Guide@Debianizzati.Org

Inetd e i servizi di rete: differenze tra le versioni

Pagina Discussione

Inetd e i servizi di rete (visualizza wikitesto)

Versione delle 21:15, 1 apr 2006

25 byte aggiunti ,  1 apr 2006
m
nessun oggetto della modifica
mNessun oggetto della modifica
Riga 1: Riga 1:
==Introduzione==
==Il superdemone inetd==
===ACPI (Advanced Configuration and Power Interface)===
Il problema del supporto delle ACPI in linux risiede nella parziale compatibilit� della tabella DSDT inclusa nel kernel. La DSTD ('''Differentiated System Description Table''') � una tabella che contiene e fornisce un blocco di informazioni sul sistema a basso livello (batteria, luminosit� LCD, pulsanti Fn, �). Purtroppo, molti fornitori di hardware non sono capaci di fornire le tabelle completamente funzionali secondo gli standart ACPI.


==Aggiornamento del BIOS==
===Introduzione===
Per cominciare � indispensabile aggiornare il BIOS con l�ultima versione disponibile, sperando che la nuova versione contenga una tabella DSDT compatible con il kernel di linux.
Inetd ('''Internet Super-Server''') è un demone che ascolta sulle porte specificate nel suo file di configurazione e fa avviare il relativo servizio nel momento in cui viene fatta una richiesta. Esso controlla tramite dei wrappers i file '''/etc/hosts.allow''' e '''/etc/hosts.deny''' per verificare che la connessione sia consentita.


==Installazione nel kernel del supposto ACPI==
Viene chiamato superdemone proprio per questa sua funzione di controllo di altri demoni.
Per prima cosa � necessario compilare il kernel con il supporto ACPI. Le sezioni del kernel necessarie per la compilazione sono le seguenti:


<pre>ACPI (Advanced Configuration and Power Interface) Support --->
Il vantaggio di usarlo è di ottimizzare le risorse del sistema, avviando il demone che gestisce un determinato servizio solo quando ci sono effettive richieste.
    ACPI Support --->
        <*> AC Adapter
        <*> Battery
        <*> Button
        <*> Processor</pre>


==Strumenti per lavorare con le DSDT==
Sebbene possa essere usato per gestire quasi tutti i servizi è consigliabile farlo solo per quelli a basso e occasionale traffico.
Per potere leggere e compilare una DSDT � necessario scaricare il compilatore ASL della Intel da:
<pre>http://developer.intel.com/technology/iapc/acpi/downloads.htm</pre>


A dipendenza del metodo di integrazione delle nuove tabelle DSDT � possibile scegliere di inserirle:
===Installazione===
<pre>DSDT da compilare staticamente con il kernel da:
Se per qualche motivo il demone inetd non dovrebbe essere installato è sufficiente installarlo tramite APT. Inoltre consiglio l'installazione dei TCP wrappers:
ftp://ftp.kernel.org/pub/linux/kernel/people/lenb/acpi/patches/release/
<pre>$: apt-get install netkit-inetd tcpd</pre>


DSDT da inserire nell�initrd:
===Configurazine===
http://gaugusch.at/kernel.shtml</pre>
Per prima cosa è necessario modificare i permessi al file '''/etc/inetd.conf''' in modo che solo root abbia accesso:
<pre>$: chmod 600 /etc/inetd.conf</pre>


===Installare il compilatore ASL===
Ogni riga di '''/etc/inetd.conf''' corrisponde ad un servizio che viene gestito da inetd. Se è commentata con un # il servizio non viene avviato e inetd non mette la relativa porta in listening. Esempio:
Per installare il compilatore ASL eseguire i seguenti passi:
<pre>$: tar -zxvf acpica-unix-20050624.tar.gz
$: cd acpica-unix-20050624/compiler
$: make</pre>


===Ottenere una DSDT===
<pre># These are standard services. 
� possibile modificare la DSDT attualmente installata e correggere gli errori e i problemi rilevati, estraendola da:
#
<pre>$: cat /proc/acpi/dsdt > dsdt.dat</pre>
#ftp    stream  tcp  nowait  root  /usr/sbin/tcpd  in.ftpd -l -a 
#telnet stream  tcp  nowait  root  /usr/sbin/tcpd  in.telnetd
#
# Shell, login, exec, comsat and talk are BSD protocols. 
# 
#shell  stream  tcp    nowait  root    /usr/sbin/tcpd  in.rshd 
#login  stream  tcp    nowait  root    /usr/sbin/tcpd  in.rlogind 
#exec  stream  tcp    nowait  root    /usr/sbin/tcpd  in.rexecd 
#comsat dgram  udp    wait    root    /usr/sbin/tcpd  in.comsat 
#talk  dgram  udp    wait    root    /usr/sbin/tcpd  in.talkd 
#ntalk  dgram  udp    wait    root    /usr/sbin/tcpd  in.ntalkd 
#dtalk  stream  tcp    waut    nobody  /usr/sbin/tcpd  in.dtalkd</pre>


Ci� creer� un file '''dsdt.dat''' che conterr� la DSDT compilata. Ora � necessario decompilarla con il compilatore ASL appena installato:
Il formato tipico di ogni riga è il seguente:
<pre>$: iasl -d dsdt.dat</pre>


Verr� generato un file denominato '''dsdt.dsl''', che conterr� la DSDT. Questo file pu� essere tranquillamente editato con un editor di testi e modificato a seconda delle esigenze e dei problemi riscontrati. Una volta corretti gli errori ricompilare il file '''dsdt.dsl'''.
<pre>service type protocol wait user server cmdline</pre>
       
<pre>$: iasl -tc dsdt.dsl</pre>


Verranno generati due file dalla compilazione:
*:dsdt.hex
*:DSDT.aml


{{ Warningbox | � possibile scaricare una custom DSDT gi� pronta e corretta da internet per molti portatili in commercio: http://acpi.sourceforge.net/dsdt/tables }}
Un esempio pratico di una riga presente in '''/etc/inetd.conf''':
<pre>ftp stream tcp nowait root /usr/sbin/in.ftpd –l


==Aggiornare il Kernel==
ftp: nome del servizio
Ci sono due modi per incorporare la nuova DSDT nel kernel. � possibile implementare i file '''dsdt.hex''' e '''DSDT.aml''' generati in modo statico o tramite initrd.
stream: indica il tipo
tcp: indica il protocollo
nowait: indica se deve attendere
user: indica l’utente che ha il privilegio di accesso
server: indica dove si trova il programma
cmdline:indica il nome dell’eseguibile e eventuali flag</pre>


*:Il primo modo � includere la DSDT staticamente nel kernel. Questo comporter� una ricompilazione del kernel al termine della procedura. Se usate questo metodo avete bisogno del file '''dsdt.hex'''.
Inoltre inetd si appoggia su un altro file di configurazione dei servizi:


*:Il secondo modo � di passare la DSDT al kernel durante il caricamento nella fase di boot tramite initrd. Se usate questo metodo avete bisogno del file '''DSDT.aml'''.
<pre>/etc/services
File che assegna un nome di servizio alla relativa porta.
Viene usato anche da altri programmi come file di riferimento.</pre>


Se si vogliono utilizzare i tcpwrapper per limitare l'accesso al servizio la riga sopra diventa:
<pre>ftp stream tcp nowait root /usr/sbin/tcpd in.ftpd –l</pre>


Il metodo initrd � probabilmente preferibile, particolarmente se dovete fare diversi cambiamenti alla vostra DSDT, perch� non richiede la ricompilazione del Kernel per ogni nuova DSDT generata.
Nelle distribuzioni Linux, solitamente inetd è già configurato per supportare i tcp wrappers.


===Installazione Metodo statico===
===TCP wrappers===
� necessario installare una patch al kernel per far si che legga la nuova DSDT senza problemi. Una volta eseguita questa operazione copiate la nuova DSDT (.hex file) nella directory dei sorgenti del kernel.
I tcp wrapper '''TCPD''', sviluppati dall'olandese Wietse Venema, sono un layer software che permette il controllo e il filtro degli accessi a servizi del sistema, tipicamente gestiti con inetd.


Scaricare la patch a questo indirizzo:
In pratica da una configurazione:
<pre>ftp://ftp.kernel.org/pub/linux/kernel/people/lenb/acpi/patches/release</pre>


Patchate il kernel, spostandovi nella directory dove sono presenti i sorgenti:
<pre>client -----> inetd -----> servizio</pre>
<pre>$: cd /usr/src/linux-2.6.8
$: patch -p1 < /percorso_dove_avete_salvato_la_patch</pre>


Se non appaiono errori, significa che il kernel � stato patchato correttamente.
Si passa ad una configurazione:


Copiare il file dsdt.hex rinominandolo in dsdt_table.h nella directory dei sorgenti del kernel:
<pre>client -----> inetd -----> TCPD -----> servizio</pre>
<pre>$: cp dsdt.hex /usr/src/linux-2.8.6/include/acpi/dsdt_table.h</pre>


Infine ricompilare il kernel. Se non ci sono errori al prossimo avvio del PC il supporto ACPI � caricato correttamente senza alcun problema.
Nella nuova configurazione i tcpwrappers possono limitare l'accesso al servizio secondo criteri configurabili ed hanno funzionalità anti-spoofing e anti tcp seguence guessing. La configurazione dei tcp wrappers si fa essenzialmente in due file.


===Installazione Metodo initrd===
Questo file permette di specificare quali servizi abilitare e da quali indirizzi IP:
Questo metodo permette di modificare la DSDT senza dover ricompilare il kernel. Questo metodo risulta efficace nel caso dovessimo modificare diverse volte la DSDT.
<pre>/etc/hosts.allow</pre>


Scaricare la patch a questo indirizzo:
Questo file permette di specificare come limitare l'accesso a specifici servizi:
<pre>http://gaugusch.at/kernel.shtml</pre>
<pre>/etc/hosts.deny</pre>


Patchate il kernel, spostandovi nella directory dove sono presenti i sorgenti:
===Comandi utili===
<pre>$: cd /usr/src/linux-2.6.8
Per avviare, riavviare, fermare il servizio inetd:
$: patch -p1 < / percorso_dove_avete_salvato_la_patch</pre>
<pre>$: /etc/rc.d/init.d/inetd start/stop/restart</pre>


� necessario assicurarsi che i seguenti moduli (ramdisk and initrd ) siano compilati staticamente nel kernel:
===Configurazioni utili===
<pre>Device Drivers --->
Nega l'accesso a tutti i client e controlla che ip - nome.host corrispondano:
    Block Devices --->
<pre>File da applicare: /etc/hosts.deny
        <*> RAM disk support
ALL:ALL@ALL,PARANOID</pre>
        [*] Initial RAM disk (initrd) support</pre>


Inoltre � necessario controllare che l�opzione '''Read DSDT from initrd''' � selezionata nel menu delle opzioni ACPI:
Consente l'accesso a tutti i client e controlla che ip - nome.host corrispondano:
<pre>Power management options (ACPI, APM) --->
<pre>File da applicare: /etc/hosts.allow
    ACPI (Advanced Configuration and Power Interface) Support --->
ALL: LOCAL 192.168.1.0/255.255.255.0</pre>
        [*] Read DSDT from initrd</pre>


Se queste opzioni non sono abilitate, abilitarle e ricompilare il kernel. Se sono gi� abilitate non � necessario ricompilare il kernel. Ora il kernel � pronto ad accettare la DSDT con initrd. � necessario preparare initrd:
Permette l'accesso SSH all'host prova.it corrispondente all'IP 10.0.0.1
<pre>$: echo "INITRDDSDT123DSDT123" >> /boot/initrd-kernel-2.8.6.img
<pre>File da applicare: /etc/hosts.allow
$: cat DSDT.aml >> /boot/initrd-kernel-2.6.8.img</pre>
sshd: 10.0.0.1 prova.it</pre>


Riavviare e controllare se il supporto ACPI funziona. Ricordarsi di aggiornare i bootloader!
Manda una mail all'indirizzo specificato admin_mail ogni qualvolta qualcuno si connette attraverso il servizio telnet, indicando l'indirizzo del client (%a) e l'utente (%u), la lista di questi parametri è contenuta nella man page hosts_access.
<pre>File da applicare: /etc/hosts.allow
in.telnetd : ALL@ALL : spawn ( /bin/mail -s "Connessione telnet da: %a %u" admin_mail ) & </pre>


==Siti ufficiali dei progetti==
==Da inetd a Xinetd==
http://acpi.sourceforge.net
===Differenze===
http://www.acpi.info/
A differenza del precedessore, xinetd (e'''x'''tended inetd):
 
:*Limita o regola l'accesso a determinati servizi senza ricorrere al Tcp Wrapper;
:*Offre un sistema di logging indipendente da syslog;
:*Permette di limitare l'accesso ai servizi in determinate ore della giornata;
:*Supporta il protocollo Ipv6;
:*Utilizza vari meccanismi che mitigano l'impatto di un attacco DOS.
 
===File di configurazione===
La configurazione del demone e dei servizi può essere suddivisa in più file non compatibili con i vecchi file di configurazione del demone inetd. Le directory contenenti i file di configurazione sono leggermente cambiate:
<pre>/etc/xinetd.conf
File di configurazione del demone
 
/etc/xinetd.d/*
Directory che contiene i singoli file dei servizi offerti da xinetd</pre>
 
Il file di configurazione di xinetd è un file di testo che indica i servizi gestiti da xinetd. Contiene delle sezioni, ognuna delle quali identifica un servizio, con la seguente sintassi:
<pre>service service_name
{
    attribute assign_op [value] [value] [...]
    [...]
}</pre>
 
Dove i seguenti attributi indicano:
:* '''service_name'''  è l’indicazione di un servizio gestito da xinetd;
:* '''attribute'''  indica un attributo relativo al servizio service_name;
:* '''assign_op'''  è un operatore di assegnamento, e può essere = (specifica l’unico valore dell’attributo), += (aggiunge un valore all’attributo) o -= (rimuove un valore dall’attributo).
 
===Esempi di configurazione di Xinetd===
Di seguito sono riportati alcuni esempi pratici e semplici di un file di configurazione '''/etc/xinetd.conf''':
<pre>service shell
          {
                socket_type        = stream
                wait                = no
                user                = root
                instances          = UNLIMITED
                server              = /usr/etc/in.rshd
                log_on_success      += HOST RECORD
          }
 
service ftp                                                             
          {
                socket_type        = stream
                wait                = no
                nice                = 10
                user                = root
                server              = /usr/etc/in.ftpd
                server_args        = -l
                instances          = 4
                log_on_success      += DURATION HOST USERID
                access_times        = 2:00-9:00 12:00-24:00
          }</pre>
 
Per una guida dettagliata di ogni singolo parametro è possibile consultare il '''man''' una volta installato xinetd. Xinetd è un demone molto flessibile e tramite il suo file di configurazione è possibile specificare decine e decine di opzioni.
 
===Opzioni di Xinetd===
Le opzioni che possono essere utilizzate per la modalità di funzionamento di xinetd sono le seguenti:
:* '''-d''' abilita la modalità di debug;
:* '''-syslog syslog_facility''' imposta la facility relativa al system log44 secondo quanto specificato da syslog_facility;
:* '''-filelog logfile'''' indica di redirigere il log degli eventi di xinetd nel file logfile;
:* '''-f config_file''' indica il file di configurazione da considerare secondo quanto specificato da config_file (default /etc/xinetd.conf);
:* '''-pidfile pid_file''' indica di scrivere nel file pid_file il PID del processo lanciato;
:* '''-stayalive''' indica di rimanere in esecuzione anche se nel file di configurazione non è stato specificato nessun servizio;
:* '''-limit proc_limit''' imposta il numero massimo di processi che xinetd può lanciare secondo quanto specificato da proc_limit;
:* '''-logprocs limit''' imposta il numero massimo di daemon che possono essere lanciati in esecuzione per ogni utente, secondo quanto specificato da limit;
:* '''-version''' visualizza la versione di xinetd;
:* '''-inetd_compat''' indica di considerare anche il file di configurazione '''/etc/inetd.conf''' subito dopo '''/etc/xinetd.conf''';
:* '''-cc interval''' indica di controllare un controllo periodico del proprio stato ogni interval secondi;
 
Il processo xinetd effettua le operazioni elencate in corrsipondenza dei seguenti segnali:
 
:*'''SIGHUP''' rilegge il file di configurazione e termina l’esecuzione dei daemon relativi a servizi non più attivi (secondo quanto specificato nel file di configurazione);
:* '''SIGQUIT''' termina la sua esecuzione;
:* '''SIGTERM''' termina l’esecuzione di tutti i daemon prima di terminare anche la sua esecuzione;
:* '''SIGUSR1''' scrive il suo stato interno (dump) nel file '''/var/run/xinetd.dump''';
:* '''SIGIOT''' controlla la consistenza delle sue strutture dati, visualizzando quindi un messaggio relativo.


Autore: [[Utente:Net deity|Net deity]]
Autore: [[Utente:Net deity|Net deity]]
[[Categoria:Networking]]
TheNoise
1 760

contributi

Estratto da "https://guide.debianizzati.org/index.php/Speciale:DiffMobile/7547"