Nota: per riavviare un demone, qualsiasi esso sia, nei sistemi con init SystemV basta. /etc/init.d/nomedemone restart

Transcript

1 Servizi di rete Nota: per riavviare un demone, qualsiasi esso sia, nei sistemi con init SystemV basta /etc/init.d/nomedemone restart oppure, in molti casi, killall -HUP nomeservizio che forza il demone a rileggere i file di configurazione. Questo meccanismo si applica a tutti i servizi, come già visto parlando dei runlevel, ed in particolare quindi ai demoni che forniscono servizi di rete.

2 inetd (the Internet Superserver) È in grado di gestire altri demoni che offrono servizi attraverso la rete. È in grado di avviarli su richiesta, e di controllarne la corretta terminazione. Offre anch'esso alcuni servizi (detti pertanto interni), semplici e (ormai) poco utilizzati: echo (restituisce la richiesta) (tcp 7) discard (ignora quanto viene inserito) (tcp 9) chargen (generatore di caratteri) (tcp 19) daytime (ora corrente in formato umano)(tcp 13) time (numero di secondi dal 1/1/1900) (tcp 37)

3 inetd (the Internet Superserver) Molti demoni posso operare indifferentemente tramite inetd, oppure in modalità standalone. nel primo caso, inetd si mette in ascolto su tutte le porte dei demoni sotto la sua gestione, e li richiama in base alla necessità. Semplice ed uniforme da gestire, pochi servizi caricati introduce un piccolo sovraccarico (overhead). Standalone: demoni indipendenti. Utilizzo standalone conveniente quando il demone viene richiamato spesso, e il sovraccarico introdotto da inetd supera i vantaggi di gestione.

4 inetd.conf service type protocol wait user server cmdline dove: service: il nome del servizio. Inetd ricava la porta associata al servizio tramite il file /etc/services. type: indica il tipo del socket. Normalmente stream o dgram (datagram). protocol: determina il tipo di protocollo, che deve essere presente in /etc/protocols. (normalmente tcp e udp). wait: comportamento del socket. Se type!=dgram, è nowait. Altrimenti: nowait: multi threaded, socket liberato immediatamente; wait: single threaded, gestisce tutto sullo stesso socket.

5 inetd.conf wait/nowait consente di indicare il numero massimo di istanze di server generabili (fork) da inetd al minuto (40). user[.group]: indica l'utente (ed il gruppo) con i permessi del quale avviare il servizio. server: il percorso completo del server. Se è interno, contiene internal ed il successivo parametro è vuoto. cmdline: il nome del server ed eventuali parametri (in parte ripetizione di server). ftp stream tcp nowait root /usr/sbin/in.ftpd in.ftpd

6 TCP wrapper Permette tra l'altro di tenere traccia dei tentativi di connessione e di restringere l'accesso in base al servizio. Si presenta come programma o come libreria (libwrap) utilizzata da molti programmi. Accesso impostato tramite i file /etc/host.allow e /etc/host.deny man 5 hosts_access Il controllo avviene prima su host.allow, quindi su host.deny; se non ci sono corrispondenze, l'accesso è consentito.

7 TCP wrapper Configurazione /etc/hosts.allow e /etc/hosts.deny: righe del tipo: daemon_list : client_list [ : shell_command ] dove: daemon_list è una lista di servizi (anche un singolo) oppure ALL. client_list è la lista delle macchine da cui è permessa (host.allow) oppure a cui è negata (host.deny) la connessione verso il relativo servizio/servizi. shell_command è un comando (insieme di comandi) di shell che viene eseguito quando viene verificata la relativa corrispondenza.

8 TCP wrapper In particolare, in client_list possono essere specificati: indirizzo_ipv4/netmask_ipv4 indirizzo_ipv4. ovvero prefisso_dominio. tutti gli ip/domini che iniziano con il prefisso specificato.indirizzo_ipv4 ovvero.suffisso_dominio ALL tutti gli ip/domini che terminano con il suffisso specificato LOCAL (indirizzi locali) PARANOID (nome non corrisponde all'ip) KNOWN/UNKNOW (host con nome conosciuto/sconosciuto) EXCEPT (utilizzato con un elenco di nomi, da escludere dalla condizione specificata).

9 TCP wrapper: esempi di configurazione Esempi riferiti ad /etc/host.allow. Il comportamento in /etc/host.deny è simmetrico. ALL : ALL Consente l'utilizzo di qualsiasi servizio da parte di qualsiasi nodo. ALL : ALL EXCEPT.unict.it Consente l'utilizzo di qualsiasi servizio da parte di qualsiasi nodo a eccezione di quelli il cui dominio è unict.it. ALL :.unict.it Consente l'utilizzo di qualsiasi servizio da parte dei nodi appartenenti al dominio unict.it.

10 TCP wrapper: esempi di configurazione ALL :.dmi.unict.it EXCEPT Consente l'utilizzo di qualsiasi servizio da parte dei nodi appartenenti al dominio.dmi.unict.it, a esclusione di ALL : Consente l'utilizzo di qualsiasi servizio da parte dei nodi appartenenti alla sottorete in.ftpd : LOCAL ALL : ALL Attenzione all'ordine: le richieste per il servizio ftp (in.ftpd), vengono accettate solo se provengono da indirizzi locali. Tutti gli altri servizi sono permessi da qualunque origine.

11 tcpd (tcp wrapper daemon) Il programma tcpd consente l'utilizzo delle funzionalità di TCP wrapper per tutti i servizi avviati da inetd che non utilizzano direttamente la libwrap. Si integra con inetd. Cambiamenti minimali in inetd.conf: invece di avviare direttamente un servizio, viene avviato tcpd a cui viene passato il servizio come parametro. ftp stream tcp nowait root /usr/sbin/tcpd in.ftpd

12 xinetd Sostituto recente di inetd, presente in molte distribuzioni. Utilizza la libwrap. Il file di configurazione /etc/xinetd.conf (che spesso include /etc/xinetd.d) contiene una sezione per ogni servizio, oltre ad una sezione chiamata semplicemente defaults per i valori predefiniti. Le sezioni hanno la forma: service nomeservizio {... attributo = += -= valore... }

13 xinetd Attributi; ritroviamo: socket_type, protocol, wait, user, group, type, server, server_args; inoltre: id (riferito da host.allow e host.deny se nomeservizio appare in più sezioni, per protocolli differenti). disable (servizio abilitato o disabilitato) only_from, no_access (restringono l'accesso a o vietano l'accesso da determinati indirizzi ip) access_time (orario in cui è consentito l'accesso) log_type (dove effettuare il log, su file o con syslog) log_on_success, log_on_failure (informazioni da includere nei log, nei due casi)

14 xinetd.conf: esempio defaults { log_type = SYSLOG daemon log_on_success = PID HOST USERID EXIT DURATION log_on_failure = HOST USERID ATTEMPT DURATION } service ftp { socket_type = stream protocol service daytime wait { user socket_type = stream server protocol = tcp } wait = no user = root type = INTERNAL id = daytime-stream } = tcp = no = nobody = /usr/sbin/in.ftpd

15 portmap Indispensabile per la gestione di tutti i servizi basati su RPC. Registro dei servizi RPC presenti sul sistema. Il file /etc/rpc contiene l'elenco dei servizi RPC disponibili. Se i servizi basati su RPC debbono essere gestiti da inetd, allora portmap deve essere avviato prima di questo. Utilizza libwrap (nome demone: portmap). rpcinfo visualizza servizi registrati.

16 nfs (network file system) Esporta file verso computer remoti. Nessuna forma di autenticazione. La rete va progettata con criterio. Molto utilizzato, supportato (server e client) da praticamente tutti i sistemi Unix. Esistono client per moltissime piattaforme. Molto efficiente: GNU/Linux dispone, oltre al normale demone in userspace, di una versione in kernel space. Basato su RPC (richiede portmap) ed udp (ma ora anche tcp).

17 nfs: lato server Richiede il supporto nel kernel, e l'attivazione dei demoni rpc.mountd (gestione montaggio lato server) rpc.nfsd (funzionalità userlevel, si agganciano al modulo del kernel). rpc.lockd e rpc.statd (legati alla gestione dei lock) rpc.rquotad (gestione quota su nfs) eventualmente, abilitarli in /etc/host.allow Gli script delle varie distribuzione li abilitano automaticamente, installando gli appositi pacchetti di supporto ad nfs.

18 nfs: lato server /etc/exports contiene le informazioni sui filesystem da esportare. Sintassi: cartella_di_partenza [nodo] [(opzioni)]... nodo: singolo, con caratteri jolly (sui domini) o nella forma indirizzo_ipv4/netmask. opzioni: tra le altre, si trovano: ro (predefinita), rw (modalità di accesso); root_squash: tutti gli accessi come root al fs condiviso vengono trasformati in accessi di nobody. Analogamente all_squash. no_root_squash inverte il funzionamento

19 nfs: lato server Esempio (/etc/exports): /home /usr /opt /24(rw) /24(ro) /24(ro) Modifiche effettive tramite comando exportfs parametro -a: esporta tutto (chiamato dagli script di inizializzazione). parametro -u: disattiva l'esportazione delle cartelle indicate di seguito. parametro -r: riesporta tutto (riscrive il file contenente le informazioni sui fs esportati, /var/lib/nfs/xtab)

20 nfs: lato client Richiede esclusivamente il supporto nel kernel. Il montaggio avviene come per qualsiasi altro filesystem (in virtù dei meccanismi di virtualizzazione del filesystem), tramite il mount; basta specificare come sorgente: nodo_remoto:cartella_remota mount -t nfs :/home /home :/home /home nfs defaults 0 0 Opzioni particolari per specificare ad es. timeout, dimensione dei pacchetti, ecc.