Amministrare GNU/Linux - Cia

8.1. LA GESTIONE DEI SERVIZI GENERICI 307vari server necessari al funzionamento di NFS (si veda sez. 8.4.1). L’esempio consente l’accessoad ssh, l’accesso a NFS per la rete locale, e l’uso del server di news solo tramite il localhost.In generale per lista dei server si intende il nome (o i nomi, se se ne vuole indicare più diuno) del programma che gestisce lo specifico servizio. Occorre fare attenzione, perché il nome èquello del programma che fornisce il servizio, non quello del servizio indicato in inetd.conf.Nella lista dei client si indicano invece gli IP o le reti a cui si vuole consentire l’accesso. Per lereti in genere si usa la notazione sia numerica che alfabetica, e si può usare una * come wildcardper raggruppare indirizzi; si può anche specificare una netmask con un indirizzo del tipo:131.155.72.0/255.255.254.0e specificare la lista degli indirizzi usando un file dando il pathname assoluto dello stesso.Il formato e la lista completa delle funzionalità che sono controllabili tramite questi file èriportato nella pagina di manuale ad essi associate, accessibili con man 5 hosts_access. Sitenga comunque conto che alcuni servizi (NFS per esempio) supportano solo un sottoinsiemedelle funzionalità definite in generale.Per una migliore gestione dei TCP wrapper il relativo pacchetto fornisce anche dei programmidi utilità che permettono di verificare la configurazione effettuata ed effettuare dei controlli diaccesso.Il primo programma è tcpdchk che esegue un controllo delle regole di accesso impostatecon hosts.allow e hosts.deny, confrontandole anche con i servizi attivati in inetd.conf. Ilcomando riporta tutti gli eventuali problemi rilevati, a partire da un uso scorretto di wildcard eindirizzi, servizi che non sono riconosciuti, argomenti o opzioni non validi, ecc. Così ad esempiopotremo avere:[root@gont corso]# tcpdchkwarning: /etc/hosts.allow, line 15: apt-proxy: no such process name in /etc/inetd.confin corrispondenza ad una regola di accesso rimasta aperta per un servizio che in seguito è statorimosso.Il comando permette di controllare gli hosts.allow e hosts.deny nella directory corrente inveceche sotto /etc usando l’opzione -d, mentre si può specificare un diverso file per inetd.confcon l’opzione -i, la documentazione completa è al solito disponibile con man tcpdchk.Il secondo comando di controllo è tcpdmatch che permette di verificare il comportamento deiTCP wrapper per una specifica richiesta da un servizio. Il comando richiede due parametri, ilprimo che specifichi il servizio che si vuole controllare ed il secondo la stazione da cui si intendeeffettuare l’accesso. Il comando eseguirà una scansione delle regole e riporterà i risultati. Adesempio potremo richiedere:[root@gont corso]# tcpdmatch sshd oppishwarning: sshd: no such process name in /etc/inetd.confwarning: oppish: hostname aliaswarning: (official name: oppish.earthsea.ea)client: hostname oppish.earthsea.eaclient: address 192.168.1.168server: process sshdmatched: /etc/hosts.allow line 14access: grantedche controlla l’accesso al servizio SSH (si noti che si deve specificare il nome del programma cheesegue il servizio) da parte della macchina oppish, trovando che questo è consentito dalla riga14 del file hosts.allow. Il comando rileva anche che il servizio non è lanciato attraverso inetde quale è l’IP effettivo della macchina.