/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to mandos.xml

  • Committer: Teddy Hogeborn
  • Date: 2015-10-04 13:44:40 UTC
  • Revision ID: teddy@recompile.se-20151004134440-ep3xxhb037n01114
Bug fix: Add local route also when host is unreachable.

* plugins.d/mandos-client.c (start_mandos_communication): Bug fix:
                    Check for EHOSTUNREACH in addition to ENETUNREACH.

Show diffs side-by-side

added added

removed removed

Lines of Context:
mandos.xml
2
2
<!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
3
3
"http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
4
4
<!ENTITY COMMANDNAME "mandos">
5
 
<!ENTITY TIMESTAMP "2010-09-26">
 
5
<!ENTITY TIMESTAMP "2015-07-20">
6
6
<!ENTITY % common SYSTEM "common.ent">
7
7
%common;
8
8
]>
19
19
        <firstname>Björn</firstname>
20
20
        <surname>Påhlsson</surname>
21
21
        <address>
22
 
          <email>belorn@fukt.bsnet.se</email>
 
22
          <email>belorn@recompile.se</email>
23
23
        </address>
24
24
      </author>
25
25
      <author>
26
26
        <firstname>Teddy</firstname>
27
27
        <surname>Hogeborn</surname>
28
28
        <address>
29
 
          <email>teddy@fukt.bsnet.se</email>
 
29
          <email>teddy@recompile.se</email>
30
30
        </address>
31
31
      </author>
32
32
    </authorgroup>
34
34
      <year>2008</year>
35
35
      <year>2009</year>
36
36
      <year>2010</year>
 
37
      <year>2011</year>
 
38
      <year>2012</year>
 
39
      <year>2013</year>
 
40
      <year>2014</year>
 
41
      <year>2015</year>
37
42
      <holder>Teddy Hogeborn</holder>
38
43
      <holder>Björn Påhlsson</holder>
39
44
    </copyright>
93
98
      <arg><option>--no-dbus</option></arg>
94
99
      <sbr/>
95
100
      <arg><option>--no-ipv6</option></arg>
 
101
      <sbr/>
 
102
      <arg><option>--no-restore</option></arg>
 
103
      <sbr/>
 
104
      <arg><option>--statedir
 
105
      <replaceable>DIRECTORY</replaceable></option></arg>
 
106
      <sbr/>
 
107
      <arg><option>--socket
 
108
      <replaceable>FD</replaceable></option></arg>
 
109
      <sbr/>
 
110
      <arg><option>--foreground</option></arg>
 
111
      <sbr/>
 
112
      <arg><option>--no-zeroconf</option></arg>
96
113
    </cmdsynopsis>
97
114
    <cmdsynopsis>
98
115
      <command>&COMMANDNAME;</command>
116
133
    <para>
117
134
      <command>&COMMANDNAME;</command> is a server daemon which
118
135
      handles incoming request for passwords for a pre-defined list of
119
 
      client host computers.  The Mandos server uses Zeroconf to
120
 
      announce itself on the local network, and uses TLS to
121
 
      communicate securely with and to authenticate the clients.  The
122
 
      Mandos server uses IPv6 to allow Mandos clients to use IPv6
123
 
      link-local addresses, since the clients will probably not have
124
 
      any other addresses configured (see <xref linkend="overview"/>).
125
 
      Any authenticated client is then given the stored pre-encrypted
126
 
      password for that specific client.
 
136
      client host computers. For an introduction, see
 
137
      <citerefentry><refentrytitle>intro</refentrytitle>
 
138
      <manvolnum>8mandos</manvolnum></citerefentry>. The Mandos server
 
139
      uses Zeroconf to announce itself on the local network, and uses
 
140
      TLS to communicate securely with and to authenticate the
 
141
      clients.  The Mandos server uses IPv6 to allow Mandos clients to
 
142
      use IPv6 link-local addresses, since the clients will probably
 
143
      not have any other addresses configured (see <xref
 
144
      linkend="overview"/>).  Any authenticated client is then given
 
145
      the stored pre-encrypted password for that specific client.
127
146
    </para>
128
147
  </refsect1>
129
148
  
272
291
          <xi:include href="mandos-options.xml" xpointer="ipv6"/>
273
292
        </listitem>
274
293
      </varlistentry>
 
294
      
 
295
      <varlistentry>
 
296
        <term><option>--no-restore</option></term>
 
297
        <listitem>
 
298
          <xi:include href="mandos-options.xml" xpointer="restore"/>
 
299
          <para>
 
300
            See also <xref linkend="persistent_state"/>.
 
301
          </para>
 
302
        </listitem>
 
303
      </varlistentry>
 
304
      
 
305
      <varlistentry>
 
306
        <term><option>--statedir
 
307
        <replaceable>DIRECTORY</replaceable></option></term>
 
308
        <listitem>
 
309
          <xi:include href="mandos-options.xml" xpointer="statedir"/>
 
310
        </listitem>
 
311
      </varlistentry>
 
312
      
 
313
      <varlistentry>
 
314
        <term><option>--socket
 
315
        <replaceable>FD</replaceable></option></term>
 
316
        <listitem>
 
317
          <xi:include href="mandos-options.xml" xpointer="socket"/>
 
318
        </listitem>
 
319
      </varlistentry>
 
320
      
 
321
      <varlistentry>
 
322
        <term><option>--foreground</option></term>
 
323
        <listitem>
 
324
          <xi:include href="mandos-options.xml"
 
325
                      xpointer="foreground"/>
 
326
        </listitem>
 
327
      </varlistentry>
 
328
      
 
329
      <varlistentry>
 
330
        <term><option>--no-zeroconf</option></term>
 
331
        <listitem>
 
332
          <xi:include href="mandos-options.xml" xpointer="zeroconf"/>
 
333
        </listitem>
 
334
      </varlistentry>
 
335
      
275
336
    </variablelist>
276
337
  </refsect1>
277
338
  
351
412
      for some time, the client is assumed to be compromised and is no
352
413
      longer eligible to receive the encrypted password.  (Manual
353
414
      intervention is required to re-enable a client.)  The timeout,
354
 
      checker program, and interval between checks can be configured
355
 
      both globally and per client; see <citerefentry>
356
 
      <refentrytitle>mandos-clients.conf</refentrytitle>
357
 
      <manvolnum>5</manvolnum></citerefentry>.  A client successfully
358
 
      receiving its password will also be treated as a successful
359
 
      checker run.
 
415
      extended timeout, checker program, and interval between checks
 
416
      can be configured both globally and per client; see
 
417
      <citerefentry><refentrytitle>mandos-clients.conf</refentrytitle>
 
418
      <manvolnum>5</manvolnum></citerefentry>.
360
419
    </para>
361
420
  </refsect1>
362
421
  
384
443
    <title>LOGGING</title>
385
444
    <para>
386
445
      The server will send log message with various severity levels to
387
 
      <filename>/dev/log</filename>.  With the
 
446
      <filename class="devicefile">/dev/log</filename>.  With the
388
447
      <option>--debug</option> option, it will log even more messages,
389
448
      and also show them on the console.
390
449
    </para>
391
450
  </refsect1>
392
451
  
 
452
  <refsect1 id="persistent_state">
 
453
    <title>PERSISTENT STATE</title>
 
454
    <para>
 
455
      Client settings, initially read from
 
456
      <filename>clients.conf</filename>, are persistent across
 
457
      restarts, and run-time changes will override settings in
 
458
      <filename>clients.conf</filename>.  However, if a setting is
 
459
      <emphasis>changed</emphasis> (or a client added, or removed) in
 
460
      <filename>clients.conf</filename>, this will take precedence.
 
461
    </para>
 
462
  </refsect1>
 
463
  
393
464
  <refsect1 id="dbus_interface">
394
465
    <title>D-BUS INTERFACE</title>
395
466
    <para>
457
528
        </listitem>
458
529
      </varlistentry>
459
530
      <varlistentry>
460
 
        <term><filename>/var/run/mandos.pid</filename></term>
 
531
        <term><filename>/run/mandos.pid</filename></term>
461
532
        <listitem>
462
533
          <para>
463
534
            The file containing the process id of the
464
535
            <command>&COMMANDNAME;</command> process started last.
 
536
            <emphasis >Note:</emphasis> If the <filename
 
537
            class="directory">/run</filename> directory does not
 
538
            exist, <filename>/var/run/mandos.pid</filename> will be
 
539
            used instead.
 
540
          </para>
 
541
        </listitem>
 
542
      </varlistentry>
 
543
      <varlistentry>
 
544
        <term><filename class="devicefile">/dev/log</filename></term>
 
545
      </varlistentry>
 
546
      <varlistentry>
 
547
        <term><filename
 
548
        class="directory">/var/lib/mandos</filename></term>
 
549
        <listitem>
 
550
          <para>
 
551
            Directory where persistent state will be saved.  Change
 
552
            this with the <option>--statedir</option> option.  See
 
553
            also the <option>--no-restore</option> option.
465
554
          </para>
466
555
        </listitem>
467
556
      </varlistentry>
495
584
      backtrace.  This could be considered a feature.
496
585
    </para>
497
586
    <para>
498
 
      Currently, if a client is disabled due to having timed out, the
499
 
      server does not record this fact onto permanent storage.  This
500
 
      has some security implications, see <xref linkend="clients"/>.
501
 
    </para>
502
 
    <para>
503
587
      There is no fine-grained control over logging and debug output.
504
588
    </para>
505
589
    <para>
506
 
      Debug mode is conflated with running in the foreground.
507
 
    </para>
508
 
    <para>
509
 
      The console log messages do not show a time stamp.
510
 
    </para>
511
 
    <para>
512
590
      This server does not check the expire time of clients’ OpenPGP
513
591
      keys.
514
592
    </para>
527
605
    <informalexample>
528
606
      <para>
529
607
        Run the server in debug mode, read configuration files from
530
 
        the <filename>~/mandos</filename> directory, and use the
531
 
        Zeroconf service name <quote>Test</quote> to not collide with
532
 
        any other official Mandos server on this host:
 
608
        the <filename class="directory">~/mandos</filename> directory,
 
609
        and use the Zeroconf service name <quote>Test</quote> to not
 
610
        collide with any other official Mandos server on this host:
533
611
      </para>
534
612
      <para>
535
613
 
584
662
        compromised if they are gone for too long.
585
663
      </para>
586
664
      <para>
587
 
        If a client is compromised, its downtime should be duly noted
588
 
        by the server which would therefore disable the client.  But
589
 
        if the server was ever restarted, it would re-read its client
590
 
        list from its configuration file and again regard all clients
591
 
        therein as enabled, and hence eligible to receive their
592
 
        passwords.  Therefore, be careful when restarting servers if
593
 
        it is suspected that a client has, in fact, been compromised
594
 
        by parties who may now be running a fake Mandos client with
595
 
        the keys from the non-encrypted initial <acronym>RAM</acronym>
596
 
        image of the client host.  What should be done in that case
597
 
        (if restarting the server program really is necessary) is to
598
 
        stop the server program, edit the configuration file to omit
599
 
        any suspect clients, and restart the server program.
600
 
      </para>
601
 
      <para>
602
665
        For more details on client-side security, see
603
666
        <citerefentry><refentrytitle>mandos-client</refentrytitle>
604
667
        <manvolnum>8mandos</manvolnum></citerefentry>.
609
672
  <refsect1 id="see_also">
610
673
    <title>SEE ALSO</title>
611
674
    <para>
612
 
      <citerefentry>
613
 
        <refentrytitle>mandos-clients.conf</refentrytitle>
614
 
        <manvolnum>5</manvolnum></citerefentry>, <citerefentry>
615
 
        <refentrytitle>mandos.conf</refentrytitle>
616
 
        <manvolnum>5</manvolnum></citerefentry>, <citerefentry>
617
 
        <refentrytitle>mandos-client</refentrytitle>
618
 
        <manvolnum>8mandos</manvolnum></citerefentry>, <citerefentry>
619
 
        <refentrytitle>sh</refentrytitle><manvolnum>1</manvolnum>
620
 
      </citerefentry>
 
675
      <citerefentry><refentrytitle>intro</refentrytitle>
 
676
      <manvolnum>8mandos</manvolnum></citerefentry>,
 
677
      <citerefentry><refentrytitle>mandos-clients.conf</refentrytitle>
 
678
      <manvolnum>5</manvolnum></citerefentry>,
 
679
      <citerefentry><refentrytitle>mandos.conf</refentrytitle>
 
680
      <manvolnum>5</manvolnum></citerefentry>,
 
681
      <citerefentry><refentrytitle>mandos-client</refentrytitle>
 
682
      <manvolnum>8mandos</manvolnum></citerefentry>,
 
683
      <citerefentry><refentrytitle>sh</refentrytitle>
 
684
      <manvolnum>1</manvolnum></citerefentry>
621
685
    </para>
622
686
    <variablelist>
623
687
      <varlistentry>
644
708
      </varlistentry>
645
709
      <varlistentry>
646
710
        <term>
647
 
          <ulink url="http://www.gnu.org/software/gnutls/"
648
 
          >GnuTLS</ulink>
 
711
          <ulink url="http://gnutls.org/">GnuTLS</ulink>
649
712
        </term>
650
713
      <listitem>
651
714
        <para>
689
752
      </varlistentry>
690
753
      <varlistentry>
691
754
        <term>
692
 
          RFC 4346: <citetitle>The Transport Layer Security (TLS)
693
 
          Protocol Version 1.1</citetitle>
 
755
          RFC 5246: <citetitle>The Transport Layer Security (TLS)
 
756
          Protocol Version 1.2</citetitle>
694
757
        </term>
695
758
      <listitem>
696
759
        <para>
697
 
          TLS 1.1 is the protocol implemented by GnuTLS.
 
760
          TLS 1.2 is the protocol implemented by GnuTLS.
698
761
        </para>
699
762
      </listitem>
700
763
      </varlistentry>
710
773
      </varlistentry>
711
774
      <varlistentry>
712
775
        <term>
713
 
          RFC 5081: <citetitle>Using OpenPGP Keys for Transport Layer
714
 
          Security</citetitle>
 
776
          RFC 6091: <citetitle>Using OpenPGP Keys for Transport Layer
 
777
          Security (TLS) Authentication</citetitle>
715
778
        </term>
716
779
      <listitem>
717
780
        <para>