VPN-aadressile lukustatud NFS-eksport: mida see ei tõesta
Ekspordireegel kontrollib, kust pakett tuli; AUTH_SYS väidab kohalikku UID-d ja Kerberos autendib kasutajat. Otsustage, mida teie failiteenus vajab.
Host ekspordib kataloogi VPN-aadressile, mount õnnestub ja kavand kirjutatakse üles autendituna. See, mida reegel tegelikult piirab, on see, kust paketid näivad tulevat. Kas failitoimingut juhtiv isik on see, kelleks ta end nimetab, sõltub NFS-i turbeprofiilist ja enamikus sellistes eksportides ei ole keegi seda vaikeväärtusest muutnud.
Ühes päringus võib esineda kolm identiteeti
VPN-i partner kannab registreeritud identiteeti, näiteks kliendisertifikaati või partnerivõtit. Sisemine IP-pakett kannab lähteaadressi. Failitoiming kannab neid kasutaja volitusi, mille selle NFS-mehhanism annab. Kava, mis käsitleb aadressi kõigi kolme asendajana, on vaikselt eeldanud just seda osa, mida oli vaja kontrollida.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Nende kolme rea üleskirjutamine ongi kogu harjutus. Suurem osa vaidlusest selle üle, kas eksport on turvaline, variseb kokku, kui on selge, millises reas iga kontroll elab.
Aadressi omandiõigus on rakenduse detail
Lüüs võib aktsepteeritud partnerile määrata tunneliaadressi või lubada talle marsruuditud alavõrgu. Kas rakendus seejärel keeldub paketist, mille sisemine lähtekoht kuulub teisele kliendile, on selle rakenduse omadus ja seda tasub kontrollida, mitte eeldada.
Traditsioonilise Community OpenVPN kasutajaruumi serverikood võib näiteks tagasi lükata teise kliendiga seotud lähtekoha enne, kui pakett TUN-seadme kaudu edastatakse. See on tõelise väärtusega aadressi omandiõiguse kontroll ja see ei ole ikka veel NFS-i kasutaja autentimine, sest see ei ütle midagi selle kohta, milline konto toimingu sooritab.
Lähtekoha tõlkimine kahandab ka seda. NAT-lüüs võib esitada iga klienti ühe aadressina ja siis ei suuda ekspordireegel selle taga olevaid inimesi eristada. Reegli näiline täpsus muutub siis diagrammi hoitavaks väljamõeldiseks. Kui eksport on oluline, hoidke adresseerimine selgesõnaline, selle asemel et lasta tõlkijal otsustada, kes keda loeb.
Lugege turbeprofiili enne, kui eksporti usaldate
Red Hati NFS-i juhend eristab sec=sys, mis kasutab AUTH_SYS-i kaudu kohalikke UNIX-i UID-sid ja GID-e, Kerberose režiimidest. krb5 lisab kasutaja autentimise, krb5i lisab terviklikkuse kaitse ja krb5p lisab liikluse privaatsuse kaitse.
AUTH_SYS-i volitus sisaldab välju nagu kutsuja UID ja grupide identifikaatorid, ja RFC 5531 hoiatab selgesõnaliselt, et see profiil ei anna iseenesest turvalisust ning sõltub välisest kaitsest. Selle käitamine VPN-i sees annab kaitse transpordile ega muuda midagi paketi sees olevas väites.
exportfs -v
showmount -e nfs.example.internalLugege profiili selles väljundis enne kliendinimekirja lugemist. Eksport, mis näib piiratud, võib olla piiratud ainult aadressiga, samal ajal kui iga kutsuja väidab endiselt ükskõik millist UID-d.
Valige mudel ja hoidke siis õigused
Valige failiteenuse autentimismudel, mis sobib klientidele, keda te tegelikult haldatega. Kerberos nõuab identiteeti ja teenuse juurutamist selle taga, seega ühe mount-valiku muutmine ei ole migratsioon ja lihtsalt ebaõnnestub, kuni Kerberose domeen, printsipiaalid ja keytab-failid on olemas.
Mõlema mudeli puhul hoidke ekspordiõigused ja failisüsteemi autoriseerimine, mis piiravad, mida autenditud printsipiaal tohib teha. Autentimine ütleb teile, kes küsib; autoriseerimine otsustab, kas vastus peaks olema jah. Nende kahe liitmine üheks seadeks on viis, kuidas migratsioon annab lõpuks rohkem kui vana konfiguratsioon.
Kasutage aadressireeglit selle tegelikul eesmärgil
Teenuse piiramine heakskiidetud tee ja allikatega on endiselt kasulik, sealhulgas hosti sisendipoliitika, kui VPN-i lõpp-punkt ja NFS-server jagavad masinat. Reeglid, mis edastavad liiklust, ei juhi päringuid, mis on suunatud samal hostil kohapeal töötavale teenusele. See lünk seletab üllatavalt palju eksporte, mis pidid olema privaatsed. Kontrollige kohalikku sisendipoliitikat selgesõnaliselt, selle asemel et eeldada, et tunnelireeglid seda katavad.
Kontrollige, et mõni teine liides või lähtekoha tõlkega lüüs ei suuda seda reeglit ootamatult täita, ja käsitlege seda põhjusena päritolu tuvastada, mitte väitena, et aadressi võltsimine tagab toimiva mount'i.
Käivitage kolm vastuvõtujuhtumit, mitte üks. Alustage heakskiidetud kliendiga, mis toimib heakskiidetud kasutajana, korrake seejärel partnerilt, keda ei ole kunagi heaks kiidetud, ja proovige siis midagi, mida heakskiidetud kasutaja veel teha ei tohi. Küsige seejärel, mis muutub, kui volitatud klient kompromiteeritakse, sest transpordi autentimine ei muuda iga protsessi sellel masinal usaldusväärseks. Varastatud sertifikaat ja uudishimulik kohalik konto on erinevad probleemid erinevate kontrollidega.