Newsgroup: it.comp.os.linux.sys
Titolo: bind su una interfaccia

come posso fare a costringere demoni che non prevedono tale possibilita` a
fare il binding di un solo indirizzo ip e non di tutti quelli presenti
sulla macchina?
ad esempio vorrei che lpd ascolti solo su 127.0.0.1 e non sull'ip della
ethernet, oppure che il servizio inetd ascolti solo sulla ethernet interna
e non su quella esterna; lo so che con due regole di ipchains/ipfilter
posso bloccare queste porte, ma io vorrei lavorare a livello di binding,
non di firewall (se possibile)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 sulla macchina?
mettiamo che tu non vuoi che il DNS funzioni sull'IP dinamico della tua
connessione ADSL.
io faccio così ...
creo uno script di questo tipo:
export ADSL=`/sbin/ifconfig ppp0| grep inet| sed -e "s,.*addr:,," -e "s, .*,,"`
iptables -A INPUT -d $ADSL -p udp --dport 53 -j DROP
iptables -A INPUT -d $ADSL -p tcp --dport 53 -j DROP
Vi piace? Qualcuno ha altre soluzioni?
-- 
+-------------------------------------------------------------+
|    ~Massimiliano ADAMO      | Yahoo!Messenger: quetzalco_it |
| maxadamo [at] iol [dot] it  | ICQ# 103417788                |
+-------------------------------------------------------------+

io faccio cos? ...
Io invece metterei nelle "options" del "named.conf" la direttiva:
[ listen-on [ port ip_port ] { address_match_list }; ]
Ciao.
-- 
Zio Ciano.




diciamo che per il dns hai pienamente ragione ... l'importante è saperle
le cose e io (nonostante l'avessi cercata) quella direttiva non la
conoscevo.
Il problema resta per altri servizi .....


 ha scritto:

Una curiosità: io ho un dns primario e mi piacerebbe che il dns
rispondesse alle query degli utenti ma solo dai miei ip senza però
(ovviamente!) bloccarne il funzionamento: è possibile distinguere fra
query di client tipo netscape e outlook e query di altri dns??
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Il giovane marito si ammira nudo allo specchio...
	"Vedi cara, con qualche centimetro in più sarei un re"
	e la moglie "e con qualche centimetro di meno saresti una regina!"

query di client tipo netscape e outlook e query di altri dns??
Sempre nel "named.conf" ci sono le direttive "acl" dove puoi impostare gli
accessi es.:
acl localnet {
 
192.168.1.0/24
;
};
e nelle options
allow-nonmiricordo{ localnet; };
Per tutte le opzioni "man named.conf" ; e sono tante...
Ciao.
-- 
Zio Ciano.

Il problema resta per altri servizi .....
Uan cosa alla volta.
Con pazienza e con fatica anche l'elefante ......
Ciao Max.
-- 
Zio Ciano.

non di firewall (se possibile)
Perché, che problema c'è?
-- 
Massimo Bacilieri AKA Crononauta
ulib...@libero.it
 ; ICQ UIN: 4005815
»»» Un buon antivirus? Disinstallare Outlook Express!!!

query di client tipo netscape e outlook e query di altri dns??
Alla muratora, io permetterei l'accesso alla porta 53 solo dalla tua
sottorete.
Però a naso immagino che le query dei client arrivino da porte del
temp range, mentre quelle degli altri dns dalla 53.
Puoi provare a bloccare tutte le connessioni al tuo dns che provengono
da porte <1024, però occhio perché sto sparando a caso e potrebbe
essere una stupidaggine.


query di client tipo netscape e outlook e query di altri dns??
Potresti usare il firewall o, in alternativa, l'opzione allow-query, ma
cosi' facendo bloccheresti anche le richieste legittime.
Essendo il tuo un DNS primario, sicuramente ti sara' stata delegata la
gestione di una o piu' zone e per quelle *devi* rispondere a chiunque ne
faccia richiesta.
Discriminare in base alle porte e' impossibile, dato che BIND, dalla
versione 8 in poi, utilizza per le query una porta UDP non privilegiata che
varia ad ogni reload della configurazione (a meno di configurazioni
particolari, che sono comunque l'eccezione).
Quello che puoi fare e' permettere di fare query _ricorsive_ solo ai client
provenienti dalla tua sottorete.
In questo modo, le tue macchine saranno in grado di chiedere la risoluzione
di qualunque indirizzo, mentre gli esterni potranno chiedere solo i record
relativi alle zone a te delegate.
Trovi tutto sulla documentazione di BIND (hint: allow-recursion).
-- 
BlueRaven
Scrivi su USENET? Allora:
# kill -HUP html_posting && modprobe quoting.o

essere una stupidaggine.
La soluzione giusta e' un'altra, vedi la risposta al post di Roberto. :-)


la provenienza di queste.
Ho riletto, e mi era sfuggito il "dettaglio" che doveva essere un dns
primario!! ===8-O
In questi termini, la mia idea è effettivamente inapplicabile :-(


faccia richiesta.
Fondamentalmente credo che si debba impedire il trasferimento di zona.
Questa attivita' si puo' eseguire con i comando allow-transfer, se
vuoi essere piu' sicuro con il packetfilter puoi bloccare le richieste
TCP che consentono di trasferire la zona lasciando aperta la risposta
UDP per la risoluzione dei nomi.
Nel firewall devi lasciare che i server DNS secondari si aggiornino
aprendo delle strade solo verso di loro.
Io lavorerei solo sul tuning fine di Bind e lascerei perdere il
firewall accertandoti sempre di ultilizzare delle release sempre
aggiornate e sicure
Ciao

aggiornate e sicure
IMHO il firewall male non fa, ma sono d'accordo che puo' bastare anche
lavorare sul servizio.
