netnews サーバ INN のアクセス制御

友達にいきなり「ニュースサーバの設定を変えて、アクセスできるセグメントを増やして」と言われた。ネットワークを拡張してセグメントを増やしたところ、新しいセグメントからはニュースサーバにアクセスできなくなってしまったらしい。もう管理する人がいなくなってしまったニュースサーバだけど、今でも元気に動いているので活用している、root のパスワードはわかるからなんとかしてくれと頼まれた。

- 過去の遺産のニュースサーバ

OS は FreeBSD だそうだ。ログインして uname -a してみると以下が表示された。

FreeBSD news.example.com 3.3-RELEASE FreeBSD 3.3-RELEASE #0: Thu Sep 16 23:40:35 GMT 1999    jkh@highwing.cdrom.com:/usr/src/sys/compile/GENERIC  i386

FreeBSD には疎いが、とても古いということはわかる。うーん、セキュリティアップデートなんかもずっとやってないんだろうな。良くないなー。まあ、閉じた LAN の中だけで使われてるニュースサーバだし、いいか。
newtnews サーバは INN が使われているようだ。バージョンは確かめてない。

- INN を設定する

INN なんて使ったこと無いけど、アクセス制御は inetd か INN 自体の設定かファイアウォールのどれかで実現しているんだろう。

現在のアクセス規制の種類を見極めるため該当サーバの port 119 に telnet したところ、接続はできてプロンプトが返ってくるが購読や投稿ができない。これは INN 自体のアクセス制御だな。

Googleで INN netnews 設定 を検索したところ、nnrp.access が設定ファイルだとわかった。
続いて Google で nnrp.access を検索したところ、設定例などがたくさんヒットした。これで設定できるぞ。

/usr/local/news/etc/nnrp.access に設定を記述する。

10.157.30.0 と 10.231.31.0 に、全グループの閲覧 (Read)と投稿権限 (Post) を与える。ただし、control と junk は除く。

10.157.30.*:RP:::*,!control,!junk
10.231.31.*:RP:::*,!control,!junk

- 参考

INN-2.2.2
http://ucchi.avis.ad.jp/install/inn222.html

nnrp.access

nnrp(ニュースリーダのクライアント)接続の制限を行う。書式はhost:permission:user:pass:groupsとなっており、userとpassを指定すると、パスワード認証で読み書きするように設定できる。 permissionはR(Read)とP(Post)を指定できる。groupsはワイルドカードが利用でき、単純に * とした場合はすべてのグループを意味する。
*::::!*
stdin:Read Post:::*
localhost:Read Post:::*
127.0.0.1:Read Post:::*
202.247.192.*:Read Post:::*

nnrp.access の冒頭にちゃんと説明が書いてあった。

##  $Revision: 1.3.2.1 $
##  nnrp.access - access file for on-campus NNTP sites
##  Format:
##      <host>:<perm>:<user>:<pass>:<groups>
##      <host>:</path/file>
##  Connecting host must be found in this file; the last match found is
##  used, so put defaults first.
##      <host>          Wildcard name or IP address
##      <perm>          R to read; P to post
##      <user>          Username for authentication before posting
##      <pass>          Password, for same reason
##      <groups>        Newsgroup patterns that can be read or not read
##      </path/file>    A second file to scan in the same format as this
##  To disable posting put a space in the <user> and <pass> fields, since
##  there is no way for client to enter one.
##
## Default is no access, no way to authentication, and no groups.