Newsgroup: it.comp.os.linux.sys
Titolo: un po' sicurezza (inetd.conf)

Ciao a tutti,
mi chiedevo come si può utilizzare inetd.conf per gestire con maggior
sicurezza i servizi che un server linux offfre al mondo esterno.
Se non ho capito male da precedenti discussioni sarebbe buona norma
disabilitare (commentare) tutti quei servizi che non servono veramente.
Mi chiedo in particolare:
1) posso disabilitare ident e linuxconf nel mio inetd.conf?
2) Se volessi gestire via inetd un servizio che ora viene lanciato come
demone in /etc/init.d (ad es. httpd o sshd), sarebbe sufficiente editare
inetd.conf (ed eventualmente hosts.allow e hosts.deny) ed eliminare
/etc/init.d/servizio, senza particolari accorgimenti aggiuntivi?
Grazie in anticipo per eventuali risposte
--
Claves do Amaral

 /etc/init.d/servizio, senza particolari accorgimenti aggiuntivi?
Si, credo di si.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *


Ha già risposto il nano, ma aggiungo: fossi in te eviterei di mettere in 
inetd sshd. Questo perchè all'avvio sshd genera la chiave, il che è 
operazione lunga. Se lo metti in inetd, lo fa ad ogni avvio del demone...
-- 
Emanuele "SKULL" Balla
--------------------------------------------------------------------
"How should I know if it works?  That's what beta testers are for.  I only
coded it."
(Attributed to Linus Torvalds, somewhere in a posting)

 Ha già risposto il nano, ma aggiungo: fossi in te eviterei di mettere in
ok, grazie a entrambi
--
Claves do Amaral

identd serve anche a qmail e sendmail


really? Non lo sapevo...quindi in generale agli MTA , e anche a Postfix?

 really? Non lo sapevo...quindi in generale agli MTA , e anche a Postfix?
Sendmail non mi risultava proprio girare sotto inetd, e neanche postfix gira
sotto inetd. Non so nulla di qmail, ma io direi che invece vale proprio
l'opposto: *in genere* un MTA non gira sotto inetd.
-- 
Massimo Bacilieri AKA Crononauta 
mailto:
ulib...@libero.it
 ; ICQ:4005815
+++ antispam: l'indirizzo mittente è alterato; usare quello qui 
    sopra indicato se mi si vuole rispondere in posta.

 l'opposto: *in genere* un MTA non gira sotto inetd.
veramente si parlava di identd, e non di inetd...

 sicurezza i servizi che un server linux offfre al mondo esterno.
eccomi di nuovo.
Guardando /etc/inetd.conf con maggiore attenzione mi sono accorto della
linea seguente:
smtp    stream  tcp     nowait  mail    /usr/sbin/exim exim -bs
exim non viene dunque lanciato da tcpd e non viene filtrato dalle regole in
hosts.allow/deny. Ho provato a scrivere qualcosa del tipo:
smtp    stream  tcp     nowait  mail  /usr/sbin/tcpd  /usr/sbin/exim
exim -bs
ma ho un errore: exim crede che 'exim' e '-bs' siano indirizzi di
destinatari di posta e mi manda dei messaggi di errore a Postmaster quando
non li trova.
Quello che vorrei fare, in definitiva, è che solo gli utenti in hosts.allow
potessero mandare e.mail con smtp.
Ogni parere sarebbe il benvenuto.
Ciao
--
Claves do Amaral

 l'opposto: *in genere* un MTA non gira sotto inetd.
Infatti: qmail ha necessita' di una riga in inetd.conf ma non per avviare il
daemon..
smtp stream tcp nowait qmaild /var/qmail/bin/tcp-env tcp-env \
/var/qmail/bin/qmail-smtpd


non li trova.
Ciao Claves,
la riga che devi scrivere è:
smtp    stream  tcp     nowait  mail  /usr/sbin/tcpd  /usr/sbin/exim
-bs
Non devi ripetere due volte "exim", per maggiorni spiegazioni guarda
le manpages di inetd (cerca "server program arguments" e nota che si
parla di argv[0]) e di tcpd.
Non conosco exim, forse anche lui stesso ha la possibilità di
configurare qualche sistema di acl internamente (come fa postfix o,
non molto semplicemente, sendmail).
In bocca al lupo,
Marco
--
Marco Santoro
i...@marcosantoro.it
PGP DSS/DH KeyID 0x0AE1FB7C
Fingerprint 0A C1 05 52 47 9C D5 44 66 11 F2 71 1C E9 E8 E6  0A E1 FB 7C

identd serve anche a qmail e sendmail
Qmail lo conosco poco, ma ti assicuro che per sendmail non serve, o
meglio, potrebbe anche decidere di "provare" a querare l'identd del
peer che gli ha aperto una connessione SMTP ma non influenza il
funzionamento del servizio (a parte un minimo ritardo nel caso la
porta ident del peer ignori la richiesta di connessione invece di
rifiutarla, vedi ipchains molto restrittivi & c.).
Ciao.


 /var/qmail/bin/qmail-smtpd
Ehm, cosi` lo avvii... :))
Qmail puo` essere avviato in tre modi: standalone, utilizzando tcpserver
(che e` stato scritto appositamente per avviare qmail), oppure
utilizzando (x)inetd . Cmq che si parli di tcpserver o di (x)inetd, si
parla sempre della stessa cosa: di un "super-server" che permette
l'avvio di un determinato demone non appena viene fatta una richiesta
alla porta controllata dal demone stesso
Henryx
P.S. non ricordo bene, ma mi sembra che anche Postfix possa essere
avviato via (x)inetd

 avviato via (x)inetd
Mai provato xinetd: ma e' davvero cosi' meglio di inetd? Solo che ho
visto tutta quella sintassi strana a blocchi per ogni daemon.. bah, per
ora forse continuo a rimanere col caro vecchio inetd.


 ora forse continuo a rimanere col caro vecchio inetd.
Mai provato xinetd (se fosse per me toglierei anche inetd[1]). Cmq
da quanto viene riportato sul Quick & Easy HOWTO di MrShark non mi
pare malaccio.
Henryx
[1] uso inetd solo per il fatto che senza l'abilitazione di identd
non sembra funzionare qmail-pop3d all'avvio della macchina

 Mai provato xinetd (se fosse per me toglierei anche inetd[1]). Cmq
Mboh caso mai, un giorno, avendo del tempo da perdere...
