home *** CD-ROM | disk | FTP | other *** search
/ PC World 1999 August / PCWorld_1999-08_cd.bin / doc / HOWTO / NIS-HOWTO < prev    next >
Text File  |  1999-03-21  |  48KB  |  1,651 lines
  1.   The Linux NIS(YP)/NYS/NIS+ HOWTO
  2.   Thorsten Kukuk
  3.   v1.0, 9 March 1999
  4.  
  5.   This document describes how to configure Linux as NIS(YP) or NIS+
  6.   client and how to install as NIS server.
  7.   ______________________________________________________________________
  8.  
  9.   Table of Contents
  10.  
  11.  
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.  
  19.  
  20.  
  21.  
  22.  
  23.  
  24.  
  25.  
  26.  
  27.  
  28.  
  29.  
  30.  
  31.  
  32.  
  33.  
  34.  
  35.  
  36.  
  37.  
  38.  
  39.  
  40.  
  41.  
  42.  
  43.  
  44.  
  45.  
  46.  
  47.  
  48.  
  49.  
  50.  
  51.  
  52.  
  53.  
  54.  
  55.  
  56.  
  57.  
  58.  
  59.  
  60.  
  61.  
  62.  
  63.  
  64.  
  65.  
  66.  
  67.   1. Introduction
  68.  
  69.      1.1 New Versions of this Document
  70.      1.2 Disclaimer
  71.      1.3 Feedback and Corrections
  72.      1.4 Acknowledgements
  73.  
  74.   2. Glossary and General Information
  75.  
  76.      2.1 Glossary of Terms
  77.      2.2 Some General Information
  78.  
  79.   3. NIS, NYS or NIS+ ?
  80.  
  81.      3.1 libc 4/5 with traditional NIS or NYS ?
  82.      3.2 glibc 2 and NIS/NIS+
  83.      3.3 NIS or NIS+ ?
  84.  
  85.   4. How it works
  86.  
  87.      4.1 How NIS works
  88.      4.2 How NIS+ works
  89.  
  90.   5. The RPC Portmapper
  91.  
  92.   6. What do you need to set up NIS?
  93.  
  94.      6.1 Determine whether you are a Server, Slave or Client.
  95.      6.2 The Software
  96.      6.3 The ypbind daemon
  97.      6.4 Setting up a NIS Client using Traditional NIS
  98.      6.5 Setting up a NIS Client using NYS
  99.      6.6 Setting up a NIS Client using glibc 2.x
  100.      6.7 The nsswitch.conf File
  101.      6.8 Shadow Passwords with NIS
  102.         6.8.1 Linux
  103.         6.8.2 Solaris
  104.         6.8.3 PAM
  105.  
  106.   7. What do you need to set up NIS+ ?
  107.  
  108.      7.1 The Software
  109.      7.2 Setting up a NIS+ client
  110.      7.3 NIS+, keylogin, login and PAM
  111.      7.4 The nsswitch.conf File
  112.  
  113.   8. Setting up a NIS Server
  114.  
  115.      8.1 The Server Program ypserv
  116.      8.2 The Server Program yps
  117.      8.3 The Program rpc.ypxfrd
  118.      8.4 The Program rpc.yppasswdd
  119.  
  120.   9. Verifying the NIS/NYS Installation
  121.  
  122.   10. Common Problems and Troubleshooting NIS
  123.  
  124.   11. Frequently Asked Questions
  125.  
  126.  
  127.  
  128.   ______________________________________________________________________
  129.  
  130.  
  131.  
  132.  
  133.   1.  Introduction
  134.  
  135.   More and more, Linux machines are installed as part of a network of
  136.   computers. To simplify network administration, most networks (mostly
  137.   Sun-based networks) run the Network Information Service. Linux
  138.   machines can take full advantage of existing NIS service or provide
  139.   NIS service themselves. Linux machines can also act as full NIS+
  140.   clients, this support is in beta stage.
  141.  
  142.   This document tries to answer questions about setting up NIS(YP) and
  143.   NIS+ on your Linux machine. Don't forget to read the section ``The RPC
  144.   Portmapper''.
  145.  
  146.   The NIS-Howto is edited and maintained by
  147.  
  148.  
  149.  
  150.                Thorsten Kukuk, <kukuk@suse.de>
  151.  
  152.  
  153.  
  154.  
  155.   The primary source of the information for the initial NIS-Howto was
  156.   from:
  157.  
  158.  
  159.  
  160.        Andrea Dell'Amico       <adellam@ZIA.ms.it>
  161.        Mitchum DSouza          <Mitch.DSouza@NetComm.IE>
  162.        Erwin Embsen            <erwin@nioz.nl>
  163.        Peter Eriksson          <peter@ifm.liu.se>
  164.  
  165.  
  166.  
  167.  
  168.   who we should thank for writing the first versions of this document.
  169.  
  170.  
  171.   1.1.  New Versions of this Document
  172.  
  173.   You can always view the latest version of this document on the World
  174.   Wide Web via the URL http://www.suse.de/~kukuk/linux/HOWTO/NIS-
  175.   HOWTO.html <http://www.suse.de/~kukuk/linux/HOWTO/NIS-HOWTO.html>.
  176.  
  177.   New versions of this document will also be uploaded to various Linux
  178.   WWW and FTP sites, including the LDP home page.
  179.  
  180.   Links to translations of this document could be found at
  181.   http://www.suse.de/~kukuk/linux/nis-howto.html
  182.   <http://www.suse.de/~kukuk/linux/nis-howto.html>.
  183.  
  184.   1.2.  Disclaimer
  185.  
  186.   Although this document has been put together to the best of my
  187.   knowledge it may, and probably does contain errors. Please read any
  188.   README files that are bundled with any of the various pieces of
  189.   software described in this document for more detailed and accurate
  190.   information. I will attempt to keep this document as error free as
  191.   possible.
  192.  
  193.  
  194.   1.3.  Feedback and Corrections
  195.  
  196.   If you have questions or comments about this document, please feel
  197.   free to mail Thorsten Kukuk, at kukuk@suse.de. I welcome any
  198.   suggestions or criticisms. If you find a mistake with this document,
  199.   please let me know so I can correct it in the next version. Thanks.
  200.  
  201.   Please do not mail me questions about special problems with your Linux
  202.   Distribution! I don't know every Linux Distribution. But I will try to
  203.   add every solution you send me.
  204.  
  205.  
  206.   1.4.  Acknowledgements
  207.  
  208.   We would like to thank all the people who have contributed (directly
  209.   or indirectly) to this document. In alphabetical order:
  210.  
  211.  
  212.  
  213.        Byron A Jeff            <byron@cc.gatech.edu>
  214.        Markus Rex              <msrex@suse.de>
  215.        Miquel van Smoorenburg  <miquels@cistron.nl>
  216.  
  217.  
  218.  
  219.  
  220.   Theo de Raadt is responsible for the original yp-clients code.  Swen
  221.   Thuemmler ported the yp-clients code to Linux and also ported the yp-
  222.   routines in libc (again based on Theo's work).  Thorsten Kukuk has
  223.   written the NIS(YP) and NIS+ routines for GNU libc 2.x from scratch.
  224.  
  225.  
  226.   2.  Glossary and General Information
  227.  
  228.   2.1.  Glossary of Terms
  229.  
  230.   In this document a lot of acronyms are used. Here are the most
  231.   important acronyms and a brief explanation:
  232.  
  233.  
  234.      DBM
  235.         DataBase Management, a library of functions which maintain key-
  236.         content pairs in a data base.
  237.  
  238.  
  239.      DLL
  240.         Dynamically Linked Library, a library linked to an executable
  241.         program at run-time.
  242.  
  243.  
  244.      domainname
  245.         A name "key" that is used by NIS clients to be able to locate a
  246.         suitable NIS server that serves that domainname key. Please note
  247.         that this does not necessarily have anything at all to do with
  248.         the DNS "domain" (machine name) of the machine(s).
  249.  
  250.  
  251.      FTP
  252.         File Transfer Protocol, a protocol used to transfer files
  253.         between two computers.
  254.  
  255.  
  256.      libnsl
  257.         Name services library, a library of name service calls
  258.         (getpwnam, getservbyname, etc...) on SVR4 Unixes. GNU libc uses
  259.         this for the NIS (YP) and NIS+ functions.
  260.  
  261.  
  262.      libsocket
  263.         Socket services library, a library for the socket service calls
  264.         (socket, bind, listen, etc...) on SVR4 Unixes.
  265.      NIS
  266.         Network Information Service, a service that provides
  267.         information, that has to be known throughout the network, to all
  268.         machines on the network. There is support for NIS in Linux's
  269.         standard libc library, which in the following text is referred
  270.         to as "traditional NIS".
  271.  
  272.  
  273.      NIS+
  274.         Network Information Service (Plus :-), essentially NIS on
  275.         steroids. NIS+ is designed by Sun Microsystems Inc. as a
  276.         replacement for NIS with better security and better handling of
  277.         _large_ installations.
  278.  
  279.  
  280.      NYS
  281.         This is the name of a project and stands for NIS+, YP and Switch
  282.         and is managed by Peter Eriksson <peter@ifm.liu.se>. It contains
  283.         among other things a complete reimplementation of the NIS (= YP)
  284.         code that uses the Name Services Switch functionality of the NYS
  285.         library.
  286.  
  287.  
  288.      NSS
  289.         Name Service Switch. The /etc/nsswitch.conf file determines the
  290.         order of lookups performed when a certain piece of information
  291.         is requested.
  292.  
  293.  
  294.      RPC
  295.         Remote Procedure Call. RPC routines allow C programs to make
  296.         procedure calls on other machines across the network.  When
  297.         people talk about RPC they most often mean the Sun RPC variant.
  298.  
  299.  
  300.      YP Yellow Pages(tm), a registered trademark in the UK of British
  301.         Telecom plc.
  302.  
  303.  
  304.      TCP-IP
  305.         Transmission Control Protocol/Internet Protocol. It is the data
  306.         communication protocol most often used on Unix machines.
  307.  
  308.  
  309.  
  310.   2.2.  Some General Information
  311.  
  312.   The next four lines are quoted from the Sun(tm) System & Network
  313.   Administration Manual:
  314.  
  315.  
  316.  
  317.            "NIS was formerly known as Sun Yellow Pages (YP) but
  318.             the name Yellow Pages(tm) is a registered trademark
  319.             in the United Kingdom of British Telecom plc and may
  320.             not be used without permission."
  321.  
  322.  
  323.  
  324.  
  325.   NIS stands for Network Information Service. Its purpose is to provide
  326.   information, that has to be known throughout the network, to all
  327.   machines on the network. Information likely to be distributed by NIS
  328.   is:
  329.  
  330.  
  331.   ╖  login names/passwords/home directories (/etc/passwd)
  332.  
  333.   ╖  group information (/etc/group)
  334.  
  335.   If, for example, your password entry is recorded in the NIS passwd
  336.   database, you will be able to login on all machines on the network
  337.   which have the NIS client programs running.
  338.  
  339.   Sun is a trademark of Sun Microsystems, Inc. licensed to SunSoft, Inc.
  340.  
  341.  
  342.  
  343.   3.  NIS, NYS or NIS+ ?
  344.  
  345.   3.1.  libc 4/5 with traditional NIS or NYS ?
  346.  
  347.   The choice between "traditional NIS" or the NIS code in the NYS
  348.   library is a choice between laziness and maturity vs. flexibility and
  349.   love of adventure.
  350.  
  351.   The "traditional NIS" code is in the standard C library and has been
  352.   around longer and sometimes suffers from its age and slight
  353.   inflexibility.
  354.  
  355.   The NIS code in the NYS library requires you to recompile the libc
  356.   library to include the NYS code into it (or maybe you can get a
  357.   precompiled version of libc from someone who has already done it).
  358.  
  359.   Another difference is that the traditional NIS code has some support
  360.   for NIS Netgroups, which the NYS code doesn't. On the other hand the
  361.   NYS code allows you to handle Shadow Passwords in a transparent way.
  362.   The "traditonal NIS" code doesn't support Shadow Passwords over NIS.
  363.  
  364.  
  365.   3.2.  glibc 2 and NIS/NIS+
  366.  
  367.   Forgot all this if you use the new GNU C Library 2.x (aka libc6). It
  368.   has real NSS (name switch service) support, which makes it very
  369.   flexible, and contains support for the following NIS/NIS+ maps:
  370.   aliases, ethers, group, hosts, netgroups, networks, protocols,
  371.   publickey, passwd, rpc, services and shadow. The GNU C Library has no
  372.   problems with shadow passwords over NIS.
  373.  
  374.  
  375.   3.3.  NIS or NIS+ ?
  376.  
  377.   The choice between NIS and NIS+ is easy - use NIS if you don't have to
  378.   use NIS+ or have severe security needs. NIS+ is _much_ more
  379.   problematic to administer (it's pretty easy to handle on the client
  380.   side, but the server side is horrible). Another problem is that the
  381.   support for NIS+ under Linux is still under developement - you need
  382.   the latest glibc 2.1.  There is an unsupported port of the glibc NIS+
  383.   support for libc5 as dropin replacement.
  384.  
  385.  
  386.  
  387.   4.  How it works
  388.  
  389.   4.1.  How NIS works
  390.  
  391.   Within a network there must be at least one machine acting as a NIS
  392.   server. You can have multiple NIS servers, each serving different NIS
  393.   "domains" - or you can have cooperating NIS servers, where one is the
  394.   master NIS server, and all the other are so-called slave NIS servers
  395.   (for a certain NIS "domain", that is!) - or you can have a mix of
  396.   them...
  397.   Slave servers only have copies of the NIS databases and receive these
  398.   copies from the master NIS server whenever changes are made to the
  399.   master's databases.  Depending on the number of machines in your
  400.   network and the reliability of your network, you might decide to
  401.   install one or more slave servers.  Whenever a NIS server goes down or
  402.   is too slow in responding to requests, a NIS client connected to that
  403.   server will try to find one that is up or faster.
  404.  
  405.   NIS databases are in so-called DBM format, derived from ASCII
  406.   databases.  For example, the files /etc/passwd and /etc/group can be
  407.   directly converted to DBM format using ASCII-to-DBM translation
  408.   software ("makedbm", included with the server software). The master
  409.   NIS server should have both, the ASCII databases and the DBM
  410.   databases.
  411.  
  412.   Slave servers  will be notified of any change to the NIS maps, (via
  413.   the "yppush" program), and automatically retrieve the necessary
  414.   changes in order to synchronize their databases. NIS clients do not
  415.   need to do this since they always talk to the NIS server to read the
  416.   information stored in it's DBM databases.
  417.  
  418.   Old ypbind versions do a broadcast to find a running NIS server.  This
  419.   is insecure, due the fact that anyone may install a NIS server and
  420.   answer the broadcast queries. Newer Versions of ypbind (ypbind-3.3 or
  421.   ypbind-mt) are able to get the server from a configuration file - thus
  422.   no need to broadcast.
  423.  
  424.  
  425.   4.2.  How NIS+ works
  426.  
  427.   NIS+ is a new version of the network information nameservice from Sun.
  428.   The biggest difference between NIS and NIS+ is that NIS+ has support
  429.   for data encryption and authentication over secure RPC.
  430.  
  431.   The  naming  model of NIS+ is based upon a tree structure. Each node
  432.   in the tree corresponds to an NIS+ object, from which we have six
  433.   types: directory, entry, group, link, table and private.
  434.  
  435.   The NIS+ directory that forms the root of the NIS+ namespace is called
  436.   the root directory. There are two special NIS+ directories: org_dir
  437.   and groups_dir. The org_dir directory consists of all administration
  438.   tables, such as passwd, hosts, and mail_aliases. The groups_dir
  439.   directory consists of NIS+ group objects which are used for access
  440.   control. The collection of org_dir, groups_dir and their parent
  441.   directory is referred to as an NIS+ domain.
  442.  
  443.  
  444.   5.  The RPC Portmapper
  445.  
  446.   To run any of the software mentioned below you will need to run the
  447.   program /usr/sbin/portmap. Some Linux distributions already have the
  448.   code in the /sbin/init.d/ or /etc/rc.d/ files to start up this daemon.
  449.   All you have to do is to activate it and reboot your Linux machine.
  450.   Read your Linux Distribution Documentation how to do this.
  451.  
  452.   The RPC portmapper (portmap(8)) is a server that converts RPC program
  453.   numbers into TCP/IP (or UDP/IP) protocol port numbers. It must be
  454.   running in order to make RPC calls (which is what the NIS/NIS+ client
  455.   software does) to RPC servers (like a NIS or NIS+ server) on that
  456.   machine.  When an RPC server is started, it will tell portmap what
  457.   port number it is listening to, and what RPC program numbers it is
  458.   prepared to serve.  When a client wishes to make an RPC call to a
  459.   given program number, it will first contact portmap on the server
  460.   machine to determine the port number where RPC packets should be sent.
  461.  
  462.  
  463.   Normally, standard RPC servers are started by inetd(8), so portmap
  464.   must be running before inetd is started.
  465.  
  466.   For secure RPC, the portmapper needs the Time service. Make sure, that
  467.   the Time service is enabled in /etc/inetd.conf on all hosts:
  468.  
  469.  
  470.        #
  471.        # Time service is used for clock syncronization.
  472.        #
  473.        time    stream  tcp     nowait  root    internal
  474.        time    dgram   udp     wait    root    internal
  475.  
  476.  
  477.  
  478.  
  479.   IMPORTANT: Don't forget to restart inetd after changes on its
  480.   configuration file !
  481.  
  482.  
  483.  
  484.   6.  What do you need to set up NIS?
  485.  
  486.   6.1.  Determine whether you are a Server, Slave or Client.
  487.  
  488.   To answer this question you have to consider two cases:
  489.  
  490.  
  491.   1. Your machine is going to be part of a network with existing NIS
  492.      servers
  493.  
  494.   2. You do not have any NIS servers in the network yet
  495.  
  496.   In the first case, you only need the client programs (ypbind, ypwhich,
  497.   ypcat, yppoll, ypmatch). The most important program is ypbind. This
  498.   program must be running at all times, which means, it should always
  499.   appear in the list of processes. It is a daemon process and needs to
  500.   be started from the system's startup file (eg. /etc/init.d/nis,
  501.   /sbin/init.d/ypclient, /etc/rc.d/init.d/ypbind, /etc/rc.local).  As
  502.   soon as ypbind is running your system has become a NIS client.
  503.  
  504.   In the second case, if you don't have NIS servers, then you will also
  505.   need a NIS server program (usually called ypserv). Section ``Setting
  506.   up a NIS Server''  describes how to set up a NIS server on your Linux
  507.   machine using the "ypserv" implementation by Peter Eriksson and
  508.   Thorsten Kukuk.  Note that from version 0.14 this implementation
  509.   supports the master-slave concept talked about in section 4.1.
  510.  
  511.   There is also another free NIS server available, called "yps", written
  512.   by Tobias Reber in Germany which does support the master-slave
  513.   concept, but has other limitations and isn't supported since a long
  514.   time.
  515.  
  516.  
  517.  
  518.   6.2.  The Software
  519.  
  520.   The system library "/usr/lib/libc.a" (version 4.4.2 and better) or the
  521.   shared library "/lib/libc.so.x" contain all necessary system calls to
  522.   succesfully compile the NIS client and server software. For the GNU C
  523.   Library 2 (glibc 2.x), you also need /lib/libnsl.so.1.
  524.  
  525.   Some people reported that NIS only works with "/usr/lib/libc.a"
  526.   version 4.5.21 and better so if you want to play it safe don't use
  527.   older libc's.  The NIS client software can be obtained from:
  528.  
  529.          Site                  Directory                        File Name
  530.  
  531.          ftp.kernel.org        /pub/linux/utils/net/NIS         yp-tools-2.2.tar.gz
  532.          ftp.kernel.org        /pub/linux/utils/net/NIS         ypbind-mt-1.4.tar.gz
  533.          ftp.kernel.org        /pub/linux/utils/net/NIS         ypbind-3.3.tar.gz
  534.          ftp.kernel.org        /pub/linux/utils/net/NIS         ypbind-3.3-glibc5.diff.gz
  535.          ftp.uni-paderborn.de  /linux/local/yp                  yp-clients-2.2.tar.gz
  536.  
  537.  
  538.  
  539.  
  540.   Once you obtained the software, please follow the instructions which
  541.   come with the software. yp-clients 2.2 are for use with libc4 and
  542.   libc5 until 5.4.20. libc 5.4.21 and glibc 2.x needs yp-tools 1.4.1 or
  543.   later.  The new yp-tools 2.2 should work with every Linux libc. Since
  544.   there was a bug in the NIS code, you shouldn't use libc 5.4.21-5.4.35.
  545.   Use libc 5.4.36 or later instead, or the most YP programs will not
  546.   work.  ypbind 3.3 will work with all libraries, too. If you use gcc
  547.   2.8.x or greater, egcs or glibc 2.x, you should add the
  548.   ypbind-3.3-glibc5.diff patch to ypbind 3.3. Please never use the
  549.   ypbind from yp-clients 2.2.  ypbind-mt is a new, multithreaded daemon.
  550.   It needs a Linux 2.2 kernel, and glibc 2.1 or later.
  551.  
  552.  
  553.   6.3.  The ypbind daemon
  554.  
  555.   After you have succesfully compiled the software you are now ready to
  556.   install it. A suitable place for the ypbind daemon is the directory
  557.   /usr/sbin. Some people may tell you that you don't need ypbind on a
  558.   system with NYS. This is wrong. ypwhich and ypcat need it always.
  559.  
  560.   You must do this as root of course. The other binaries (ypwhich,
  561.   ypcat, yppasswd, yppoll, ypmatch) should go in a directory accessible
  562.   by all users, normally /usr/bin.
  563.  
  564.   Newer ypbind versions have a configuration file called /etc/yp.conf.
  565.   You can hardcode a NIS server there - for more info see the manual
  566.   page for ypbind(8).  You also need this file for NYS.  An example:
  567.  
  568.  
  569.          ypserver voyager
  570.          ypserver defiant
  571.          ypserver ds9
  572.  
  573.  
  574.  
  575.  
  576.   If the system cam resolv the hostnames without NIS, you may use the
  577.   name, otherwise you have to use the IP address. ypbind 3.3 has a bug
  578.   and will only use the last entry (ypserver ds9 in the example). All
  579.   other entries are ignored. ypbind-mt handle this correct and uses that
  580.   one, which answerd at first.
  581.  
  582.   It might be a good idea to test ypbind before  incorporating it in the
  583.   startup files. To test ypbind do the following:
  584.  
  585.  
  586.   ╖  Make sure you have your YP-domain name set. If it is not set then
  587.      issue the command:
  588.  
  589.  
  590.  
  591.                    /bin/domainname nis.domain
  592.  
  593.  
  594.  
  595.   where nis.domain should be some string _NOT_ normally associated with
  596.   the DNS-domain name of your machine! The reason for this is that it
  597.   makes it a little harder for external crackers to retreive the pass¡
  598.   word database from your NIS servers. If you don't know what the NIS
  599.   domain name is on your network, ask your system/network administrator.
  600.  
  601.   ╖  Start up "/usr/sbin/portmap" if it is not already running.
  602.  
  603.   ╖  Create the directory "/var/yp" if it does not exist.
  604.  
  605.   ╖  Start up "/usr/sbin/ypbind"
  606.  
  607.   ╖  Use the command "rpcinfo -p localhost" to check if ypbind was able
  608.      to register its service with the portmapper. The output should look
  609.      like:
  610.  
  611.  
  612.  
  613.               program vers proto   port
  614.                100000    2   tcp    111  portmapper
  615.                100000    2   udp    111  portmapper
  616.                100007    2   udp    637  ypbind
  617.                100007    2   tcp    639  ypbind
  618.  
  619.  
  620.  
  621.  
  622.  
  623.  
  624.   or
  625.  
  626.  
  627.  
  628.               program vers proto   port
  629.                100000    2   tcp    111  portmapper
  630.                100000    2   udp    111  portmapper
  631.                100007    2   udp    758  ypbind
  632.                100007    1   udp    758  ypbind
  633.                100007    2   tcp    761  ypbind
  634.                100007    1   tcp    761  ypbind
  635.  
  636.  
  637.  
  638.  
  639.  
  640.  
  641.   Depending on the ypbind version you are using.
  642.  
  643.   ╖  You may also run "rpcinfo -u localhost ypbind". This command should
  644.      produce something like:
  645.  
  646.  
  647.  
  648.                program 100007 version 2 ready and waiting
  649.  
  650.  
  651.  
  652.  
  653.  
  654.  
  655.   or
  656.  
  657.  
  658.  
  659.  
  660.  
  661.           program 100007 version 1 ready and waiting
  662.           program 100007 version 2 ready and waiting
  663.  
  664.  
  665.  
  666.  
  667.  
  668.  
  669.   The output depends on the ypbind version you have installed.  Impor¡
  670.   tant is only the "version 2" message.
  671.  
  672.   At this point you should be able to use NIS client programs like
  673.   ypcat, etc...  For example, "ypcat passwd.byname" will give you the
  674.   entire NIS password database.
  675.  
  676.   IMPORTANT: If you skipped the test procedure then make sure you have
  677.   set the domain name, and created the directory
  678.  
  679.  
  680.  
  681.            /var/yp
  682.  
  683.  
  684.  
  685.  
  686.   This directory MUST exist for ypbind to start up succesfully.
  687.  
  688.   To check if the domainname is set correct, use the /bin/ypdomainname
  689.   from yp-tools 2.2. It uses the yp_get_default_domain() function which
  690.   is more restrict. It doesn't allow for example the "(none)"
  691.   domainname, which is the default under Linux and makes a lot of
  692.   problems.
  693.  
  694.   If the test worked you may now want to change your startupd files so
  695.   that ypbind will be started at boot time and your system will act as a
  696.   NIS client. Make sure that the domainname will be set before you start
  697.   ypbind.
  698.  
  699.   Well, that's it. Reboot the machine and watch the boot messages to see
  700.   if ypbind is actually started.
  701.  
  702.  
  703.  
  704.   6.4.  Setting up a NIS Client using Traditional NIS
  705.  
  706.   For host lookups you must set (or add) "nis" to the lookup order line
  707.   in your /etc/host.conf file. Please read the manpage "resolv+.8" for
  708.   more details.
  709.  
  710.   Add the following line to /etc/passwd on your NIS clients:
  711.  
  712.  
  713.  
  714.        +::::::
  715.  
  716.  
  717.  
  718.  
  719.   You can also use the + and - characters to include/exclude or change
  720.   users. If you want to exclude the user guest just add -guest to your
  721.   /etc/passwd file.  You want to use a different shell (e.g. ksh) for
  722.   the user "linux"?  No problem, just add "+linux::::::/bin/ksh"
  723.   (without the quotes) to your /etc/passwd. Fields that you don't want
  724.   to change have to be left empty. You could also use Netgroups for user
  725.   control.
  726.  
  727.   For example, to allow login-access only to miquels, dth and ed, and
  728.   all members of the sysadmin netgroup, but to have the account data of
  729.   all other users available use:
  730.  
  731.  
  732.  
  733.              +miquels:::::::
  734.              +ed:::::::
  735.              +dth:::::::
  736.              +@sysadmins:::::::
  737.              -ftp
  738.              +:*::::::/etc/NoShell
  739.  
  740.  
  741.  
  742.  
  743.   Note that in Linux you can also override the password field, as we did
  744.   in this example. We also remove the login "ftp", so it isn't known any
  745.   longer, and anonymous ftp will not work.
  746.  
  747.   The netgroup would look like
  748.  
  749.  
  750.        sysadmins (-,software,) (-,kukuk,)
  751.  
  752.  
  753.  
  754.  
  755.   IMPORTANT: The netgroup  feature is implemented starting from libc
  756.   4.5.26.  If you have a version of libc earlier than 4.5.26, every user
  757.   in the NIS password database can access your linux machine if you run
  758.   "ypbind" !
  759.  
  760.  
  761.  
  762.   6.5.  Setting up a NIS Client using NYS
  763.  
  764.   All that is required is that the NIS configuration file (/etc/yp.conf)
  765.   points to the correct server(s) for its information.  Also, the Name
  766.   Services Switch configuration file (/etc/nsswitch.conf) must be
  767.   correctly set up.
  768.  
  769.   You should install ypbind. It isn't needed by the libc, but the
  770.   NIS(YP) tools need it.
  771.  
  772.   If you wish to use the include/exclude user feature
  773.   (+/-guest/+@admins), you have to use "passwd: compat" and "group:
  774.   compat" in nsswitch.conf.  Note that there is no "shadow: compat"! You
  775.   have to use "shadow: files nis" in this case.
  776.  
  777.   The NYS sources are part of the libc 5 sources. When run configure,
  778.   say the first time "NO" to the "Values correct" question, then say
  779.   "YES" to "Build a NYS libc from nys".
  780.  
  781.  
  782.   6.6.  Setting up a NIS Client using glibc 2.x
  783.  
  784.   The glibc uses "traditional NIS", so you need to start ypbind. The
  785.   Name Services Switch configuration file (/etc/nsswitch.conf) must be
  786.   correctly set up. If you use the compat mode for passwd, shadow or
  787.   group, you have to add the "+" at the end of this files and you can
  788.   use the include/exclude user feature. The configuration is excatly the
  789.   same as under Solaris 2.x.
  790.  
  791.  
  792.  
  793.   6.7.  The nsswitch.conf File
  794.  
  795.   The Network Services switch file /etc/nsswitch.conf determines the
  796.   order of lookups performed when a certain piece of information is
  797.   requested, just like the /etc/host.conf file which determines the way
  798.   host lookups are performed. For example, the line
  799.  
  800.  
  801.  
  802.            hosts: files nis dns
  803.  
  804.  
  805.  
  806.  
  807.   specifies that host lookup functions should first look in the local
  808.   /etc/hosts file, followed by a NIS lookup and finally through the
  809.   domain name service (/etc/resolv.conf and named), at which point if no
  810.   match is found an error is returned. This file must be readable for
  811.   every user! You can find more information in the man-page nsswitch.5
  812.   or nsswitch.conf.5.
  813.  
  814.   A good /etc/nsswitch.conf file for NIS is:
  815.  
  816.  
  817.  
  818.  
  819.  
  820.  
  821.  
  822.  
  823.  
  824.  
  825.  
  826.  
  827.  
  828.  
  829.  
  830.  
  831.  
  832.  
  833.  
  834.  
  835.  
  836.  
  837.  
  838.  
  839.  
  840.  
  841.  
  842.  
  843.  
  844.  
  845.  
  846.  
  847.  
  848.  
  849.  
  850.  
  851.  
  852.  
  853.  
  854.  
  855.  
  856.  
  857.  
  858.  
  859.   #
  860.   # /etc/nsswitch.conf
  861.   #
  862.   # An example Name Service Switch config file. This file should be
  863.   # sorted with the most-used services at the beginning.
  864.   #
  865.   # The entry '[NOTFOUND=return]' means that the search for an
  866.   # entry should stop if the search in the previous entry turned
  867.   # up nothing. Note that if the search failed due to some other reason
  868.   # (like no NIS server responding) then the search continues with the
  869.   # next entry.
  870.   #
  871.   # Legal entries are:
  872.   #
  873.   #       nisplus                 Use NIS+ (NIS version 3)
  874.   #       nis                     Use NIS (NIS version 2), also called YP
  875.   #       dns                     Use DNS (Domain Name Service)
  876.   #       files                   Use the local files
  877.   #       db                      Use the /var/db databases
  878.   #       [NOTFOUND=return]       Stop searching if not found so far
  879.   #
  880.  
  881.   passwd:     compat
  882.   group:      compat
  883.   # For libc5, you must use shadow: files nis
  884.   shadow:     compat
  885.  
  886.   passwd_compat: nis
  887.   group_compat: nis
  888.   shadow_compat: nis
  889.  
  890.   hosts:      nis files dns
  891.  
  892.   services:   nis [NOTFOUND=return] files
  893.   networks:   nis [NOTFOUND=return] files
  894.   protocols:  nis [NOTFOUND=return] files
  895.   rpc:        nis [NOTFOUND=return] files
  896.   ethers:     nis [NOTFOUND=return] files
  897.   netmasks:   nis [NOTFOUND=return] files
  898.   netgroup:   nis
  899.   bootparams: nis [NOTFOUND=return] files
  900.   publickey:  nis [NOTFOUND=return] files
  901.   automount:  files
  902.   aliases:    nis [NOTFOUND=return] files
  903.  
  904.  
  905.  
  906.  
  907.   passwd_compat, group_compat and shadow_compat are only supported by
  908.   glibc 2.x.  If there are no shadow rules in /etc/nsswitch.conf, glibc
  909.   will use the passwd rule for lookups. There are some more lookup
  910.   module for glibc like hesoid.  For more information, read the glibc
  911.   documentation.
  912.  
  913.  
  914.   6.8.  Shadow Passwords with NIS
  915.  
  916.   Shadow passwords over NIS are always a bad idea. You loose the
  917.   security, which shadow gives you, and it is supported by only some few
  918.   Linux C Libraries. A good way to avoid shadow passwords over NIS is,
  919.   to put only the local system users in /etc/shadow. Remove the NIS user
  920.   entries from the shadow database, and put the password back in passwd.
  921.   So you can use shadow for the root login, and normal passwd for NIS
  922.   user. This has the advantage that it will work with every NIS client.
  923.  
  924.  
  925.   6.8.1.  Linux
  926.  
  927.   The only Linux libc which supports shadow passwords over NIS, is the
  928.   GNU C Library 2.x. Linux libc5 has no support for it. Linux libc5
  929.   compiled with NYS enabled has some code for it. But this code is badly
  930.   broken in some cases and doesn't work with all correct shadow entries.
  931.  
  932.  
  933.   6.8.2.  Solaris
  934.  
  935.   Solaris does not support shadow passwords over NIS.
  936.  
  937.  
  938.   6.8.3.  PAM
  939.  
  940.   PAM does not support Shadow passwords over NIS, especially
  941.   pam_pwdb/libpwdb. This is a big problem for RedHat 5.x users. If you
  942.   have glibc and PAM, you need to change the /etc/pam.d/* entries.
  943.   Replace all pam_pwdb rules through pam_unix_* modules. Due a bug in
  944.   the pam_unix_auth.so module this will not always work.
  945.  
  946.   An example /etc/pam.d/login file looks like:
  947.  
  948.  
  949.  
  950.        #%PAM-1.0
  951.        auth       required     /lib/security/pam_securetty.so
  952.        auth       required     /lib/security/pam_unix_auth.so
  953.        auth       required     /lib/security/pam_nologin.so
  954.        account    required     /lib/security/pam_unix_acct.so
  955.        password   required     /lib/security/pam_unix_passwd.so
  956.        session    required     /lib/security/pam_unix_session.so
  957.  
  958.  
  959.  
  960.  
  961.   For auth you need to use the pam_unix_auth.so module, for account the
  962.   pam_unix_acct.so, for password the pam_unix_passwd.so and for session
  963.   the pam_unix_session.so module.
  964.  
  965.  
  966.   7.  What do you need to set up NIS+ ?
  967.  
  968.   7.1.  The Software
  969.  
  970.   The Linux NIS+ client code was developed for the GNU C library 2.
  971.   There is also a port for Linux libc5, since most commercial
  972.   Applications are linked against this library, and you cannot recompile
  973.   them for using glibc. There are problems with libc5 and NIS+: static
  974.   programs cannot be linked with it, and programs compiled with this
  975.   library will not work with other libc5 versions.
  976.  
  977.  
  978.   You need to retrieve and compile the GNU C Library 2.1 for Intel based
  979.   platforms, or GNU C Library 2.1.1 for 64bit platforms.  As base System
  980.   you need a glibc based Distribution like Debian 2.x, RedHat 5.x or
  981.   SuSE Linux 6.x.
  982.  
  983.   For every distribution, you need to recompile the gcc/g++ compiler,
  984.   libstdc++ and ncures. For Redhat, you need to make a lot of changes of
  985.   the PAM configuration. For SuSE Linux 6.0, you need to recompile the
  986.   shadow package.
  987.  
  988.   The NIS+ client software can be obtained from:
  989.  
  990.  
  991.     Site             Directory                     File Name
  992.  
  993.     ftp.funet.fi     /pub/gnu/funet                libc-*, glibc-crypt-*,
  994.                                                    glibc-linuxthreads-*
  995.     ftp.kernel.org   /pub/linux/utils/net/NIS+     nis-utils-19990223.tar.gz
  996.     ftp.kernel.org   /pub/linux/utils/net/NIS+     pam_keylogin-1.2.tar.gz
  997.  
  998.  
  999.  
  1000.  
  1001.   Distributions based on glibc can be fetched from:
  1002.  
  1003.  
  1004.          Site                   Directory
  1005.  
  1006.          ftp.debian.org         /pub/debian/dists/slink
  1007.          ftp.redhat.com         /pub/redhat/redhat-5.2
  1008.          ftp.suse.de            /pub/SuSE-Linux/6.0
  1009.  
  1010.  
  1011.  
  1012.  
  1013.   For compilation of the GNU C Library please follow the instructions
  1014.   which come with the software. You cam find the patched libc5, based on
  1015.   NYS, and the sources as drop in replacement for the standart libc5 at:
  1016.  
  1017.  
  1018.  
  1019.          Site               Directory                  File Name
  1020.  
  1021.          ftp.kernel.org     /pub/linux/utils/net/NIS+  libc-5.4.44-nsl-0.4.10.tar.gz
  1022.  
  1023.  
  1024.  
  1025.  
  1026.   You should also have a look at
  1027.   http://www.suse.de/~kukuk/linux/nisplus.html
  1028.   <http://www.suse.de/~kukuk/linux/nisplus.html> for more information
  1029.   and the latest sources.
  1030.  
  1031.  
  1032.   7.2.  Setting up a NIS+ client
  1033.  
  1034.   IMPORTANT: For setting up a NIS+ client read your Solaris NIS+ docs
  1035.   what to do on the server side! This document only describes what to do
  1036.   on the client side!
  1037.  
  1038.   After installing the new libc and nis-tools, create the credentials
  1039.   for the new client on the NIS+ server. Make sure portmap is running.
  1040.   Then check if your Linux PC has the same time as the NIS+ Server. For
  1041.   secure RPC, you have only a small window from about 3 minutes, in
  1042.   which the credentials are valid. A good idea is to run xntpd on every
  1043.   host. After this, run
  1044.  
  1045.  
  1046.  
  1047.        domainname nisplus.domain.
  1048.        nisinit -c -H <NIS+ server>
  1049.  
  1050.  
  1051.  
  1052.  
  1053.   to initialize the cold start file. Read the nisinit man page for more
  1054.   options. Make sure that the domainname will always be set after a
  1055.   reboot.  If you don't know what the NIS+ domain name is on your
  1056.   network, ask your system/network administrator.
  1057.   Now you should change your /etc/nsswitch.conf file. Make sure that the
  1058.   only service after publickey is nisplus ("publickey: nisplus"), and
  1059.   nothing else!
  1060.  
  1061.   Then start keyserv and make sure, that it will always be started as
  1062.   first daemon after portmap at boot time. Run
  1063.  
  1064.  
  1065.        keylogin -r
  1066.  
  1067.  
  1068.  
  1069.  
  1070.   to store the root secretkey on your system. (I hope you have added the
  1071.   publickey for the new host on the NIS+ Server?).
  1072.  
  1073.   "niscat passwd.org_dir" should now show you all entries in the passwd
  1074.   database.
  1075.  
  1076.  
  1077.  
  1078.   7.3.  NIS+, keylogin, login and PAM
  1079.  
  1080.   When the user logs in, he need to set his secretkey to keyserv. This
  1081.   is done by calling "keylogin". The login from the shadow package will
  1082.   do this for the user, if it was compiled against glibc 2.1. For a PAM
  1083.   aware login, you have to install pam_keylogin-1.2.tar.gz and change
  1084.   the /etc/pam.d/login file to use pam_unix_auth, not pwdb, which
  1085.   doesn't support NIS+. An example:
  1086.  
  1087.  
  1088.  
  1089.        #%PAM-1.0
  1090.        auth       required     /lib/security/pam_securetty.so
  1091.        auth       required     /lib/security/pam_keylogin.so
  1092.        auth       required     /lib/security/pam_unix_auth.so
  1093.        auth       required     /lib/security/pam_nologin.so
  1094.        account    required     /lib/security/pam_unix_acct.so
  1095.        password   required     /lib/security/pam_unix_passwd.so
  1096.        session    required     /lib/security/pam_unix_session.so
  1097.  
  1098.  
  1099.  
  1100.  
  1101.  
  1102.  
  1103.   7.4.  The nsswitch.conf File
  1104.  
  1105.   The Network Services switch file /etc/nsswitch.conf determines the
  1106.   order of lookups performed when a certain piece of information is
  1107.   requested, just like the /etc/host.conf file which determines the way
  1108.   host lookups are performed. For example, the line
  1109.  
  1110.  
  1111.  
  1112.            hosts: files nisplus dns
  1113.  
  1114.  
  1115.  
  1116.  
  1117.   specifies that host lookup functions should first look in the local
  1118.   /etc/hosts file, followed by a NIS+ lookup and finally through the
  1119.   domain name service (/etc/resolv.conf and named), at which point if no
  1120.   match is found an error is returned.
  1121.  
  1122.  
  1123.   A good /etc/nsswitch.conf file for NIS+ is:
  1124.  
  1125.  
  1126.        #
  1127.        # /etc/nsswitch.conf
  1128.        #
  1129.        # An example Name Service Switch config file. This file should be
  1130.        # sorted with the most-used services at the beginning.
  1131.        #
  1132.        # The entry '[NOTFOUND=return]' means that the search for an
  1133.        # entry should stop if the search in the previous entry turned
  1134.        # up nothing. Note that if the search failed due to some other reason
  1135.        # (like no NIS server responding) then the search continues with the
  1136.        # next entry.
  1137.        #
  1138.        # Legal entries are:
  1139.        #
  1140.        #       nisplus                 Use NIS+ (NIS version 3)
  1141.        #       nis                     Use NIS (NIS version 2), also called YP
  1142.        #       dns                     Use DNS (Domain Name Service)
  1143.        #       files                   Use the local files
  1144.        #       db                      Use the /var/db databases
  1145.        #       [NOTFOUND=return]       Stop searching if not found so far
  1146.        #
  1147.  
  1148.        passwd:     compat
  1149.        # for libc5: passwd: files nisplus
  1150.        group:      compat
  1151.        # for libc5: group: files nisplus
  1152.        shadow:     compat
  1153.        # for libc5: shadow: files nisplus
  1154.  
  1155.        passwd_compat: nisplus
  1156.        group_compat:  nisplus
  1157.        shadow_compat: nisplus
  1158.  
  1159.        hosts:      nisplus files dns
  1160.  
  1161.        services:   nisplus [NOTFOUND=return] files
  1162.        networks:   nisplus [NOTFOUND=return] files
  1163.        protocols:  nisplus [NOTFOUND=return] files
  1164.        rpc:        nisplus [NOTFOUND=return] files
  1165.        ethers:     nisplus [NOTFOUND=return] files
  1166.        netmasks:   nisplus [NOTFOUND=return] files
  1167.        netgroup:   nisplus
  1168.        bootparams: nisplus [NOTFOUND=return] files
  1169.        publickey:  nisplus
  1170.        automount:  files
  1171.        aliases:    nisplus [NOTFOUND=return] files
  1172.  
  1173.  
  1174.  
  1175.  
  1176.  
  1177.  
  1178.  
  1179.  
  1180.   8.  Setting up a NIS Server
  1181.  
  1182.   8.1.  The Server Program ypserv
  1183.  
  1184.   This document only describes how to set up the "ypserv" NIS server.
  1185.  
  1186.   The NIS server software can be found on:
  1187.  
  1188.  
  1189.          Site               Directory                    File Name
  1190.  
  1191.          ftp.kernel.org     /pub/linux/utils/net/NIS     ypserv-1.3.6.tar.gz
  1192.  
  1193.  
  1194.  
  1195.  
  1196.   You could also look at http://www.suse.de/~kukuk/linux/nis.html
  1197.   <http://www.suse.de/~kukuk/linux/nis.html> for more information.
  1198.  
  1199.   The server setup is the same for both traditional NIS and NYS.
  1200.  
  1201.   Compile the software to generate the ypserv and makedbm programs. You
  1202.   can configure ypserv to use the securenets file or the tcp_wrappers.
  1203.   The tcp_wrapper is much more flexible, but a lot of people have big
  1204.   problems with it. And some configuration files for tcp_wrappers may
  1205.   cause a memory leak. If you have problems with ypserv compiled for
  1206.   tcp_wrapper, recompile it using the securenets file.  ypserv --version
  1207.   tells you, which version you have.
  1208.  
  1209.   If you run your server as master, determine what files you require to
  1210.   be available via NIS and then add or remove the appropriate entries to
  1211.   the "all" rule in /var/yp/Makefile. You always should look at the
  1212.   Makefile and edit the Options at the beginning of the file.
  1213.  
  1214.   There was one big change between ypserv 1.1 and ypserv 1.2. Since
  1215.   version 1.2, the file handles are cached. This means you have to call
  1216.   makedbm always with the -c option if you create new maps. Make sure,
  1217.   you are using the new /var/yp/Makefile from ypserv 1.2 or later, or
  1218.   add the -c flag to makedbm in the Makefile. If you don't do that,
  1219.   ypserv will continue to use the old maps, and not the updated one.
  1220.  
  1221.   Now edit /var/yp/securenets and /etc/ypserv.conf.  For more
  1222.   information, read the ypserv(8) and ypserv.conf(5) manual pages.
  1223.  
  1224.   Make sure the portmapper (portmap(8)) is running, and start the server
  1225.   ypserv. The command
  1226.  
  1227.  
  1228.  
  1229.            % rpcinfo -u localhost ypserv
  1230.  
  1231.  
  1232.  
  1233.  
  1234.   should output something like
  1235.  
  1236.  
  1237.  
  1238.            program 100004 version 1 ready and waiting
  1239.            program 100004 version 2 ready and waiting
  1240.  
  1241.  
  1242.  
  1243.  
  1244.   The "version 1" line could be missing, depending on the ypserv version
  1245.   and configuration you are using. It is only necessary if you have old
  1246.   SunOS 4.x clients.
  1247.  
  1248.   Now generate the NIS (YP) database. On the master, run
  1249.  
  1250.  
  1251.  
  1252.            % /usr/lib/yp/ypinit -m
  1253.  
  1254.  
  1255.   On a slave make sure that ypwhich -m works. This means, that your
  1256.   slave must be configured as NIS client before you could run
  1257.  
  1258.  
  1259.            % /usr/lib/yp/ypinit -s masterhost
  1260.  
  1261.  
  1262.  
  1263.  
  1264.   to install the host as NIS slave.
  1265.  
  1266.  
  1267.   That's it, your server is up and running.
  1268.  
  1269.   If you have bigger problems, you could start ypserv and ypbind in
  1270.   debug mode on different xterms. The debug output should show you what
  1271.   goes wrong.
  1272.  
  1273.   If you need to update a map, run make in the /var/yp directory on the
  1274.   NIS master. This will update a map if the source file is newer, and
  1275.   push the files to the slave servers. Please don't use ypinit for
  1276.   updating a map.
  1277.  
  1278.   You might want to edit root's crontab *on the slave* server and add
  1279.   the following lines:
  1280.  
  1281.  
  1282.  
  1283.              20 *    * * *    /usr/lib/yp/ypxfr_1perhour
  1284.              40 6    * * *    /usr/lib/yp/ypxfr_1perday
  1285.              55 6,18 * * *    /usr/lib/yp/ypxfr_2perday
  1286.  
  1287.  
  1288.  
  1289.  
  1290.   This will ensure that most NIS maps are kept up-to-date, even if an
  1291.   update is missed because the slave was down at the time the update was
  1292.   done on the master.
  1293.  
  1294.   You can add a slave at every time later. At first, make sure that the
  1295.   new slave server has permissions to contact the NIS master. Then run
  1296.  
  1297.  
  1298.            % /usr/lib/yp/ypinit -s masterhost
  1299.  
  1300.  
  1301.  
  1302.  
  1303.   on the new slave. On the master server, add the new slave server name
  1304.   to /var/yp/ypservers and run make in /var/yp to update the map.
  1305.  
  1306.  
  1307.   If you want to restrict access for users to your NIS server, you'll
  1308.   have to setup the NIS server as a client as well by running ypbind and
  1309.   adding the plus-entries to /etc/passwd _halfway_ the password file.
  1310.   The library functions will ignore all normal entries after the first
  1311.   NIS entry, and will get the rest of the info through NIS. This way the
  1312.   NIS access rules are maintained. An example:
  1313.  
  1314.  
  1315.  
  1316.  
  1317.  
  1318.  
  1319.  
  1320.  
  1321.        root:x:0:0:root:/root:/bin/bash
  1322.        daemon:*:1:1:daemon:/usr/sbin:
  1323.        bin:*:2:2:bin:/bin:
  1324.        sys:*:3:3:sys:/dev:
  1325.        sync:*:4:100:sync:/bin:/bin/sync
  1326.        games:*:5:100:games:/usr/games:
  1327.        man:*:6:100:man:/var/catman:
  1328.        lp:*:7:7:lp:/var/spool/lpd:
  1329.        mail:*:8:8:mail:/var/spool/mail:
  1330.        news:*:9:9:news:/var/spool/news:
  1331.        uucp:*:10:50:uucp:/var/spool/uucp:
  1332.        nobody:*:65534:65534:noone at all,,,,:/dev/null:
  1333.        +miquels::::::
  1334.        +:*:::::/etc/NoShell
  1335.        [ All normal users AFTER this line! ]
  1336.        tester:*:299:10:Just a test account:/tmp:
  1337.        miquels:1234567890123:101:10:Miquel van Smoorenburg:/home/miquels:/bin/zsh
  1338.  
  1339.  
  1340.  
  1341.  
  1342.   Thus the user "tester" will exist, but have a shell of /etc/NoShell.
  1343.   miquels will have normal access.
  1344.  
  1345.   Alternatively, you could edit the /var/yp/Makefile file and set NIS to
  1346.   use another source password file. On large systems the NIS password
  1347.   and group files are usually stored in /etc/yp/. If you do this the
  1348.   normal tools to administrate the password file such as passwd, chfn,
  1349.   adduser will not work anymore and you need special homemade tools for
  1350.   this.
  1351.  
  1352.   However, yppasswd, ypchsh and ypchfn will work of course.
  1353.  
  1354.  
  1355.   8.2.  The Server Program yps
  1356.  
  1357.   To set up the "yps" NIS server please refer to the previous paragraph.
  1358.   The "yps" server setup is similar, _but_ not exactly the same so
  1359.   beware if you try to apply the "ypserv" instructions to "yps"!  "yps"
  1360.   is not supported by any author, and contains some security leaks.  You
  1361.   really shouldn't use it !
  1362.  
  1363.   The "yps" NIS server software can be found on:
  1364.  
  1365.  
  1366.  
  1367.          Site                  Directory                   File Name
  1368.  
  1369.          ftp.lysator.liu.se    /pub/NYS/servers            yps-0.21.tar.gz
  1370.          ftp.kernel.org        /pub/linux/utils/net/NIS    yps-0.21.tar.gz
  1371.  
  1372.  
  1373.  
  1374.  
  1375.  
  1376.   8.3.  The Program rpc.ypxfrd
  1377.  
  1378.   rpc.ypxfrd is used for speed up the transfer of very large NIS  maps
  1379.   from a NIS master to NIS slave servers. If a NIS slave server receives
  1380.   a message that there is  a  new map,  it  will  start  ypxfr  for
  1381.   transfering the new map.  ypxfr will read the contents of  a  map
  1382.   from  the  master server  using the yp_all() function. This process
  1383.   can take several minutes when there are very large maps which  have to
  1384.   store by the database library.
  1385.  
  1386.  
  1387.   The  rpc.ypxfrd  server  speeds up the transfer process by allowing
  1388.   NIS slave  servers  to  simply  copy  the  master server's  map  files
  1389.   rather  than building their own from scratch.  rpc.ypxfrd uses an RPC-
  1390.   based file transfer  protocol, so that there is no need for building a
  1391.   new map.
  1392.  
  1393.  
  1394.   rpc.ypxfrd can be started by inetd. But since it starts very slow, it
  1395.   should be started with ypserv. You need to start rpc.ypxfrd only on
  1396.   the NIS master server.
  1397.  
  1398.  
  1399.   8.4.  The Program rpc.yppasswdd
  1400.  
  1401.   Whenever users change their passwords, the NIS password database and
  1402.   probably other NIS databases, which depend on the NIS password
  1403.   database, should be updated.  The program "rpc.yppasswdd" is a server
  1404.   that handles password changes and makes sure that the NIS information
  1405.   will be updated accordingly. rpc.yppasswdd is now integrated in
  1406.   ypserv. You don't need the older, separate yppasswd-0.9.tar.gz or
  1407.   yppasswd-0.10.tar.gz, and you shouldn't use them any longer. The
  1408.   rpc.yppasswdd in ypserv 1.3.2 has full shadow support. yppasswd is now
  1409.   part of yp-tools-2.2.tar.gz.
  1410.  
  1411.   You need to start rpc.yppasswdd only on the NIS master server. By
  1412.   default, users are not allowed to change their full name or the login
  1413.   shell.  You can allow this with the -e chfn or -e chsh option.
  1414.  
  1415.   If your passwd and shadow files are not in another directory then
  1416.   /etc, you need to add the -D option. For example, if you have put all
  1417.   source files in /etc/yp and wish to allow the user to change his
  1418.   shell, you need to start rpc.yppasswdd with the following parameters:
  1419.  
  1420.  
  1421.  
  1422.           rpc.yppasswdd -D /etc/yp -e chsh
  1423.  
  1424.  
  1425.  
  1426.  
  1427.   or
  1428.  
  1429.  
  1430.  
  1431.           rpc.yppasswdd -s /etc/yp/shadow -p /etc/yp/passwd -e chsh
  1432.  
  1433.  
  1434.  
  1435.  
  1436.   There is nothing more to do. You just need to make sure, that
  1437.   rpc.yppasswdd uses the same files as /var/yp/Makefile.  Errors will be
  1438.   logged using syslog.
  1439.  
  1440.  
  1441.   9.  Verifying the NIS/NYS Installation
  1442.  
  1443.   If everything is fine (as it should be), you should be able to verify
  1444.   your installation with a few simple commands. Assuming, for example,
  1445.   your passwd file is being supplied by NIS, the command
  1446.  
  1447.  
  1448.  
  1449.            % ypcat passwd
  1450.  
  1451.  
  1452.  
  1453.   should give you the contents of your NIS passwd file. The command
  1454.  
  1455.  
  1456.  
  1457.            % ypmatch userid passwd
  1458.  
  1459.  
  1460.  
  1461.  
  1462.   (where userid is the login name of an arbitrary user) should give you
  1463.   the user's entry in the NIS passwd file. The "ypcat" and "ypmatch"
  1464.   programs should be included with your distribution of traditional NIS
  1465.   or NYS.
  1466.  
  1467.   If a user cannot log in, run the following program on the client:
  1468.  
  1469.  
  1470.        #include <stdio.h>
  1471.        #include <pwd.h>
  1472.        #include <sys/types.h>
  1473.  
  1474.        int
  1475.        main(int argc, char *argv[])
  1476.        {
  1477.          struct passwd *pwd;
  1478.  
  1479.          if(argc != 2)
  1480.            {
  1481.              fprintf(stderr,"Usage: getwpnam username\n");
  1482.              exit(1);
  1483.            }
  1484.  
  1485.          pwd=getpwnam(argv[1]);
  1486.  
  1487.          if(pwd != NULL)
  1488.            {
  1489.              printf("name.....: [%s]\n",pwd->pw_name);
  1490.              printf("password.: [%s]\n",pwd->pw_passwd);
  1491.              printf("user id..: [%d]\n", pwd->pw_uid);
  1492.              printf("group id.: [%d]\n",pwd->pw_gid);
  1493.              printf("gecos....: [%s]\n",pwd->pw_gecos);
  1494.              printf("directory: [%s]\n",pwd->pw_dir);
  1495.              printf("shell....: [%s]\n",pwd->pw_shell);
  1496.            }
  1497.          else
  1498.            fprintf(stderr,"User \"%s\" not found!\n",argv[1]);
  1499.  
  1500.          exit(0);
  1501.        }
  1502.  
  1503.  
  1504.  
  1505.  
  1506.   Running this program with the username as parameter will print all the
  1507.   information the getpwnam function gives back for this user. This
  1508.   should show you which entry is incorrect. The most common problem is,
  1509.   that the password field is overwritten with a "*".
  1510.  
  1511.   GNU C Library 2.1 (glibc 2.1) comes with a tool called getent. Use
  1512.   this program instead the above on such a system. You could try:
  1513.  
  1514.  
  1515.           getent passwd
  1516.  
  1517.  
  1518.  
  1519.   or
  1520.  
  1521.  
  1522.           getent passwd login
  1523.  
  1524.  
  1525.  
  1526.  
  1527.  
  1528.   10.  Common Problems and Troubleshooting NIS
  1529.  
  1530.   Here are some common problems reported by various users:
  1531.  
  1532.  
  1533.   1. The libraries for 4.5.19 are broken. NIS won't work with it.
  1534.  
  1535.   2. If you upgrade the libraries from 4.5.19 to 4.5.24 then the su
  1536.      command breaks. You need to get the su command from the slackware
  1537.      1.2.0 distribution. Incidentally that's where you can get the
  1538.      updated libraries.
  1539.  
  1540.   3. When a NIS server goes down and comes up again ypbind starts
  1541.      complaining with messages like:
  1542.  
  1543.  
  1544.               yp_match: clnt_call:
  1545.                           RPC: Unable to receive; errno = Connection refused
  1546.  
  1547.  
  1548.  
  1549.  
  1550.   and logins are refused for those who are registered in the NIS
  1551.   database. Try to login as root and kill ypbind and start it up again.
  1552.   An update to ypbind 3.3 or higher should also help.
  1553.  
  1554.   4. After upgrading the libc to a version greater then 5.4.20, the YP
  1555.      tools will not work any longer. You need yp-tools 1.2 or later for
  1556.      libc >= 5.4.21 and glibc 2.x. For earlier libc version you need yp-
  1557.      clients 2.2. yp-tools 2.x should work for all libraries.
  1558.  
  1559.   5. In libc 5.4.21 - 5.4.35 yp_maplist is broken, you need 5.4.36 or
  1560.      later, or some YP programs like ypwhich will segfault.
  1561.  
  1562.   6. libc 5 with traditional NIS doesn't support shadow passwords over
  1563.      NIS.  You need libc5 + NYS or glibc 2.x.
  1564.  
  1565.   7. ypcat shadow doesn't show the shadow map. This is correct, the name
  1566.      of the shadow map is shadow.byname, not shadow.
  1567.  
  1568.   8. Solaris doesn't use always privileged ports. So don't use password
  1569.      mangling if you have a Solaris client.
  1570.  
  1571.  
  1572.  
  1573.   11.  Frequently Asked Questions
  1574.  
  1575.   Most of your questions should be answered by now. If there are still
  1576.   questions unanswered you might want to post a message to
  1577.  
  1578.  
  1579.  
  1580.            comp.os.linux.networking
  1581.  
  1582.  
  1583.  
  1584.  
  1585.  
  1586.  
  1587.  
  1588.  
  1589.  
  1590.  
  1591.  
  1592.  
  1593.  
  1594.  
  1595.  
  1596.  
  1597.  
  1598.  
  1599.  
  1600.  
  1601.  
  1602.  
  1603.  
  1604.  
  1605.  
  1606.  
  1607.  
  1608.  
  1609.  
  1610.  
  1611.  
  1612.  
  1613.  
  1614.  
  1615.  
  1616.  
  1617.  
  1618.  
  1619.  
  1620.  
  1621.  
  1622.  
  1623.  
  1624.  
  1625.  
  1626.  
  1627.  
  1628.  
  1629.  
  1630.  
  1631.  
  1632.  
  1633.  
  1634.  
  1635.  
  1636.  
  1637.  
  1638.  
  1639.  
  1640.  
  1641.  
  1642.  
  1643.  
  1644.  
  1645.  
  1646.  
  1647.  
  1648.  
  1649.  
  1650.  
  1651.