Prosba - detailne

[Vladimir Vais]

> From:           "Jan Vanek CZU Praha" <VANEK at UVT.VSZ.CZ>
> Dobry den!
>
> Asi bych mel rozvinout minuly prispevek do trochu srozumitelne formy.
> Studentska laborator na nasi VS by potrebovala program, ktery
> umoznuje "spravci" laboratore k jednotlivym pocitacum na te urovni,
> aby mohl povolit pripojeni urciteho uzivatele na urcitem stroji pri
> jeho prichodu, pripadne pripojeni z konkretniho stroje zakazat.
> Jelikoz se jedna o starsiho sluzbukonajiciho pana, ktery do Novell
> Netware nepronikl a z bezpecnostnich duvodu nelze ani ostatnim
> sluzbukonajicim osobam sverit super heslo, zajimalo by me jestli
> nekdo udelal nebo videl nebo zna program, ktery vyse uvedene
> umoznuje. Reseni si predstavuji jeste jednou pro nazornost asi takto:
> 1. Rano prijde pan do prace spusti pocitac.
> 2. Novell zjisti, ze se prihlasuje uzivatel "spravce" z predem
> povoleneho stroje. Po zadani spravneho hesla se ze systemoveho
> login scriptu spusti _program_.
> 3. Program si osaha sit a zjisti stav na siti (kdo je prihlasen)
> 4. Objevi se jednoduche menu, ktere umozni spravci oproti prevzeti
> indexu povolit prihlaseni na pocitac (podle cisla sitovych karet...)
> 5. Vecer po ukonceni provozu se ukonci program a nasledne uzivatel
> spadne ze site. (proste logout)
> nebo tak nejak ... ;-)
>
> PS: Popravde receno, jsem na pul cesty a nechce se mi to dodelat,
> protoze ta nejvetsi prace me ceka. Mam programek, ktery v urcitych
> casovych intervalech testuje sit a zjistuje kdo se kdy pripojil a je
> prave prihlasen. Casovy interval lze s ohledem na zvysujici se
> zatizeni site prodlouzit, maximalne na 1 minutu. (S merenim jsme
> zjistili, ze v prubehu 1 minuty u nas neni mozne vytvorit super
> equivalent.)

Dobry den,
    vite, ten vas problem je docela zajimavy, ale nektere pasaze vaseho
dopisu ho ponekud znejasnuji. Napr. nechapu, co jste chtel rici posledni
vetou o tom, ze za 1 minutu neni u vas mozno vytvoritu uzivatele supervisor
equivalentniho. Aby uzivatel "spravce" mohl delat to, co si prejete, musel
by byt (domnivam se) supervisor equivalentni. A pokud uz takovy je, muze si
pak vytvorit supervisor eq. kohokoliv chce, v tom mu asi nezabranite; a
muze mu to trvat treba pul hodiny.
    Zakaz prihlasovani pro vsechny z urcite stanice je take vec osemetna.
Pokud se nepletu, tak vy muzete naopak nastavovat, odkud se uzivatel smi
prihlasit a ne odkud ne. V podstate byste asi musel vsem lidem, zavedenym v
siti, nastavit, odkud se nalogovat mohou (tzn. seznam vsech stanic v cele
skole krome tech zakazanych - temer nadlidsky ukol, ktery by musel ten vas
programek delat pokazde, kdyz by nekdo prisel se svym veselym indexem, ze
si chce na pet minut zasitovat.)
    Me napadlo lepsi reseni. Budete ale potrebovat, aby nekde porad bezel
program, ktery vam toho vaseho spravce bude hlidat. Budto nekde vyhradite v
nedobytne mistnosti jedno pisicko, nebo si napisete modul (NLM). Cely
system by fungoval takhle: Spravce se naloguje, pricemz se mu z login
scriptu spusti ten vas programek, ktery bude fungovat tak, ze bude
odstrelovat nepovolene stanice. Proste stanice, ze kterych je momentalne
zakazano logovat se, budou vzdy odstreleny (na konzoli serveru se to myslim
dela prikazem clear connection nebo klavesou Del v modulu Monitor) pomoci
toho vaseho spravcovskeho programku. Ten vas programek bude ale muset take
kazdou chvili posilat neco tomu nedobytnemu pisidlu, ktere bude vlastne
spravce hlidat, aby nespoustel nic jineho, nez ten program, tzn. pokud od
spravcova programu neprijde v danem casovem intervalu impuls, bude zpravce
take odpojen, takze zacne-li se spravce nekde hrabat v sysconu, aby nekomu
pridelil nadstandardni opravneni a podobne, tezko asi bude moci posilat
impulzy hlidacimu pocitaci a ten ho za to odstreli, takze spravce nebude
mit sanci delat neco jineho, nez co ma. Pokud se nenaloguje, ale
jen attachne, program sice vubec nespusti, ale hlidaci pc ho hned
vycmucha a teke odstreli. Intervaly impulzu ale musi byt dostatecne kratke,
aby v prodleve mezi jednotlivymi intervaly spravce nestihnul hlidaci pc
odpojit, pokud by se mu to povedlo, mohl by si delat neomezene dlouho, co
by chtel. U NLM by asi tento problem nehrozil.
    Nicmene, toto reseni mi pripada znacne neohrabane a celkem neefektivni.
Obetovala by se na nej dve pisidla, ktera by se mohla vyuzit rozumneji,
napr. nabidnout je studentum k pouzivani. Pak take nechapu, jak vas muze
takovyhle problem trapit. Pokud totiz ucebna nema rozlohu fotbaloveho
hriste, minimalne deset vchodu, vnitrni struktura se nepodoba bludisti, ve
kterem neni z jednoho mista videt vic jak dva pocitace najednou a
nema alespon 100 pocitacu, zvladne to snad normalni clovek uhlidat.

Omlouvam se vsem, ktere jsem timto prispevkem otravil, ale bylo mi lito
posilat tak dlouhy dopis pouze panu Vankovi. Ucinnost me prace se jiste
zvysi, kdyz si ji precte vic lidi; to vi kazdy fyzik - napr. ja.

                                    Mejte se pekne.

                                                    Vladimir Vais