k5start – Online in der Cloud

PROGRAMM:

NAME/FUNKTION

k5start – Besorgen Sie sich ein Kerberos-Ticket und halten Sie es optional aktiv

ZUSAMMENFASSUNG

k5start [-abFhLnPqstvx] [-c der pid Datei] [-f Schlüsselband]
[-g Gruppe] [-H Minuten] [-I Instanz]
[-i Auftraggeber Instanz] [-K Minuten] [-k Ticket Cache-Speicher]
[-l Zeit Schnur] [-m Modus] [-o Eigentümer]
[-p pid Datei] [-r Reich] [-S Name]
[-u Auftraggeber Haupt-] [Haupt- [Befehl ...]]

k5start -U -f Schlüsselband [-abFhLnPqstvx] [-c der pid Datei]
[-g Gruppe] [-H Minuten] [-I Instanz]
[-K Minuten] [-k Ticket Cache-Speicher] [-l Zeit Schnur]
[-m Modus] [-o Eigentümer] [-p pid Datei]
[-r Reich] [-S Name] [Befehl ...]

BESCHREIBUNG

k5start ruft ein anfängliches Kerberos-Ticket-Genehmigungsticket für einen Prinzipal ab und speichert es zwischen.
k5start kann alternativ zu . verwendet werden gut, aber es ist in erster Linie für die Verwendung durch gedacht
Programme, die eine Schlüsseltabelle verwenden möchten, um Kerberos-Anmeldeinformationen abzurufen, z. B. ein Webserver
der sich bei einem anderen Dienst authentifizieren muss, beispielsweise einem LDAP-Server.

Normalerweise sollte als erster der Auftraggeber angegeben werden, für den die Tickets ausgestellt werden sollen
Argument. Haupt- kann entweder nur ein Prinzipalname sein (einschließlich der optionalen Instanz)
oder eine vollständige Principal- und Realm-Zeichenfolge. Der -u und -i Alternativ können Optionen genutzt werden
Mechanismus zur Angabe des Prinzipals, sind aber im Allgemeinen nicht so praktisch. Wenn nein
„principal“ wird entweder als erstes Argument oder als Argument für angegeben -u Option, die
Der Client-Prinzipal verwendet standardmäßig den Unix-Benutzernamen des ausführenden Benutzers k5start im Standard
lokales Reich.

Optional kann ein Befehl in der Befehlszeile von eingegeben werden k5start. Wenn ja, lautet dieser Befehl
nach der Kerberos-Authentifizierung ausführen (und ausführen). Aklog falls gewünscht), mit den entsprechenden
Umgebungsvariablen werden so eingestellt, dass sie auf den richtigen Ticket-Cache verweisen. k5start wird dann
Laufen Sie weiter und wachen Sie regelmäßig auf, um die Anmeldeinformationen etwas früher zu aktualisieren
ablaufen, bis der Befehl abgeschlossen ist. (Die Häufigkeit, mit der es zur Aktualisierung aufwacht
Anmeldeinformationen können weiterhin mit dem gesteuert werden -K Option.) Um in diesem Modus ausgeführt zu werden, muss die
Principal muss entweder als reguläres Befehlszeilenargument oder über angegeben werden -U
Möglichkeit; das -u und -i Optionen dürfen nicht verwendet werden. Außerdem muss eine Schlüsseltabelle mit angegeben werden -f
um einen bestimmten Befehl auszuführen.

Der Befehl wird nicht über die Shell ausgeführt. Wenn Sie also Shell-Metazeichen verwenden möchten
Geben Sie dem Befehl mit seiner besonderen Bedeutung „sh -c“ ein Befehl" als Befehl zum Ausführen von und
Angebot! Befehl.

Wenn der Befehl Befehlszeilenoptionen (wie „-c“) enthält, fügen Sie -- in die Befehlszeile ein
vor dem Beginn des Befehls zum Erzählen k5start um diese Optionen nicht als eigene zu analysieren.

Wenn Sie einen Befehl ausführen, k5start gibt HUP-, TERM-, INT- und QUIT-Signale an das Kind weiter
Prozess und wird nicht beendet, wenn diese Signale empfangen werden. (Wenn das ausgebreitete Signal
bewirkt, dass der untergeordnete Prozess beendet wird, k5start wird dann beendet.) Dies ermöglicht k5start reagieren
ordnungsgemäß, wenn es unter einem Befehlsüberwachungssystem wie z. B. ausgeführt wird starte es(8) oder svscan(8) das
Verwendet Signale, um überwachte Befehle zu steuern und interaktive Befehle auszuführen, die ausgeführt werden sollen
erhalten Sie Strg-C.

Wenn ein Laufen k5start Wenn ein Ticket ein ALRM-Signal empfängt, wird der Ticket-Cache sofort aktualisiert
unabhängig davon, ob die Gefahr besteht, dass sie abläuft.

If k5start wird mit einem Befehl oder dem ausgeführt -K Flagge und die -x Flagge wird nicht gegeben, sie bleibt bestehen
Versuchen Sie es auch dann, wenn die Erstauthentifizierung fehlschlägt. Es wird die Erstauthentifizierung erneut versucht
sofort und dann mit exponentiellem Backoff auf einmal pro Minute und versuchen Sie es so lange
Die Authentifizierung ist erfolgreich oder wird abgebrochen. Der Befehl, falls vorhanden, wird erst gestartet
Die Authentifizierung ist erfolgreich.

OPTIONAL

-a Beim Ausführen mit entweder dem -K Flag oder ein Befehl, Tickets immer jedes Mal erneuern k5start
wacht auf. Ohne diese Option, k5start wird nur so oft versuchen, ein Ticket zu erneuern
notwendig, um den Ablauf des Tickets zu verhindern. Mit dieser Option, k5start wird erneuert
Tickets entsprechend dem mit dem angegebenen Intervall -K Flagge.

Dieses Verhalten hätte wahrscheinlich das Standardverhalten von sein sollen -K. Der Standardwert war
nicht geändert, um Änderungen für bestehende Benutzer zu vermeiden, aber für neue Anwendungen sollten Sie dies berücksichtigen
immer im Einsatz -a mit -K.

Diese Option ist wichtig, wenn ein anderes Programm den Ticket-Cache manipuliert
k5start benutzt. Zum Beispiel, wenn ein anderes Programm ein Ticket automatisch verlängert
häufiger als k5start und dann k5start Ich werde nie ein Ticket sehen, das in der Nähe ist
läuft ab und wird daher standardmäßig nie versuchen, das Ticket zu erneuern. Das heisst
zur Verbesserung der Gesundheitsgerechtigkeit k5start wird AFS-Token auch niemals erneuern, selbst wenn die -t Option wurde gegeben, da
k5start erneuert AFS-Token erst, nachdem ein Ticket erfolgreich erneuert wurde. Wenn diese Option
wird in einer solchen Situation angegeben, k5start erneuert sein Ticket bei jeder Kontrolle
das Ticket, sodass AFS-Token erneuert werden.

Dieses Argument ist nur in Kombination mit beiden gültig -K oder ein Befehl zum Ausführen.

-b Trennen Sie nach dem Start die Verbindung zum steuernden Terminal und führen Sie es im Hintergrund aus. Das
Option ist nur in Kombination mit sinnvoll -K oder ein Befehl, der k5start wird sein
läuft und kann nur verwendet werden, wenn eine Schlüsseltabelle mit angegeben wird -f. k5start wird nicht
Hintergrund selbst, bis er einmal versucht hat, sich zu authentifizieren, sodass alle Initialen vorhanden sind
Fehler werden gemeldet, die Ausgabe wird dann aber umgeleitet / dev / null und nein
Nachfolgende Fehler werden gemeldet.

Wenn dieses Flag angegeben ist, k5start ändert auch die Verzeichnisse in „/“. Alle Pfade (z
B. einen auszuführenden Befehl oder eine PID-Datei) sollte daher absolut angegeben werden, nicht
relativ, Pfade.

Wenn es in Verbindung mit einem auszuführenden Befehl verwendet wird, wird dieser Befehl auch im ausgeführt
Hintergrund und seine Ein- und Ausgabe werden ebenfalls umgeleitet / dev / null. Es wird
Sie müssen etwaige Fehler über einen anderen Mechanismus melden, damit die Fehler angezeigt werden.

Beachten Sie, dass unter Mac OS -b
Die Flagge wird getrennt k5start aus dem vorhandenen Ticket-Cache. Beim Benutzen -b in
Verbindung mit -K Unter Mac OS X möchten Sie wahrscheinlich auch das verwenden -k Flag, das angegeben werden soll
eine Ticket-Cache-Datei und erzwingen die Verwendung eines Datei-Cache.

Wenn Sie diese Option verwenden, sollten Sie auch die Verwendung in Betracht ziehen -L zu berichten, k5start Fehler im Syslog.

-c der pid Datei
Speichern Sie die Prozess-ID (PID) des untergeordneten Prozesses in der pid Datei. der pid Datei is
erstellt, wenn es nicht existiert, und überschrieben, wenn es existiert. Diese Option ist nur
zulässig, wenn ein Befehl in der Befehlszeile gegeben wurde, und ist in Verbindung damit am nützlichsten
mit -b um die Verwaltung des laufenden untergeordneten Prozesses zu ermöglichen.

Beachten Sie, dass bei Verwendung mit -b, die PID-Datei wird danach ausgeschrieben k5start is
im Hintergrund und ändert sein Arbeitsverzeichnis in /, also relative Pfade für die PID
Die Datei wird relativ zu sein / (wahrscheinlich nicht das, was Sie wollen).

-F Erhalten Sie keine weiterleitbaren Tickets, auch wenn die lokale Konfiguration eine Weiterleitung vorschreibt
Tickets standardmäßig. Ohne diese Flagge, k5start macht, was auch immer die Standardeinstellung der Bibliothek ist.

-f Schlüsselband
Authentifizieren Sie sich mithilfe der Schlüsseltabelle Schlüsselband anstatt nach einem Passwort zu fragen. Ein Schlüssel für die
Der Auftraggeber des Kunden muss anwesend sein Schlüsselband.

-g Gruppe
Nachdem Sie den Ticket-Cache erstellt haben, ändern Sie dessen Gruppeneigentum in Gruppe, die sein kann
entweder der Name einer Gruppe oder eine numerische Gruppen-ID. Ticket-Caches werden mit 0600 erstellt
Berechtigungen standardmäßig, so dass dies keine nützliche Wirkung hat, sofern es nicht mit verwendet wird -m.

-H Minuten
Suchen Sie nach einem Happy-Ticket, d. h. einem Ticket mit einer Restlaufzeit von mindestens
Minuten Protokoll. Wenn ein solches Ticket gefunden wird, versuchen Sie nicht, sich zu authentifizieren. Stattdessen,
Führen Sie einfach den Befehl aus (falls einer angegeben wurde) oder beenden Sie ihn sofort mit Status 0 (falls keiner angegeben wurde).
War). Versuchen Sie andernfalls, ein neues Ticket zu erhalten, und führen Sie dann ggf. den Befehl aus.

If -H wird verwendet mit -t, wird das externe Programm immer ausgeführt, auch wenn ein Ticket mit a
Es wurde eine ausreichende Restlebensdauer gefunden.

If -H wird verwendet mit -K, k5start wird nicht sofort beendet. Stattdessen wird das angegebene
Die verbleibende Lebensdauer ersetzt den Standardwert von zwei Minuten, was bedeutet, dass k5start
stellt bei jedem Aufwachen sicher, dass das Ticket eine verbleibende Lebensdauer hat
Minuten Streit. Dies ist eine Alternative zu -a um sicherzustellen, dass Tickets immer eine haben
bestimmte minimale verbleibende Lebenszeit.

-h Anzeigen einer Nutzungsmeldung und Beenden.

-I Instanz
Der Instanzteil des Dienstprinzipals. Der Standardwert ist der Standardbereich von
Die Maschine. Beachten Sie, dass es sich im Gegensatz zum Client-Prinzipal um einen nicht standardmäßigen Dienst-Prinzipal handelt
muss mit angegeben werden -I und -S; Man kann den Instanzteil nicht als Teil von bereitstellen
das Argument zu -S.

-i Auftraggeber Instanz
Gibt den Instanzteil des Prinzipals an. Diese Option macht keinen Sinn
außer in Kombination mit -u. Beachten Sie, dass die Instanz als Teil von angegeben werden kann
Benutzername durch die normale Konvention, einen Schrägstrich und dann die Instanz anzuhängen, also
Man muss diese Option niemals nutzen.

-K Minuten
Im Daemon-Modus ausführen, um ein Ticket auf unbestimmte Zeit am Leben zu halten. Das Programm erwacht danach wieder
Minuten Minuten, prüft, ob das Ticket vor oder weniger als zwei Minuten abläuft
nach der nächsten geplanten Kontrolle und erhält bei Bedarf ein neues Ticket. (Mit anderen Worten, es
stellt sicher, dass das Ticket immer eine Restlaufzeit von mindestens zwei Jahren hat
Minuten.) Wenn die -H Wenn auch ein Flag angegeben ist, ersetzt die darin angegebene Lebensdauer die beiden
Minutenvorgabe.

Wenn diese Option nicht angegeben ist, aber ein Befehl in der Befehlszeile eingegeben wurde, ist dies die Standardeinstellung
Das Intervall beträgt 60 Minuten (1 Stunde).

Wenn beim Aktualisieren des Ticket-Cache ein Fehler auftritt, beträgt das Aktivierungsintervall
auf eine Minute verkürzt und der Vorgang in diesem Intervall so lange wiederholt
Fehler bleibt bestehen.

-k Ticket Cache-Speicher
Verwenden Sie die Ticket Cache-Speicher als Ticket-Cache und nicht als Inhalt der Umgebung
Variable KRB5CCNAME oder der Bibliotheksstandard. Ticket Cache-Speicher kann ein beliebiger Ticket-Cache sein
Bezeichner, der von den zugrunde liegenden Kerberos-Bibliotheken erkannt wird. Dies unterstützt im Allgemeinen a
Pfad zu einer Datei, mit oder ohne führende „FILE:“-Zeichenfolge, kann aber auch andere unterstützen
Ticket-Cache-Typen.

Wenn einer von -o, -g, oder -m sind gegeben, Ticket Cache-Speicher muss entweder ein einfacher Pfad zu einer Datei sein
oder beginnen Sie mit „FILE:“ oder „WRFILE:“.

-L Melden Sie Meldungen sowohl an Syslog als auch an die Standardausgabe oder den Standardfehler. Alle
Nachrichten werden mit der Funktion LOG_DAEMON protokolliert. Regelmäßige Meldungen, die angezeigt werden
auf der Standardausgabe werden mit der Ebene LOG_NOTICE protokolliert. Fehler, die nicht verursachen k5start
zu beendende Ereignisse werden mit der Stufe LOG_WARNING protokolliert. Schwerwiegende Fehler werden mit Level protokolliert
LOG_ERR.

Dies ist beim Debuggen von Problemen in Kombination mit nützlich -b.

-l Zeit Schnur
Legen Sie die Gültigkeitsdauer des Tickets fest. Zeit Schnur sollte in einem Format vorliegen, das von Kerberos erkannt wird
Bibliotheken zur Angabe von Zeiten, etwa „10h“ (zehn Stunden) oder „10m“ (zehn Minuten).
Bekannte Einheiten sind „s“, „m“, „h“ und „d“. Weitere Informationen finden Sie unter gut(1).

-m Modus
Nachdem Sie den Ticket-Cache erstellt haben, ändern Sie dessen Dateiberechtigungen in Modus, das muss a . sein
Dateimodus in Oktal (z. B. 640 oder 444).

Einstellen eines Modus das erlaubt nicht k5start um den Ticket-Cache zu lesen oder zu schreiben
Ursache k5start bei Verwendung von fehlschlagen und beendet werden -K Option oder Ausführen eines Befehls.

-n Ignoriert, aus Kompatibilitätsgründen mit der inzwischen veralteten Option vorhanden k4start.

-o Eigentümer
Nachdem Sie den Ticket-Cache erstellt haben, ändern Sie dessen Besitzer in Eigentümer, was entweder sein kann
der Name eines Benutzers oder eine numerische Benutzer-ID. Wenn Eigentümer ist der Name eines Benutzers und -g wurde
Wenn dies nicht ebenfalls angegeben ist, ändern Sie auch den Gruppeneigentum am Ticket-Cache auf den Standardwert
Gruppe für diesen Benutzer.

-P Erhalten Sie keine Proxy-Tickets, selbst wenn in der lokalen Konfiguration angegeben ist, dass Sie Proxy-fähig werden sollen
Tickets standardmäßig. Ohne diese Flagge, k5start macht, was auch immer die Standardeinstellung der Bibliothek ist.

-p pid Datei
Speichern Sie die Prozess-ID (PID) des laufenden Prozesses k5start verarbeiten in pid Datei. pid Datei is
erstellt, wenn es nicht existiert, und überschrieben, wenn es existiert. Diese Option ist am meisten
nützlich in Verbindung mit -b um die Verwaltung des Laufs zu ermöglichen k5start Daemon.

Beachten Sie, dass bei Verwendung mit -b Die PID-Datei wird anschließend ausgeschrieben k5start ist im Hintergrund
und ändert sein Arbeitsverzeichnis in /, daher sind die relativen Pfade für die PID-Datei
relativ zu / (wahrscheinlich nicht das, was Sie wollen).

-q Ruhig. Unterdrückt das Drucken der anfänglichen Bannermeldung, die besagt, was Kerberos ist
Haupttickets werden abgerufen, und unterdrückt auch die Passwortabfrage, wenn
-s Option gegeben ist.

-r Reich
Der Bereich für den Dienstprinzipal. Dies ist standardmäßig der lokale Standardbereich.

-S Name
Gibt den Auftraggeber an, für den k5start bekommt ein Serviceticket. Der Standard
Der Wert ist „krbtgt“, um ein Ticket-gewährendes Ticket zu erhalten. Diese Option (zusammen mit -I)
kann verwendet werden, wenn nur Zugriff auf einen einzelnen Dienst benötigt wird. Beachten Sie, dass im Gegensatz zum Client
Für beide muss ein nicht standardmäßiger Dienstprinzipal angegeben werden -S und -I; einer
Der Instanzteil kann nicht als Teil des Arguments bereitgestellt werden -S.

-s Lesen Sie das Passwort aus der Standardeingabe. Dadurch wird die normale Passwortabfrage umgangen,
Das bedeutet, dass das Echo nicht unterdrückt wird und die Eingabe nicht zwangsweise von der Steuerung erfolgen muss
Terminal. Die meisten Verwendungen dieser Option stellen ein Sicherheitsrisiko dar. Normalerweise möchten Sie a verwenden
Keytab und die -f Option statt.

-t Führen Sie ein externes Programm aus, nachdem Sie ein Ticket erhalten haben. Die Standardverwendung hierfür ist die Ausführung
Aklog um einen Token zu bekommen. Wenn die Umgebungsvariable KINIT_PROG gesetzt ist, überschreibt sie die
Standardmäßig kompiliert.

If k5start wurde mit AFS erstellt setpag() Unterstützung und ein Befehl wurden erteilt
Befehlszeile, k5start erstellt eine neue PAG, bevor AFS-Tokens erhalten werden. Ansonsten,
Es erhält Token in der aktuellen PAG.

-U Anstatt die Angabe des Authentifizierungsprinzipals in der Befehlszeile zu verlangen, lesen Sie
es aus der mit angegebenen Schlüsseltabelle -f. Der Auftraggeber wird vom ersten übernommen
Eintrag im Keytab. -f muss angegeben werden, wenn diese Option verwendet wird.

Wann -U gegeben ist, k5start erwartet nicht, dass im Befehl ein Hauptname angegeben wird
Zeile und alle Argumente nach den Optionen werden als auszuführender Befehl verwendet.

-u Auftraggeber Haupt-
Dies gibt den Prinzipal an, als der Anmeldeinformationen erhalten werden sollen. Der gesamte Auftraggeber kann sein
hier angegeben werden, alternativ kann hier auch nur der erste Teil angegeben werden
Flag und die mit angegebene Instanz -i.

Beachten Sie, dass es normalerweise keinen Grund gibt, dieses Flag zu verwenden, anstatt einfach das anzugeben
Principal in der Befehlszeile als erstes reguläres Argument ein.

-v Seien Sie ausführlich. Dadurch werden einige zusätzliche Informationen darüber ausgedruckt, was gerade passiert
versucht und was die Ergebnisse sind.

-x Bei jedem Fehler sofort beenden. Normalerweise beim Ausführen eines Befehls oder beim Ausführen mit dem
-K Option, k5start läuft auch dann weiter, wenn der Ticket-Cache nicht aktualisiert werden kann
Versuchen Sie es beim nächsten Prüfintervall erneut. Mit dieser Option, k5start wird stattdessen beendet.

RÜCKKEHR WERTE

Das Programm wird mit dem Status 0 beendet, wenn es erfolgreich ein Ticket erhält oder ein glückliches Ticket hat
(sehen -H). Wenn k5start führt aklog oder ein anderes Programm aus k5start gibt den Exit-Status von zurück
dieses Programm.

BEISPIEL

Verwenden Sie das /etc/krb5.keytab keytab, um ein Ticket zur Gewährung eines Tickets für den Auftraggeber zu erhalten
host/example.com und fügt den Ticket-Cache ein /tmp/service.tkt. Die Lebensdauer beträgt 10 Stunden
und das Programm wacht alle 10 Minuten auf, um zu prüfen, ob das Ticket bald abläuft.

k5start -k /tmp/service.tkt -f /etc/krb5.keytab -K 10 -l 10h \
host/example.com

Machen Sie dasselbe, verwenden Sie jedoch den Standard-Ticket-Cache und führen Sie den Befehl aus
/usr/local/bin/auth-backup. k5start wird weiter ausgeführt, bis der Befehl beendet ist. Wenn
Wenn die Erstauthentifizierung fehlschlägt, versuchen Sie es weiter und starten Sie den Befehl erst, wenn die Authentifizierung abgeschlossen ist
gelingt es. Dies könnte während des Systemstarts für einen Befehl verwendet werden, der gültig sein muss
Tickets vor dem Start, und duldet es, sie zu haben k5start beginnen, bevor das Netzwerk ist
komplett eingerichtet.

k5start -f /etc/krb5.keytab -K 10 -l 10h host/example.com \
/usr/local/bin/auth-backup

Zeigt die Berechtigungen der von erstellten temporären Cache-Datei an k5start:

k5start -f /etc/krb5.keytab host/example.com \
-- sh -c 'ls -l $KRB5CCNAME'

Beachten Sie das „--“ vor dem Befehl zum Beibehalten k5start vom Parsen des „-c“ als sein eigenes
.

Machen Sie dasselbe, aber bestimmen Sie den Prinzipal anhand der Schlüsseltabelle:

k5start -f /etc/krb5.keytab -U -- sh -c 'ls -l $KRB5CCNAME'

Beachten Sie, dass vor dem Befehl kein Principal angegeben wird.

Beginnt k5start als Daemon unter Verwendung von Debian Start-Stop-Daemon Managementprogramm. Das ist
die Art von Zeile, die man in ein Debian-Init-Skript einfügen könnte:

start-stop-daemon --start --pidfile /var/run/k5start.pid \
--exec /usr/local/bin/k5start -- -b -p /var/run/k5start.pid \
-f /etc/krb5.keytab host/example.com

Dies verwendet /var/run/k5start.pid als PID-Datei und erhält host/example.com-Tickets von
die System-Keytab-Datei. k5start würde dann gestoppt werden mit:

start-stop-daemon --stop --pidfile /var/run/k5start.pid
rm -f /var/run/k5start.pid

Dieser Code könnte einem Init-Skript für Apache hinzugefügt werden, um beispielsweise einen zu starten k5start
Prozess zusammen mit Apache, um seine Kerberos-Anmeldeinformationen zu verwalten.

Wenn die Umgebungsvariable AKLOG gesetzt ist, wird ihr Wert als auszuführendes Programm verwendet
mit -t statt der Vorgabe nachzukommen k5start. Wenn AKLOG nicht gesetzt ist und KINIT_PROG
festgelegt ist, wird stattdessen dessen Wert verwendet. KINIT_PROG wird für seine Abwärtskompatibilität ausgezeichnet
Aufgrund des verwirrenden Namens wird seine Verwendung jedoch nicht empfohlen.

Wenn keine Ticketdatei (mit -k) oder der Befehl wird in der Befehlszeile angegeben, k5start wird benutzen
die Umgebungsvariable KRB5CCNAME, um den Ort der Ticketerteilung zu bestimmen
Fahrkarte. Wenn entweder ein Befehl angegeben ist oder der -k Wird die Option verwendet, wird KRB5CCNAME gesetzt
um auf die Ticketdatei zu verweisen, bevor Sie die ausführen Aklog Programm oder irgendein Befehl, der auf dem gegeben wird
Befehlszeile.

Nutzen Sie k5start online über die Dienste von onworks.net