ограмму с максимальными правами, а потом можно точечно
сбрасывать права до требуемых в конкретном месте. В shell-сценариях
можно использовать runuser(1) или ту же sudo(1).
С другой стороны можно все действия делать под суперпользователем, но
потом отменять такие побочные эффекты. Скажем, с файлами мож
On Thu, Aug 08, 2019 at 06:26:04PM +0300, Dmitry Alexandrov wrote:
> "S.Kholodny" wrote:
> > Как настроить команду так, чтобы весь код скрипта проходил через обычного
> > пользователя, и только sudo - от рута?
>
> Вы хотите вызывать sudo(8) в своей програ
"S.Kholodny" wrote:
> Работа через терминал подразумевает постоянные столкновения с рут-правами.
??? То есть работа через что-то другое позволяет их избегать, что ли?
> Меня всегда напрягала эта команда [sudo], но уже продолжительное время мне
> удавалось избежать труднос
On 8/7/19 6:01 PM, S.Kholodny wrote:
> Привет!
>
>
> Работа через терминал подразумевает постоянные столкновения с рут-правами.
> Меня всегда напрягала
> эта команда, но уже продолжительное время мне удавалось избежать трудностей с
> sudo в debian,
> используя вместо неё
Привет!
Работа через терминал подразумевает постоянные столкновения с рут-правами. Меня
всегда напрягала эта команда, но уже продолжительное время мне удавалось
избежать трудностей с sudo в debian, используя вместо неё su.
А сейчас мне понадобилось писать длинный скрипт для автоматизации
У меня нет. Увы. К серверу он обращается, но по всей видимости делает
только аутентификацию. А смотреть в sudo даже и не собирается.
пакет sudo-ldap работает.
С точки зрения Ldap сервера по идее все по дефолту. контейнер
ou=SUDOers,dc=example,dc=com
Т.е. контейнер стандартный.
Настройки
On 13.04.2013 14:12, Alex Mestiashvili wrote:
в зачем особые правила для работы sudo-ldap ?
мне хватает вот этого:
access to attrs=uidNumber,gidNumber
by dn="cn=admin,dc=mydc" write
by * read
access to attrs=userPassword,shadowLastChange
by dn="cn=admin
On 04/08/2013 08:06 AM, Владимир Скубриев wrote:
Здравствуйте!
Помогите пожалуйста написать правило для работы sudo-ldap.
Вот имеющиеся правила:
olcAccess: {0}to * by
dn.exact=gidNumber=0+uidNumber=0,cn=peercred,cn=external
,cn=auth manage by dn="cn=zentyal,dc=cvision,dc=lab"
Здравствуйте!
Помогите пожалуйста написать правило для работы sudo-ldap.
Вот имеющиеся правила:
olcAccess: {0}to * by
dn.exact=gidNumber=0+uidNumber=0,cn=peercred,cn=external
,cn=auth manage by dn="cn=zentyal,dc=cvision,dc=lab" manage by * break
olcAccess: {1}to attrs=us
Ivan Shmakov -> debian-russian@lists.debian.org @ Wed, 12 Sep 2012 11:43:05
+0700:
AC>> И аргументы команде, помнится, передавались как-то по-дурацки.
AC>> Типа -c и имя команды надо сказать до username, а аргументы после.
IS>Нет; через -c указывается команда для передачи командному
IS>
>>>>> "AC" == Artem Chuprina writes:
>>>>> Ivan Shmakov -> debian-russian@lists.debian.org:
AC> Ну я, правда, довольно опытный админ сам по себе, и могу после
AC> включения себя в группу сказать sudo -u ran нужная команда, теряя
AC> таким об
Добрый день.
То, что sudo установлено, это хорошо.
Но вот до visudo вы, похоже, не добрались...
С уважением,
Якимчук Сергей.
08.09.12 19:38, Роман Тенцер написав(ла):
Сергей, sudo была установлена. Впрочем, пробовал и переустановить, не помогло.
Кирилл, по опыту использования других
если при установке в D-I не был указан пароль рута, пользователь
автоматически прописывается в sudoers.
тут не в опыте использования других дистрибутивов дело.
8 сентября 2012 г., 22:38 пользователь Роман Тенцер
написал:
> Сергей, sudo была установлена. Впрочем, пробовал и переустановить,
Сергей, sudo была установлена. Впрочем, пробовал и переустановить, не помогло.
Кирилл, по опыту использования других дистрибутивов счёл, что да,
настроена для суперпользователя. Ошибся. Впрочем, пробовал и пароль
пользователя вводить. Пока в группу sudo не добавил, не помогало.
Теперь пароль
8 сентября 2012 г., 20:10 пользователь Роман Тенцер
написал:
>
> Глубоких знаний и большого опыта нет. Сразу же столкнулся с
> невозможностью использовать sudo - не принимает пароль
> суперпользователя. При этом, как команда su, так и аутентификация в
> графических приложениях раб
sudo точно включен для суперпользователя?
т.к. по умолчанию он хочет пароль пользователя
8 сентября 2012 г., 22:10 пользователь Роман Тенцер
написал:
> Доброго времени суток тому, кто это читает. Суть проблемы в следующем:
>
> Недавно установил себе стабильный релиз Debian GNU/Linux.
нет. Сразу же столкнулся с
невозможностью использовать sudo - не принимает пароль
суперпользователя. При этом, как команда su, так и аутентификация в
графических приложениях работает нормально - следовательно, дело не в
самом пароле. Порывшись в официальной вики Debian'а, наткнулся на
след
Доброго времени суток тому, кто это читает. Суть проблемы в следующем:
Недавно установил себе стабильный релиз Debian GNU/Linux. До этого
имел дело лишь с несколькими производными от него дистрибутивами.
Глубоких знаний и большого опыта нет. Сразу же столкнулся с
невозможностью использовать sudo
Ivan Shmakov -> debian-russian@lists.debian.org @ Thu, 17 May 2012 01:06:56
+0700:
AC>> Чего с emacs не очень хорошо - это sudo $EDITOR $file. Долго
AC>> грузится, а emacsclient в этом месте не очень спасает.
IS>IIRC, sudo умел выполнять tramp. Может быть и
>>>>> "AC" == Artem Chuprina writes:
[…]
AC> Чего с emacs не очень хорошо - это sudo $EDITOR $file. Долго
AC> грузится, а emacsclient в этом месте не очень спасает.
IIRC, sudo умел выполнять tramp. Может быть и в комбинации с
emacsclient научи
On Tue, Jul 13, 2010 at 01:49:15PM +0400, Сергей wrote:
> 13.07.2010 11:51, Maksim A. Boyko пишет:
> >
> >Может стоит добавить пользователя в группу sudo?
> >
> Спасибо. Что-то я не внимателен. Помогло.
А это привет от убунты. Так что желаю Вам поменьше копипасты в /et
13.07.2010 11:51, Maksim A. Boyko пишет:
Может стоит добавить пользователя в группу sudo?
Спасибо. Что-то я не внимателен. Помогло.
--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.o
> Скажите, что я делаю не так и как решить вопросы.
> Спасибо.
Может стоит добавить пользователя в группу sudo?
--
Best regards, Maksim A. Boyko
Debian Sid, Openbox. При установке выбрал sudo. Рута нет. Группы wheel нет.
Установил gksu. Не откырваются папки от рута в файловом менеджере pcmanfm.
Появляется окно для ввода пароля. Ввожу, но ничего не происходит.
В obmenu создал кнопки выключения и перезагрузки с такими командами:
gksu reboot
On Monday 05 April 2010 13:45:25 Stanislav Maslovski wrote:
>
> По-умолчанию, sudo использует FQDN (Fully Qualified Domain Name)
> хоста. Внеси catshome в /etc/hosts первой записью, или используй
> localhost в sudoers.
Спасибо! То что и было надо!
On Mon, Apr 05, 2010 at 01:02:24AM +0400, Сергей Москвичёв wrote:
> Что-то заблудился в трёх соснах. Пытаюсь разрешить устанавливать соединение
> через openvpn пользователю. Пишу в sudoers (через visudo конечно) строку
>
> tom catshome = NOPASSWD: /usr/sbin/openvpn
>
>
Доброго времени!
Что-то заблудился в трёх соснах. Пытаюсь разрешить устанавливать соединение
через openvpn пользователю. Пишу в sudoers (через visudo конечно) строку
tom catshome = NOPASSWD: /usr/sbin/openvpn
Но при вызове sudo openvpn спрашивается пароль пользователя, а затем меня
посылают
Доброго времени!
Что-то заблудился в трёх соснах. Пытаюсь разрешить устанавливать соединение
через openvpn пользователю. Пишу в sudoers (через visudo конечно) строку
tom catshome = NOPASSWD: /usr/sbin/openvpn
Но при вызове sudo openvpn спрашивается пароль пользователя, а затем меня
посылают
sergio wrote:
Nicholas wrote:
zstyle ':completion:*:sudo:*' command-path /usr/local/sbin
/usr/local/bin /usr/sbin /usr/bin /sbin /bin /usr/X11R6/bin
autoload -Uz compinit
compinit
Спасибо.
Добавление этих двух строчек в .zshrc включило автодополнение.
--
Sincerely,
Nicholas wrote:
Не работатет автодополнение для sudo.
Например: "sudo up" ничего не добавляет.
Строчка:
zstyle ':completion:*:sudo:*' command-path /usr/local/sbin
/usr/local/bin /usr/sbin /usr/bin /sbin /bin /usr/X11R6/bin
в файле /etc/zsh/zshrc
присутствует, пробовал
Не работатет автодополнение для sudo.
Например: "sudo up" ничего не добавляет.
Строчка:
zstyle ':completion:*:sudo:*' command-path /usr/local/sbin
/usr/local/bin /usr/sbin /usr/bin /sbin /bin /usr/X11R6/bin
в файле /etc/zsh/zshrc
присутствует, пробовал продублировать ее
Сергей Коробицин пишет:
>
> В бубунтах это, в бубунтах :)
Для меня это не было бы аргументом. (-:
А я, помню, специально по разным источникам основополагающего
характера шерстил, когда делал.
--
Dmitri Samsonov
--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a su
On Mon, 02.03.2009 21:26:43 , Yuri Kozlov wrote:
> В Sun, 01 Mar 2009 16:02:32 -0500
> Nicholas пишет:
> > Действетельно, лучше по другому переформулирвать:
> > строка в /etc/sudoers:
> >
> > vasia ALL = NOPASSWD:ALL
> >
> > разрешает всем пользователям группы "вася" (в которую входит
> > единс
В Sun, 01 Mar 2009 16:02:32 -0500
Nicholas пишет:
> Действетельно, лучше по другому переформулирвать:
> строка в /etc/sudoers:
>
> vasia ALL = NOPASSWD:ALL
>
> разрешает всем пользователям группы "вася" (в которую входит
> единственный пользователь"вася", по дефолту) запускать все что угодно
В сообщении от Monday 02 March 2009 20:06:10 Dmitri Samsonov написал(а):
> Alexander GQ Gerasiov пишет:
> >> %admin ALL=(ALL) ALL
> >
> > Для этого уже есть группа sudo :))
>
>И вправду.
>Сейчас полез проверять -- нигде не нашёл упоминания об admin. А
Alexander GQ Gerasiov пишет:
%admin ALL=(ALL) ALL
Для этого уже есть группа sudo :))
И вправду.
Сейчас полез проверять -- нигде не нашёл упоминания об admin. А мне
казалось, что чуть ли не в securing-debian-howto его видел. Откуда я это
взял, интересно...
--
Dmitri Samsonov
--
To
Dmitri Samsonov -> debian-russian@lists.debian.org @ Mon, 02 Mar 2009 15:24:32
+0300:
>> запускать все что угодно без пароля.
>>
>> Если вы единственный пользователь системы - это вполне удобно.
DS> А не проще ли "васе" под рутом сидеть при таком подходе?
Проще. Но не полезнее. Почту о
Nicholas пишет:
Действетельно, лучше по другому переформулирвать:
строка в /etc/sudoers:
vasia ALL = NOPASSWD:ALL
разрешает всем пользователям группы "вася"
Если группы -- то %
запускать все что угодно без пароля.
Если вы единственный пользователь системы - это вполне удобно.
А не пр
й собственной
> > > локалки?
> > > Или достаточно пользоваться утилитой su?
> > > Я понимаю, что может быть вопрос глупо выглядит, но может это стоит
> > > делать из соображений, чтобы злоумышленник не мог получить пароль рута?
> > >
> > >
> >
>
> Не, ну будьте людьми!!! Нормально (доходчиво) напишите человеку, как
> прописать себя в судоерах, че в файле-то писать? adduser sudo -
> не помогло.
>
А ещё можно man sudoers почитать, там примеры есть.
Цитата:
# Override built-in defaults
Defaults
тьфу, тока проснулся
имя пользователя ALL= (ALL) ALL
Александр Загорнов пишет:
> Не, ну будьте людьми!!! Нормально (доходчиво) напишите человеку, как
> прописать себя в судоерах, че в файле-то писать? adduser sudo -
> не помогло.
>
>
>
--
To UNSUBSCRIBE, email to d
имя пользователя = ALL (ALL) (это если все админские полномочия давать)
Александр Загорнов пишет:
> Не, ну будьте людьми!!! Нормально (доходчиво) напишите человеку, как
> прописать себя в судоерах, че в файле-то писать? adduser sudo -
> не помогло.
>
>
>
--
To UNSUBSCRIB
On Sun, Mar 01, 2009 at 11:15:11PM +0300, Александр Загорнов wrote:
> Не, ну будьте людьми!!! Нормально (доходчиво) напишите человеку, как
> прописать себя в судоерах, че в файле-то писать? adduser sudo -
> не помогло.
>
>
> --
> To UNSUBSCRIBE, email to debian-russian-req
Dmitri Samsonov wrote:
Nicholas пишет:
/etc/sudoers
user ALL = NOPASSWD:ALL
NOPASSWD откуда вдруг взялся? Для ALL-то?
Действетельно, лучше по другому переформулирвать:
строка в /etc/sudoers:
vasia ALL = NOPASSWD:ALL
разрешает всем пользователям группы "вася" (в которую входит
единствен
На Sun, 01 Mar 2009 22:14:44 +0200
Александр Загорнов записано:
> Не, ну будьте людьми!!! Нормально (доходчиво) напишите человеку, как
> прописать себя в судоерах, че в файле-то писать?
А документацию почитать не судьба?
> adduser
> sudo - не помогло.
перелогинься.
--
лять пользователей "кому положено".
>
> %admin ALL=(ALL) ALL
Для этого уже есть группа sudo :))
--
Best regards,
Alexander GQ Gerasiov
Contacts:
e-mail:g...@cs.msu.su Jabber: g...@jabber.ru
Homepage: http://gq.net.ru ICQ: 7272757
PGP fingerprint:
Не, ну будьте людьми!!! Нормально (доходчиво) напишите человеку, как
прописать себя в судоерах, че в файле-то писать? adduser sudo -
не помогло.
--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Nicholas пишет:
/etc/sudoers user ALL = NOPASSWD:ALL
NOPASSWD откуда вдруг взялся? Для ALL-то?
P.S. Лично я предпочитаю давать права не пользователю, а группе admin, а
в неё уже добавлять пользователей "кому положено".
%admin ALL=(ALL) ALL
--
Dmitri Samsonov
--
To UNSUBSCRIBE, email to
Александр Загорнов wrote:
Други мои, всем доброго времени суток. А подскажите мне, как sudo-ером
стать в Debian? Чего-то в гугле нифига не нашел.
/etc/sudoers
user ALL = NOPASSWD:ALL
--
Sincerely,
Nicholas
--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a
Надо соответствующие настройки в etc/sudoers прописать для юзеров
А в других оболочках разве по-другому?! >:o
Александр Загорнов пишет:
> Други мои, всем доброго времени суток. А подскажите мне, как sudo-ером
> стать в Debian? Чего-то в гугле нифига не нашел.
>
>
>
--
To
Sun, Mar 01, 2009 at 09:14:34PM +0200, Александр Загорнов написал:
> Други мои, всем доброго времени суток. А подскажите мне, как sudo-ером
> стать в Debian? Чего-то в гугле нифига не нашел.
1. /etc/sudoers
2. visudo
3. sudoers
--
GCS d- s+: a-- C UL P+ L+++ E W+ N+ o K w---
O M V- PS
На Sun, 01 Mar 2009 21:14:34 +0200
Александр Загорнов записано:
> Други мои, всем доброго времени суток. А подскажите мне, как sudo-ером
> стать в Debian? Чего-то в гугле нифига не нашел.
Права на всё:
adduser sudo
Для более тонких настроек: visudo и редактировать руками.
--
Best r
Други мои, всем доброго времени суток. А подскажите мне, как sudo-ером
стать в Debian? Чего-то в гугле нифига не нашел.
--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
On Sat, 2009-02-28 at 23:30 +0300, Evgeny M. Zubok wrote:
> Dan writes:
>
> > sudo хорош хотя бы потому, что пользователь, набирая команду, лишний
> > раз задумывается, нужная ли эта команда и правильно ли он её
> > набрал. Риск ошибки существенно падает
>
&g
"Evgeny M. Zubok" writes:
> С тех пор заалиасил del на cp в ~/trash и приучил себя не стирать при
> помощи rm.
Тьфу, на mv, конечно же.
--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Dan writes:
> sudo хорош хотя бы потому, что пользователь, набирая команду, лишний
> раз задумывается, нужная ли эта команда и правильно ли он её
> набрал. Риск ошибки существенно падает
Да, но все-равно зависит от пользователя слишком. Я один раз о чем-то
задумался и машинально наб
утилитой su?
> > Я понимаю, что может быть вопрос глупо выглядит, но может это стоит
> > делать из соображений, чтобы злоумышленник не мог получить пароль рута?
> >
> >
>
> По мне, sudo гораздо удобнее - пароль не спрашивает, и я сделал алиасы в
> шеле для часто и
соображений, чтобы злоумышленник не мог получить пароль рута?
По мне, sudo гораздо удобнее - пароль не спрашивает, и я сделал алиасы в
шеле для часто используемых команд, например:
.zshrc
alias -g modprobe='sudo modprobe'
alias -g ifconfig='sudo ifconfig'
alias -g iwconfig=
и прописывать админские настройки для одной из пользовательских записей,
если я являюсь единственным админом и пользователем своей собственной
локалки?
Или достаточно пользоваться утилитой su?
Я понимаю, что может быть вопрос глупо выглядит, но может это стоит
делать из соображений, чтобы злоумышле
,-[Sat, Jan 10, 2009 at 16:58 +0300, Andrey Vasilenko:]
|> да было бы чего скрывать-то ?:)
|
|Если вам нечего скрывать, мои поздравления.
|
|> 127.0.0.1 localhost.localdomain localhost _ёhostnameё_
|
|Может тогда "127.0.0.1 localhost.localdomain localhost.WORK_GROUP"?
|Да вроде бы и так
> да было бы чего скрывать-то ?:)
Если вам нечего скрывать, мои поздравления.
> 127.0.0.1 localhost.localdomain localhost _ёhostnameё_
Может тогда "127.0.0.1 localhost.localdomain localhost.WORK_GROUP"?
Да вроде бы и так всё заработало. После изменения nsswitch.conf я
вообще вернул hosts к изнач
,-[Fri, Jan 09, 2009 at 14:30 +0300, Andrey Vasilenko:]
|вместо `hostname` - имя хоста, я же написал, т.е. буквы. Зачем это
|публиковать. А праздники
|читай закончились, вот и полез, соскучился ;) И зря похоже :)
|
да было бы чего скрывать-то ?:)
сделай тада так:
|> |127.0.0.1 localho
Всем спасибо, вопрос можно считать закрытым.
On Friday 09 January 2009 14:38:27 Andrey Vasilenko wrote:
> Опаньки! Вот где собака зарыта! С вашими настройками проблема решилась.
> И даже proftpd стартанул, значит действительно всё связано было. Спасибо!
> :)
>
> P.S. Кто-нибудь человеческим языком может объяснить, что это за конфиг и за
> что
Владимирович Екимов
написал:
> On Friday 09 January 2009 02:14:15 Andrey Vasilenko wrote:
>> Доброго всем LOCALTIME!
>> Если не ошибаюсь, после поднятия самбы при использовании sudo вываливается
> [скипчик сделал]
>>
>> Отмучу, что при конфигурировании самбы менял /etc/nsswi
nko:]
> |Доброго всем LOCALTIME!
> |Если не ошибаюсь, после поднятия самбы при использовании sudo вываливается
> |вот такое вот сабжевое предупреждение (вместо hostname имя хоста) и дальше
> всё
> |протекает без проишествий. Я уже кучу варианттов попробовал, играясь с
> |/etc/hosts,
&g
,-[Fri, Jan 09, 2009 at 02:14 +0300, Andrey Vasilenko:]
|Доброго всем LOCALTIME!
|Если не ошибаюсь, после поднятия самбы при использовании sudo вываливается
|вот такое вот сабжевое предупреждение (вместо hostname имя хоста) и дальше всё
|протекает без проишествий. Я уже кучу варианттов
On Friday 09 January 2009 02:14:15 Andrey Vasilenko wrote:
> Доброго всем LOCALTIME!
> Если не ошибаюсь, после поднятия самбы при использовании sudo вываливается
[скипчик сделал]
>
> Отмучу, что при конфигурировании самбы менял /etc/nsswitch.conf, после
> чего удалил, забыв
> сд
Доброго всем LOCALTIME!
Если не ошибаюсь, после поднятия самбы при использовании sudo вываливается
вот такое вот сабжевое предупреждение (вместо hostname имя хоста) и дальше всё
протекает без проишествий. Я уже кучу варианттов попробовал, играясь с
/etc/hosts,
hostname,resolv.conf, всё бестолку
19:00 Fri 19 Dec, Alexey Pechnikov wrote:
>
> На большом экране приходится взгляд перемещать, 15" - это предел окна,
> которое можно зафиксировать
> одним взглядом. Наверное, привычка к книжке, где удобно запоминать страницу
> целиком, а не бегать по
> ней глазами.
Вот именно, что скорее прив
Hello!
В сообщении от Friday 19 December 2008 18:00:10 Victor Wagner написал(а):
> On 2008.12.19 at 17:07:01 +0300, Alexey Pechnikov wrote:
> > Не верю я виндам в этом вопросе - запросто где-то в темпах может
> > оказаться временная копия файла,
>
> А я не верю, я знаю. Для виндов я тоже программи
Twas brillig at 18:53:41 19.12.2008 UTC+03 when pechni...@sandy.ru did gyre and
gimble:
>> Дада. А теперь объясни мне, почему мне не нужно для работы видеть три
>> файла с исходным кодом на всю высоту экраан одновременно.
AP> Метод copy-past изучен в совершенстве? :-)
Для copy-pastE три фай
Hello!
В сообщении от Friday 19 December 2008 18:03:29 Mikhail Gusarov написал(а):
> AP> Большие мониторы видел, но это в основном для игрушек или
> AP> дизайнеров/картографов, для работы они не нужны.
>
> Дада. А теперь объясни мне, почему мне не нужно для работы видеть три
> файла с исходным к
Twas brillig at 17:07:01 19.12.2008 UTC+03 when pechni...@sandy.ru did gyre and
gimble:
AP> Большие мониторы видел, но это в основном для игрушек или
AP> дизайнеров/картографов, для работы они не нужны.
Дада. А теперь объясни мне, почему мне не нужно для работы видеть три
файла с исходным кодо
On 2008.12.19 at 17:07:01 +0300, Alexey Pechnikov wrote:
>
> Не верю я виндам в этом вопросе - запросто где-то в темпах может
> оказаться временная копия файла,
А я не верю, я знаю. Для виндов я тоже программирую.
И что нужно сделать с ключом, чтобы он никуда там не попал, более менее
предста
Hello!
> Неверно. Во-первых, у меня не смартфон, а максимально простой телефон на
> S40. Но там есть midpssh, и если очень нужно, то можно.
> Так что linux на клиенском устройстве - совершенно необязателен для
> того, чтобы там был ssh.
Не знал про midpssh, это интересно.
> Стирать надо уметь. Е
ать их можно ТОЛЬКО в контексте вариантов
>> решения конкретной задачи.
>>
>> SSH: даёт доступ на машину
>> VPN: даёт доступ в сеть
>>
>> Разные ведь они. Слои безопасности тоже разные, очень зависит от задачи.
>>
>>
ИЧ> ..а всё начи
On 2008.12.19 at 12:37:52 +0200, Покотиленко Костик wrote:
> В Птн, 19/12/2008 в 13:31 +0300, Victor Wagner пишет:
> > On 2008.12.19 at 12:10:58 +0200, Покотиленко Костик wrote:
> >
> > >
> > > В перспективе, да. Но, если в VPN нужен, как без него?
> >
> > Вообще-то openssh начиная с версии по-
на машину
VPN: даёт доступ в сеть
Разные ведь они. Слои безопасности тоже разные, очень зависит от задачи.
..а всё начиналось с sudo vs root.. ;)
--
--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
В Птн, 19/12/2008 в 13:31 +0300, Victor Wagner пишет:
> On 2008.12.19 at 12:10:58 +0200, Покотиленко Костик wrote:
>
> >
> > В перспективе, да. Но, если в VPN нужен, как без него?
>
> Вообще-то openssh начиная с версии по-моему 4 сам умеет быть VPN
Вы про что? Если про -L & -R, то это не VPN, а
On 2008.12.19 at 12:10:58 +0200, Покотиленко Костик wrote:
>
> В перспективе, да. Но, если в VPN нужен, как без него?
Вообще-то openssh начиная с версии по-моему 4 сам умеет быть VPN
--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble?
В Чтв, 18/12/2008 в 20:56 +0300, Denis B. Afonin пишет:
> Здравствуйте.
>
> On Thu, 18 Dec 2008 17:05:22 +0300
> Artem Chuprina wrote:
> > DBA> Именно поэтому после него идет аутентификация по PKI ;)
> >
> > Угу. А теперь подумай, что будет, если этот shared secret
> > скомпрометирован (украли
В Чтв, 18/12/2008 в 23:37 +0300, Alexey Pechnikov пишет:
> Hello!
>
> > Примерно так: у каждого датацентра есть по своей внутренней
> > "управляющей" сетке, только внутри которой разрешены ssh (и иные вещи
> > типа telnet-ов на коммутаторы и Security is Not My Problem (SNMP),
> > например). А в эт
On 2008.12.19 at 02:26:32 +0300, Alexey Pechnikov wrote:
>
> > > А как вы зайдете с _чужого_ компьютера или устройства?
> > > о паролю вход запрещен, а свой ключ
> >
> > А зачем? У меня своих устройств откуда я могу зайти в норме с собой три.
>
> Наверное, ноут + смартфон, а что еще? Притом лину
иально и это можно сделать уже после, а вот
кейлоггер нужно поставить
заранее.
> Почему никогда? Генерируешь новый ключ, шлешь его по email-у, jabber-у
> или ножками приносишь к другому человеку, который имеет доступ на этот
> сервер и sudo/su там, и просишь положить к тебе в authorized_
Alexey Pechnikov -> debian-russian@lists.debian.org @ Thu, 18 Dec 2008
23:43:09 +0300:
>> Ну так это PasswordAuthentication no
>> в /etc/sshd/sshd_config.
>> И пусть уподбираются. Естественно, на каждом носимом с собой устройстве
>> (ноутбуке, наладоннике, телефоне) должен быть индивидуальн
новый ключ, шлешь его по email-у, jabber-у
или ножками приносишь к другому человеку, который имеет доступ на этот
сервер и sudo/su там, и просишь положить к тебе в authorized_keys.
Или просто доходишь до ближайшей стационарной машины, где у тебя тоже
есть ключ, дающий право доступа на этот сервер,
Здравствуйте.
On Thu, 18 Dec 2008 23:33:41 +0300
Artem Chuprina wrote:
> DBA> Я лишь предлагаю использовать openvpn для доступа к некой
> DBA> промежуточной сети, из-под которой уже можно входить на ssh
> DBA> серверов. Контролировать одну маленькую внутреннюю сеточку
> DBA> намного проще, ч
Здравствуйте.
On Thu, 18 Dec 2008 23:37:29 +0300
Alexey Pechnikov wrote:
> Если у вас на одной машине и openvpn и openssh то вы тратите время на
> иллюзию защиты. Установив на одном сервере больше софта, вы теряете в
> управляемости и получаете больше уязвимостей.
С теорией я знаком, а также знак
Hello!
> Ну так это PasswordAuthentication no
> в /etc/sshd/sshd_config.
> И пусть уподбираются. Естественно, на каждом носимом с собой устройстве
> (ноутбуке, наладоннике, телефоне) должен быть индивидуальный секретный
> ключ, который в случае утраты данного устройства можно оперативно из
> всех
Denis B. Afonin -> debian-russian@lists.debian.org @ Thu, 18 Dec 2008 20:56:10
+0300:
DBA> Я лишь предлагаю использовать openvpn для доступа к некой
DBA> промежуточной сети, из-под которой уже можно входить на ssh
DBA> серверов. Контролировать одну маленькую внутреннюю сеточку намного
DBA> п
Hello!
> Примерно так: у каждого датацентра есть по своей внутренней
> "управляющей" сетке, только внутри которой разрешены ssh (и иные вещи
> типа telnet-ов на коммутаторы и Security is Not My Problem (SNMP),
> например). А в эту сетку уже пускает openvpn с (назовем её так)
> "машины-файрвола".
>
Здравствуйте.
On Thu, 18 Dec 2008 22:08:08 +0300
Alexey Pechnikov wrote:
> > Я лишь предлагаю использовать openvpn для доступа к некой
> > промежуточной сети, из-под которой уже можно входить на ssh
> > серверов. Контролировать одну маленькую внутреннюю сеточку намного
> > проще, чем весь интерне
Hello!
В сообщении от Thursday 18 December 2008 20:56:10 Denis B. Afonin написал(а):
> Согласен. Shared key - фактически лишь защита от флуда и от
> "посторонних глаз", больше никак её рассматривать нельзя. И с этой
> задачей он справляется вполне неплохо.
>
> Я лишь предлагаю использовать openvpn
Здравствуйте.
On Thu, 18 Dec 2008 17:05:22 +0300
Artem Chuprina wrote:
> DBA> Именно поэтому после него идет аутентификация по PKI ;)
>
> Угу. А теперь подумай, что будет, если этот shared secret
> скомпрометирован (украли одну из машин, которая его знала).
>
> Правильно, ситуация становится э
18.12.08, 16:48, "Artem Chuprina" :
> >> Довольно давно в некоторых отраслях IT паранойя - критерий
> >> профпригодности.
> >> А Эйрел Форкосиган, помнится, говаривал "паранойя - залог здоровья".
> DM> Не знаком :) Я там не случайно поставил ехидный смайл. Давно знаком
> DM> с концепцией "выж
Wed, 17 Dec 2008 16:27:18 +0300
Mikhail A Antonov wrote:
> -[ Покотиленко Костик 17/12/2008 16:05 (GMT +3)
> > Кстати, народ, давно хотел спросить. Есть ПО анализирующее логи
> > того же ssh и банящее ботов в iptables. Сам по себе анализ
> > постоянный логов как процесс у меня вызывает отвращение
Victor Wagner -> debian-russian@lists.debian.org @ Thu, 18 Dec 2008 17:07:17
+0300:
>> GS> Так что в схеме с двумя хостами под одной ОС я не вижу смысла - она
>> GS> увеличивает парк железа без осмысленного увеличения безопасности.
>>
>> Кто-то, кстати, делал файрвол виртуальной машиной н
On 2008.12.18 at 17:00:17 +0300, Artem Chuprina wrote:
>
> GS> Так что в схеме с двумя хостами под одной ОС я не вижу смысла - она
> GS> увеличивает парк железа без осмысленного увеличения безопасности.
>
> Кто-то, кстати, делал файрвол виртуальной машиной на защищаемом хосте...
Это что-то из
Denis B. Afonin -> debian-russian@lists.debian.org @ Wed, 17 Dec 2008 22:24:25
+0300:
>> >> DBA> PS До сих пор еще встречаю идиотов, у которых ssh открыт на
>> >> DBA> весь мир :)
>> >> У меня нет уверенности, что openvpn, открытый на весь мир,
>> >> лучше...
>> DBA> См. man openvpn
Результаты 1 - 100 из 329 matches
Mail list logo
