VPN helbide batera lotutako NFS esportazioa: zerk ez duen frogatzen
Esportazio-arauak paketea nondik etorri zen egiaztatzen du; AUTH_SYS-ek UID lokala aldarrikatzen du eta Kerberosek erabiltzailea autentifikatzen du. Erabaki zure fitxategi-zerbitzuak zein behar duen.
Ostalariek direktorio bat VPN helbide batera esportatzen du, muntatzeak arrakasta du, eta diseinua autentifikatuta dagoela idatzita geratzen da. Arau horrek benetan mugatzen duena paketeak nondik datozela dirudien da. Fitxategi-eragiketa gidatzen duen pertsona uste duen hori ote den NFS segurtasun-flavoraren araberakoa da, eta mota honetako esportazio gehienetan inork ez du lehenespenez aldatu.
Hiru identitate ager daitezke eskaera bakarrean
VPN pareak erregistratutako identitate bat darama, hala nola bezeroaren ziurtagiria edo parearen gakoa. Barruko IP paketeak iturri-helbide bat darama. Fitxategi-eragiketak bere NFS mekanismoak ematen duen erabiltzaile-kredentziala darama. Helbidea hiruren ordezkaritzat hartzen duen diseinuak isilean suposatu du egiaztatu behar zuen zatia.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Hiru errenkada horiek idaztea da ariketa osoa. Esportazio bat segurua ote den inguruko eztabaidaren zatirik handiena erortzen da kontrol bakoitza zein errenkadatan bizi den argi dagoenean.
Helbidearen jabetza inplementazio-xehetasun bat da
Gate batek tunel-helbide bat eslei diezaioke onartutako pare bati, edo bideratutako azpisare bat baimendu. Ondoren inplementazioak beste bezero bati dagokion barne-iturria duen paketea ukatzen duen inplementazio horren propietatea da, eta hobe da egiaztatzea suposatzea baino.
Community tradizionalaren OpenVPN erabiltzaile-espazioko zerbitzari-kodeak, adibidez, beste bezero bati lotutako iturri bat bazter dezake paketea TUN gailutik entregatu aurretik. Hori balio erreala duen helbide-jabetza egiaztapena da, eta oraindik ez da NFS erabiltzaile-autentifikazioa, ez baitu ezer esaten eragiketa zein kontuk egiten duen.
Iturriaren itzulpenak hori ere higatzen du. NAT gate batek bezero bakoitza helbide bakar gisa aurkez dezake, eta orduan esportazio-arau batek ezin ditu atzean dauden pertsonak bereizi. Arauaren itxurazko zehaztasuna diagramak mantendutako fikzio bihurtzen da orduan. Esportazioa garrantzitsua bada, mantendu helbideratzea esplizitu, ez utzi itzultzaile bati nor nor den erabakitzen.
Irakurri segurtasun-flavora esportazioaz fidatu aurretik
Red Hat-en NFS gidak sec=sys bereizten du, AUTH_SYS bidez UNIX UID eta GID lokalak erabiltzen dituena, Kerberos moduetatik. krb5 erabiltzaile-autentifikazioa gehitzen du, krb5i osotasun-babesa gehitzen du eta krb5p trafikoaren pribatutasun-babesa gehitzen du.
AUTH_SYS kredentzialak deitzailearen UID-a eta talde-identifikatzaileak bezalako eremuak ditu, eta RFC 5531ek argi ohartarazten du flavore honek berez ez duela segurtasunik ematen eta kanpoko babesaren mende dagoela. VPN baten barruan exekutatzeak garraiorako babesa ematen du eta ez du ezer aldatzen paketearen barruko aldarrikapenean.
exportfs -v
showmount -e nfs.example.internalIrakurri flavora irteera horretan bezeroen zerrenda irakurri aurretik. Murriztuta dirudien esportazio bat helbideagatik bakarrik egon daiteke murriztuta, deitzaile bakoitzak nahi duen UIDa aldarrikatzen jarraitzen duen bitartean.
Aukeratu eredua eta gero mantendu baimenak
Aukeratu benetan administratzen dituzun bezeroei dagokien fitxategi-zerbitzuaren autentifikazio-eredua. Kerberosek identitate bat eta atzean zerbitzu-hedapen bat behar ditu, beraz muntatze-aukerak aldatzea ez da migrazioa eta huts egingo du Kerberos domeinua, principalak eta keytabak existitzen ez diren bitartean.
Bi ereduetako edozeinetan, mantendu esportazio-baimenak eta autentifikatutako principalak egin dezakeena mugatzen duen fitxategi-sistemaren baimena. Autentifikazioak esaten dizu nork galdetzen duen; baimenak erabakitzen du erantzuna bai izan behar ote den. Biak ezarpen bakar batean batzea da migrazio bat konfigurazio zaharrak eman zuena baino gehiago ematera iristen den modua.
Erabili helbide-araua bere benetako helbururako
Zerbitzua onartutako bidera eta iturrietara mugatzea merezi du oraindik, ostalariaren sarrera-politika barne, VPN amaierako puntuak eta NFS zerbitzariak makina bera partekatzen dutenean. Trafikoa birbidaltzen duten arauek, ordea, ez dute hau gobernatzen: ostalari berean lokalean exekutatzen den zerbitzua. Hutsune horrek esportazio pribatu izatekoak ziren kopuru harrigarri bat azaltzen du. Egiaztatu sarrera-politika lokala esplizituki, ez suposatu tunel-arauak estaltzen dutenik.
Egiaztatu beste interfaze batek edo iturri-itzulpena egiten duen gate batek ezin duela araua ustekabean bete, eta hartu hori jatorria ezartzeko arrazoi gisa, ez helbide bat faltsutzeak muntatze laneko bat bermatzen duen aldarrikapen gisa.
Exekutatu hiru onarpen-kasu bat baino. Hasi onartutako bezero batekin onartutako erabiltzaile gisa jardunez, gero errepikatu inoiz onartu ez zen pare batetik, eta saiatu onartutako erabiltzaileak oraindik egin dezakeenaren aurka. Galdetu gero zer aldatzen den bezero baimendun bat konprometitzen bada, garraio-autentifikazioak ez baitu makina horretako prozesu guztia fidagarri egiten. Lapurtutako ziurtagiri bat eta kontu lokal bitxia arazo desberdinak dira kontrol desberdinekin.