Administración avanzada de GNU/Linux (PDF) - SW Computación

Administración avanzada de GNU/Linux
ª FUOC • XP04/90785/00019
dándoles el parámetro stop para parar los servicios RPC (en este
caso NFS).
A continuación, controlaremos la seguridad en base a un wrapper
sencillo. Vamos a suponer que queremos dejar paso a través de ssh
de una máquina determinada, llamémosla 1.2.3.4 (dirección IP). Vamos
a cerrar portmap al exterior, ya que no tenemos NIS, y de NFS
tenemos servidor pero no estamos sirviendo nada (podríamos cerrarlo,
pero lo dejaremos para futuros usos). Vamos hacer un wrapper (suponemos
que los TCP wrappers están ya instalados), modificando los ficheros
hosts.deny -j allow. En /etc/hosts.deny:
ALL : ALL : spawn (/usr/sbin/safe_finger -l @%h \
| /usr/bin/mail -s “%c FAILED ACCESS TO %d!!” root) &
estamos denegando todos los servicios (cuidado, aquellos relacionados
con inetd) (primer all) a todos (all), y la acción por tomar será
averiguar quién ha pedido el servicio y en qué máquina, y vamos a
enviar un correo al root informando del intento. Podríamos también
escribir un fichero de log, ... Ahora, en /etc/hosts.allow:
sshd: 1.2.3.4
habilitamos el acceso por la máquina IP 1.2.3.4 en el servidor sshd (del
ssh). También podríamos colocar el acceso a portmap, sólo haría falta
una línea portmap: la_ip. Podemos colocar una lista de máquinas o bien
subredes que puedan utilizar el servicio (ver man hosts.allow). Recordar
que también tenemos los comandos tcpdchk, para comprobar que la
configuración del wrapper esté correcta, y tcpdmatch para simular qué
pasaría con un determinado intento, por ejemplo:
root@maquina:˜# tcpdmatch sshd 1.2.3.4
warning: sshd: no such process name in /etc/inetd.conf
client: hostname maquina.dominio.es
client: address 1.2.3.4
server: process sshd
matched: /etc/hosts.allow line 13
access: grantedv
ANOTACIONES
385