VPN ünvanına bağlanmış NFS ixracı: nəyi sübut etmir
İxrac qaydası paketin haradan gəldiyini yoxlayır; AUTH_SYS yerli UID bildirir, Kerberos isə istifadəçini doğrular. Fayl xidmətinizin hansına ehtiyacı olduğunu qərar verin.
Host kataloqu VPN ünvanına ixrac edir, montaj uğurla keçir və dizayn sənədlərdə doğrulanmış kimi yazılır. Bu qaydanın əsl məhdudlaşdırdığı şey paketlərin haradan gəldiyi görünməsidir. Fayl əməliyyatını idarə edən şəxsin özünü təqdim etdiyi şəxs olub-olmadığı NFS təhlükəsizlik növündən asılıdır və bu cür ixracların əksəriyyətində heç kim onu standartdan dəyişməyib.
Bir sorğuda üç kimlik görünə bilər
VPN həmkarı müştəri sertifikatı və ya həmkar açarı kimi qeydiyyatdan keçmiş kimlik daşıyır. Daxili IP paketi mənbə ünvanı daşıyır. Fayl əməliyyatı isə NFS mexanizminin təqdim etdiyi istifadəçi etimadnaməsini daşıyır. Ünvanı bu üçünün hamısının yerinə qoyan dizayn yoxlamalı olduğu hissəni sakitcə güman etmiş olur.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
O üç sətri yazmaq bütün məşğuliyyətdir. İxracın təhlükəsiz olub-olmaması ilə bağlı mübahisənin çoxu hər nəzarətin hansı sətirdə yaşadığı aydınlaşanda dağılır.
Ünvan sahibliyi tətbiq detalıdır
Şlüz qəbul edilmiş həmkara tunel ünvanı təyin edə və ya onun üçün marşrutlaşdırılmış alt şəbəkəyə icazə verə bilər. Tətbiqin sonra daxili mənbəyi başqa müştəriyə aid olan paketi rədd edib-etməməsi həmin tətbiqin xüsusiyyətidir və bunu güman etmək əvəzinə yoxlamağa dəyər.
Ənənəvi Community OpenVPN istifadəçi məkanı server kodu, məsələn, paket TUN cihazından keçirilməzdən əvvəl başqa müştəriyə aid mənbəyi rədd edə bilər. Bu, real dəyəri olan ünvan sahibliyi yoxlamasıdır və hələ də NFS istifadəçi doğrulaması deyil, çünki əməliyyatı hansı hesabın yerinə yetirdiyi barədə heç nə demir.
Mənbə tərcüməsi hətta bunu da aşındırır. NAT şlüzü hər müştərimi bir ünvan kimi təqdim edə bilər və o zaman ixrac qaydası onun arxasındakı insanları bir-birindən ayıra bilməz. Qaydanın görünən dəqiqliyi sonra diaqramla saxlanan uydurmaya çevrilir. İxrac vacibdirsə, ünvanlamanı açıq saxlayın, kimin kim sayıldığına tərcüməçinin qərar verməsinə imkan verməyin.
İxraca güvənməzdən əvvəl təhlükəsizlik növünü oxuyun
Red Hat-in NFS təlimatı sec=sys ilə Kerberos rejimlərini ayırır; birincisi AUTH_SYS vasitəsilə yerli UNIX UID və GID-lərindən istifadə edir. krb5 istifadəçi doğrulaması əlavə edir, krb5i bütövlük qorunması əlavə edir, krb5p isə trafik üçün məxfilik qorunması əlavə edir.
AUTH_SYS etimadnaməsi çağıranın UID-si və qrup ID-ləri kimi sahələri ehtiva edir və RFC 5531 açıq şəkildə xəbərdarlıq edir ki, bu növ öz-özlüyündə heç bir təhlükəsizlik təmin etmir və xarici qorunmadan asılıdır. Onu VPN daxilində işlətmək nəqliyyat üçün qorunma verir və paketin içindəki iddia barədə heç nəyi dəyişmir.
exportfs -v
showmount -e nfs.example.internalMüştəri siyahısını oxumaqdan əvvəl o çıxışdakı növü oxuyun. Məhdudlaşdırılmış görünən ixrac yalnız ünvanla məhdudlaşdırılmış ola bilər, halbuki hər çağıran yenə də istədiyi UID-ni bildirir.
Modeli seçin, sonra icazələri saxlayın
Həqiqətən idarə etdiyiniz müştərilərə uyğun fayl xidməti doğrulama modelini seçin. Kerberos arxasında kimlik və xidmət yerləşdirməsi tələb edir, ona görə bir montaj seçimini dəyişmək miqrasiya deyil və Kerberos domeni, prinsipaalları və keytab-ları mövcud olana qədər sadəcə uğursuz olacaq.
Hər iki modeldə ixrac icazələrini və doğrulanmış prinsipaalların nə edə biləcəyini məhdudlaşdıran fayl sistemi avtorizasiyasını saxlayın. Doğrulama sizə kimin soruşduğunu deyir; avtorizasiya cavabın bəli olub-olmadığını həll edir. Bu ikisini bir parametrdə birləşdirmək miqrasiyanın köhnə konfiqurasiyadan daha çox icazə verməsi ilə nəticələnir.
Ünvan qaydasını əsl məqsədi üçün istifadə edin
Xidməti təsdiqlənmiş yol və mənbələrlə məhdudlaşdırmaq dəyərli olaraq qalır, o cümlədən VPN son nöqtəsi ilə NFS serveri eyni maşını paylaşdıqda host giriş siyasəti. Trafiki yönləndirən qaydalar isə eyni hostda yerli işləyən xidmətə yönəlmiş sorğuları idarə etmir. Həmin boşluq gizli olması nəzərdə tutulan ixracların təəccüblü sayını izah edir. Tunel qaydalarının bunu əhatə etdiyini güman etmək əvəzinə yerli giriş siyasətini açıq şəkildə yoxlayın.
Başqa interfeysin və ya mənbə tərcüməsi edən şlüzün qaydayı gözlənilmədən ödəyə bilmədiyini yoxlayın və bunu ünvan saxtalaşdırmasının işlək montaj zəmanət verdiyi iddiası deyil, mənşəyi müəyyən etmək üçün səbəb kimi qəbul edin.
Bir yox, üç qəbul halı işlədin. Təsdiqlənmiş müştəri ilə təsdiqlənmiş istifadəçi kimi başlayın, sonra heç vaxt təsdiqlənməmiş həmkardan təkrarlayın, sonra təsdiqlənmiş istifadəçinin hələ də icazəsi olmayan bir şeyi sınayın. Sonra soruşun ki, səlahiyyətli müştəri ələ keçirilsə nə dəyişir, çünki nəqliyyat doğrulaması o maşındakı hər prosesi etibarlı etmir. Oğurlanmış sertifikat və maraqlı yerli hesab fərqli nəzarətlərə malik fərqli problemlərdir.