LINUX.ORG.RU
Форум — Admin  

iptables, --cmd-owner '/usr/bin/ncmpc' не работает


0

0 

Вот такое правило

/sbin/iptables -A OUTPUT -o lo -p tcp --dport 6600 -m state --state NEW  \
                  -m owner --cmd-owner '/usr/bin/ncmpc' -j ACCEPT

не работает, а такое

/sbin/iptables -A OUTPUT -o lo -p tcp --dport 6600 -m state --state NEW  \
                  -m owner --cmd-owner 'ncmpc' -j ACCEPT

работает. Почему? Пробовал запускать и просто ncmpc и /usr/bin/ncmpc
Во втором случае даже в /proc/pid/cmdline пишется /usr/bin/ncmpc.

Если это так и должно, не понятно, зачем тогда нужен этот критерий,
ведь достаточно переименовать любую программу в любом каталоге и она
будет подходить под него.
★★★★★
← slackware update
Передача по uucp! →

Сейчас попробовал что-то подобное у себя сделать чтобы посмотреть и увидел в логе:

ipt_owner: pid, sid and command matching not supported anymore

Это ядро 2.6.15.1. Видимо из-за неадекватности этого модуля его и убрали...

slav ★★★
()
Ответ на: комментарий от slav

блин, жалко... я вот надежды возлагал на него большие, можно контролировать софтины выходящие в сеть, а тутn "not supported anymore"

эх! =(

boatman ★
()
Ответ на: комментарий от boatman 

Знаете, а ведь не все так плохо в нашем королевстве... 
На 2.14 работает...

23:23:51[root@home]~# iptables -F; iptables  -A OUTPUT -o lo -p tcp --dport 6600 -m state --state NEW -m owner --cmd-owner '/usr/bin/ncmpc' -j ACCEPT

23:26:30[root@home]~# iptables -nvL
Chain INPUT (policy ACCEPT 3 packets, 144 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 3 packets, 298 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 ACCEPT     tcp  --  *      lo      0.0.0.0/0            0.0.0.0/0           tcp dpt:6600 state NEW OWNER CMD match /usr/bin/ncmpc
23:26:50[root@home]~# uname -a
Linux home 2.6.11.4-21.10-default #1 Tue Nov 29 14:32:49 UTC 2005 i686 i686 i386 GNU/Linux
23:27:05[root@home]~#

boatman ★
() 

а если по теме, специально залез в 
http://www.opennet.ru/docs/RUS/iptables/
и вот что там по этому есть:

6.4.3.5. Критерий Owner

iptables -A OUTPUT -m owner --uid-owner 500
iptables -A OUTPUT -m owner --gid-owner 0
iptables -A OUTPUT -m owner --pid-owner 78
iptables -A OUTPUT -m owner --sid-owner 100

т.е. нужную софтину можно запускать под отдельным юзером, группой и
т.д., и даже если любой другой софтине изменят имя на такоеже, то все равно при правильных пермишнах не смогут изменить sid и запустить от имени другого юзера, следовательно она не сможет выйти в сеть...

boatman ★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← slackware update
Admin
Передача по uucp! →