@dffs.unifi.it
	        *
* 
http://biz-a.dffs.unifi.it/~marcucci
          *
*************************************************

via inetd. Ssh rimpiazza completamente shell, login, exec
Ne approfitto per aggregarmi a questo thread e chiedere qualche consiglio.
Il comando netstat -natu mi da questo risultato:
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 
0.0.0.0:6000
            0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:25
              0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:515
             0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:98
              0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:113
             0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:110
             0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:111
             0.0.0.0:*               LISTEN      
udp        0      0 
0.0.0.0:111
             0.0.0.0:* 
Ho installato la distribuzione Mandrake 7.0 e ho una normale connessione
dialup.                           
Ho troppe porte aperte o la situazione sopra riportata e' normale?
Grazie.
Cordiali Saluti,
Tiziano.

 Ho troppe porte aperte o la situazione sopra riportata e' normale?
Troppe. da root "setup" e disabilita "sendmail" (sempre se non lo usi)
La 113 e' "auth" e puoi disablitarla in inetd.conf commentando la riga
relativa, pero se usi irc non conviene. La 6000 e' il server X (server
grafico) per le altre leggi /etc/services e disabilita sempre con
"setup" i servizi relativi. (Mi sorge il dubbio che la Mandrake 7 NON
abbia il comando "setup" ma non ricordo precisamente).
per quanto riguarda la 515 (lpr, stampante) io ho messo in
/etc/ppp/ip-up e ip-down istruzioni per cui quando sono in internet
viene killato lpr e riavviato alla chiusura della connessione.
Ecco qua':
tcp   0   0 
0.0.0.0:6000
       0.0.0.0:*     LISTEN
tcp   0   0 
0.0.0.0:119
        0.0.0.0:*     LISTEN
119 nel mio caso e' leafnode (server news) ma e' protetto da TCPD in
/etc/inetd.conf - /etc/hosts.allow - /etc/hosts.deny
Ciao.

viene killato lpr e riavviato alla chiusura della connessione.
Sia X che lpd non accettano connessioni di default a meno che uno li
autorizzi esplicitamente. Si possono lasciare aperti senza problemi.


 autorizzi esplicitamente. Si possono lasciare aperti senza problemi.
Ummmh, meglio. Pero' ho un "amicone", e l'ultima volta che ci siamo
trovati su ICQ mi ha fatto (su richiesta) un bello "scan" sulle porte,
e mi disse che con la con la 515 aperta al mondo mi poteva fare
stampare fino a mattina :-) 
vero [ ] falso [ ]
Io per"sfiducia", chiudo il chiudibile :-))
Ciao.
-- 
Warning! - Failed to posting this message:
         - Failed to read ".signature" 
         - Action:
   Abort - Retry - Ignore [ari] i

vero [ ] falso [X]
Se non gli dai il permesso lpd non fa stampare nessuno.
Dalla man page di lpd:
Access control is provided by two means. First, all requests must come from
one of the machines listed in the file /etc/hosts.equiv or /etc/hosts.lpd.
Second, if the rs capability is specified in the printcap entry for the
printer being accessed, lpr requests will only be honored for those users
with accounts on the machine with the printer.


Troppe. da root "setup" e disabilita "sendmail" (sempre se non lo usi)
Uso postfix, penso che quindi sia meglio non chiudere la porta. O sbaglio?
Ciao e grazie.
Tiziano.
-- 
"And the whole world could have passed through me  
But I don't know that it means much to me"

Uso postfix, penso che quindi sia meglio non chiudere la porta. O sbaglio?
Non sbagli.


 tutti.
Perfetto :-)..da quando frequento questo NG (piu' che altro in lettura)
la domanda di "sarlak" mi e' sembrata la piu' intelligente in assoluto
:-)
Ciao.

:-)
Devi mettere questa faccina  ;-)  quando stai scherzando altrimenti magari
qualcuno pensa che stai parlando sul serio. 
Ciao,
