[ Pobierz całość w formacie PDF ]
.Przekszta³canie pliku g³Ã³wnego do postaci, któr¹ mo¿e zrozumieæ dbmload, zwyklewymaga pewnych magicznych poleceñ awk i sed, które s¹ mêcz¹ce przy wpisywaniui trudne do zapamiêtania.Dlatego pakiet Petera Erikssona, ypserv, zawiera plik Ma-kefile (nazwany ypMakefile), który realizuje tê konwersjê dla wiêkszoSci plikówg³Ã³wnych.PowinieneS zainstalowaæ go pod nazw¹ Makefile w katalogu map i do-konaæ edycji, aby uwzglêdnia³ mapy NIS-a, które chcesz wspó³dzieliæ.Na pocz¹tkupliku znajdziesz celall, który zawiera us³ugi oferowane przez ypserv.DomySlniewiersz wygl¹da tak:all: ethers hosts networks protocols rpc services passwd group netidJe¿eli na przyk³ad nie chcesz generowaæ map ethers.byname i ethers.byaddr, po prostuusuñethersz tej regu³y.Aby przetestowaæ swoj¹ konfiguracjê, mo¿esz zacz¹æ odjednej lub dwóch map, na przyk³ad services.*.Po edycji pliku Makefile, bêd¹c w katalogu map, wpiszmake.Spowoduje to automa-tyczne wygenerowanie i zainstalowanie map.Musisz pamiêtaæ o ich uaktualnianiupo ka¿dej zmianie dokonanej w plikach g³Ã³wnych.W przeciwnym razie zmiany niebêd¹ widoczne w sieci. Bezpieczeñstwo serwera NIS 235Podrozdzia³ Konfigurowanie klienta NIS z GNU libc wyjaSnia, jak skonfigurowaæ kodklienta NIS.Je¿eli twoja konfiguracja nie dzia³a, powinieneS spróbowaæ dowiedzieæsiê, czy twoje zapytania docieraj¹ do serwera.Je¿eli podasz opcjê --debug wwy-wo³aniu polecenia ypserv, wypisze ono na konsoli komunikaty o wszystkich przy-chodz¹cych zapytaniach NIS i zwracanych wynikach.Tam powinieneS znalexæwskazówkê, gdzie le¿y problem.Serwer Tobiasa nie ma tej opcji.Bezpieczeñstwo serwera NISZ punktu widzenia bezpieczeñstwa NIS ma podstawow¹ wadê: plik passwd jest do-stêpny praktycznie dla ka¿dego w ca³ym Internecie, czyli równie¿ dla sporej liczbypotencjalnych intruzów.Kiedy intruz wie, jak nazywa siê twoja domena NIS, i znaadres serwera, mo¿e po prostu wys³aæ zapytanie o mapê passwd.byname i natychmiastuzyska wszystkie has³a z twojego systemu (w postaci zaszyfrowanej).Z pomoc¹szybkiego programu do ³amania hase³, jak crack, i dobrego s³ownika, odgadniêciehase³, przynajmniej kilku u¿ytkowników, nie stanowi problemu.Tu w³aSnie przydaje siê opcja securenets.Na podstawie adresów IP lub numerów sie-ci zezwala na dostêp do twojego serwera NIS tylko pewnym hostom.Ostatnia wer-sja ypserv implementuje tê funkcjê na dwa sposoby.Pierwszy opiera siê na specjaln-ym pliku konfiguracyjnym /etc/ypserv.securenets, a drugi u¿ywa odpowiednich pli-ków /etc/hosts.allow i /etc/hosts.deny, które omówiliSmy w rozdziale 12, Wa¿ne funkcjesieciowe*.Aby wiêc ograniczyæ dostêp do hostów z browaru, administrator sieci po-winien dodaæ poni¿szy wiersz do pliku hosts.allow:ypserv: 172.16.2.Pozwoli to wszystkim hostom o adresach IP 172.16.2.0 na dostêp do serwera NIS.Aby zabroniæ dostêpu wszystkim pozosta³ym hostom, musisz umieSciæ w plikuhosts.deny nastêpuj¹cy wpis:ypserv: ALLNumery IP nie s¹ jedynym sposobem na okreSlenie hostów (lub sieci) w plikuhosts.allow i hosts.deny.Szczegó³y znajdziesz na stronie podrêcznika hosts_access(5)w twoim systemie.Jednak pamiêtaj, ¿e nie mo¿esz u¿ywaæ nazw hosta lub domen wewpisieypserv.Je¿eli podasz nazwê hosta, serwer bêdzie próbowa³ j¹ rozwi¹zaæ,ale resolver z kolej wywo³a ypserv i wejdziesz w nieskoñczon¹ pêtlê.Aby skonfigurowaæ bezpieczeñstwosecurenetsza pomoc¹ metody /etc/ypserv.securenets, musisz stworzyæ plik konfiguracyjny /etc/ypserv.securenets.Ten plik konfi-guracyjny ma prost¹ strukturê.Ka¿dy wiersz opisuje host lub sieæ, które maj¹ dostêpdo serwera.Wszelkie adresy nie opisane przez wpisy w tym pliku nie bêd¹ mia³ydostêpu do serwera.Wiersz rozpoczynaj¹cy siê do znaku # bêdzie traktowany jakokomentarz.Przyk³ad 13-1 pokazuje, jak wygl¹da prosty plik /etc/ypserv.securenets.* W³¹czenie metody /etc/hosts.allow mo¿e wymagaæ ponownej kompilacji serwera.Przeczytaj instrukcjezawarte w pliku README do³¹czonym do pakietu dystrybucyjnego. 236 Rozdzia³ 13: System informacji sieciowejPrzyk³ad 13-1.Przyk³adowy plik ypserv.securenets# dopuszczenie po³¹czeñ z lokalnego hosta - potrzebnehost 127.1# to samo co 255.255.255.255 127.1## dopuszczenie po³¹czeñ z dowolnego hosta z sieci browaru# wirtualnego255.255.255.0 172.16.1.0#Pierwszy wpis w ka¿dym wierszu to maska sieci, a s³owo kluczowehostjest trak-towane jako "maska sieci 255.255.255.255 .Drugi wpis w ka¿dym wierszu to adresIP, którego dotyczy maska sieci.Trzecia mo¿liwoSæ to u¿ycie bezpiecznego portmappera zamiast securenets w ypserv.Bezpieczny portmapper (portmap-5.0) wykorzystuje tak¿e schemat hosts.allow, aleudostêpnia go dla wszystkich serwerów RPC, a nie tylko dla ypserv*.Jednak nie powi-nieneS u¿ywaæ jednoczeSnie opcji securenets i bezpiecznego portmappera, poniewa¿spowoduje to nadmiar uwierzytelniania.Konfigurowanie klienta NIS z GNU libcOpiszemy teraz i omówimy konfiguracjê klienta NIS-a wykorzystuj¹cego bibliotekêGNU libc
[ Pobierz całość w formacie PDF ]