Falk Sauer wrote:
Hi Sven
On Fri, Aug 24, 2001 at 08:47:13AM +0200, Sven Schiwek wrote:
Wenn ich das /home -Verzeichnis per /etc/export freigebe, kann ein Azubi sich einen Benutzer anlegen (nur auf seinem eigenen PC natürlich), der die UID eines anderen Benutzers auf dem Azubi- Server schon hat. Dadurch erhält er Schreib- und Leserechte auf ein Verzeichnis, das ihm nicht gehört. Wie kann ich dennoch das /home -Verzeichnis freigeben, ohne dass andere User sich die Home- Verzeichnisse anderer User aneignen (So etwas wie "root_squash" für Lokale User)?
/home/luser luserkiste(rw,all_squash,anonuid=501,anongid=501)
wobei all_squash alle zugriffe mit dem unonymous user maskiert und anonuid und anongid diesen user näher spezifiziert.
Das sollte das eigentliche Problem (Zugriff auf ein fremdes Verzeichnis) aber IMHO nicht lösen. Wenn ich mittels showmount -e <server> die Liste der exportierten Verzeichnisse auf <server> erfahre, dann kann ich diese als root mounten. Der Zugriff auf die gemounteten Daten erfolgt dann mit der UID des jeweiligen Nutzers, den ich ja ebenfalls als root entsprechend lokal anlegen kann. (Ich komme ja nicht als anonymous, sondern mit meiner UID des lokalen Systems.) Wenn Dein Vorschlag greift, dann werden ALLE Anfragen auf den nobody-Account gemappt, d.h., auch von den Rechnern/Usern, die eigentlich Zugriff auf ihre /home-Verzeichnisse erhalten sollten (das Mapping via NIS wird ja auch hier ausgeschaltet). Die Ursache liegt mehr in einem Design-Problem von NFS: kommt ein Request mit der entsprechenden UID, dann habe ich Zugriff. Aber nichts hindert mich daran, als root auf einem Client mir einen entsprechenden Account zu generieren. Als NFS "geboren" wurde ging man eben davon aus, das root immer ein besonders vertrauenswürdiger Geselle ist und ein Unix-Server nicht mal eben von jemandem nebenbei administriert wird (oder gar auf einem Notebook ins LAN geklinkt wird). Die Antwort darauf sollte Secure-NFS liefern, das sich aber wohl nie so richtig durchgesetzt hat. (Mehr darüber im Klassiker: "NFS und NIS" von Hal Stern, O'Reilly). Ich würde als Lösung/Workaround vorschlagen, die /home-Verzeichnisse per SAMBA freizugeben und via smbmount anzubinden, da hier wenigstens ein Passwort für den Zugriff auf den Server notwendig ist (was allerdings recht unkomfortabel sein dürfte, da ich beim Mounten/Booten des Clients ja nach dem Kennwort gefragt werde.) Mögliche Alternative (als Gedankenansatz, ungeprüft!!): Automounter oder Konqueror (oder andere grafische Tools). Gruß hebi -- Dirk Hebenstreit Tel : +49-0170-2461522 Eschenweg 3 +49-033200-85997 14558 Bergholz-Rehbruecke Dirk.Hebenstreit@epost.de PingoS - LINUX-User helfen Schulen: http://www.pingos.schulnetz.org