PC en diskless, droit root requis pour utiliser ping

Support Debian
#1

Bonjour,

J’ai un PC qui boot par le réseau. Quand je lance ping, j’ai toujours ce message qui apparaît :

┌ (gilles@Stardust + 0) (28/06/16 - 8:29:24) (0.46 - 15%) (~) └% ping almtesh.net ping: icmp open socket: Operation not permitted
Cette commande retourne 2.
Quelques infos sur le système :

┌ (gilles@Stardust + 0) (28/06/16 - 8:53:23) (0.68 - 17%) (~) └% ls -l $(which ping) -rwxr-xr-x 1 root root 44K nov. 8 2014 /bin/ping ┌ (gilles@Stardust + 0) (28/06/16 - 8:53:31) (0.73 - 17%) (~) └% lsb_release -a No LSB modules are available. Distributor ID: Debian Description: Debian GNU/Linux 8.5 (jessie) Release: 8.5 Codename: jessie ┌ (gilles@Stardust + 0) (28/06/16 - 8:53:48) (0.73 - 17%) (~) └% uname -a Linux Stardust 3.16.0-4-amd64 #1 SMP Debian 3.16.7-ckt25-2 (2016-04-08) x86_64 GNU/Linux
Quelqu’un sait d’où ça vient ?

#2

Vu qu’apparemment ce n’est pas un problème de droit d’exécution de ping, est-ce qu’un pare-feu pourrait te bloquer ? Même si étant donné que root peut pinger, il faudrait imaginer que cette restriction réseau ne s’appliquerait qu’à ton user (ce qui me paraît étrange, mais je ne connais pas toutes les subtilités des pare-feux).

Édit : tu as un autre user (non-root) pour tester ?

#3

L’émission et la réception de paquets ICMP demande des privilèges spéciaux. Traditionnellement, l’exécutable /bin/ping a le bit SUID (s) pour s’exécuter avec les privileges root. Or on voit que ce n’est pas le cas chez toi. Une autre possibilité est de positionner la “capacité” (capability) CAP_NET_ADMIN sur le fichier, cf. getcap et setcap.

#5

Je crois que c’est ça le problème, mon ordinateur étant sans disque, le / est monté en NFSv3 et ça ne gère pas les “capacités”.

Du coup, il faut que je mette le SUID. Je me demandais, c’est pas un peu moche ou problématique :

  • Est-ce que le fait d’exécuter tout le temps ping en tant que root ne pose pas un problème de sécurité ?
  • Est-ce que le fait qu’il faille les droit root ne poserait pas problème à d’autres programmes ?
  • Est-ce qu’il a un moyen de régler la capacité de l’executable en changeant, par exemple, les options du montage / ?