Родерик Смит - Сетевые средства Linux

Основное назначение сервера удаленной регистрации состоит в том, чтобы предоставить пользователям возможность запускать произвольные текстовые программы на других компьютерах. В зависимости от конфигурации аппаратных средств и специфики выполняемых программ на компьютере под управлением Linux могут одновременно работать до тысячи удаленных пользователей. Компьютер среднего уровня способен реально обслуживать несколько десятков пользователей, при условии, что программы, которые они запускают, не потребляют слишком много ресурсов.

Серверы удаленной регистрации более критичны с точки зрения безопасности по сравнению с другими типами серверов. Предположим, например, что злоумышленник сумел получить пароль, позволяющий пользоваться услугами сервера POP. Если считать, что сервер POP не имеет недостатков в системе защиты, неавторизованный пользователь не сможет причинить существенного вреда компьютеру. Если злоумышленнику удастся зарегистрироваться на сервере удаленного доступа, в его распоряжении окажутся тысячи утилит и приложений. В защите многих программ существуют недостатки, воспользовавшись которыми можно получить доступ к ресурсам компьютера с привилегиями системного администратора. Поэтому необходимо внимательно относиться к настройке сервера удаленного доступа и принимать меры к обеспечению секретности паролей. Если на компьютере не предполагается работа удаленных пользователей, на нем следует запретить выполнение всех серверов регистрации.

Сервер rlogind— одна из нескольких программ, поддерживающих так называемые r-команды . Эти команды были реализованы для обеспечения различных типов удаленного доступа к системе UNIX. При запуске клиента rloginон старается установить соединение с сервером rlogindили in.rlogind. Одно из преимуществ rlogindсостоит в том, что настройка данного сервера осуществляется очень просто. Однако используемый протокол чрезвычайно примитивен, поэтому контролировать обращения к системе посредством rlogindочень трудно.

Сервер rlogindобычно запускается посредством суперсервера. Во многих дистрибутивных пакетах в конфигурационном файле /etc/inetd.confуже присутствует запись для rlogind, но чаще всего она закомментирована. Для того, чтобы сервер выполнялся на компьютере, вам надо убрать символ комментариев из соответствующей строки и перезапустить суперсервер. Если в системе используется xinetd, в ней обычно создается файл для запуска rlogind, который помещается в каталог /etc/xinetd.d. Файл запуска, как правило, настраивается так, чтобы по умолчанию выполнение сервера было запрещено. Поэтому, чтобы обеспечить работу rlogind, надо специально разрешить его запуск. Необходимые для этого действия описаны в главе 4.

На выполнение rlogindвлияют перечисленные ниже опции.

• -n. В обычных условиях rlogindпериодически проверяет наличие клиента, даже если он длительное время не передает данные. Опция -nотменяет такое поведение сервера.

• -а. Данная опция была введена для поддержки расширенной процедуры аутентификации, но во многих системах она не работает.

• -h. В обычных условиях rlogindне использует файл .rhostsсуперпользователя. Опция -hуказывает на то, что данный файл должен использоваться.

• -l. Данная опция запрещает использование файла .rhostsдля аутентификации пользователей. Исключение составляет суперпользователь, взаимодействие с которым определяет опция -h.

• -L. Эта опция запрещает аутентификацию на основе данных, содержащихся в файлах .rhostsи hosts.equiv.

Несмотря на то что опции -h, -lи -Lвходят в официальный набор опций rlogind, в новых версиях Linux они обычно не оказывают влияния на работу сервера. Причина в том, что в новых версиях системы используются модули РАМ; в результате действие указанных опций отменяется.

Средства защиты всех утилит, реализующих r-команды, в лучшем случае могут считаться устаревшими. А если подходить к этому вопросу с позиции современных требований, следует признать, что защита в них вовсе отсутствует. В частности, работа сервера rlogindоснована на принципе доверия, а это значит, что rlogindполагается на результаты процедуры аутентификации, выполненной на клиентской машине. Существуют способы несколько улучшить защиту rlogind, а использование системы Kerberos позволяет реально обезопасить ресурсы сети.