Mae botwm VPN angen sudo: cwmpasu’r rheol, dilysu’r polisi

Mae’r botwm VPN yn gweithio i’r gweinyddwr ac yn methu i bawb arall, felly mae rhywun yn ychwanegu llinell at sudoers. Mae’r llinell honno fel arfer yn byw’n hwy na’r broblem y bwriadwyd ei datrys, ac yn aml mae’n caniatáu mwy nag sydd ei angen ar y botwm. Cyn i chi olygu’r polisi, gwiriwch a all perchennog cysylltiad a gefnogir wneud y gwaith yn barod. Mae’r tair amod isod yn penderfynu a yw sudo yn rhan o’r darlun o gwbl.

Amod 1: gall y perchennog a gefnogir ei wneud heb sudo

Ar y rhan fwyaf o fwrdd gwaith Linux mae’r rheolwr rhwydwaith yn berchen ar gysylltiadau VPN yn barod, ac mae ei awdurdodiad yn mynd trwy polkit yn hytrach na sudo. Gall defnyddiwr sy’n cael dod â chysylltiad i fyny ei wneud o’r llinell orchymyn heb unrhyw reol root o gwbl. Gwiriwch beth mae’r rheolwr yn ei ganiatáu cyn tybio bod y botwm angen braint. Os mai ie yw’r ateb, mae’r newid i sudoers yn datrys problem nad yw’n bod.

nmcli connection show
nmcli connection up "Work VPN"

Os yw’r rheolwr yn gwrthod, darllenwch pam: rheol polkit ar goll, cysylltiad sy’n eiddo i ddefnyddiwr arall, neu broffil a storiwyd lle na all y defnyddiwr ei ddarllen. Mae gan bob un o’r rheini atgyweiriad a gefnogir sy’n gulach na rheol sudo. Yr esgaliad braint yw’r dewis olaf, nid y cyntaf.

Amod 2: mae’r rheol yn enwi un ffeil weithredadwy a’i dadleuon

Os yw sudo wir yn angenrheidiol, dylai’r rheol enwi’r gorchymyn union a, lle bo modd, y dadleuon y caiff eu defnyddio. Mae rheol sy’n caniatáu i ddefnyddiwr redeg sgript lapio yn ddiogel yn unig fel caniatâd y sgript honno, oherwydd gall y defnyddiwr olygu’r hyn y bydd root yn ei weithredu. Mae rheol â nod chwilio ar ôl y gorchymyn yr un broblem ar ffurf fyrrach.

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

Gwiriwch bob llwybr yn y gadwyn orchymyn: y deuaidd, y sgript y mae’n ei galw, y ffeil ffurfweddu y mae’n ei darllen ac unrhyw gyfeiriadur rhyngddynt. Os yw unrhyw un ohonynt yn ysgrifadwy gan y defnyddiwr, mae’r rheol gyfyngedig mewn gwirionedd yn root heb gyfyngiad. Mae dadleuon yn bwysig hefyd, oherwydd gellir anelu gorchymyn sy’n derbyn llwybr ffurfweddu at ffeil y mae’r defnyddiwr yn ei rheoli. Ysgrifennwch y rheol ar gyfer y gweithrediad, nid ar gyfer y botwm.

Stopiwch os yw’r gorchymyn angen ffeil y mae’r defnyddiwr yn ei rheoli er mwyn gweithio. Yna mae’r dyluniad yn anghywir, ac ni fydd unrhyw gystrawen sudoers yn ei wneud yn ddiogel.

Amod 3: mae’r polisi cyfan yn dosrannu, nid dim ond eich llinell

Dilyswch gyda’r golygydd sy’n cloi’r ffeil ac yn gwirio cystrawen, a dilyswch y polisi wedi’i gydosod yn hytrach na darn. Gall ffeil sy’n dosrannu ar ei phen ei hun dorri’r drefn cynnwys o hyd neu ddyblygu rheol mewn ffordd sy’n newid ymddygiad.llawlyfr visudo yn dogfennu’r golygydd cloi a’r modd gwirio’n unig a ddefnyddir yma.

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

Mae’r gwiriad yn adrodd y ffeil a’r llinell pan fydd yn methu, a’r adroddiad hwnnw yw’r rhan ddefnyddiol. Trwsiwch y newid arfaethedig trwy’r golygydd yn hytrach na gorfodi cadw gwall hysbys, oherwydd gall polisi wedi torri gloi pob gweinyddwr ar unwaith. Mae ffeiliau o dan y cyfeiriadur cynnwys hefyd angen y perchnogaeth a’r modd y mae’r llawlyfr yn eu gofyn, neu byddant yn cael eu hanwybyddu neu eu gwrthod. Cystrawen yw’r giât gyntaf yn unig: ar ôl iddi basio, darllenwch y rheol eto a gofynnwch beth mae’n ei ganiatáu mewn gwirionedd.

Stopiwch os mai’r unig ffordd i wneud y newid yn gweithio yw analluogi’r gwiriad cystrawen. Nid polisi yw hwnnw, mae’n ddiffyg yn aros am ailgychwyn.

Adferiad: cadwch sesiwn sy’n dal i weithio

Cyn i chi gadw, gwnewch yn siŵr fod sesiwn weinyddol awdurdodedig eisoes ar agor a bod ail lwybr i mewn i’r peiriant yn bodoli. Gall camgymeriad sudoers ddileu eich gallu i’w drwsio, ac nid yw botwm ar y bwrdd gwaith yn werth y risg honno. Os yw sudo eisoes wedi torri, defnyddiwch lwybr adfer dogfenedig y system yn hytrach na dyfeisio un eich hun.

sudo -n true
id

Mae dewisiadau fel pkexec yn dibynnu ar eu gosodiad a’u polisi eu hunain, felly nid ydynt yn ail anogwr root gwarantedig. Cadwch awdurdodiad lleol ar wahân i ddarparu cyfrinach VPN hefyd: ni all rheol sudo ddatgloi asiant cyfrinach absennol, ac nid yw’n bodloni MFA’r giât. Ar ôl y cywiriad, profwch y cyfrif arferol yn cyflawni’r gweithrediad arfaethedig yn unig, yna defnyddiwch reolaethau arferol y rheolwr.

Mae’r penderfyniad yn gorffen pan allwch ddweud pa amod oedd yn cyfiawnhau sudo, beth mae’r rheol yn ei enwi, fod y polisi cyfan yn dosrannu, a sut y byddech yn adfer pe na bai. Mae lansiwr breintiedig sy’n costio eich mynediad gweinyddol i chi yn fargen wael, ac fel arfer mae’n un y gellir ei hosgoi.