VPN əmriniz imtiyazsız işləyir; xidmət isə yox

VPN əmri sizin istifadəçiniz kimi işləyir, parol görünmür və tunel qalxır. Bu ardıcıllıq imtiyazsız əməliyyat kimi hiss olunur, amma adətən belə deyil. Şəbəkə dəyişikliklərini ayrı bir xidmət yerinə yetirir və maraqlı sual odur ki, həmin xidmət yoxlamadığı çağıran üçün nə edəcək. Parol sorğularını saymaq sizə bu sərhəd haqqında heç nə demir.

İnterfeys, mexanizm və yoxlama

İnterfeys sorğuları qəbul edir: qoşul, ayrıl, profil seç. Mexanizm şəbəkə əməliyyatlarına sahibdir: interfeyslər yaratmaq, marşrutları dəyişmək, filtrləri tətbiq etmək. Avtorizasiya yoxlaması bu çağıranın bu əməliyyatı istəyə biləcəyini həll edir. Bu üçü bir binar faylda, bir köməkçidə və sistem xidmətində paylana bilər və istifadəçi yalnız birincisini görür.

Rollar bir binar faylda, iki prosesdə və ya müştəri ilə sistem xidmətində yaşaya bilər və istifadəçiyə baxan əmr bunlardan hansının olduğunu nadir hallarda açıq edir. Lövhə nişanı və sistem demonu çox fərqli səlahiyyətlə işləyərkən bir tətbiq kimi görünə bilər. Quraşdırma zamanı imtiyazla sorğu zamanı imtiyaz da fərqli şeylərdir. Root kimi işləmiş quraşdırıcı, paket meneceri bitdikdən çox sonra belə, sonrakı sorğuları dinləyən bir xidmət buraxa bilər. Səlahiyyəti tutan, yazdığınız əmr deyil, həmin xidmətdir.

Delegasiya normal dizayndır

İmtiyazlı şəbəkə işini xidmətə həvalə etmək ağlabatan arxitekturadır. Bu, adi tətbiqləri imtiyazsız saxlayır və diqqət tələb edən əməliyyatları mərkəzləşdirir. Dizayn yalnız xidmət də kimin və nə üçün soruşduğunu yoxlayanda bəhrə verir. Bu yoxlama olmadan o, sadəcə daha geniş bir qapıdır.

NetworkManager Linux üçün konkret nümunədir. Onun konfiqurasiya bələdçisi PolicyKit-in standart qurmada qeyri-root sorğuları necə avtorizasiya etdiyini izah edir. Bu, real məhsulda delegasiya edilmiş avtorizasiyanı göstərir. Bu, hər kommersiya müştərisinin NetworkManager istifadə etdiyini sübut etmir və heç bir konkret satıcının soket yolu və ya siyasətini təsvir etmir.

Nümunə arxasında siyasət duran delegasiyadır. Nümunə həmin naxışın bir tətbiqidir, universal deyil.

Sərhədi oxuyun, sorğunu yox

Xidməti, onun konfiqurasiya sahibini və ön hissənin istifadə etdiyi yerli interfeysi tapın. Sonra hansı istifadəçilərin hansı əməliyyatları istəyə biləcəyini soruşun. Bir saxlanmış profili qaldırıb endirmək, operatorun heç vaxt nəzərdən keçirmədiyi konfiqurasiyanı yükləməklə eyni icazə deyil. Fərq bütün təhlükəsizlik sualıdır.

Xidmət meneceri ilə və müştərinin öz icazələrinə baxışından başlayın. Aşağıdakı əmrlər demonun işləyib-işləmədiyini, çağıranın ondan nə istəyə biləcəyini və demonun işləmə qovluğunda nə açdığını göstərir.

systemctl status NetworkManager
nmcli general permissions
ls -l /run/NetworkManager

Həm də əməliyyatın nəyə təsir etdiyini soruşun. Şəxsi görünən menyu elementi bütün maşın üçün marşrutları və DNS-i dəyişə bilər, bu isə digər istifadəçilərin sessiyalarını poza biləcəyi deməkdir. Təsir radiusu icazə ilə eyni baxışa aiddir və adətən xidmətin daha dar bir rol tələb edib-etmədiyini həll edir.

İcazələri dəstəklənən üsulla düzəldin

Qorunan idarəetmə soketini hamıya yazıla bilən etmək və ya hesabı geniş inzibati qrupa əlavə etmək, bir icazə xətasını aradan qaldırır və daha böyük bir xəta yaradır. Xəta sizə sərhədin mövcud olduğunu deyən yeganə şey idi. Sənədləşdirilmiş üzvlük və ya avtorizasiya prosesini, o cümlədən tələb etdiyi sessiya yeniləməsini istifadə edin. Qrup üzvlüyü çox vaxt yalnız yeni giriş sessiyalarına tətbiq olunur, buna görə də dəyişiklik növbəti girişə qədər heç nə etmirmiş kimi görünə bilər.

Məhsul əməliyyat üçün daha dar rol təqdim edirsə, bunu ümumi icazəyə üstün tutun. Seçilmiş rolu və onun sahibini xidmət adının yanında yazın.

Yaxşı bölgü necə görünür

Adi tətbiqlər imtiyazsız qalır, xidmət yalnız nəzərdə tutulduğu quraşdırmanı yerinə yetirir və hər çağıran kiminsə sahib olduğu siyasətə görə yoxlanılır. Bu, müdafiə edilə bilən dizayndır. O, həm də audit edilə biləndir, çünki siyasətin ona bağlı bir adı var. Bundan böyük hər şey səssiz bir icazə dəyişikliyindən çox yazılı istisnaya layiqdir.

Uğursuzluq rejimi, interfeys rahat olduğu üçün hər hansı yerli istifadəçinin hər hansı sorğusunu yerinə yetirən xidmətdir. İstifadəçi tərəfindən eyni görünür və daha böyük səlahiyyət daşıyır. Yalnız uğurlu sorğunu deyil, bir rədd edilmiş sorğunu da sınayın. Siyasətdən gələn rədd, siyasətin mövcud olduğunun sübutudur.