Dotaz: eth2 Up/Down pomocí webového rozhraní

[Libor Petr]

Potřebuji občas dynamicky zakazovat přístup na internet pro eth2 (PC učebna ve škole). Pro mě je nejjednodušší vytáhnout kabel ze síťovky, ale server je v zamčeném racku a velký problém je naučit některé učitelky vytáhnout ten správný kabel ... A nechávat na konzoli bežet přihlášeného roota aby mohli shodit a nahodit rozhraní se mi moc nechce.

Další možnost webové rozhraní s tlačítky On/Off + script, který podle potřeby přehazuje konfiguraci firewallu. Jde to vyřešit aniž by Apache musel běžet s právy roota?

Nebo je ještě jiné řešení? Celé to běhá na Slackware s 2.4 jádrem

Odpovědi

[EiFFeL]

co treba php a fce exec?

[Heron]

Webmin je asi kanón na vrabce, co?

[Libor Petr]

To určitě ano. Připadá mi zbytečné ho kvůli tomu instalovat.

[rudajak]

V podobné situaci využívám příkaz sudo ze stejnojmenného balíčku. Umožnuje mi pro daného uživatele nadefinovat, že může nahodit a shodit rozhrani eth0. Pomocí příkazu visudo jako root zadám do konfiguračního souboru jmeno uživatele a 2 přesné příkazy (i s parametry), které s právy root může zadat. Pro shození eth0 pak uživatel třeba zadá sudo ifconfig eth0 down. Příkazy je možno připravit do skriptu a připravit klikátka na plochu.

[Libor Petr]

Díky za radu, koukal jsem na Sudo a je to řešení i na jiné problémy, nad kterými právě uvažuji. Ale mezitím jsem přišel i na jiné řešení. Webové rozhraní vytvoří pouze pomocný soubor a v cronu běží script, který testuje ne-/existenci souboru. Pokud pomocný soubor v daném adresáři existuje, zakáže se komunikace ven do intenetu, pokud pomocný soubor neexistuje, internet je povolen. Vzhledem k tomu, že Appache nic nevykonává, může běžet s minimálními právy a zatím se mi to jeví jako bezpečné řešení.

[opicak]

nevyhodou tohoto řešení je, že nefunguje okamžitě. Vždy bude trvat nějakou dobu (záleží na intervalu v cronu) než to zabere. Zde se pak bude muset hledat kompromis mezi reakcí a častým testováním.

Mám jiný nápad. Co to spáchat pomocí sudo jako je napsáno výše, ale na onu stránku s tímto exec voláním budou mít přístup jen učitelské počítače, konkrétně ten co potřebujete. To se dá zařídit snadno přes Apache. Co na to říkáš?

[Libor Petr]

Taky by to šlo, ale jednak není v učebně počítač, který by byl jenom učitelský a nikdy by u něj neseděl žádný žák (kapacitní problémy) a už vidím, jak si učitelé vymýšlí a co povolit ještě přístup z jedné sborovny, pak z druhé sborovny, od ředitelky, od zástupce....

Testování 2x za minutu je časově dostačující a server to nestrhá.

[opicak]

no já chtěl jen pomoct

[Bernie]

HTTP autentizace je resenim...

[Tomáš]

Myslím, že jste kapku mimo - problémem není autentizace, ale co nejsystémovější řešení (mimochodem, taky se přikláním za sudo (napsal bych si třeba dva skripty start a stop) - i když, řekl bych že účelem je odpojit studenty od Internetu a to bych spíš řešil firewallem).

Mimochodem, HTTP autentizace se mi z bezpečnostních mechanizmů jeví jako nevhodná, problém je např. odhlašování (ale zas to moc nesleduju).

[Pavel]

Vytahovat kabel je opravdu blbost. Co se takhle připojit na server přes SSH a shodit to nějakým skriptem?

[_]

monit + sudo

[_]

http://www.tildeslash.com/monit/doc/screen.php