設定メモ

色々試してメモッたものです。

1.あれぇー telnet、ftpできないよぉー(でも sshログインはできるよ)

・・・・ということで調べたら・・・「inetd 及び TCPWrapper の設定」に行き当たりました。

inetd とは、インターネットスーパーサーバと呼ばれる、インターネットで提供されている基本機能（ftp / telnet / pop 等）を管理しているデーモンです。また、 TCPWrapper は、これらのサービスにアクセス可能なアドレスを限定したり出来ます。これらを使って、使っていないサービスを停止したり、動いているサービスへのアクセスを特定のアドレスからしかできなくして、セキュリティレベルを上げることができます。

inetd の設定は、/etc/inetd.confによって制御します。

一般的に禁止すべきといわれているサービスはデフォルトで停止するように設定されています。インストール直後は次のようでした。

# See "man 8 inetd" for more information.
#
# If you make changes to this file, either reboot your machine or send the
# inetd a HUP signal:
# Do a "ps x" as root and look up the pid of inetd. Then do a
# "kill -HUP <pid of inetd>".
# The inetd will re-read this file whenever it gets that signal.
#
# <service_name> <sock_type> <proto> <flags> <user> <server_path> <args>
#
# The first 4 services are really only used for debugging purposes, so
# we comment them out since they can otherwise be used for some nasty
# denial-of-service attacks.  If you need them, uncomment them.
# echo   	stream	tcp	nowait	root	internal
# echo   	dgram	udp	wait	root	internal
# discard	stream	tcp	nowait	root	internal
# discard	dgram	udp	wait	root	internal
# daytime	stream	tcp	nowait	root	internal
# daytime	dgram	udp	wait	root	internal
# chargen	stream	tcp	nowait	root	internal
# chargen	dgram	udp	wait	root	internal
time	stream	tcp	nowait	root	internal
time	dgram	udp	wait	root	internal
#
# These are standard services.
#
ftp	stream	tcp	nowait	root	/usr/sbin/tcpd	in.ftpd
telnet	stream  tcp     nowait  root    /usr/sbin/tcpd	in.telnetd
#
# Use this one instead if you want to snoop on telnet users (try to use this
# for ethical purposes, ok folks?) :
# telnet stream  tcp     nowait  root    /usr/sbin/tcpd  /usr/sbin/in.telnetsnoopd
#
# This is generally unnecessary.  The daemon provided by INN will handle the
# incoming NNTP connections.
# nntp	stream	tcp	nowait	root	/usr/sbin/tcpd	in.nntpd
#
# This is for BSD sendmail.  NOTE:  It's not a good idea to uncomment this
# one, since sendmail is already set up to run as a daemon in /etc/rc.d/rc.M.
# But, if you really want to run sendmail this way for some reason, you'll 
# need to uncomment the smtp line below AND change the line in /etc/rc.d/rc.M
# to run sendmail like this:  /usr/sbin/sendmail -q30m   
# ...otherwise the queue will not be processed.
# smtp  stream  tcp     nowait  root    /usr/sbin/tcpd  sendmail -bs
#
# The comsat daemon notifies the user of new mail when biff is set to y:
comsat        dgram   udp     wait    root    /usr/sbin/tcpd  in.comsat
#
# Shell, login, exec and talk are BSD protocols.
#
shell	stream	tcp	nowait	root	/usr/sbin/tcpd	in.rshd -L
login	stream	tcp	nowait	root	/usr/sbin/tcpd	in.rlogind
# exec	stream	tcp	nowait	root	/usr/sbin/tcpd	in.rexecd
# talk	dgram	udp	wait	root	/usr/sbin/tcpd	in.talkd
# ntalk	dgram	udp	wait	root	/usr/sbin/tcpd	in.talkd
#
# Kerberos authenticated services
#
# klogin	stream	tcp	nowait	root	/usr/sbin/tcpd	rlogind -k
# eklogin	stream	tcp	nowait	root	/usr/sbin/tcpd	rlogind -k -x
# kshell	stream	tcp	nowait	root	/usr/sbin/tcpd	rshd -k
#
# Services run ONLY on the Kerberos server
#
# krbupdate	stream	tcp	nowait	root	/usr/sbin/tcpd	registerd
# kpasswd	stream	tcp	nowait	root	/usr/sbin/tcpd	kpasswdd
#
# Pop et al
#
# pop2	stream	tcp	nowait	root	/usr/sbin/tcpd	in.pop2d
pop3    stream  tcp     nowait  root    /usr/sbin/tcpd	ipop3d
imap    stream  tcp     nowait  root    /usr/sbin/tcpd	imapd
pop3s   stream  tcp     nowait  root    /usr/sbin/tcpd	ipop3d
imaps   stream  tcp     nowait  root    /usr/sbin/tcpd	imapd
#
# The ipop3d POP3 server is part of the Pine distribution.  If you've
# installed the Pine package, you may wish to switch to ipop3d by 
# commenting out the pop3 line above, and uncommenting the pop3 line below.
#pop3    stream  tcp     nowait  root    /usr/sbin/tcpd  ipop3d
# imap2   stream  tcp     nowait  root    /usr/sbin/tcpd  imapd
#
# The Internet UUCP service.
#
# uucp	stream	tcp	nowait	uucp	/usr/sbin/tcpd	/usr/lib/uucp/uucico	-l
#
# Tftp service is provided primarily for booting.  Most sites
# run this only on machines acting as "boot servers." 
#
# tftp	dgram	udp	wait	nobody	/usr/sbin/tcpd	in.tftpd
# bootps	dgram	udp	wait	root	/usr/sbin/in.bootpd	in.bootpd
#
# Finger, systat and netstat give out user information which may be
# valuable to potential "system crackers."  Many sites choose to disable 
# some or all of these services to improve security.
# Try "telnet localhost systat" and "telnet localhost netstat" to see that
# information yourself!
#
# finger	stream	tcp	nowait	nobody	/usr/sbin/tcpd	in.fingerd -w
# systat	stream	tcp	nowait	nobody	/usr/sbin/tcpd	/bin/ps	-auwwx
# netstat	stream	tcp	nowait	root	/usr/sbin/tcpd	/bin/netstat	-a
#
# Ident service is used for net authentication
auth	stream	tcp	wait	root	/usr/sbin/in.identd	in.identd -w -t120 -l
#
# These are to start Samba, an smb server that can export filesystems to
# Pathworks, Lanmanager for DOS, Windows for Workgroups, Windows95, Lanmanager
# for Windows, Lanmanager for OS/2, Windows NT, etc.  
# If you're running smbd and nmbd from daemons in /etc/rc.d/rc.samba, then you
# shouldn't uncomment these lines.
# netbios-ssn     stream  tcp     nowait  root    /usr/local/samba/bin/smbd  smbd
# netbios-ns      dgram   udp     wait    root    /usr/local/samba/bin/nmbd  nmbd
#
# Sun-RPC based services.
# <service name/version><sock_type><rpc/prot><flags><user><server><args>
#
# rstatd/1-3	dgram	rpc/udp	wait	root	/usr/sbin/tcpd	rpc.rstatd
# rusersd/2-3	dgram	rpc/udp	wait	root	/usr/sbin/tcpd	rpc.rusersd
# walld/1		dgram	rpc/udp	wait	root	/usr/sbin/tcpd	rpc.rwalld
#
#swat       stream       tcp           nowait.400      root /usr/sbin/swat swat

skkserv       stream  tcp     nowait  nobody  /usr/sbin/tcpd  /usr/libexec/dbskkd-cdb
# End of inetd.conf.

使わないサービスはコメント・アウトしておきましょう。特にインターネットに公開する場合は、shell (in.rshd -L)、login (in.rlogind)なども忘れずに。

TCPWrapper は

/etc/hosts.deny /etc/hosts.allow

によって、制御します。

このホストで提供されているサービスへ接続できるアドレスを制限します。

デフォルトで hosts.deny には

ALL : ALL

と書いてあるうえ、hosts.allow には

ALL : LOCAL

としか書いてないので、他のマシンからの telnet や ftp は当初全くできません。それでは困るので、サービスを開放するアドレスを /etc/hosts.allow に記述してあげます。

ALL : LOCALALL : 192.168.2.

　サービスの種類を限定する、たとえば、プライベートアドレス（192.168.2.0 上）には ftp と telnet を許可する、などとしたい場合は、

ALL : LOCALin.ftpd : 192.168.2. in.telnetd : 192.168.2.

と書きます。

これで、接続できたけど・・・・・WindowsXPからは telnet, ftp とも接続までが遅ーい!　なぜ! Plamoの /etc/hosts にはクライントのIPアドレス書いたのにー
後で調べよう!
　　　↓
LAN内にあるFreeBSDからは telnet, ftp ともすばやく接続できている。
WindowsXPからのSSHでもすばやく接続できている。ウーム!

【苦労談トップへ】