Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Linux Autres OS Linux Debian Tiger et nfs se chamaillent

Tiger et nfs se chamaillent

4 réponses
Avatar
J.Pierre Pourrez
Bonjour,

J'ai installé Tiger sur mon PC pour réduire le nombre potentiel de trous
de sécurité.

Je peine à colmater un trou de sécurité avec nfs. Voilà ce qu'envoie
Tiger par e-mail:

From: "Tiger automatic auditor at bazooka.ascii-club.org" <root@bazooka.ascii-club.org>
Subject: Tiger Auditing Report for bazooka.ascii-club.org
Date: Sat, 18 Sep 2004 14:00:07 +0200

# Checking listening processes
OLD: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 633 (UDP) on every interface.
OLD: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 636 (TCP) on every interface.
OLD: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 662 (UDP) on every interface.
OLD: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 665 (UDP) on every interface.
OLD: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 668 (TCP) on every interface.
NEW: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 629 (UDP) on every interface.
NEW: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 632 (TCP) on every interface.
NEW: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 658 (UDP) on every interface.
NEW: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 661 (UDP) on every interface.
NEW: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 664 (TCP) on every interface.

J'ai modifié /etc/hosts.allow comme suit pour éviter cela, mais en vain:
#
ALL: 127.0.0.1
smbd, proftpd, swat: 192.168.13.

# NFS
portmap@192.168.13.30: 192.168.13.
rpc.mountd@192.168.13.30: 192.168.13.
rpc.statd@192.168.13.30: 192.168.13.

# mise à jour de Debian par apt-proxy
apt-proxy@192.168.13.30: 192.168.13.

#-- leafnode begin
leafnode: 127.0.0.1
#-- leafnode end

Voici également /etc/hosts.deny:
ALL: ALL
#-- leafnode begin
leafnode: ALL
#-- leafnode end

Il y a aussi des règles iptables.
Je voudrais que NFS ne soit accessible que par la carte réseau à l'adresse 192.168.13.30

Quelqu'un a une idée ?

Merci par avance
Jean-Pierre


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to debian-user-french-REQUEST@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmaster@lists.debian.org
Signaler un problème avec ce contenu

4 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
Avatar
Francois
Le Sat, Sep 18, 2004 à 03:09:26PM +0200, J.Pierre Pourrez a écrit
Bonjour,

J'ai installé Tiger sur mon PC pour réduire le nombre potentiel de trous
de sécurité.

Je peine à colmater un trou de sécurité avec nfs. Voilà ce qu'envoie
Tiger par e-mail:

From: "Tiger automatic auditor at bazooka.ascii-club.org"
Subject: Tiger Auditing Report for bazooka.ascii-club.org
Date: Sat, 18 Sep 2004 14:00:07 +0200

# Checking listening processes
OLD: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 633 (UDP) on every interface.
OLD: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 636 (TCP) on every interface.
OLD: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 662 (UDP) on every interface.
OLD: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 665 (UDP) on every interface.
OLD: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 668 (TCP) on every interface.
NEW: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 629 (UDP) on every interface.
NEW: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 632 (TCP) on every interface.
NEW: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 658 (UDP) on every interface.
NEW: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 661 (UDP) on every interface.
NEW: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 664 (TCP) on every interface.



Pour que ces messages ne sortent plus dans /etc/tiger/tigerrc mettre rpc.mountd
et rpc.statd dans la variable Tiger_Listening_ValidProcs


Il y a aussi des règles iptables.
Je voudrais que NFS ne soit accessible que par la carte réseau à l'adresse 192.168.13.30



C'est aux règles iptables de faire en sorte que NFS ne soit accessible que par
l'adresse indiquée.

--
Francois Mescam



--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
J.Pierre Pourrez
Le 18/09/04 à 17:50, écrivait:

> From: "Tiger automatic auditor at bazooka.ascii-club.org"
> Subject: Tiger Auditing Report for bazooka.ascii-club.org
> Date: Sat, 18 Sep 2004 14:00:07 +0200
>
> # Checking listening processes
> OLD: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 633 (UDP) on every interface.
> OLD: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 636 (TCP) on every interface.
> OLD: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 662 (UDP) on every interface.
> OLD: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 665 (UDP) on every interface.
> OLD: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 668 (TCP) on every interface.
> NEW: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 629 (UDP) on every interface.
> NEW: --WARN-- [lin002i] The process `rpc.mountd' is listening on socket 632 (TCP) on every interface.
> NEW: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 658 (UDP) on every interface.
> NEW: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 661 (UDP) on every interface.
> NEW: --WARN-- [lin002i] The process `rpc.statd' is listening on socket 664 (TCP) on every interface.

Pour que ces messages ne sortent plus dans /etc/tiger/tigerrc mettre rpc.mountd
et rpc.statd dans la variable Tiger_Listening_ValidProcs

>
> Il y a aussi des règles iptables.
> Je voudrais que NFS ne soit accessible que par la carte réseau à l'adresse 192.168.13.30

C'est aux règles iptables de faire en sorte que NFS ne soit accessible que par
l'adresse indiquée.



J'espère bien que mes règles iptables interdisent toute nouvelle
connection ailleurs que sur l'interface réseau eth0 qui a l'adresse
192.168.13.30:

tuxbox:~# iptables -L -v
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
7735 1111K ACCEPT all -- lo any anywhere anywhere
2107 101K DROP tcp -- ppp0 any anywhere anywhere tcp dpt:microsoft-ds
0 0 DROP udp -- ppp0 any anywhere anywhere udp dpt:microsoft-ds
517 25032 DROP tcp -- ppp0 any anywhere anywhere tcp dpt:loc-srv
0 0 DROP udp -- ppp0 any anywhere anywhere udp dpt:loc-srv
2 96 DROP tcp -- ppp0 any anywhere anywhere tcp dpt:netbios-ssn
0 0 DROP udp -- ppp0 any anywhere anywhere udp dpt:netbios-ssn
214 47387 ACCEPT udp -- ppp0 any anywhere anywhere state RELATED,ESTABLISHED
19374 4544K ACCEPT tcp -- ppp0 any anywhere anywhere state RELATED,ESTABLISHED
0 0 ACCEPT icmp -- ppp0 any anywhere anywhere state RELATED
0 0 ACCEPT tcp -- eth0 any anywhere anywhere tcp dpt:bootps
0 0 ACCEPT udp -- eth0 any anywhere anywhere udp dpt:bootps
117 24088 ACCEPT all -- eth0 any localnet/24 anywhere
543 41308 ULOG all -- ppp0 any anywhere anywhere ULOG copy_range 0 nlgroup 1 queue_threshold
20
543 41308 DROP all -- any any anywhere anywhere
.....

A+++
Jean-Pierre


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
Francois
Le Sat, Sep 18, 2004 à 06:15:04PM +0200, J.Pierre Pourrez a écrit

J'espère bien que mes règles iptables interdisent toute nouvelle
connection ailleurs que sur l'interface réseau eth0 qui a l'adresse
192.168.13.30:

0 0 ACCEPT tcp -- eth0 any anywhere anywhere tcp dpt:bootps
0 0 ACCEPT udp -- eth0 any anywhere anywhere udp dpt:bootps



Ces deux lignes me semblent inutiles car eth0 ne doit être que sur le réseau
local et la ligne suivante accepte ces protocoles.

117 24088 ACCEPT all -- eth0 any localnet/24 anywhere





--
Francois Mescam



--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
J.Pierre Pourrez
Le 18/09/04 à 21:18, écrivait:

Le Sat, Sep 18, 2004 à 06:15:04PM +0200, J.Pierre Pourrez a écrit
>
> J'espère bien que mes règles iptables interdisent toute nouvelle
> connection ailleurs que sur l'interface réseau eth0 qui a l'adresse
> 192.168.13.30:
>
> 0 0 ACCEPT tcp -- eth0 any anywhere anywhere tcp dpt:bootps
> 0 0 ACCEPT udp -- eth0 any anywhere anywhere udp dpt:bootps

Ces deux lignes me semblent inutiles car eth0 ne doit être que sur le réseau
local et la ligne suivante accepte ces protocoles.

> 117 24088 ACCEPT all -- eth0 any localnet/24 anywhere



Si un poste sur le réseau demande une adresse IP à un serveur DHCP, son
adresse n'appartient pas au réseau local car il n'a pas d'adresse.

Sans ces 2 lignes, La demande n'arrive pas au serveur DHCP.

Bonne soirée
Jean-Pierre


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact