Re: host.deny host.allow

Am Fr, den 26.03.2004 schrieb Carsten um 19:09:
> Hallo Jörg und alle anderen da draussen,
> 
> ich hab mich ein bisschen schlau gemacht, aber leider nicht genug.
> Im Red Hat Referenzhandbuch Kapitel 15.1 steht:
> "Da TCP Wrapper ein wertvoller Zusatz zum Arsenal jeden Administrators
> Sicherheits-Tools sind, sind die meisten Netzwerk-Services unter Red Hat
> Linux gegen die libwrap.a gebunden. Einige dieser Anwendungen sind
> /usr/sbin/sshd, /usr/sbin/sendmail und /usr/sbin/xinetd."

http://www.linuxfibel.de/wrapper.htm

> Weiss vielleicht jemand, was hier "einige dieser Anwendungen" heisst?
> Etwa auch nfs und httpd?

Nur sofern diese services gegen den tcp wrapper kompiliert wurden. Beim
aktuellen Apache2 bezweifle ich das sehr. Jedenfalls habe ich keinerlei
Hinweis darauf gefunden.

> Im inetd war frueher in der Konfigurationsdatei folgende Zeile zu lesen:
> "telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd"
> So mussten also alle "telnet requests" ueber tcpd - und damit ueber
> host.deny/host.allow - abgewickelt werden.
> 
> Wo ist denn diese Beziehung im xinetd enthalten?

Detailinfos dazu siehe:

http://www.xinetd.org/faq.html#libwrap

> Unter "man tcpd" steht u. a.:
> "The tcpd program can be set up to monitor incoming requests for telnet,
> finger, ftp, exec, rsh, rlogin, tftp, talk, comsat and  other  services
> that have a one-to-one mapping onto executable files."
> 
> Was ist "one-to-one mapping"?

>> Check out that "...services that have a one-to-one mapping onto
executable files" part.

What that means is that tcpd is designed to be used by services that
spawn 1 daemon for 1 client. In other words, tcpd won't work for stuff
like ircd or Samba. Luckily, these programs usually give you the option
to deny access to certain hosts, which accomplishes the same thing as
what tcpd does.  <<

> Kann ich in /etc/host.deny
> http : ALL
> schreiben und schon ist jeder Zugriff auf meinen Webserver gebannt?

Nein, siehe oben. Früher gab es mal Konfigurationen, wo der Apache nicht
standalone lief, sondern per inetd angesprochen wurde. Heutzutage
beschränkt man Webserverzugriffe mit ganz anderen Methoden. In Zeiten
von Paketfiltern mit stateful inspection (-> iptables) ist der
tcpwrapper eher ein einfaches Relikt, jedoch manchmal hilfreich weil
simpel.

> Danke fuer Euer Verstaendis.
> Carsten

Alexander


-- 
Alexander Dalloz | Enger, Germany | GPG key 1024D/ED695653 1999-07-13
Fedora GNU/Linux Core 1 (Yarrow) on Athlon CPU kernel 2.4.22-1.2174.nptl
Sirendipity 20:33:24 up 7 days, 5:15, load average: 0.30, 0.10, 0.10 
                   [ Γνωθι σ'αυτον - gnothi seauton ]
             my life is a planetarium - and you are the stars

_______________________________________________
redhat-list-de mailing list
[email protected]
https://www.redhat.com/mailman/listinfo/redhat-list-de

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.3 (GNU/Linux)

iD8DBQBAZIjs4ZduiO1pVlMRAq7yAKDTtN8wLQ0OFVP0qsGZRtkAbCtlsgCfcpS0
KvIY6waoH8JRO20QTJ7/1CQ=
=oVX5
-----END PGP SIGNATURE-----