URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 36534
[ Назад ]

Исходное сообщение
"FreeBSD security"

Отправлено sledge , 28-Окт-03 11:23 
В всех доках по увеличению безопасности FreeBSD пишется, что нужно отключать inetd. А как же тогда запускать демонов? =)

Содержание

Сообщения в этом обсуждении
"FreeBSD security"
Отправлено cumarich , 28-Окт-03 12:00 
>В всех доках по увеличению безопасности FreeBSD пишется, что нужно отключать inetd.
>А как же тогда запускать демонов? =)

inetd это не демон, позволяющий запускать другие демоны, это демон, который отсдеживает сетевые запросы и сам запускает нужные демоны, по мере необходимости. Нужен он для экономии оперативки.


"FreeBSD security"
Отправлено sledge , 28-Окт-03 12:06 
хорошо, спрошу по другому...
какие существуют методы запуска демонов кроме inetd?

"FreeBSD security"
Отправлено dawnshade , 28-Окт-03 13:06 
>хорошо, спрошу по другому...
>какие существуют методы запуска демонов кроме inetd?

Ну например /usr/libexec/ftpd -D


"FreeBSD security"
Отправлено sledge , 28-Окт-03 13:24 
>>хорошо, спрошу по другому...
>>какие существуют методы запуска демонов кроме inetd?
>
>Ну например /usr/libexec/ftpd -D


и куда это пихать?


"FreeBSD security"
Отправлено dawnshade , 28-Окт-03 13:27 
>>>хорошо, спрошу по другому...
>>>какие существуют методы запуска демонов кроме inetd?
>>
>>Ну например /usr/libexec/ftpd -D
>
>
>и куда это пихать?

в консоль, в скрипт, в /usr/local/etc/rc.d
по желанию и требованиям.


"FreeBSD security"
Отправлено lavr , 28-Окт-03 12:42 
>>В всех доках по увеличению безопасности FreeBSD пишется, что нужно отключать inetd.
>>А как же тогда запускать демонов? =)
>
>inetd это не демон, позволяющий запускать другие демоны, это демон, который отсдеживает
>сетевые запросы и сам запускает нужные демоны, по мере необходимости. Нужен
>он для экономии оперативки.

с последним не согласен, достаточно немного подумать чтобы стало ясно,
что inetd требует бОльших накладных ресурсов по запуску процессов,
обращению к дискам, памяти и тд и тп. Отсюда, для нагруженных серверов,
сервисы удобнее запускать как standalone (при условии что есть удобная
возможность управления security, нагруженность, соединения и тд и тп)

Однако, в xBSD системах, в частности во FreeBSD, inetd существенно отточен
и имеет встроенную поддержку tcpwrapper и массу других возможностей и
ограничений: man inetd

Скажем так, inetd хорош для сервисов тем, что он при необходимости их
поднимает, значит главное - чтобы inetd не могли положить, однако
standalone сервисы тоже могут положить, значит нужно изобретать сервисо-проверялку-следилку и перезапуск.

Из-за того что в Linux'ах старый и корявый inetd, его заменили на xinetd,
в xBSD inetd очень приличный, поэтому можно ряд сервисов возложить на него, а ряд как standalone, но лучше иметь единообразие для удобства
управления (как пример, творения Бернштайна :)


"FreeBSD security"
Отправлено sledge , 28-Окт-03 13:56 
следует ли из вышенаписанного, что нет необходимости отключать inetd для рабочего роутера, торчащего одним из интерфейсов в инет?

"FreeBSD security"
Отправлено dawnshade , 28-Окт-03 13:58 
>следует ли из вышенаписанного, что нет необходимости отключать inetd для рабочего роутера,
>торчащего одним из интерфейсов в инет?


Хе! на то и админ - штоб решать.
Иначе все секретарши были админами.


"FreeBSD security"
Отправлено lavr , 28-Окт-03 14:06 
>следует ли из вышенаписанного, что нет необходимости отключать inetd для рабочего роутера,
>торчащего одним из интерфейсов в инет?

если он пустой, то да, какой смысл нести слушающий холостой демон.


"FreeBSD security"
Отправлено sledge , 28-Окт-03 14:14 
>>следует ли из вышенаписанного, что нет необходимости отключать inetd для рабочего роутера,
>>торчащего одним из интерфейсов в инет?
>
>если он пустой, то да, какой смысл нести слушающий холостой демон.

нет, не пустой - ftp, samba, pop3

так уж получается, что приходится совмещать.


"FreeBSD security"
Отправлено cumarich , 28-Окт-03 14:15 
>>>В всех доках по увеличению безопасности FreeBSD пишется, что нужно отключать inetd.
>>>А как же тогда запускать демонов? =)
>>
>>inetd это не демон, позволяющий запускать другие демоны, это демон, который отсдеживает
>>сетевые запросы и сам запускает нужные демоны, по мере необходимости. Нужен
>>он для экономии оперативки.
>
>с последним не согласен, достаточно немного подумать чтобы стало ясно,
>что inetd требует бОльших накладных ресурсов по запуску процессов,
>обращению к дискам, памяти и тд и тп. Отсюда, для нагруженных серверов,
>
>сервисы удобнее запускать как standalone (при условии что есть удобная
>возможность управления security, нагруженность, соединения и тд и тп)
>
>Однако, в xBSD системах, в частности во FreeBSD, inetd существенно отточен
>и имеет встроенную поддержку tcpwrapper и массу других возможностей и
>ограничений: man inetd
>
>Скажем так, inetd хорош для сервисов тем, что он при необходимости их
>
>поднимает, значит главное - чтобы inetd не могли положить, однако
>standalone сервисы тоже могут положить, значит нужно изобретать сервисо-проверялку-следилку и перезапуск.
>
>Из-за того что в Linux'ах старый и корявый inetd, его заменили на
>xinetd,
>в xBSD inetd очень приличный, поэтому можно ряд сервисов возложить на него,
>а ряд как standalone, но лучше иметь единообразие для удобства
>управления (как пример, творения Бернштайна :)


Позволь несогласиться с первым пунктом. Если inetd жрет столько ресурсов, что на загруженных серверах проще держать процессы постоянно работающими, то какой же смысл в inetd ? Подсказать ? На загруженных серверах проще держать процессы постоянно работающими потому что обращение к ним клиентов происходит БЫСТРЕЕ. Службы же, которые используются редко, прикручиваются к inetd, дабы не тратить лишние ресурсы -> inetd не должен жрать больше ресурсов, чем процессы, которые он запуска, а отсюда следует что inetd экономит ресурсы. Это все.

Что же касается вопроса, запускать или нет, то если имеется достаточно мощьный сервер, то имееет смысл запускать сервисы на постоянной основе, минуя inetd.


"FreeBSD security"
Отправлено dl , 28-Окт-03 17:05 

>Что же касается вопроса, запускать или нет, то если имеется достаточно мощьный
>сервер, то имееет смысл запускать сервисы на постоянной основе, минуя inetd.
>

достаточно мощный это какой? Не ниже, видимо дуал хеона какого нибудь? А то все остальное просто не потянет....

Насколько мне видится пишется везде отключать inetd в силу того, что на работающем сервере должно быть включено только то, что нужно, все остальное - выключить.

Пользоваться или не пользоваться inetd стоит решать на конкретных задачах. Если мне проще тот же popa3d стартовать из него, я даже голову не буду греть над другими вариантами - буду просто им пользоваться. Если мне проще ftp сервис стартануть как самостоятельный сервис, то аналогично - inetd уйдет лесом.
Т.е. все как обычно: использование зависит от задачи, а просьба выключить - это простое напоминание о том что ненужное нужно вырубать.


"FreeBSD security"
Отправлено lavr , 28-Окт-03 17:23 
>>>>В всех доках по увеличению безопасности FreeBSD пишется, что нужно отключать inetd.
>>>>А как же тогда запускать демонов? =)
>>>
>>>inetd это не демон, позволяющий запускать другие демоны, это демон, который отсдеживает
>>>сетевые запросы и сам запускает нужные демоны, по мере необходимости. Нужен
>>>он для экономии оперативки.
>>
>>с последним не согласен, достаточно немного подумать чтобы стало ясно,
>>что inetd требует бОльших накладных ресурсов по запуску процессов,
>>обращению к дискам, памяти и тд и тп. Отсюда, для нагруженных серверов,
>>
>>сервисы удобнее запускать как standalone (при условии что есть удобная
>>возможность управления security, нагруженность, соединения и тд и тп)
>>
>>Однако, в xBSD системах, в частности во FreeBSD, inetd существенно отточен
>>и имеет встроенную поддержку tcpwrapper и массу других возможностей и
>>ограничений: man inetd
>>
>>Скажем так, inetd хорош для сервисов тем, что он при необходимости их
>>
>>поднимает, значит главное - чтобы inetd не могли положить, однако
>>standalone сервисы тоже могут положить, значит нужно изобретать сервисо-проверялку-следилку и перезапуск.
>>
>>Из-за того что в Linux'ах старый и корявый inetd, его заменили на
>>xinetd,
>>в xBSD inetd очень приличный, поэтому можно ряд сервисов возложить на него,
>>а ряд как standalone, но лучше иметь единообразие для удобства
>>управления (как пример, творения Бернштайна :)
>
>
>Позволь несогласиться с первым пунктом. Если inetd жрет столько ресурсов, что на загруженных серверах проще держать процессы постоянно работающими, то какой же смысл в inetd ? Подсказать ? На загруженных серверах проще держать процессы постоянно работающими потому что обращение к ним клиентов происходит БЫСТРЕЕ. Службы же, которые используются редко, прикручиваются к inetd, дабы не тратить лишние ресурсы -> inetd не должен жрать больше ресурсов, чем процессы, которые он запуска, а отсюда следует что inetd экономит ресурсы. Это все.
>
>Что же касается вопроса, запускать или нет, то если имеется достаточно мощьный
>сервер, то имееет смысл запускать сервисы на постоянной основе, минуя inetd.
>

масло-масляное. "обращение клиентов происходит БЫСТРЕЕ" :) sorry :)
реакция standalone демона будет быстрее, почему - подумать самостоятельно

inetd как таковой не жрет ресурсы, он слушает, а вот что происходит в
момент запуска сервиса... ;)


"FreeBSD security"
Отправлено suh , 29-Окт-03 07:15 
>Из-за того что в Linux'ах старый и корявый inetd, его заменили на
>xinetd,
>в xBSD inetd очень приличный, поэтому можно ряд сервисов возложить на него,
>а ряд как standalone, но лучше иметь единообразие для удобства
>управления (как пример, творения Бернштайна :)


Подскажите пожалуйста, что за творение и где на него посмотреть?


"FreeBSD security"
Отправлено lavr , 29-Окт-03 11:35 
>>Из-за того что в Linux'ах старый и корявый inetd, его заменили на
>>xinetd,
>>в xBSD inetd очень приличный, поэтому можно ряд сервисов возложить на него,
>>а ряд как standalone, но лучше иметь единообразие для удобства
>>управления (как пример, творения Бернштайна :)
>
>
>Подскажите пожалуйста, что за творение и где на него посмотреть?

http://cr.yp.to/