Forum Debian Users Gang

wydaje sie wykonalne chociazby w taki sposob ... xinetd odpala skrypt ktory zmienia jego konfiguracje restartuje go, odpala demona ... obserwuje w netstat polaczenia do tego demona gdy ich niema 5 minut wylacza demnona zmienia ponownie konfiguracje xinetd i go przeladowuje ...

(jezeli uzyc osobnego portu do odpalania i osobnego do kozystania to nuie trzeba bawic sie w zmiany konfigu xinetd i jego przeladowywanie)

Wykonalne jest na pewno - chociaż -dynamiczna zmiana konfiguracji Xinetd wygląda dość dziwnie i strasznie.

Ja zastanawiam się nad tym - aby inetd odpalał skrypt basha - kiedy dostanie wywołanie na określonym porcie - który to skrypt odpala demona - o ile ten nie działa - poleceniem /etc/init.d/nazwa_demona  start, następnie co np. 60 sekund sprawdza- czy ten demon pracuje, i czy ma połączenie ( w netstat ) jeśli nie ma  - to wykonuje /etc/init.d/nazwa_demona stop i kończy pracę.

Dostęp do tych portów będzie ograniczony na firewallu dla konkretnych mac-adresów i klasy adresów IP, także problem wzbudzania skryptów przez ciągłe wywołania z netu pochodzące od wirusów, robotów i innego śmiecia będzie rozwiązany w 98%.

Dodatkowo takie skrypty mogą pełnić obowiązki dobrego systemu ids - wystarczy - że oprócz odpalania demona sprawdzą źródłowy adres IP na podstawie wzorca - albo wyciągną mac-adres z /var/log/messages i porównają z wzorcem - mogą wszcząć alarm - gdyby firewall zawiódł (co jest mało prawdopodobne - ale nie jest niemożliwe).

Dodatkowo takie skrypty są całkowicie odporne na aktualizację systemu ( po pewnej aktualizacji wysiadł mi snort - kompilowałem go prawie tydzień - działał 6 dni i robota od nowa -pierwsze uruchomienie udało się przypadkiem, drugie nie udało się w ogóle).

Tylko - mam jeden kłopot - mianowicie jak ma wyglądać wpis w inetd - aby ten uruchamiał skrypt - kiedy dostanie połączenie na porcie nr xxx, a skrypt uruchamia demona - i patrzy -  kiedy go wyłączyć.
A chodzi o webmina, lekki serwer http - administracyjny (chyba wystarczy nanoweb) , proftpd i mod-security-console.
Krótko mówiąc - aby te demony nie zżerały RAMU - kiedy nie są potrzebne - pamięć przyda się dla serwera Mysql, a np. webmin potrzebuje 10 MB, proftpd, nanoweb i mod-security-console też po kilka, a jeśli można w ten sposób obsługiwać też serwer pop3 - to byłoby pięknie. (serwer poczty POP będzie rezerwowy - poczta ma być forwardowana na konta zewnętrzne - z niego poczta będzie pobierana raz dziennie - aby sprawdzić - czy się coś nie zgubiło przy forwardzie).

Nie jestem informatykiem - a być może przyjdzie mi postawić takiego VPS -a choć mam nadzieję - że nie.

Stąd masa pytań często głupich i głupszych. :)))

Pozdrawiam

Ostatnio edytowany przez Jacekalex (2008-11-20 09:22:26)