/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to mandos-clients.conf.xml

  • Committer: Teddy Hogeborn
  • Date: 2008-09-02 13:04:42 UTC
  • Revision ID: teddy@fukt.bsnet.se-20080902130442-ytnjsmllaph18e20
* plugin-runner.xml (PLUGINS/WRITING PLUGINS): New section.
  (BUGS): Commented out.  There are no bugs.
  (EXAMPLE): Added lots of examples.
  (SECURITY): Added text.
  (SEE ALSO): Added "crypttab(5)" and "execve(2)".

Show diffs side-by-side

added added

removed removed

Lines of Context:
1
1
<?xml version="1.0" encoding="UTF-8"?>
2
2
<!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
3
3
        "http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
 
4
<!ENTITY VERSION "1.0">
4
5
<!ENTITY CONFNAME "mandos-clients.conf">
5
6
<!ENTITY CONFPATH "<filename>/etc/mandos/clients.conf</filename>">
6
 
<!ENTITY TIMESTAMP "2009-12-09">
7
 
<!ENTITY % common SYSTEM "common.ent">
8
 
%common;
 
7
<!ENTITY TIMESTAMP "2008-08-31">
9
8
]>
10
9
 
11
10
<refentry xmlns:xi="http://www.w3.org/2001/XInclude">
13
12
    <title>Mandos Manual</title>
14
13
    <!-- NWalsh’s docbook scripts use this to generate the footer: -->
15
14
    <productname>Mandos</productname>
16
 
    <productnumber>&version;</productnumber>
 
15
    <productnumber>&VERSION;</productnumber>
17
16
    <date>&TIMESTAMP;</date>
18
17
    <authorgroup>
19
18
      <author>
33
32
    </authorgroup>
34
33
    <copyright>
35
34
      <year>2008</year>
36
 
      <year>2009</year>
37
35
      <holder>Teddy Hogeborn</holder>
38
36
      <holder>Björn Påhlsson</holder>
39
37
    </copyright>
40
38
    <xi:include href="legalnotice.xml"/>
41
39
  </refentryinfo>
42
 
  
 
40
 
43
41
  <refmeta>
44
42
    <refentrytitle>&CONFNAME;</refentrytitle>
45
43
    <manvolnum>5</manvolnum>
51
49
      Configuration file for the Mandos server
52
50
    </refpurpose>
53
51
  </refnamediv>
54
 
  
 
52
 
55
53
  <refsynopsisdiv>
56
54
    <synopsis>&CONFPATH;</synopsis>
57
55
  </refsynopsisdiv>
58
 
  
 
56
 
59
57
  <refsect1 id="description">
60
58
    <title>DESCRIPTION</title>
61
59
    <para>
63
61
      ><refentrytitle>mandos</refentrytitle>
64
62
      <manvolnum>8</manvolnum></citerefentry>, read by it at startup.
65
63
      The file needs to list all clients that should be able to use
66
 
      the service.  All clients listed will be regarded as enabled,
67
 
      even if a client was disabled in a previous run of the server.
 
64
      the service.  All clients listed will be regarded as valid, even
 
65
      if a client was declared invalid in a previous run of the
 
66
      server.
68
67
    </para>
69
68
    <para>
70
69
      The format starts with a <literal>[<replaceable>section
94
93
      start time expansion, see <xref linkend="expansion"/>.
95
94
    </para>
96
95
    <para>
97
 
      Unknown options are ignored.  The used options are as follows:
 
96
      Uknown options are ignored.  The used options are as follows:
98
97
    </para>
99
 
    
 
98
 
100
99
    <variablelist>
101
 
      
 
100
 
102
101
      <varlistentry>
103
102
        <term><option>timeout<literal> = </literal><replaceable
104
103
        >TIME</replaceable></option></term>
105
104
        <listitem>
106
105
          <para>
107
 
            This option is <emphasis>optional</emphasis>.
108
 
          </para>
109
 
          <para>
110
 
            The timeout is how long the server will wait (for either a
111
 
            successful checker run or a client receiving its secret)
112
 
            until a client is disabled and not allowed to get the data
113
 
            this server holds.  By default Mandos will use 1 hour.
 
106
            The timeout is how long the server will wait for a
 
107
            successful checker run until a client is considered
 
108
            invalid - that is, ineligible to get the data this server
 
109
            holds.  By default Mandos will use 1 hour.
114
110
          </para>
115
111
          <para>
116
112
            The <replaceable>TIME</replaceable> is specified as a
127
123
          </para>
128
124
        </listitem>
129
125
      </varlistentry>
130
 
      
 
126
 
131
127
      <varlistentry>
132
128
        <term><option>interval<literal> = </literal><replaceable
133
129
        >TIME</replaceable></option></term>
134
130
        <listitem>
135
131
          <para>
136
 
            This option is <emphasis>optional</emphasis>.
137
 
          </para>
138
 
          <para>
139
132
            How often to run the checker to confirm that a client is
140
133
            still up.  <emphasis>Note:</emphasis> a new checker will
141
134
            not be started if an old one is still running.  The server
142
135
            will wait for a checker to complete until the above
143
136
            <quote><varname>timeout</varname></quote> occurs, at which
144
 
            time the client will be disabled, and any running checker
145
 
            killed.  The default interval is 5 minutes.
 
137
            time the client will be marked invalid, and any running
 
138
            checker killed.  The default interval is 5 minutes.
146
139
          </para>
147
140
          <para>
148
141
            The format of <replaceable>TIME</replaceable> is the same
150
143
          </para>
151
144
        </listitem>
152
145
      </varlistentry>
153
 
      
 
146
 
154
147
      <varlistentry>
155
148
        <term><option>checker<literal> = </literal><replaceable
156
149
        >COMMAND</replaceable></option></term>
157
150
        <listitem>
158
151
          <para>
159
 
            This option is <emphasis>optional</emphasis>.
160
 
          </para>
161
 
          <para>
162
152
            This option allows you to override the default shell
163
153
            command that the server will use to check if the client is
164
154
            still up.  Any output of the command will be ignored, only
169
159
            <varname>PATH</varname> will be searched.  The default
170
160
            value for the checker command is <quote><literal
171
161
            ><command>fping</command> <option>-q</option> <option
172
 
            >--</option> %%(host)s</literal></quote>.
 
162
            >--</option> %(host)s</literal></quote>.
173
163
          </para>
174
164
          <para>
175
165
            In addition to normal start time expansion, this option
184
174
        ><replaceable>HEXSTRING</replaceable></option></term>
185
175
        <listitem>
186
176
          <para>
187
 
            This option is <emphasis>required</emphasis>.
188
 
          </para>
189
 
          <para>
190
177
            This option sets the OpenPGP fingerprint that identifies
191
178
            the public key that clients authenticate themselves with
192
179
            through TLS.  The string needs to be in hexidecimal form,
200
187
        >BASE64_ENCODED_DATA</replaceable></option></term>
201
188
        <listitem>
202
189
          <para>
203
 
            If this option is not specified, the <option
204
 
            >secfile</option> option is <emphasis>required</emphasis>
205
 
            to be present.
206
 
          </para>
207
 
          <para>
208
190
            If present, this option must be set to a string of
209
191
            base64-encoded binary data.  It will be decoded and sent
210
192
            to the client matching the above
222
204
            lines is that a line beginning with white space adds to
223
205
            the value of the previous line, RFC 822-style.
224
206
          </para>
 
207
          <para>
 
208
            If this option is not specified, the <option
 
209
            >secfile</option> option is used instead, but one of them
 
210
            <emphasis>must</emphasis> be present.
 
211
          </para>
225
212
        </listitem>
226
213
      </varlistentry>
227
 
      
 
214
 
228
215
      <varlistentry>
229
216
        <term><option>secfile<literal> = </literal><replaceable
230
217
        >FILENAME</replaceable></option></term>
231
218
        <listitem>
232
219
          <para>
233
 
            This option is only used if <option>secret</option> is not
234
 
            specified, in which case this option is
235
 
            <emphasis>required</emphasis>.
236
 
          </para>
237
 
          <para>
238
220
            Similar to the <option>secret</option>, except the secret
239
221
            data is in an external file.  The contents of the file
240
222
            should <emphasis>not</emphasis> be base64-encoded, but
241
223
            will be sent to clients verbatim.
242
224
          </para>
243
225
          <para>
244
 
            File names of the form <filename>~user/foo/bar</filename>
245
 
            and <filename>$<envar>ENVVAR</envar>/foo/bar</filename>
246
 
            are supported.
 
226
            This option is only used, and <emphasis>must</emphasis> be
 
227
            present, if <option>secret</option> is not specified.
247
228
          </para>
248
229
        </listitem>
249
230
      </varlistentry>
250
 
      
 
231
 
251
232
      <varlistentry>
252
233
        <term><option><literal>host = </literal><replaceable
253
234
        >STRING</replaceable></option></term>
254
235
        <listitem>
255
236
          <para>
256
 
            This option is <emphasis>optional</emphasis>, but highly
257
 
            <emphasis>recommended</emphasis> unless the
258
 
            <option>checker</option> option is modified to a
259
 
            non-standard value without <quote>%%(host)s</quote> in it.
260
 
          </para>
261
 
          <para>
262
237
            Host name for this client.  This is not used by the server
263
238
            directly, but can be, and is by default, used by the
264
239
            checker.  See the <option>checker</option> option.
319
294
        mode is needed to expose an error of this kind.
320
295
      </para>
321
296
    </refsect2>
322
 
    
 
297
 
323
298
  </refsect1>
324
299
  
325
300
  <refsect1 id="files">
350
325
[DEFAULT]
351
326
timeout = 1h
352
327
interval = 5m
353
 
checker = fping -q -- %%(host)s
 
328
checker = fping -q -- %(host)s
354
329
 
355
330
# Client "foo"
356
331
[foo]
379
354
fingerprint = 3e393aeaefb84c7e89e2f547b3a107558fca3a27
380
355
secfile = /etc/mandos/bar-secret
381
356
timeout = 15m
 
357
 
382
358
      </programlisting>
383
359
    </informalexample>
384
360
  </refsect1>