Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2013-01-02 13:26:06
nvll - Nowy użytkownik
- nvll
- Nowy użytkownik
- Zarejestrowany: 2013-01-02
Problem z grsecurity
Witam
Posiadam serwer vps xen hvm z zainstalowanym debianem squeeze. Postanowiłem zainstalować grsecurity. Więc ściągnąłem źródła kernela 2.6.32.60 i łatkę grsecurity. Skopiowałem aktualną konfigurację kernela, w make menuconfig zaznaczyłem grsecurity, skompilowałem kernel i zainstalowałem. Po uruchomieniu serwera vps z kernelem z grsecurity nie działa sieć. Otrzymuję następujące błędy:
Kod:
Configuring network interfaces...SIOCSIFADDR: No such device eth0: ERROR while getting interface flags: No such device SIOCSIFNETMASK: No such device eth0: ERROR while getting interface flags: No such device Failed to bring up eth0.
Kod:
INIT: Id "co" respawning too fast: disabled for 5 minutes
Na debianowym kernelu 2.6.32-5-amd64 wszystko działa ok.
Mój .config: http://pastebin.com/UrTBvqYe
Wynik polecenia ifconfig -a:
na 2.6.32-5-amd64: http://pastebin.com/ruWkJGRz
na kernelu z grsecurity: http://pastebin.com/u3EE90Tg
Wynik polecenia lspci:
na 2.6.32-5-amd64: http://pastebin.com/pX7y1YwU
na kernelu z grsecurity: http://pastebin.com/mARgpEAy
/var/log/dmesg:
na 2.6.32-5-amd64: http://pastebin.com/SEs2rNNg
na kernelu z grsecurity: http://pastebin.com/8inVyu2h
Ostatnio edytowany przez nvll (2013-01-02 14:01:10)
Offline
#2 2013-01-02 18:17:55
Jacekalex - 
Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/urandom
- Zarejestrowany: 2008-01-07
Re: Problem z grsecurity
Po pierwsze, w jaju 2.6.32.60 chyba jeszcze nie ma suportu Xena.
Ten się pojawił dopiero w jaju 3.0, dlatego radziłbym kompilować jajo 3.2 - Xen natywnie i stabilna łatka Grsec.
Radziłbym też przygotować solidny konfig kernela dopasowany do sprzętu.
Bo albo brakuje jakiegoś sterownika, albo udev jest ubijany przez paxa.
Jeśli włączyłeś w systemie Debian
Kod:
CONFIG_PAX_NOEXEC=y CONFIG_PAX_MPROTECT=y
a sam system nie jest przystosowany do takich zabawek, jak mprotect, to niech ten serwer Pan Bóg ma w swojej opiece, dziwne, ze w ogóle na nim coś działa i coś wstaje.
Grsec i Pax to bardzo "mięsożerne" zabezpieczenia.
Najlepszy suport do grsec znajdziesz na tym forum:
http://forums.grsecurity.net/
Ostatnio edytowany przez Jacekalex (2013-01-02 19:26:07)
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
#3 2013-01-02 18:21:44
nvll - Nowy użytkownik
- nvll
- Nowy użytkownik
- Zarejestrowany: 2013-01-02
Re: Problem z grsecurity
Nie potrzebuję obsługi xena w kernelu. VPS działa na pełnej wirtualizacji XEN HVM i kernel nie musi mieć wkompilowanej obsługi xena. Za chwilę spróbuję jeszcze skompilować kernel bez paxa.
Offline
#4 2013-01-02 18:27:35
Jacekalex - Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/urandom
- Zarejestrowany: 2008-01-07
Re: Problem z grsecurity
Być może wystarczy włączyć pax-softmode, o ile wkompilowałeś to w kernel.
Debian na razie nie stosuje flag bind-now i PIE - (to flagi do kompilacji), inne bezpieczne flagi kompilatora pojawiły się niedawno na poważnie dopiero w Wheezym, w Squeeze występują sporadycznie.
Dlatego do Squeeze całego grseca i paxa bym nie brał, ewentualnie jakieś pojedyncze funkcje, jak ochrona chroota.
Sznurki:
http://forum.dug.net.pl/viewtopic.php?pid=175377
http://dug.net.pl/news/323/
Ostatnio edytowany przez Jacekalex (2013-01-02 18:35:12)
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
Informacje debugowania
| Time (s) | Query |
|---|---|
| 0.00010 | SET CHARSET latin2 |
| 0.00007 | SET NAMES latin2 |
| 0.00108 | SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='18.119.120.59' WHERE u.id=1 |
| 0.00081 | REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '18.119.120.59', 1732691233) |
| 0.00043 | SELECT * FROM punbb_online WHERE logged<1732690933 |
| 0.00076 | SELECT topic_id FROM punbb_posts WHERE id=219221 |
| 0.00122 | SELECT id FROM punbb_posts WHERE topic_id=22612 ORDER BY posted |
| 0.00087 | SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=22612 AND t.moved_to IS NULL |
| 0.00005 | SELECT search_for, replace_with FROM punbb_censoring |
| 0.00078 | SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=22612 ORDER BY p.id LIMIT 0,25 |
| 0.00089 | UPDATE punbb_topics SET num_views=num_views+1 WHERE id=22612 |
| Total query time: 0.00706 s | |