chruetertee.ch

Möchte man einen FreeBSD -Rechner, der keine Serverdienste zur Verfügung stellt, mittels einer ipfw-Firewall schützen so kann eine vorkonfigurierte Firewall Konfiguration verwendet werden:

firewall_enable="YES"
firewall_type="workstation"

Mit dem Typ workstation wird der Rechner mit einer statefull-Firewallkonfiguration geschützt und keine Serverdienste freigegeben. Nun muss die Konfiguration noch gestartet werden:

# /etc/rc.d/ipfw start

Weitere Firewall-Typen findet man in der Datei /etc/rc.firewall.

Möchte man den Inhalt der /tmp Partition automatisch beim Systemstart löschen, so kann folgende Zeile in der /etc/rc.conf eingefügt werden:

clear_tmp_enable="YES"

Mit Hilfe der sysctl-Variable security.bsd.see_other_uids kann festgelegt werden, ob ein Benutzer die Prozesse alle Benutzer oder nur seine eigenen sieht. Wird die sysctl-Variable auf 0 gesetzt, kann ein Benutzer nur noch seine eigenen Prozesse mit ps(1) oder top(1) sehen:

# sysctl security.bsd.see_other_uids=0
security.bsd.see_other_uids: 1 -> 0

Soll die Änderung dauerhaft gemacht werden, so kann folgende Zeile in der /etc/sysctl.conf eingefügt werden:

security.bsd.see_other_uids=0

Möchte man herausfinden wie Dateisysteme mit dem mount Befehl gemountet werden, so kann die -d und -v Option von mount verwendet werden. Folgendes Beispiel zeigt welche Befehle von einem mount -a im Single-User-Mode ausgeführt würden. Die einzelnen Befehle werden dabei nur angezeigt und nicht ausgeführt:

# mount -adv
mount -t ufs -o rw -o update /dev/ad4s3a /
mount -t tmpfs -o rw tmpfs /tmp
mount -t ufs -o rw /dev/ad4s3f /usr
mount -t ufs -o rw /dev/ad4s3d /var
mount -t procfs -o rw proc /proc

Mehr Informationen zu mount findet man in der Manpage mount(8).

Möchte man auf einem amd64 Rechner die 32bit-Bibliotheken nachinstallieren, da diese zum Beispiel von einem Port gebraucht werden, muss der FreeBSD-Quellcode unter /usr/src vorhanden sein. Danach können die 32bit-Bibliotheken wie folgt gebaut und installiert werden:

# cd /usr/src
# make build32 install32
# ldconfig -v -m -R /usr/lib32

Möchte man nur die den Port-INDEX mit portsnap aktualisieren, kann die -I Option von portsnap verwendet werden:

# portsnap -I fetch update

Sollen nachträglich auch die Ports aktualisiert werden, kann nur noch das update Kommando nochmals aufgerufen werden:

# portsnap update

Möchte man den Portbaum regelmässig mit portsnap durch einen cron-Job aktualisieren, kann folgende Zeile in /etc/crontab eingetragen werden:

30 2 * * * root portsnap cron update

Bei einem cron-Job sollte man anstatt des fetch Kommandos das cron Kommando verwenden, so dass zufällig bis zu einer Stunde gewartet wird bis die Änderungen des Portbaumes heruntergeladen werden. So wird sichergestellt, dass die portsnap-Server nicht überlastet werden.

Mit Hilfe von pkg_updating können die relevanten ports/UPDATING-Einträge eines Systems angezeigt werden. Benutzer eines aktuellen CURRENTs welche ein System ohne lokalen Portbaum betreiben, können seit kurzem nun auch die UPDATING-Datei von einem Server herunterladen und sich die relevanten UPDATING-Einträge anzeigen lassen:

# pkg_updating -f ftp://ftp.freebsd.org/pub/FreeBSD/ports/packages/UPDATING

Mehr Informationen zu pkg_updating findet man in der Manpage pkg_updating(1).

Möchte man zum Beispiel von einem Port welcher mit einem installierten Port in Konflikt steht den Quellcode herunterladen so wird dies durch die Konfliktüberprüfung verhindert:

# cd /usr/ports/www/firefox35/
# make fetch

===>  firefox-3.5.7,1 conflicts with installed package(s): 
      firefox-3.6,1

      They install files into the same place.
      Please remove them first with pkg_delete(1).
*** Error code 1

Stop in /usr/ports/www/firefox35

Mit Hilfe von DISABLE_CONFLICTS kann die Konfliktüberprüfung deaktiviert und der Quellcode heruntergeladen werden:

# make -DDISABLE_CONFLICTS fetch
===>  Found saved configuration for firefox-3.5.3,1
=> firefox-3.5.7.source.tar.bz2 doesn't seem to exist in /usr/ports/distfiles/.
=> Attempting to fetch from http://mozilla.c3sl.ufpr.br/releases/firefox/releases/3.5.7/source/.
firefox-3.5.7.source.tar.bz2                  100% of   44 MB  179 kBps 00m00s

Verwendet man freebsd-update zum Aktualisieren eines Systems, so kann auch mit Hilfe von freebsd-update die Integrität der Systemdateien überprüft werden:

# freebsd-update IDS
Looking up update.FreeBSD.org mirrors... 3 mirrors found.
Fetching metadata signature for 8.0-RELEASE from update5.FreeBSD.org... done.
Fetching metadata index... done.
Inspecting system... done.
/.cshrc has SHA256 hash 6c023117f7a92667b56a2a36acc6f8cd4b2de5972dcf44cbfbbc2967d6aa83ef, but should have SHA256 hash e1450d7b3c8b61f305b55792a653a547492b949d315ff7168205bdf279bd2f3e.
/etc/csh.cshrc has SHA256 hash 07f4515289339e203480041f3ff3982f6eb292584cbb164761f52215569b6136, but should have SHA256 hash 84c3dcd7eabd6b0da5077261c98b3dd345a7bd1e34e630921e02445e8d165249.
/etc/group has SHA256 hash d47fb1922b56d37dff6c214fec708bf98fc11e04b735fd9de4693bcf43cdaf19, but should have SHA256 hash a2b26924da4c1fa1007f4c06f8607f07bc909f36112d8d671f95a6126d7b8c15.
/etc/hosts has SHA256 hash 7af8062be560432c3f7fd5f3ceaac70c5fb5a4e8b840b1ad7f8a9c4a86277e8c, but should have SHA256 hash fc7360aff275514c9d437adc3e3a1d7fa94a88e6a2c88804f2287bc302b05fb0.
/etc/manpath.config has SHA256 hash 047f43d8f50eb3d51c5f39416c77ef0dff890cc37582eded7b772c70f018a324, but should have SHA256 hash 1cefa217b837cc940405ef849d6a88a8fb493f34f1b990c87d0b639b636485d4.
/etc/master.passwd has SHA256 hash 90fde15b127e00df91d5f7bb0c76e716b529652b0b513ebc5a896075647c040c, but should have SHA256 hash 212f97df7b05493facc106ed75c17a0131df99b5e656695bce8f07e8cde7ec6a.
/etc/motd has SHA256 hash d996410887344e5d1890959f0f10cfc5362b60c16eb2328428ebc3e0de549298, but should have SHA256 hash ba25bc1d24e50377ebaaa125c2322cf590c238e001c2e11a54d956bc18c4832a.
/etc/ntp.conf has SHA256 hash 15ca2615c6ef84646c973af2e97e34c7589748742657cfe5f7c34814eec1c50c, but should have SHA256 hash 99f129acc512fcd042bcc54f0ee93fed1a06d216b42433328c0adaab83585243.
/etc/passwd has SHA256 hash c74f20892267aec63768790f0ef5e796074724742e58e3782297f568e7f82eed, but should have SHA256 hash 52dfb31101cc03b9065bd20e606cb15e13e194686798250c40c907a64383b27a.
/etc/pwd.db has SHA256 hash 4e73815afdb4b7163b1ae5c211846a9d1e6a3a0a6d4f9a51c48ddbcddc9ff086, but should have SHA256 hash 6d7f65a6482e666dfd0ce892b0dd729aa1adbe6a2da136b73ecba7aaa7a503b7.
/etc/spwd.db has SHA256 hash ad753b14c7846879b467d08dc6868bf970310ea586e83303f4d7c44e6ed5afd9, but should have SHA256 hash ccd36805ad87d19e6ffa86bf2a71714761d37e802891b46ca1d50516cff9b445.
/etc/ssh/ssh_config has SHA256 hash e173a7ffd6d846eee4a4c2f5d4b3444c35f50fc8a03f6278c40aef0a8cbd63eb, but should have SHA256 hash eb8e55d3acbffd4f83681fc5b60d1ae66b69a1d3c04c3d71307a3432cc0ac2ce.
/etc/ttys has SHA256 hash 7343c0427e81844bff6404ac123cefa0c17ea5bb0d38546830ebdfb764212bc1, but should have SHA256 hash 92d4e87e657add80879eb47cb87071a07cbfb723f8044d27219265328a98ef80.
/root has 0700 permissions, but should have 0755 permissions.
/root/.cshrc has SHA256 hash 6c023117f7a92667b56a2a36acc6f8cd4b2de5972dcf44cbfbbc2967d6aa83ef, but should have SHA256 hash e1450d7b3c8b61f305b55792a653a547492b949d315ff7168205bdf279bd2f3e.

Nun kann geprüft werden wieso diese Dateien verändert worden sind. Mehr Informationen zu freebsd-update findet man in der Manpage freebsd-update(8).