diff --git a/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml b/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml index 3b8e869e44..893347b07a 100644 --- a/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml @@ -2,9 +2,9 @@ The FreeBSD Russian Documentation Project $FreeBSD$ - $FreeBSDru: frdp/doc/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml,v 1.12 2004/09/27 10:39:26 den Exp $ + $FreeBSDru: frdp/doc/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml,v 1.13 2004/10/21 14:24:51 den Exp $ - Original revision: 1.67 + Original revision: 1.69 --> @@ -52,7 +52,7 @@ FreeBSD Handbook (на китайском), опубликовано - Posts & Telecom + Posts & Telecom Press. ISBN 7-115-10541-3. @@ -64,7 +64,7 @@ - FreeBSD & Windows (на китайском), ISBN 7-113-03845-X + FreeBSD & Windows (на китайском), ISBN 7-113-03845-X @@ -430,8 +430,8 @@ - Marshall Kirk McKusick, George V. Neville-NeilThe Design - and Implementation of the FreeBSD UNIX Operating System. + Marshall Kirk McKusick, George V. Neville-Neil The Design + and Implementation of the FreeBSD Operating System. Boston, Mass. : Addison-Wesley, 2004. ISBN 0-201-70245-2 diff --git a/ru_RU.KOI8-R/books/handbook/config/chapter.sgml b/ru_RU.KOI8-R/books/handbook/config/chapter.sgml index 985e2d80cf..5e37a586de 100644 --- a/ru_RU.KOI8-R/books/handbook/config/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/config/chapter.sgml @@ -2,9 +2,9 @@ The FreeBSD Documentation Project $FreeBSD$ - $FreeBSDru: frdp/doc/ru_RU.KOI8-R/books/handbook/config/chapter.sgml,v 1.27 2004/10/22 10:33:59 den Exp $ + $FreeBSDru: frdp/doc/ru_RU.KOI8-R/books/handbook/config/chapter.sgml,v 1.28 2004/10/22 11:11:28 den Exp $ - Original revision: 1.181 + Original revision: 1.185 --> @@ -347,21 +347,18 @@ mail/postfix или www/apache13, — это лишь два примера множества программных пакетов, которые - можно запускать при инициализации системы. Поэтому остается только - надеяться, что для процедур, способных работать с программами - сторонних производителей, будут выдаваться объяснения в тех редких - случаях, когда что-то идет не так и приложение не запускается как - следует. + можно запускать при инициализации системы. В этом разделе + описывается процедура, предназначенная для запуска программ + сторонних разработчиков. Большинство входящих в &os; сервисов, таких как &man.cron.8;, запускается с помощью стартовых скриптов системы. Эти скрипты - могут отличаться в зависимости от версии &os; или ее производителя; + могут различаться в зависимости от версии &os; или ее производителя; однако важнее всего учитывать, что их начальную конфигурацию можно задать с помощью простых стартовых скриптов. - С момента появления rcNG стало ясно, что инициализацию системы - для утилит сторонних производителей можно упростить. Многие - годы приложения должны были помещать простой стартовый скрипт в + До появления rcNG приложения должны были помещать + простой стартовый скрипт в каталог /usr/local/etc/rc.d, который затем читался скриптами инициализации системы. Эти скрипты затем выполнялись в ходе последующих стадий запуска системы. @@ -370,10 +367,10 @@ старый стиль конфигурирования в новую систему, остаётся фактом, что для некоторых утилит сторонних производителей по-прежнему необходим скрипт, помещённый в указанный выше каталог. Незначительные - различия в скриптах зависят от того, используется ли rcNG. Для - любой версии &os; до 5.1 дополнительное конфигурирование не - потребуется; в действительности, почти во всех случаях прекрасно - подойдет скрипт, который вскоре будет представлен. + различия в скриптах зависят от того, используется ли rcNG. До + версии &os; 5.1 использовались скрипты в старом стиле, + и почти во всех случаях скрипты в новом стиле должны подойти так же + хорошо. Хотя каждый скрипт должен соответствовать некоторым минимальным требованиям, в большинстве случаев эти требования не зависят от версии @@ -2514,18 +2511,18 @@ device_probe_and_attach: cbb0 attach returned 12 Вывод &man.dmesg.8; после boot - , включая все сообщения, появившиеся + -v, включая все сообщения, появившиеся при изучении ошибки. Вывод &man.dmesg.8; после boot - с выключенным ACPI, + -v с выключенным ACPI, если его отключение помогает решить проблему. - Вывод sysctl hw.acpi. Это также хороший + Вывод sysctl hw.acpi. Это также хороший способ получения списка возможностей системы. @@ -2626,14 +2623,15 @@ device_probe_and_attach: cbb0 attach returned 12 S4OS реализуется полностью операционной системой. - Начните с проверки переменных sysctl - , относящихся к приостановке (suspend). - Вот результат для моего Thinkpad: + Начните с проверки переменных sysctl + hw.acpi, + относящихся к приостановке (suspend). + Вот результат для Thinkpad: - hw.acpi.supported_sleep_state: S3 S4 S5 - hw.acpi.s4bios: 0 + hw.acpi.supported_sleep_state: S3 S4 S5 +hw.acpi.s4bios: 0 - Это означает, что я могу использовать acpiconf + Это означает, что мы можем использовать acpiconf -s для тестирования S3, S4OS, и S5. Если был единицей @@ -2661,7 +2659,7 @@ device_probe_and_attach: cbb0 attach returned 12 какой драйвер вызывает проблему путем загрузки драйверов до тех пор, пока опять не произойдет сбой. Обычно бинарные драйвера, такие как nvidia.ko, - драйвера дисплея X11 и + драйвера дисплея X11 и USB вызывают большинство проблем, а драйвера Ethernet интерфейсов как правило работают отлично. Если вы можете нормально загрузить/выгрузить драйвера, автоматизируйте @@ -2670,7 +2668,8 @@ device_probe_and_attach: cbb0 attach returned 12 /etc/rc.resume. Это закомментированные примеры выгрузки и загрузки драйверов. Попробуйте установить параметр - в нуль (0), если ваш дисплей не включается после возобновления + в нуль (0), если ваш дисплей не включается + после возобновления работы. Попробуйте установить большие или меньшие значения для , чтобы проверить, поможет ли это. @@ -2722,7 +2721,7 @@ device_probe_and_attach: cbb0 attach returned 12 DDB (CTRL ALTESC на - консоли) и ввести . + консоли) и ввести show interrupts. Наиболее надежный способ избавиться от проблемы с прерываниями, это отключение поддержки APIC с помощью diff --git a/ru_RU.KOI8-R/books/handbook/kernelconfig/chapter.sgml b/ru_RU.KOI8-R/books/handbook/kernelconfig/chapter.sgml index 104dfe6a9e..b901a30fd8 100644 --- a/ru_RU.KOI8-R/books/handbook/kernelconfig/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/kernelconfig/chapter.sgml @@ -2,9 +2,9 @@ The FreeBSD Russian Documentation Project $FreeBSD$ - $FreeBSDru: frdp/doc/ru_RU.KOI8-R/books/handbook/kernelconfig/chapter.sgml,v 1.16 2004/09/24 11:38:40 den Exp $ + $FreeBSDru: frdp/doc/ru_RU.KOI8-R/books/handbook/kernelconfig/chapter.sgml,v 1.17 2004/10/22 08:59:53 den Exp $ - Original revision: 1.140 + Original revision: 1.142 --> @@ -883,7 +883,7 @@ options NFS_ROOT # NFS usable as /, requires NFSCLIENToptions SYSVSHM # SYSV-style shared memory - Этот параметр предоставляет поддержку разделяемой памяти System V. + Этот параметр предоставляет поддержку разделяемой памяти System V. Наиболее распространенное применение этого - расширение XSHM в X, которое многие приложения, интенсивно работающие с графикой, будут автоматически использовать для повышения скорости работы. Если вы используете X, @@ -891,18 +891,18 @@ options NFS_ROOT # NFS usable as /, requires NFSCLIENToptions SYSVSEM # SYSV-style semaphores - Поддержка семафоров System V. Не настолько часто используемая + Поддержка семафоров System V. Не настолько часто используемая возможность, но в ядро добавляет всего несколько сотен байт. options SYSVMSG # SYSV-style message queues - Поддержка сообщений System V. Опять-таки, этот параметр + Поддержка сообщений System V. Опять-таки, этот параметр добавляет в ядро всего лишь несколько сотен байт. Команда &man.ipcs.1; с параметром покажет все процессы, которые используют любую из этих возможностей - System V. + System V. options _KPOSIX_PRIORITY_SCHEDULING # POSIX P1003_1B real-time extensions @@ -1697,7 +1697,7 @@ device fwe # Ethernet over FireWire (non-standard!) &prompt.root; mv /boot/kernel /boot/kernel.bad -mv /boot/kernel.good /boot/kernel +&prompt.root; mv /boot/kernel.good /boot/kernel В версиях &os; до 5.X, для восстановления работоспособного ядра используйте команду: diff --git a/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml b/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml index 2e5ba89c31..f3ca5da160 100644 --- a/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml @@ -2,9 +2,9 @@ The FreeBSD Russian Documentation Project $FreeBSD$ - $FreeBSDru: frdp/doc/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml,v 1.16 2004/09/13 14:45:08 den Exp $ + $FreeBSDru: frdp/doc/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml,v 1.17 2004/10/22 09:09:33 den Exp $ - Original revision: 1.356 + Original revision: 1.358 --> @@ -53,6 +53,14 @@ поставщиков: + +
+ BSD-Systems + Email: info@bsd-systems.co.uk + WWW: +
+ +
Daemon News Mall @@ -390,9 +398,13 @@ США: - :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs - (Используйте cvs login и введите пароль - anoncvs в ответ на приглашение.) + freebsdanoncvs@anoncvs.FreeBSD.org:/home/ncvs + (только ssh - без пароля) + + + США: + anoncvs@anoncvs1.FreeBSD.org:/home/ncvs (только ssh - без + пароля) diff --git a/ru_RU.KOI8-R/books/handbook/security/chapter.sgml b/ru_RU.KOI8-R/books/handbook/security/chapter.sgml index 9fea696f26..095ef69047 100644 --- a/ru_RU.KOI8-R/books/handbook/security/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/security/chapter.sgml @@ -2,9 +2,9 @@ The FreeBSD Documentation Project $FreeBSD$ - $FreeBSDru: frdp/doc/ru_RU.KOI8-R/books/handbook/security/chapter.sgml,v 1.24 2004/08/26 11:16:20 den Exp $ + $FreeBSDru: frdp/doc/ru_RU.KOI8-R/books/handbook/security/chapter.sgml,v 1.28 2004/10/21 13:44:42 den Exp $ - Original revision: 1.208 + Original revision: 1.229 --> @@ -61,6 +61,11 @@ паролей. + + Как настроить TCP Wrappers для + использования с inetd. + + Как настроить KerberosIV в релизах &os; до 5.0. @@ -86,11 +91,6 @@ реализацию SSH в &os;. - - Как настроить и загрузить модули расширения контроля доступа, - использующие концепцию TrustedBSD MAC. - - Что такое ACL и как их использовать. @@ -259,7 +259,7 @@ - Защита root — работающих под root + Защита работающих под root сервисов и suid/sgid исполняемых файлов. @@ -300,9 +300,11 @@ Команда и протокол В этом документе мы будет использовать - выделенный упоминая команду или приложение. - Например, мы будем использовать выделение для ssh, поскольку это и - команда и протокол. + выделенный текст, упоминая приложение, + и моноширинный шрифт, упоминая определенные + команды. Для протоколов используется обычный шрифт. Это + типографическое отличие полезно для таких случаев, как ssh, поскольку + это и команда и протокол. В последующем разделе будут рассмотрены методы защиты системы @@ -370,6 +372,12 @@ чем работа через root напрямую, это не обязательно самый безопасный способ. + + Непрямой способ защиты служебных учетных записей и конечно root это использование альтернативных методов доступа и замена зашифрованных паролей на символ @@ -602,8 +610,8 @@ Но даже если вы выключите устройство bpf, все еще остаются проблемы, связанные с устройствами - /dev/mem и - /dev/kmem. + /dev/mem и + /dev/kmem. Нарушитель все еще может писать на дисковые raw устройства. Есть также другая возможность ядра, загрузка модулей, &man.kldload.8;. Активный нарушитель может использовать KLD модуль для установки @@ -1426,6 +1434,224 @@ permit port ttyd0 + + + + + Tom + Rhodes + Написал: + + + + + TCP Wrappers + + TCP Wrappers + + Каждый, кто знаком с &man.inetd.8;, возможно когда-то слышал + о TCP Wrappers. Но немногие полностью + понимают их полезность в сетевой среде: большинство + используют брандмауэр. Хотя его применимость очень широка, + есть вещи, с которыми брандмауэр не может работать, такие + как отправка текста обратно вызывающей стороне. Программное + обеспечение уровня TCP может делать это + и многое другое. В следующих нескольких разделах обсуждаются + многие возможности TCP Wrappers, и, когда + это необходимо, даются примеры настроек. + + Программное обеспечение TCP Wrappers + расширяет возможность inetd по поддержке + каждого даемона. С ним становится возможным протоколирование, + возврат сообщений вызывающей стороне, ограничение подключений + внутренней сетью и т.п. Хотя некоторые из этих возможностей + могут быть реализованы брандмауэром, TCP + Wrappers не только предоставляют дополнительный уровень защиты, + но и дают больше контроля над системой, чем это возможно + с брандмауэром. + + Поскольку рассматривается расширение к настройкам + inetd, предполагается, что читатель ознакомился + с разделом о настройке + inetd. + + + Хотя программы, запускаемые из &man.inetd.8;, на самом деле не + соответствуют термину даемоны, существует традиция + называть их именно так. Этот термин и используется в данном + разделе. + + + + Начальная настройка + + Единственное требование для использования TCP + Wrappers в &os; это наличие в rc.conf + параметров запуска inetd ; + это настройки по умолчанию. Конечно, ожидается также наличие + правильной настройки /etc/hosts.allow, + но &man.syslogd.8; отправит сообщения в системный протокол если + что-то не так. + + + В отличие от других реализаций TCP + Wrappers, использование hosts.deny не + поддерживается. Все параметры настройки должны быть помещены + в /etc/hosts.allow. + + + В простейшей конфигурации, политика подключения сводится к + разрешению или блокированию в зависимости от параметров в + /etc/hosts.allow. Настройка в &os; + по умолчанию заключается в разрешении подключения к любому + даемону, запущенному из inetd. Изменение + этого поведения будет обсуждаться только после рассмотрения + базовой настройки. + + Базовая настройка обычно принимает форму + daemon : address : action, где + daemon это имя даемона, который запускается + inetd. В поле address + может находиться имя хоста, IP адрес, или + IPv6 адрес, заключенный в квадратные скобки ([ ]). + Поле action может принимать значения allow или deny, + чтобы соответственно разрешать или запрещать доступ. + Помните, что поиск правил производится до первого совпадения. + При обнаружении совпадения применяется соответствующее правило + и поиск прерывается. + + Существуют и другие параметры, но они будут описаны в следующих + разделах. Простая конфигурация может быть, например, такой: + для разрешения соединений по протоколу POP3 + к даемону mail/qpopper, + в hosts.allow необходимо добавить следующие + строки: + + # This line is required for POP3 connections: +qpopper : ALL : allow + + После добавления этой строки, inetd + необходимо перезапустить. Это можно выполнить командой + &man.kill.1; или скриптом /etc/rc.d/inetd + с параметром restart. + + + + Расширенная конфигурация + + У TCP Wrappers имеются дополнительные + параметры; они дают дополнительные возможности контроля над + соединениями. Иногда бывает полезно возвращать комментарий + определенным хостам или при подключении к определенным + даемонам. В других случаях может быть необходимо добавить + запись в лог файл, или отправить письмо администратору. + В определенных ситуациях сервис должен использоваться + только для локальных соединений. Все это возможно с + использованием параметров c шаблонами, символами подстановки + и путем выполнения внешних команд. Следующие два раздела + посвящены этим типам настроек. + + + Внешние команды + + Предположим ситуацию, в которой соединение должно + быть запрещено, а о причине необходимо сообщить вызывающей + стороне. Как это можно сделать? Соответствующую + возможность предоставляет параметр . + При попытке подключения выполняется команда или скрипт, + заданный этим параметром. Пример дан в файле + hosts.allow: + + # The rest of the daemons are protected. +ALL : ALL \ + : severity auth.info \ + : twist /bin/echo "You are not welcome to use %d from %h." + + В этом примере сообщение, + You are not allowed to use daemon + from hostname. будет возвращено + от всех даемонов, которые не были предварительно настроены + в файле доступа. Обратите внимание, что возвращаемое + сообщение должно быть заключено в + кавычки; из этого правила нет исключений. + + + Возможна реализация DoS атаки, когда группа + атакующих производит множество запросов на подключение. + + + Возможно также использование параметра . + Как и параметр , параметр + подразумевает запрет соединения + и может использоваться для запуска команд или скриптов. + В отличие от , не + отправляет ответ вызывающей стороне. Например, следующая + конфигурация: + + # We do not allow connections from example.com: +ALL : .example.com \ + : spawn (/bin/echo %a from %h attempted to access %d >> \ + /var/log/connections.log) \ + : deny + + отклонит все попытки соединения из домена + *.example.com; имя хоста, + IP адрес и даемон протоколируются в файл + /var/log/connections.log. + + Помимо приведенных выше символов подстановки, например + %a, существует еще несколько символов. Обратитесь к странице + &man.hosts.access.5; справочной системы за полным списком. + + + + Параметры – шаблоны + + До этого момента в примерах использовался шаблон + ALL. Существуют и другие параметры, + функциональность которых в дальнейшем может быть расширена. + ALL соответствует любому даемону, + домену или IP адресу. Другой доступный + шаблон это PARANOID, который соответствует + хосту, IP адрес которого может быть + подделан. Другими словами, paranoid + может быть использован для определения действия с хостами, + IP адрес которых не соответствует имени + хоста. Вот пример применения этого параметра: + + # Block possibly spoofed requests to sendmail: +sendmail : PARANOID : deny + + В этом примере все запросы на подключения к + sendmail от хостов, IP + адрес которых не соответствует имени хоста, будут + отклонены. + + + Использование PARANOID невозможно, + если у клиента или сервера неправильно настроен + DNS. В таких случаях необходимо + вмешательство администратора. + + + Более подробная информация о шаблонах и их возможностях + дана на странице &man.hosts.access.5; справочной + системы. + + Для того, чтобы любая выбранная конфигурация заработала, + в hosts.allow необходимо закомментировать + первую строку настройки. В начале раздела об этом не + упоминалось. + + + +