README.security

   1 Starting in version 0.17, tftp-hpa operates in genuine "wait" mode,
   2 which means that an in.tftpd process hangs around for some time after
   3 the last service request has arrived.  This speeds up servicing a
   4 subsequent request, which apparently has been a problem in the past,
   5 resulting in "request storms" as the client keeps retrying, resulting
   6 in multiple connections on the server which the client has already
   7 abandoned.
   8
   9 This also means that spawning tftp via tcpd is useless (in fact, this
  10 indirection seems to be part of the reason for these "request
  11 storms.")  Instead, tftp-hpa supports calling the tcpwrapper library
  12 directly.  Thus, if your /etc/inetd.conf looks like this (all on one
  13 line):
  14
  15 tftp    dgram   udp     wait    root    /usr/sbin/tcpd
  16 /usr/sbin/in.tftpd -s /tftpboot -r blksize
  17
  18 ... it's better to change to ...
  19
  20 tftp    dgram   udp     wait    root    /usr/sbin/in.tftpd
  21 in.tftpd -s /tftpboot -r blksize
  22
  23 You should make sure that you are using "wait" option in tftpd; you
  24 also need to have tftpd spawned as root in order for chroot (-s) to
  25 work.  tftpd automatically drops privilege and changes user ID to
  26 "nobody" by default; the appropriate user ID for tftpd can be
  27 specified with the -u option (e.g. "-u tftpuser").
  28
  29 If you are running a busy boot server, I would suggest to instead use
  30 kernel-based firewalling rules, and to compile tftpd without
  31 tcpwrapper support, in order to provide significantly better
  32 performance.  To do so, specify the --without-tcpwrappers option to
  33 configure when compiling; see the INSTALL.tftp file for more information.