inetd (the Internet Superserver) Servizi di rete inetd (the Internet Superserver) inetd.conf

Transcript

1 Servizi di rete Nota: per riavviare un demone, qualsiasi esso sia, nei sistemi con init SystemV basta oppure, in molti casi, che forza il demone a rileggere i file di configurazione. Questo meccanismo si applica a tutti i servizi, come già visto parlando dei runlevel, ed in particolare quindi ai demoni che forniscono servizi di rete. inetd (the Internet Superserver) È in grado di gestire altri demoni che offrono servizi attraverso la rete. È in grado di avviarli su richiesta, e di controllarne la corretta terminazione. Offre anch'esso alcuni servizi (detti pertanto interni), semplici e (ormai) poco utilizzati: echo (restituisce la richiesta) (tcp 7) discard (ignora quanto viene inserito) (tcp 9) chargen (generatore di caratteri) (tcp 19) daytime (ora corrente in formato umano)(tcp 13) time (numero di secondi dal 1/1/1900) (tcp 37) inetd (the Internet Superserver) Molti demoni posso operare indifferentemente tramite inetd, oppure in modalità standalone. nel primo caso, inetd si mette in ascolto su tutte le porte dei demoni sotto la sua gestione, e li richiama in base alla necessità. Semplice ed uniforme da gestire, pochi servizi caricati introduce un piccolo sovraccarico (overhead). Standalone: demoni indipendenti. Utilizzo standalone conveniente quando il demone viene richiamato spesso, e il sovraccarico introdotto da inetd supera i vantaggi di gestione. inetd.conf dove: : il nome del servizio. Inetd ricava la porta associata al servizio tramite il file. : indica il tipo del socket. Normalmente stream o dgram (datagram). : determina il tipo di protocollo, che deve essere presente in. (normalmente tcp e udp). : comportamento del socket. Se!=, è. Altrimenti: nowait: multi-threaded, socket liberato immediatamente; wait: single-threaded, gestisce tutto sullo stesso socket.

2 inetd.conf consente di indicare il numero massimo di istanze di server generabili (fork) da inetd al minuto (40). : indica l'utente (ed il gruppo) con i permessi del quale avviare il servizio. : il percorso completo del server. Se è interno, contiene ed il successivo parametro è vuoto. : il nome del server ed eventuali parametri (in parte ripetizione di server). Permette tra l'altro di tenere traccia dei tentativi di connessione e di restringere l'accesso in base al servizio. Si presenta come programma o come libreria (libwrap) utilizzata da molti programmi. Accesso impostato tramite i file e man 5 hosts_access Il controllo avviene prima su host.allow, quindi su host.deny; se non ci sono corrispondenze, l'accesso è consentito. Configurazione /etc/hosts.allow e /etc/hosts.deny: righe del tipo: dove: daemon_list è una lista di servizi (anche un singolo) oppure ALL. client_list è la lista delle macchine da cui è permessa (host.allow) oppure a cui è negata (host.deny) la connessione verso il relativo servizio/servizi. shell_command è un comando (insieme di comandi) di shell che viene eseguito quando viene verificata la relativa corrispondenza. In particolare, in client_list possono essere specificati: ovvero tutti gli ip/domini che iniziano con il prefisso specificato ovvero tutti gli ip/domini che terminano con il suffisso specificato (indirizzi locali) (nome non corrisponde all'ip) (host con nome conosciuto/sconosciuto) (utilizzato con un elenco di nomi, da escludere dalla condizione specificata).

3 : esempi di configurazione : esempi di configurazione Esempi riferiti ad. Il comportamento in è simmetrico. Consente l'utilizzo di qualsiasi servizio da parte di qualsiasi nodo. Consente l'utilizzo di qualsiasi servizio da parte di qualsiasi nodo a eccezione di quelli il cui dominio è unict.it. Consente l'utilizzo di qualsiasi servizio da parte dei nodi appartenenti al dominio unict.it. Consente l'utilizzo di qualsiasi servizio da parte dei nodi appartenenti al dominio.dmi.unict.it, a esclusione di Consente l'utilizzo di qualsiasi servizio da parte dei nodi appartenenti alla sottorete Attenzione all'ordine: le richieste per il servizio ftp (in.ftpd), vengono accettate solo se provengono da indirizzi locali. Tutti gli altri servizi sono permessi da qualunque origine. tcpd (tcp wrapper daemon) Il programma tcpd consente l'utilizzo delle funzionalità di per tutti i servizi avviati da inetd che non utilizzano direttamente la libwrap. Si integra con inetd. Cambiamenti minimali in inetd.conf: invece di avviare direttamente un servizio, viene avviato tcpd a cui viene passato il servizio come parametro. xinetd Sostituto recente di inetd, presente in molte distribuzioni. Utilizza la libwrap. Il file di configurazione (che spesso include ) contiene una sezione per ogni servizio, oltre ad una sezione chiamata semplicemente per i valori predefiniti. Le sezioni hanno la forma:

4 xinetd Attributi; ritroviamo:,,,,,,, ; inoltre: (riferito da host.allow e host.deny se nomeservizio appare in più sezioni, per protocolli differenti). (servizio abilitato o disabilitato), (restringono l'accesso a o vietano l'accesso da determinati indirizzi ip) (orario in cui è consentito l'accesso) (dove effettuare il log, su file o con syslog), (informazioni da includere nei log, nei due casi) xinetd.conf: esempio portmap Indispensabile per la gestione di tutti i servizi basati su RPC. Registro dei servizi RPC presenti sul sistema. Il file contiene l'elenco dei servizi RPC disponibili. Se i servizi basati su RPC debbono essere gestiti da inetd, allora portmap deve essere avviato prima di questo. Utilizza libwrap (nome demone: portmap). rpcinfo visualizza servizi registrati. nfs (network file system) Esporta file verso computer remoti. Nessuna forma di autenticazione. La rete va progettata con criterio. Molto utilizzato, supportato (server e client) da praticamente tutti i sistemi Unix. Esistono client per moltissime piattaforme. Molto efficiente: GNU/Linux dispone, oltre al normale demone in userspace, di una versione in kernel space. Basato su RPC (richiede portmap) ed udp (ma ora anche tcp).

5 nfs: lato server Richiede il supporto nel kernel, e l'attivazione dei demoni rpc.mountd (gestione montaggio lato server) rpc.nfsd (funzionalità userlevel, si agganciano al modulo del kernel). rpc.lockd e rpc.statd (legati alla gestione dei lock) rpc.rquotad (gestione quota su nfs) eventualmente, abilitarli in /etc/host.allow Gli script delle varie distribuzione li abilitano automaticamente, installando gli appositi pacchetti di supporto ad nfs. nfs: lato server contiene le informazioni sui filesystem da esportare. Sintassi: cartella_di_partenza [nodo] [(opzioni)]... nodo: singolo, con caratteri jolly (sui domini) o nella forma indirizzo_ipv4/netmask. opzioni: tra le altre, si trovano: (predefinita), (modalità di accesso); : tutti gli accessi come root al fs condiviso vengono trasformati in accessi di nobody. Analogamente all_squash. inverte il funzionamento nfs: lato server Esempio (/etc/exports): Modifiche effettive tramite comando parametro : esporta tutto (chiamato dagli script di inizializzazione). parametro : disattiva l'esportazione delle cartelle indicate di seguito. parametro : riesporta tutto (riscrive il file contenente le informazioni sui fs esportati, ) nfs: lato client Richiede esclusivamente il supporto nel kernel. Il montaggio avviene come per qualsiasi altro filesystem (in virtù dei meccanismi di virtualizzazione del filesystem), tramite il mount; basta specificare come sorgente: Opzioni particolari per specificare ad es. timeout, dimensione dei pacchetti, ecc.