Dotaz: spravna konfigurace hosts.allow a deny

[medvedik]

Potreboval bych omezit pristup pres ssh pres hosts.allow a hosts.deny. probelm je ze se jedna o vzdalenou zpravu takze se chci zeptat jeslti jsem spravne pochopil politiku a syntaxi zapisu do techoto souboru.

hosts.allow

all:192.168.1. neomezeny pristup s lokalni site sshd: ipadresa pristup s urcite ip sshd: ipadresa pristup s urcite ip

hosts.deny

ALL:ALL

diky za rady

Odpovědi

[ext3fs]

all:192.168.1. povoluje vse pro sit 192.168.1.1-255

pokud chcete nastavit jen ssh, tak by mela konfigurace vypadat spis:

sshd:192.168.1.

+ pripadne nastavit jeste inetd/xinetd.

[medvedik]

no u vnitřni site bych radeji chtel nechat povoleno vse protoze je spustena samba a jine sluzby na ktere s vnitrni site pristupuji proto jsem zadal ALL. Tohoto jsem si vedom. mi jen slo o to zda jsem spravne pochopil vyznam techto dvou souboru a spravne je edituji takze by to melo byt asi OK diky

[chsajarsa]

Myslim ze jeden s tech dvou souboru uplatnuje svoje pravidla jako prvni a msylim ze prave hosts.deny,Takze IMHO by byl jistejsi zapis do hosts.deny tento

sshd : ALL EXCEPT 192.168.1. : deny

nebo

sshd : 192.168.1. : allow
sshd : ALL : deny

Oba zpusoby jsou to same.

[oron]

bezne pouzivam

host.allow
sshd : IP

host.deny
sshd : ALL

sshd musi byt zkompilovane s podporou tcp wrapers, co bezne pri instalacii z balikov je, ale pri kompilacii to treba tusim zadat ...

[medvedik]

Podle me je jedno jak to budes zapisovat apson podle toho co jsem pochopil z dokumentace a ruznych navodu zda pouzijes hosts.deny nebo allow, jedine vcem je rozdil je zapis protoze soubory ikdyz se pouzije jeden prvni a druhy az druhy tak napred treba zisti ze v deny je zakazano vse a pujde do allow a zisti co ma povolene takze to bude fungovat a nebo naopak pokud by sel napred do allow projde zaznami zisti ze tam dany zaznam neni a tak se koukne do deny a tam bude ze ma vse zakazane tak to zahodi a nebo kdyz tam bude jine pravidlo tak treba i povoli. ale to je jen muj nazor zacatecnika

[chsajarsa]

Ja treba hosts.deny nepouzivam,mam vsechan pravidla zapsana v hosts.allow.TCP wrapers je prochazeji postupne radek po radku,takze jsem je tam natukal a mam jistotu, ze to je dobre a overeno ze to funguje za vsech okolnosti a hlavne na vsech sytemech vsetne ostatnich unixu.

[Petr Šobáň]

Ano ale pokud v hosts.deny nebudeš mít ALL:ALL tak když přijde nějaký požadavek který nebudeš mít v hosts.allow tak projde.

Podle mě je správný postup nejdříve vše zakázat v hosts.deny (pro jistotu) a potom jednotlivé věci povolit v hosts.allow a pokud náhodou na něco zapomenu v hosts.allow tak to neprojde....(podle mě je to přehlednější.)

[chsajarsa]

Dat nakonec ALL:ALL:deny je samozdrejmost.No co ja vim tak je jedno do ktereho souboru se co pise,kdyz je na konci " : allow" neebo " : deny " .Ja uprednostnuju zapis vseho do jednoho souboru,prijde mi to prehlednejsi a hlavne lip prenositelne,ale to je muj dojem,kolega to dela jinak( a BSD to pak prepisuje).Podle me je kazdoapdne prehlednejsi psat na konci dvojtecku a allow nebo deny u akzdeho radku.

[medvedik]

Dekuji vsem za rady uz jsem vse nastavil a funguje to nakonec jsem udelal nasledovne protoze jsem potreboval osetrit jen sluzbu ssh a s prostredim ve firme se zatim seznamuji tak jsem provedl naslednou konfiguraci hosts.allow shhd:127.0.0.1 sshd:IP sshd:IP

hosts.deny sshd:ALL

No a postupne az pozistuji kde co a jak bezi tak budu trochu upravovat ale jinak takhle je to plne funkcni a vim ze se mi tam nikdo pres ssh nedostane jen povolene IP adresy

[Petr Šobáň]

No a aby tě jěště neotravovaly roboti tak je vhodné si hodit ssh na nějakej nestandartní port.