Використання /conf/crontab, як вказував dlawson, для мене звучить як відмінна ідея. Це дозволяє мені запускати сценарій раз на хвилину, що забезпечує все, окрім http та ssh:
/etc/init.d/cdserver stop
/etc/init.d/fdserver stop
/etc/init.d/cim_sfcb stop
/etc/init.d/webgo stop
Це все ще залишає мене веб-сервером з керованим паролем управління доступом (я не бачу способу його перевірити клієнтські сертифікати) і хто знає, які віддалені вразливості. Вимкнення його, коли я не використовую його (що є більшою частиною часу), здається розумним рішенням; додавання запису на кронтаб, щоб вимкнути його кожні п’ять-десять хвилин, призведе до тих випадків, коли хтось забуде його закрити, коли він закінчить.
Демон ssh - це версія dropbear, яка видається досить сильно модифікованою. Він читає імена користувачів та паролі простого тексту /conf/PMConfig.dat(з яких також використовується веб-сервер), реєструє будь-яке дійсне ім’я та пароль як основний користувач та ігнорує ~/.ssh/authorized_keysфайл. Ця остання проблема дратує; це змушує вас дозволяти входити в систему паролем і відкриває можливість заднього виходу на вулицю, залежно від того, звідки все, що воно отримує імена та паролі.
Отже, перед вами стоїть дилема: наскільки ви справді довіряєте цьому модифікованому демону ssh, встановленому в системі, яка була досить очевидно розроблена розробниками, що не є безпечними? Зовсім небагато, враховуючи кількість зламаних шматочків грубості, які я бачив у своїх сценаріях оболонок. Існують незвичні умови іменування (/etc/rc?.d/sshd - це симпосилання на /etc/init.d/ssh), величезна кількість коду, який, здається, не використовується, та функції лише у скрипті запуску ssh, наприклад, /conf/portcfg_sshфайл і навіть restartкоманда повністю порушені. (Не намагайтеся використовувати ці; sshd не перезавантажиться, і ви будете накручені, якщо у вас немає наявного логіна. Ми перезавантажили BMC і в кінцевому підсумку потрібно було його перезавантажити.)
Оптимальним варіантом, який я можу придумати, якщо хтось взагалі буде використовувати цю річ, - це запустити ssh на альтернативний порт, використовуючи роботу cron, так що принаймні менше шансів з'явитись у портискані.
Останнім компонентом є порти управління мережею IPMI; Я не бачу, як їх вимкнути.