SuSE LINUX Standard Server 8

openSUSE, SUSE, SLES

A SuSE tegnap bejelentette a SuSE LINUX Standard Server 8 névre hallgató termékét. A termék a kis- és közepes méretű vállalatok informatikai életében játszhat szerepet. Az operációs rendszer 32 bites Intel és AMD processzorokra érhető el, és maximum két processzoros rendszereket támogat.

Hogy mit tartalmaz a termék?

A termék segítségével a tapasztalatlan felhasználók is könnyen konfigurálhatnak cégük számára (Samba) windowsos domain controller-t, file és nyomtató szervizeket windows környezetben, internet átjárót, E-Mail szervert, alkalmazás szervert, DNS szervert és DHCP szervert. A konfigurálást grafikus varázslók segítik.

A SuSE LINUX Standard Server 8 tartalmaz web alapú távoli adminisztrációs eszközt, és lehetőséget ad arra, hogy a külsős alkalmazottak biztonságos módon elérhesség a cég szerverét a Virtual Privat Network-ön (VPN) keresztül.


A SuSE LINUX Standard Server 8-ban a felhasználók adatai a központi címtárban (LDAP) kaptak helyet. Az adatbiztonságot fokozhatjuk a Access Control Lists (ACL) használatával.

A termék november elejétől lesz elérhető. Ára 449.00$ lesz. A doboz tartalmazni fogja a szoftvert, a dokumentációt, a telepítési utasításokat, és az egy éves részvételi lehetőséget a SUSE LINUX Maintenance Program-ban (szoftverkövetés) amely egy szerverre és maximum két processzorra szól.



Bővebb infó egyelőre német nyelven a SuSE LINUX honlapjáról itt.

( bocs | 2003. 10. 07., k – 09:56 )

Gyakorlati tapasztalata van valakinek arrol, hogy milyen megbizhato eles kornyezetben egy VPN? ertve ezalatt hogy atlag felhasznalo trehanysaga is bele van kalkulalva.

Egyebkent a VPN-nel altalaban full hozzaferest adnak a kulsosoknek a belso halohoz? kicsit razosnak tunik...

A kulsos alatt termeszetesen a ceg alkalmazottait, rendszergazdait, stb. ertik altalaban. A VPN lenyege, hogy egy nem biztonsagos halozaton keresztul (pl. internet) biztonsagos "alagutat" keszitunk, amin be lehet jelentkezni. Ez miert lenne razos?

Van egy notebookod adott egy internet cafe nyaralas kozben. Feldugod a cuccodat az rj45-re, beallitod a geped, aztan egy biztonsagos csatornan bejelentkezel a szerverre. A legjobb peldat erre Berlinben lattam, ahol a szallodaban wireless halozat mukodott, az emberek ultek a szalloda kavehazaban elovettek a kis kezi kutyuiket, es a wireless halozaton szepen titkositva bejelentkeztek a ceges webszerverre, letoltottek leveleiket, stb.

( trey | 2003. 10. 07., k – 10:31 )

Hat nezd. Messze all tolem, hogy SuSE-t hasznaljak, de ha nagy cegeknek telepitek Linux szervert amelyet kesobb nem en adminisztralok, akkor az esetek 97%-ban SLES-t (SuSE Linux Enterprise Server) vesznek a cegek. Hogy miert?

1.) Konnyu konfigolni azt rajta, amit gyarilag tartalmaz

2.) Egy ceg all mogotte, akihez lehet fordulni, ha az adatbazisszerver alatt megdoglik a kernel. Ertsd vannak a SuSE-nak (mint a Red Hat-nak is Alan Cox) dedikalt kernelfejlesztoi akik csak az ugyfelek ugyes-bajos dolgaival foglalkoznak, es reagalnak a hibakra. Ez azt jelenti, hogy szukseg szerint (a ceg nagysagatol persze) akar szemelyre/feladatra szabott kernelt adnak.

3.) Certifikalva van ra az Oracle, DB2, meg mit tudom en milyen adatbazis szerver. Azaz ezen biztos, hogy megy. Olyan kernelpatchek vannak benne, amit kimondottan erre van kihegyezve.

Namost gondold bele magad egy vilagceg rendszergazdajanak a helyebe. Ket valasztasa van:

1.) Megvesz 200K forintert egy olyan szervert, amire az Oracle felkuszik csont nelkul, fut rajta, van aki segit, ha nem megy van kit rugdalni ( egyben biztos lehetsz: ha nem megy mondjuk az Oracle, es felhivod a supportot, akkor az elso kerdes az lesz, hogy milyen operacios rendszeren futtatod. Ha ez nem Oracle certifikalt OS lesz, akkor mar le is teheted a telefont.

2.) Feltelepited az Ingyom-Bingyom Linux 2.0-t, az Oracle rpm csomagja vagy jok lesznek hozza, vagy nem (inkabb nem), szopsz bele heteket, kozen a fonokod rugdal, hogy mikor lesz kesz, es amikor vegre fel tudod telepiteni, akkor kiderul, hogy megy, de ketnaponta dob egy hatast. Mi jon ilyenkor? Patcheles, teszt, nem megy, patcheles, teszt, kozben all a ceg, patcheles, aztan kirugnak.

Most valassz...

Biztos, hogy meg lehet csinalni mas Linuxbol is. Csak ahol mndjuk van ra 8 orad, hogy felallits egy DNS, MAIL, LDAP, Proxy, VPN, Adatbazis, Samba, mit tudom en mi szervert, es raadasul a tapasztalatod erosen kozelit a 0-hoz, ott ez a legjobb valasztas. Vagy a Red Hat AS sorozat.

( trey | 2003. 10. 07., k – 10:52 )

A Half Life2 kodjat barki kileakelhette, akar lehetett belso alkalmazott is. Az alkalmazottak, hozzaferessel rendelkezo szemelyek listajat Neked kell okosan megvalasztani. Ez olyan, mint dolog, mint az a kerdes, hogy kinek adsz a lakasodhoz kulcsot. Meglophatnak azok is, de rajtad mulik, kinek adod a kulcsot. A VPN egy nagyon jo talamany.

( sz | 2003. 10. 07., k – 10:54 )

én voltam, csak nem vettem eszre, h nem vagyok belogolva.

Nem az alkalmazott volt a hunyo. Marmint ugy ertem, h nem ö volt a gonosz, ö "csak" figyelmetlen volt. A VPN-en csatlakozo gepen hasznaltak ki vmi Outlookkal (; kapcsolatos rest, telepitettek ezt-azt, amivel jelszavakhoz jutottak, igy aztan a Valve tobb belso gepehez is hozzaferest szereztek, trojait telepitettek, aztan adando alkalommal sutty.

Ilyen volt mar ssh-val, ftp-vel, web-nel is. Feltortek azt az ftp szervert ahol az openssh projekt az openssh forrasat tartotta, feltortek a GNU ftp szerveret, feltortek az Apache szerveret, ugy hogy az egyi user accountjat sniffeltek le oldalt. Ezeket is zarjuk be? Az emberi hibat kell kiszurni.

Nat nezd, szerintem amit leirsz nem mindenhol allja meg a helyet.

DE. Ennek a termeknek nagy erdeme lehet, hogy egy jol osszerakott admin feluletet biztosit olyanok szamara akik amugy nem ertenenek kello melysegig a rendszerhez. Sot azoknak is nagyon hasznos tud lenni akik teljesen tisztaban vannak, hogy mi tortenik a hatterben, mert egy admin feluletre mindenkinek szuksege van. Jelenleg ki ki a maga tooljaival oldja meg ezt, de ennek a megirasara rengeteg idot lehet elvesztegetni, es meg akkor sem lesz kesz. Gyakorlatbol tudom, hogy a fenti termek nagyon nagy sikerre szamithat, ha tenyleg rendesen osszeraktak.

balsa

Az emberi hibat pedig sajnos nem lehet kiszurni... (;

Egyebkent egy cég [vagy szabadszoftveres projekt] akar a nagyvilagbol is elerheto szervereinek erosebb biztonsagi kovetelmenyeknek kell megfelelniuk, mint holmi firewallok mogott levo munkaallomasnak [pl: elobbin lehet chrootokat alkalmazni, utobbin nemigen, mert produktivitas rovasara megy]. Erdekes kerdes viszont, h milyen biztonsagi kovetelmenyeket lehet kulso gepekkel szemben tamasztani, illetve hogyan lehet ellenorizni [lehet-e], h az megfelel-e a kovetelmenyeknek?

> Erdekes kerdes viszont, h milyen biztonsagi kovetelmenyeket lehet kulso gepekkel szemben tamasztani,

A VPN nem arrol szol, hogy barki ki be jarhat rajta. A VPN az irodai halozati vegpontod biztonsagos meghosszabitasa. Van olyan biztonsagos mint a kulccsal hasznalt ssh (roadwarriorok eseten). Ha meg pont-pont tunnelt csinalsz akkor meg ertelemszeruen megbizol az alagut masik vegen levo gepben, hiszen az is a te halozatod tagja.

>illetve hogyan lehet ellenorizni [lehet-e], h az megfelel-e a kovetelmenyeknek?

Ismerek egy ceget, ahol policy, hogy a ceg kulsos alkalmazottai (akik 90%-at teszik ki a ceg alkalmazottainak) otthon dolgoznak. Egyreszt mert munkajuk idejenek hagy reszet ugyfelek felkeresesevel, vagy konferenciakon toltik. Itt ugy mukodik a dolog, hogy amikor a ceghez belep egy uj alkalmazott azt felszerelik egy ceges notebookal (egy tipus a alkalmazotte, egy ugyanolyan marka kicsit erosebb gepe a vezetoke). A ceg kozpontjaban, amerikaban feltelepitik a gepeket (egysegesen angol nyelvure), felteszik a VPN klienset, majd visszakuldik a dolgozonak a vilag minden pontjara nereszoloan. A ceg osszes alkalmazottjanak gepen verziora pontosan ugyanazon programok futnak, egyszerre frissitik, stb. Ok nem is telepithetnek ra sajat programokat. Igy pl. lehet. Egyebkent sok cegnel policy (pl. nalunk is), hogy a ceges gepeken csak a meghatarozott szoftverek futhatnak.

> erosebb biztonsagi kovetelmenyeknek kell megfelelniuk, mint holmi

> firewallok mogott levo munkaallomasnak

Nem tartozik szorosan a temahoz, de belso halozaton levo dolgokat ugyanugy vedeni kell behatolasok ellen. Statisztikak szerint az informatikai visszaelesek nagy resze belso emberektol indul.
Akar poenbol is megprobalhatjak egy 'az internetrol letoltott programmal' megszerezni a munkatarsuk jelszavat, hogy utana mindenki oket tekintse a ceg 'okosemberenek'... arrol nem is beszelve, mekkora kisertesnek vannak kiteve azok az alkalmazottak, akik valami ertekes informaciohoz ferhetnek hozza... :)

Ezzel egy komoly gond van. Mivel a VPN-en keresztül a notebookod is része lesz a belső hálónak, a belső háló biztonsági szintje nem lehet jobb, mint a notebookod. Szélsőséges esetben (ami nem is olyan szélsőséges) a notebookod minden védelem nélkül fenn volt az Interneten, begyűjtöttél vele két backdoort és három férget, majd a VPN-en keresztül belépsz a céges hálóra, és - tudtod nélkül - el is kezdted terjeszteni a férget, a backdooron keresztül meg más is bemehet rossz esetben a céges hálóra.

(Nyilván nem te, de az átlag távmunkás user nem számítástechnikus.)

Egyébként a VPN-t is lehet korlátozni, VPN-je válogatja, hogy hogyan. Érdemes is.

Hat imho semmivel nem biztonsagtalanabb, mint egy korlatozas nelkuli helyi gep a helyi halon. Ott is lehet internetezni, ott is be lehet szivni backdoort. A helyi halozat adminisztratoranak mindig a leheto legrosszabbra kell felkeszulnie, es a policy-nak mindig defualt tiltonak kell lennie, es abbol lehet engedni ;-))

A helyi hálóra a féreg, backdoor és egyéb már be sem jut, mert nem jut át a tűzfalon, vírusszűrőn. A VPN-nel az a gond, hogy a VPN kliens csak időlegesen része a belső hálónak, vagyis nem lehet központilag olyan mértékben védeni, mint egy belső klienst.

(Nem véletlenül szokták tűzzel-vassal irtani a modemeket sem, azokkal ugyanis ki lehet kerülni a tűzfalat, és ez akkor is gond, ha nem forwardol a gép.)

Virust be lehet vinni a ceghez floppyn/zip lemezen/usb drive-on/mobil rack vinyon/meg ezer mas eszkozon is. Ha a halozatodon van kozponti (jo, frissitett) virusvedelem, akkor hiaba jon mondjuk a roadwarriortol a virus, az meg kell, hogy fogja. Vagyis indiferens, hogy az honnan jon. De ilyen alapon a behivasokat is meg kell szuntetni, mert legalabb annyira karosak.

Most ne abból induljunk ki, hogy egy user rosszindulatú és be akar vinni vírust, hanem abból, hogy a user egyszerűen tudatlan, és nincs tudatában a veszélyeknek. A cégek egy részénél floppy-használatnak már esélye sincs, a mobil rack/zip pedig nem létezik, az usb drive pedig egyelőre még igazából csak a szakemberek körében elterjedt (majd ha széles körben elterjedt lesz, az is le lesz tiltva :)).

A központi vírusvédelem nem sokat fog tudni kezdeni azzal, hogy a legfrissebb RPC worm szépen végigrohangál a hálón, ugyanis ezek nem file-ban terjednek (ez persze csak egy példa volt, ami azért eléggé életszerű arra az esetre, amikor a vírusszűrés semmit sem ér).

Nem indifferens, hogy honnan jön, mert pl. a kedvenc rpc féreg (vagy a Nimda) a tűzfalon nem jön be, de ha belül van egy patcheletlen Windows, akkor az beszopja, ha a féreg kapun belül kerül, függetlenül a vírusszűrőtől. Ugyanez igaz az egyéb backdoorokra, remote expolitokra.

A behívás pontosan olyan káros, mint a VPN, ebben teljesen igazad van. Van olyan cég, ahol a behívás pontosan ugyanúgy működik, mint a VPN, így nincs is közöttük lényeges különbség (legfeljebb a sebesség, de az biztonsági szempontból kevésbé lényeges).

>az usb drive pedig egyelőre még igazából csak a szakemberek körében elterjedt

a sulinetbe mindenki ajandekba kapja, jo lesz ha felkeszulsz :-)

>Nem indifferens, hogy honnan jön, mert pl. a kedvenc rpc féreg (vagy a Nimda) a tűzfalon nem jön be,

Hat ott ahol van penz virusvedelemre, ott nem jonnek be a virusok, de tapasztalat, hogy a cegen nagy resze azon kivul, hogy egy-egy munkallomasra tesz egy standalone viruskergetot, sokat nem kolt virusvedelemre (csak ha mar kesz a baj) Akkor vesznek valamit, ami jo esetben szuri a leveleket is. De a webtartalom szurese sok helyen csak alom marad.

>A behívás pontosan olyan káros, mint a VPN, ebben teljesen igazad van

Az a baj, hogy a telephelyes cegek 99% vagy behivassal, vagy (ez a kisebb) VPN-nel megy. Igy szinkrinizalnak SQL szervert, stb. Ezert nem lehet oket kikuszobolni. Sot gyanitom, hogy az internet elterjedesevel, es egyre olcsobba valasaval egyre nagyob lesz az igeny a telephelyek osszekotesere.

Hiába van pénz vírusvédelemre, ha éppen egy féreg terjedési módja olyan, hogy a telepített víruskeresőnek esélye sincs észrevenni (nem véltelenül példálóztam a Nimdával, illetve az RPC-wormmal). Nimda esetén pl. nem keletkezik file a HDD-n, ha az IIS-t támadta meg, akkor nincs, ami triggerelje a víruskeresőt. Hasonlóképpen igaz ez az RPC féreggel, ez simán ki tudja kerülni a víruskeresőt, és ha egy kicsit jól van megírva (márpedig jól van megírva), ki is lövi.

SQL servert meg nem a desktop user szokott szinkronizálni, szóval ez rossz példa volt :))

>SQL servert meg nem a desktop user szokott szinkronizálni, szóval ez rossz példa volt :))

nem hat, hanem van egy ismert orszagos bolthalozat (direkt nem nevezem meg) ahol a boltban dolgozo penztaros szinkronizal :-)

btw, ez arra akart pelda lenni, hogy a VPN-re igenis szukseg van, es szerintem semmivel nem insecure-bb, mint mint egy olyan ceges munkaallomas, hol p2p-t lehet hasznalni, ahol bongeszobol lehet virust letolteni, ahol irc-zni lehet, ahol mondjuk nincs virusszuro. Nalatok tudom, hogy mindegyik van, de a cegek egy resze csak szeretne olyan cuccokkal vedekezni ami nektek van. Se penzuk, se vasuk nincs hozza.

Van ebben néhány állítás.

1. VPN-re szükség van - igaz.

2. nem insecurebb, mint egy olyan céges munkaállomás, ahol p2p-t lehet használni - igaz lehet, de egy céges munkaállomásnál általában nem lehet p2p-t használni.

3. a cégek jó része védekezhet olcsó vagy akár ingyenes cuccokkal is, lehet az olyan jó, mint a drága pénzes holmik, viszont a különféle egyéb kockázatokat mérlegelnie kell. Ahogy a témában szereplő VPN kockázatát is. Vasnak pedig elég egy kimustrált PII, csak RAM legyen bele, hogy jó kis proxy alapú tűzfalat tudjanak használni