/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to mandos-clients.conf.xml

  • Committer: Teddy Hogeborn
  • Date: 2008-08-27 01:18:25 UTC
  • Revision ID: teddy@fukt.bsnet.se-20080827011825-ka3ni6xvy2ehi1y8
* .bzrignore: New.

* clients.conf ([foo]): Remove Radix-64 checksum.

* mandos (AvahiService.rename, server_state_changed,
          entry_group_state_changed): Make Avahi log messages more
                                      clear that they are about
                                      Zeroconf.
  (fingerprint): Use plain "0" instead of "ctypes.c_uint(0)".

Show diffs side-by-side

added added

removed removed

Lines of Context:
mandos-clients.conf.xml
1
 
<?xml version="1.0" encoding="UTF-8"?>
 
1
<?xml version='1.0' encoding='UTF-8'?>
2
2
<!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
3
3
        "http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
 
4
<!ENTITY VERSION "1.0">
4
5
<!ENTITY CONFNAME "mandos-clients.conf">
5
6
<!ENTITY CONFPATH "<filename>/etc/mandos/clients.conf</filename>">
6
 
<!ENTITY TIMESTAMP "2012-01-01">
7
 
<!ENTITY % common SYSTEM "common.ent">
8
 
%common;
9
7
]>
10
8
 
11
 
<refentry xmlns:xi="http://www.w3.org/2001/XInclude">
 
9
<refentry>
12
10
  <refentryinfo>
13
 
    <title>Mandos Manual</title>
 
11
    <title>&CONFNAME;</title>
14
12
    <!-- NWalsh’s docbook scripts use this to generate the footer: -->
15
 
    <productname>Mandos</productname>
16
 
    <productnumber>&version;</productnumber>
17
 
    <date>&TIMESTAMP;</date>
 
13
    <productname>&CONFNAME;</productname>
 
14
    <productnumber>&VERSION;</productnumber>
18
15
    <authorgroup>
19
16
      <author>
20
17
        <firstname>Björn</firstname>
21
18
        <surname>Påhlsson</surname>
22
19
        <address>
23
 
          <email>belorn@recompile.se</email>
 
20
          <email>belorn@fukt.bsnet.se</email>
24
21
        </address>
25
22
      </author>
26
23
      <author>
27
24
        <firstname>Teddy</firstname>
28
25
        <surname>Hogeborn</surname>
29
26
        <address>
30
 
          <email>teddy@recompile.se</email>
 
27
          <email>teddy@fukt.bsnet.se</email>
31
28
        </address>
32
29
      </author>
33
30
    </authorgroup>
34
31
    <copyright>
35
32
      <year>2008</year>
36
 
      <year>2009</year>
37
 
      <year>2010</year>
38
 
      <year>2011</year>
39
 
      <year>2012</year>
40
33
      <holder>Teddy Hogeborn</holder>
41
34
      <holder>Björn Påhlsson</holder>
42
35
    </copyright>
43
 
    <xi:include href="legalnotice.xml"/>
 
36
    <legalnotice>
 
37
      <para>
 
38
        This manual page is free software: you can redistribute it
 
39
        and/or modify it under the terms of the GNU General Public
 
40
        License as published by the Free Software Foundation,
 
41
        either version 3 of the License, or (at your option) any
 
42
        later version.
 
43
      </para>
 
44
 
 
45
      <para>
 
46
        This manual page is distributed in the hope that it will
 
47
        be useful, but WITHOUT ANY WARRANTY; without even the
 
48
        implied warranty of MERCHANTABILITY or FITNESS FOR A
 
49
        PARTICULAR PURPOSE.  See the GNU General Public License
 
50
        for more details.
 
51
      </para>
 
52
 
 
53
      <para>
 
54
        You should have received a copy of the GNU General Public
 
55
        License along with this program; If not, see
 
56
        <ulink url="http://www.gnu.org/licenses/"/>.
 
57
      </para>
 
58
    </legalnotice>
44
59
  </refentryinfo>
45
 
  
 
60
 
46
61
  <refmeta>
47
62
    <refentrytitle>&CONFNAME;</refentrytitle>
48
63
    <manvolnum>5</manvolnum>
54
69
      Configuration file for the Mandos server
55
70
    </refpurpose>
56
71
  </refnamediv>
57
 
  
 
72
 
58
73
  <refsynopsisdiv>
59
 
    <synopsis>&CONFPATH;</synopsis>
 
74
    <synopsis>
 
75
      &CONFPATH;
 
76
    </synopsis>
60
77
  </refsynopsisdiv>
61
 
  
 
78
 
62
79
  <refsect1 id="description">
63
80
    <title>DESCRIPTION</title>
64
81
    <para>
66
83
      ><refentrytitle>mandos</refentrytitle>
67
84
      <manvolnum>8</manvolnum></citerefentry>, read by it at startup.
68
85
      The file needs to list all clients that should be able to use
69
 
      the service.  All clients listed will be regarded as enabled,
70
 
      even if a client was disabled in a previous run of the server.
 
86
      the service.  All clients listed will be regarded as valid, even
 
87
      if a client was declared invalid in a previous run of the
 
88
      server.
71
89
    </para>
72
90
    <para>
73
91
      The format starts with a <literal>[<replaceable>section
97
115
      start time expansion, see <xref linkend="expansion"/>.
98
116
    </para>
99
117
    <para>
100
 
      Unknown options are ignored.  The used options are as follows:
 
118
      Uknown options are ignored.  The used options are as follows:
101
119
    </para>
102
 
    
 
120
 
103
121
    <variablelist>
104
 
      
105
 
      <varlistentry>
106
 
        <term><option>approval_delay<literal> = </literal><replaceable
107
 
        >TIME</replaceable></option></term>
108
 
        <listitem>
109
 
          <para>
110
 
            This option is <emphasis>optional</emphasis>.
111
 
          </para>
112
 
          <para>
113
 
            How long to wait for external approval before resorting to
114
 
            use the <option>approved_by_default</option> value.  The
115
 
            default is <quote>0s</quote>, i.e. not to wait.
116
 
          </para>
117
 
          <para>
118
 
            The format of <replaceable>TIME</replaceable> is the same
119
 
            as for <varname>timeout</varname> below.
120
 
          </para>
121
 
        </listitem>
122
 
      </varlistentry>
123
 
      
124
 
      <varlistentry>
125
 
        <term><option>approval_duration<literal> = </literal
126
 
        ><replaceable>TIME</replaceable></option></term>
127
 
        <listitem>
128
 
          <para>
129
 
            This option is <emphasis>optional</emphasis>.
130
 
          </para>
131
 
          <para>
132
 
            How long an external approval lasts.  The default is 1
133
 
            second.
134
 
          </para>
135
 
          <para>
136
 
            The format of <replaceable>TIME</replaceable> is the same
137
 
            as for <varname>timeout</varname> below.
138
 
          </para>
139
 
        </listitem>
140
 
      </varlistentry>
141
 
      
142
 
      <varlistentry>
143
 
        <term><option>approved_by_default<literal> = </literal
144
 
          >{ <literal >1</literal> | <literal>yes</literal> | <literal
145
 
          >true</literal> | <literal>on</literal> | <literal
146
 
          >0</literal> | <literal>no</literal> | <literal
147
 
          >false</literal> | <literal>off</literal> }</option></term>
148
 
        <listitem>
149
 
          <para>
150
 
            Whether to approve a client by default after
151
 
            the <option>approval_delay</option>.  The default
152
 
            is <quote>True</quote>.
153
 
          </para>
154
 
        </listitem>
155
 
      </varlistentry>
156
 
      
157
 
      <varlistentry>
158
 
        <term><option>checker<literal> = </literal><replaceable
159
 
        >COMMAND</replaceable></option></term>
160
 
        <listitem>
161
 
          <para>
162
 
            This option is <emphasis>optional</emphasis>.
163
 
          </para>
 
122
 
 
123
      <varlistentry>
 
124
        <term><literal><varname>timeout</varname></literal></term>
 
125
        <listitem>
 
126
          <synopsis><literal>timeout = </literal><replaceable
 
127
          >TIME</replaceable>
 
128
          </synopsis>
 
129
          <para>
 
130
            The timeout is how long the server will wait for a
 
131
            successful checker run until a client is considered
 
132
            invalid - that is, ineligible to get the data this server
 
133
            holds.  By default Mandos will use 1 hour.
 
134
          </para>
 
135
          <para>
 
136
            The <replaceable>TIME</replaceable> is specified as a
 
137
            space-separated number of values, each of which is a
 
138
            number and a one-character suffix.  The suffix must be one
 
139
            of <quote>d</quote>, <quote>s</quote>, <quote>m</quote>,
 
140
            <quote>h</quote>, and <quote>w</quote> for days, seconds,
 
141
            minutes, hours, and weeks, respectively.  The values are
 
142
            added together to give the total time value, so all of
 
143
            <quote><literal>330s</literal></quote>,
 
144
            <quote><literal>110s 110s 110s</literal></quote>, and
 
145
            <quote><literal>5m 30s</literal></quote> will give a value
 
146
            of five minutes and thirty seconds.
 
147
          </para>
 
148
        </listitem>
 
149
      </varlistentry>
 
150
 
 
151
      <varlistentry>
 
152
        <term><literal><varname>interval</varname></literal></term>
 
153
        <listitem>
 
154
          <synopsis><literal>interval = </literal><replaceable
 
155
          >TIME</replaceable>
 
156
          </synopsis>
 
157
          <para>
 
158
            How often to run the checker to confirm that a client is
 
159
            still up.  <emphasis>Note:</emphasis> a new checker will
 
160
            not be started if an old one is still running.  The server
 
161
            will wait for a checker to complete until the above
 
162
            <quote><varname>timeout</varname></quote> occurs, at which
 
163
            time the client will be marked invalid, and any running
 
164
            checker killed.  The default interval is 5 minutes.
 
165
          </para>
 
166
          <para>
 
167
            The format of <replaceable>TIME</replaceable> is the same
 
168
            as for <varname>timeout</varname> above.
 
169
          </para>
 
170
        </listitem>
 
171
      </varlistentry>      
 
172
 
 
173
      <varlistentry>
 
174
        <term><literal>checker</literal></term>
 
175
        <listitem>
 
176
          <synopsis><literal>checker = </literal><replaceable
 
177
          >COMMAND</replaceable>
 
178
          </synopsis>
164
179
          <para>
165
180
            This option allows you to override the default shell
166
181
            command that the server will use to check if the client is
172
187
            <varname>PATH</varname> will be searched.  The default
173
188
            value for the checker command is <quote><literal
174
189
            ><command>fping</command> <option>-q</option> <option
175
 
            >--</option> %%(host)s</literal></quote>.
 
190
            >--</option> %(host)s</literal></quote>.
176
191
          </para>
177
192
          <para>
178
193
            In addition to normal start time expansion, this option
183
198
      </varlistentry>
184
199
      
185
200
      <varlistentry>
186
 
        <term><option>extended_timeout<literal> = </literal><replaceable
187
 
        >TIME</replaceable></option></term>
188
 
        <listitem>
189
 
          <para>
190
 
            This option is <emphasis>optional</emphasis>.
191
 
          </para>
192
 
          <para>
193
 
            Extended timeout is an added timeout that is given once
194
 
            after a password has been sent successfully to a client.
195
 
            The timeout is by default longer than the normal timeout,
196
 
            and is used for handling the extra long downtime while a
197
 
            machine is booting up.  Time to take into consideration
198
 
            when changing this value is file system checks and quota
199
 
            checks.  The default value is 15 minutes.
200
 
          </para>
201
 
          <para>
202
 
            The format of <replaceable>TIME</replaceable> is the same
203
 
            as for <varname>timeout</varname> below.
204
 
          </para>
205
 
        </listitem>
206
 
      </varlistentry>
207
 
      
208
 
      <varlistentry>
209
 
        <term><option>fingerprint<literal> = </literal
210
 
        ><replaceable>HEXSTRING</replaceable></option></term>
211
 
        <listitem>
212
 
          <para>
213
 
            This option is <emphasis>required</emphasis>.
214
 
          </para>
 
201
        <term><literal>fingerprint</literal></term>
 
202
        <listitem>
 
203
          <synopsis><literal>fingerprint = </literal><replaceable
 
204
          >HEXSTRING</replaceable>
 
205
          </synopsis>
215
206
          <para>
216
207
            This option sets the OpenPGP fingerprint that identifies
217
208
            the public key that clients authenticate themselves with
222
213
      </varlistentry>
223
214
      
224
215
      <varlistentry>
225
 
        <term><option><literal>host = </literal><replaceable
226
 
        >STRING</replaceable></option></term>
227
 
        <listitem>
228
 
          <para>
229
 
            This option is <emphasis>optional</emphasis>, but highly
230
 
            <emphasis>recommended</emphasis> unless the
231
 
            <option>checker</option> option is modified to a
232
 
            non-standard value without <quote>%%(host)s</quote> in it.
233
 
          </para>
234
 
          <para>
235
 
            Host name for this client.  This is not used by the server
236
 
            directly, but can be, and is by default, used by the
237
 
            checker.  See the <option>checker</option> option.
238
 
          </para>
239
 
        </listitem>
240
 
      </varlistentry>
241
 
      
242
 
      <varlistentry>
243
 
        <term><option>interval<literal> = </literal><replaceable
244
 
        >TIME</replaceable></option></term>
245
 
        <listitem>
246
 
          <para>
247
 
            This option is <emphasis>optional</emphasis>.
248
 
          </para>
249
 
          <para>
250
 
            How often to run the checker to confirm that a client is
251
 
            still up.  <emphasis>Note:</emphasis> a new checker will
252
 
            not be started if an old one is still running.  The server
253
 
            will wait for a checker to complete until the below
254
 
            <quote><varname>timeout</varname></quote> occurs, at which
255
 
            time the client will be disabled, and any running checker
256
 
            killed.  The default interval is 2 minutes.
257
 
          </para>
258
 
          <para>
259
 
            The format of <replaceable>TIME</replaceable> is the same
260
 
            as for <varname>timeout</varname> below.
261
 
          </para>
262
 
        </listitem>
263
 
      </varlistentry>
264
 
      
265
 
      <varlistentry>
266
 
        <term><option>secfile<literal> = </literal><replaceable
267
 
        >FILENAME</replaceable></option></term>
268
 
        <listitem>
269
 
          <para>
270
 
            This option is only used if <option>secret</option> is not
271
 
            specified, in which case this option is
272
 
            <emphasis>required</emphasis>.
273
 
          </para>
274
 
          <para>
275
 
            Similar to the <option>secret</option>, except the secret
276
 
            data is in an external file.  The contents of the file
277
 
            should <emphasis>not</emphasis> be base64-encoded, but
278
 
            will be sent to clients verbatim.
279
 
          </para>
280
 
          <para>
281
 
            File names of the form <filename>~user/foo/bar</filename>
282
 
            and <filename>$<envar>ENVVAR</envar>/foo/bar</filename>
283
 
            are supported.
284
 
          </para>
285
 
        </listitem>
286
 
      </varlistentry>
287
 
      
288
 
      <varlistentry>
289
 
        <term><option>secret<literal> = </literal><replaceable
290
 
        >BASE64_ENCODED_DATA</replaceable></option></term>
291
 
        <listitem>
292
 
          <para>
293
 
            If this option is not specified, the <option
294
 
            >secfile</option> option is <emphasis>required</emphasis>
295
 
            to be present.
296
 
          </para>
 
216
        <term><literal>secret</literal></term>
 
217
        <listitem>
 
218
          <synopsis><literal>secret = </literal><replaceable
 
219
          >BASE64_ENCODED_DATA</replaceable>
 
220
          </synopsis>
297
221
          <para>
298
222
            If present, this option must be set to a string of
299
223
            base64-encoded binary data.  It will be decoded and sent
312
236
            lines is that a line beginning with white space adds to
313
237
            the value of the previous line, RFC 822-style.
314
238
          </para>
315
 
        </listitem>
316
 
      </varlistentry>
317
 
      
318
 
      <varlistentry>
319
 
        <term><option>timeout<literal> = </literal><replaceable
320
 
        >TIME</replaceable></option></term>
321
 
        <listitem>
322
 
          <para>
323
 
            This option is <emphasis>optional</emphasis>.
324
 
          </para>
325
 
          <para>
326
 
            The timeout is how long the server will wait, after a
327
 
            successful checker run, until a client is disabled and not
328
 
            allowed to get the data this server holds.  By default
329
 
            Mandos will use 5 minutes.  See also the
330
 
            <option>extended_timeout</option> option.
331
 
          </para>
332
 
          <para>
333
 
            The <replaceable>TIME</replaceable> is specified as a
334
 
            space-separated number of values, each of which is a
335
 
            number and a one-character suffix.  The suffix must be one
336
 
            of <quote>d</quote>, <quote>s</quote>, <quote>m</quote>,
337
 
            <quote>h</quote>, and <quote>w</quote> for days, seconds,
338
 
            minutes, hours, and weeks, respectively.  The values are
339
 
            added together to give the total time value, so all of
340
 
            <quote><literal>330s</literal></quote>,
341
 
            <quote><literal>110s 110s 110s</literal></quote>, and
342
 
            <quote><literal>5m 30s</literal></quote> will give a value
343
 
            of five minutes and thirty seconds.
344
 
          </para>
345
 
        </listitem>
346
 
      </varlistentry>
347
 
      
348
 
      <varlistentry>
349
 
        <term><option>enabled<literal> = </literal>{ <literal
350
 
        >1</literal> | <literal>yes</literal> | <literal>true</literal
351
 
        > | <literal >on</literal> | <literal>0</literal> | <literal
352
 
        >no</literal> | <literal>false</literal> | <literal
353
 
        >off</literal> }</option></term>
354
 
        <listitem>
355
 
          <para>
356
 
            Whether this client should be enabled by default.  The
357
 
            default is <quote>true</quote>.
 
239
          <para>
 
240
            If this option is not specified, the <option
 
241
            >secfile</option> option is used instead, but one of them
 
242
            <emphasis>must</emphasis> be present.
 
243
          </para>
 
244
        </listitem>
 
245
      </varlistentry>
 
246
 
 
247
      <varlistentry>
 
248
        <term><literal>secfile</literal></term>
 
249
        <listitem>
 
250
          <synopsis><literal>secfile = </literal><replaceable
 
251
          >FILENAME</replaceable>
 
252
          </synopsis>
 
253
          <para>
 
254
            The same as <option>secret</option>, but the secret data
 
255
            is in an external file.  The contents of the file should
 
256
            <emphasis>not</emphasis> be base64-encoded, but will be
 
257
            sent to clients verbatim.
 
258
          </para>
 
259
          <para>
 
260
            This option is only used, and <emphasis>must</emphasis> be
 
261
            present, if <option>secret</option> is not specified.
 
262
          </para>
 
263
        </listitem>
 
264
      </varlistentry>
 
265
 
 
266
      <varlistentry>
 
267
        <term><literal>host</literal></term>
 
268
        <listitem>
 
269
          <synopsis><literal>host = </literal><replaceable
 
270
          >STRING</replaceable>
 
271
          </synopsis>
 
272
          <para>
 
273
            Host name for this client.  This is not used by the server
 
274
            directly, but can be, and is by default, used by the
 
275
            checker.  See the <option>checker</option> option.
358
276
          </para>
359
277
        </listitem>
360
278
      </varlistentry>
361
279
      
362
280
    </variablelist>
363
 
  </refsect1>
 
281
  </refsect1>  
364
282
  
365
283
  <refsect1 id="expansion">
366
284
    <title>EXPANSION</title>
397
315
        <quote><literal>%%(<replaceable>foo</replaceable>)s</literal
398
316
        ></quote> will be replaced by the value of the attribute
399
317
        <varname>foo</varname> of the internal
400
 
        <quote><classname>Client</classname></quote> object in the
401
 
        Mandos server.  The currently allowed values for
402
 
        <replaceable>foo</replaceable> are:
403
 
        <quote><literal>approval_delay</literal></quote>,
404
 
        <quote><literal>approval_duration</literal></quote>,
405
 
        <quote><literal>created</literal></quote>,
406
 
        <quote><literal>enabled</literal></quote>,
407
 
        <quote><literal>fingerprint</literal></quote>,
408
 
        <quote><literal>host</literal></quote>,
409
 
        <quote><literal>interval</literal></quote>,
410
 
        <quote><literal>last_approval_request</literal></quote>,
411
 
        <quote><literal>last_checked_ok</literal></quote>,
412
 
        <quote><literal>last_enabled</literal></quote>,
413
 
        <quote><literal>name</literal></quote>,
414
 
        <quote><literal>timeout</literal></quote>, and, if using
415
 
        D-Bus, <quote><literal>dbus_object_path</literal></quote>.
416
 
        See the source code for details.  <emphasis role="strong"
417
 
        >Currently, <emphasis>none</emphasis> of these attributes
418
 
        except <quote><literal>host</literal></quote> are guaranteed
419
 
        to be valid in future versions.</emphasis> Therefore, please
420
 
        let the authors know of any attributes that are useful so they
421
 
        may be preserved to any new versions of this software.
 
318
        <quote><classname>Client</classname></quote> object.  See the
 
319
        source code for details, and let the authors know of any
 
320
        attributes that are useful so they may be preserved to any new
 
321
        versions of this software.
422
322
      </para>
423
323
      <para>
424
324
        Note that this means that, in order to include an actual
427
327
        percent characters in a row (<quote>%%%%</quote>) must be
428
328
        entered.  Also, a bad format here will lead to an immediate
429
329
        but <emphasis>silent</emphasis> run-time fatal exit; debug
430
 
        mode is needed to expose an error of this kind.
 
330
        mode is needed to track down an error of this kind.
431
331
      </para>
432
332
    </refsect2>
433
 
    
434
 
  </refsect1>
 
333
 
 
334
  </refsect1>  
435
335
  
436
336
  <refsect1 id="files">
437
337
    <title>FILES</title>
459
359
    <informalexample>
460
360
      <programlisting>
461
361
[DEFAULT]
462
 
timeout = 5m
463
 
interval = 2m
464
 
checker = fping -q -- %%(host)s
 
362
timeout = 1h
 
363
interval = 5m
 
364
checker = fping -q -- %(host)s
465
365
 
466
366
# Client "foo"
467
367
[foo]
490
390
fingerprint = 3e393aeaefb84c7e89e2f547b3a107558fca3a27
491
391
secfile = /etc/mandos/bar-secret
492
392
timeout = 15m
493
 
approved_by_default = False
494
 
approval_delay = 30s
 
393
 
495
394
      </programlisting>
496
395
    </informalexample>
497
 
  </refsect1>
 
396
  </refsect1>  
498
397
  
499
398
  <refsect1 id="see_also">
500
399
    <title>SEE ALSO</title>
501
400
    <para>
502
 
      <citerefentry><refentrytitle>intro</refentrytitle>
503
 
      <manvolnum>8mandos</manvolnum></citerefentry>,
504
 
      <citerefentry><refentrytitle>mandos-keygen</refentrytitle>
505
 
      <manvolnum>8</manvolnum></citerefentry>,
506
 
      <citerefentry><refentrytitle>mandos.conf</refentrytitle>
507
 
      <manvolnum>5</manvolnum></citerefentry>,
508
 
      <citerefentry><refentrytitle>mandos</refentrytitle>
509
 
      <manvolnum>8</manvolnum></citerefentry>
 
401
      <citerefentry>
 
402
        <refentrytitle>mandos</refentrytitle>
 
403
        <manvolnum>8</manvolnum></citerefentry>, <citerefentry>
 
404
        <refentrytitle>mandos-keygen</refentrytitle>
 
405
        <manvolnum>8</manvolnum></citerefentry>, <citerefentry>
 
406
        <refentrytitle>mandos.conf</refentrytitle>
 
407
        <manvolnum>5</manvolnum></citerefentry>
510
408
    </para>
511
409
  </refsect1>
512
410
</refentry>
513
 
<!-- Local Variables: -->
514
 
<!-- time-stamp-start: "<!ENTITY TIMESTAMP [\"']" -->
515
 
<!-- time-stamp-end: "[\"']>" -->
516
 
<!-- time-stamp-format: "%:y-%02m-%02d" -->
517
 
<!-- End: -->