CA partekatua, ate bereiziak: zerbitzu bat onarpen-fitxategiko

Autoritate partekatu baten aurka balioztatzen duen ziurtagiri batek konfiantza-proba bat gainditu du, ez partaidetza-proba bat. Bi erabaki horiek sarritan nahasten dira, biek konexio-unean gertatzen direlako, eta nahasketa hori ikusezin geratzen da zerbitzu batean egon behar ez lukeen norbait onartzen den arte. Konponbidea ez da bigarren autoritate bat; bigarren erabaki bat da, zerbitzuz zerbitzu hartu eta daemonak irakurtzen duen tokian erregistratua. Biak bereiz eduki eta arlo honetako nahasmen gehiena desagertzen da.

Kate fidagarri batek ez du ezer esaten zerbitzuko partaidetzari buruz

Bi zerbitzuk emisio-hierarkia bera onar dezakete eta hala ere populazio desberdinak izan. Gama-liburu bat lehenengokoa da eta ez du bigarrena iritsi behar, hierarkia bereko beste bezero batzuk han bai dagozkion bitartean. Zerbitzu hartatik autoritatea kenduko bagenu, hura zilegi erabiltzen duten guztiak kanpoan geratuko lirateke, beraz lana onarpena da, ez konfiantza.

Lagungarria da ate batean bi sarraila imajinatzea. Ziurtagiria kanpoko sarraila irekitzen du, eta zerbitzuz zerbitzuko erabaki batek barnekoa irekitzen du; batek ez du bestea ordezkatzen. Kanpoalderako sarraila soilik duen zerbitzu batek ez du batere partaidetzarik betearazten, autentifikatu besterik ez du egiten. Idatzi bi erabakiak ezer aldatu aurretik, funtzionatzen duen konexio baten forman bakarrik existitzen den politika ezin delako auditatu. Hurrengoak barneko sarrailari buruz dihardu.

Bihurtu aukerako gainidazketak onarpen-ate

Bezeroaren konfigurazio-direktorioa erosotasuna izan ohi da: bertako fitxategiek izendatzen dituzten bezeroen ezarpenak gainidazten dituzte, eta fitxategirik ez duen bezeroa zerbitzariaren balio lehenetsiekin exekutatzen da. Direktiba batek erosotasun hori ate bihurtzen du, fitxategi bat falta bada konexioa ukatzen dela esan nahi duelarik.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Honela deskribatzen du OpenVPN 2.6 ccd-exclusive aukera bere eskuliburu-orrian baldintza zehatz gisa, eta fitxategi izendatuaren bilaketak bezeroaren benetako identitatean du oinarria. Beste eraikuntza batzuek eta produktuek kudeatutako zerbitzariek desberdin jokatu dezakete, beraz egiaztatu instalatutako bertsioa beste leku batean semantika berari eutsi aurretik.

Hartu goiko bidea adibide gisa eta egiaztatu inplementatutako diseinua, gida batek asmatutako direktorio bat sortu beharrean. Utzi dauden ziurtagiri-egiaztapenak, zerbitzariaren identitate-egiaztapenak eta kontu-autentifikazioa zeuden moduan, zatiak baldintza bat gehitzen duelako eta ezer kentzen ez duelako. Prestatu aldaketa ekoizpenaren aurretik, leku okerrean altxatutako ukapenak ziurtagiri-hutsegitearen itxura duelako eta ikerketa autoritaterantz bidaltzen duelako. Ondoren egiaztatu ukatutako bezero baten log-lerroak falta den konfigurazio-fitxategia aipatzen duela, katea ez ezik.

Direktorio bat zerbitzuko, zerrenda partekatu bat ez

Partaidetza betearazten duen zerbitzuarena da, beraz zerbitzu bakoitzak bere direktorioa eta bere fitxategiak gordetzen ditu. Bi zerbitzu zerrenda bakarrera bideratzeak partaidetza partekarazten die inor horretaz ohartu ala ez, eta lortutako aldaketa zaila da erabaki batera igotzea. Autoritate partekatua partekatua izan daiteke oraindik; onarpen-fitxategiek ezin dute. Bereiz edukitzeak gainera esan nahi du zerbitzu bateko hutsegiteak ezin duela beste bat isilean zabaldu.

DEFAULT sarrera da jendea nahasten duen kasua. Fitxategi izendaturik aurkitzen ez denean babes-ezarpenak ematen ditu, baina ez da atetik eskatzen den fitxategi izendatua, beraz ezin du bezero bat bere kabuz onartu. Probatu sarrerarik ez duen bezero bat eta egiaztatu ukapena; bezero hori onartzen bada, babes-balioa aplikatzen ari da eta ccd-exclusive ez dago indarrean instantzia horretan.

Identitate eraginkorrak erabakitzen du zein fitxategi irakurtzen den

Bilaketak bezeroak benetan autentifikatzeko erabili zuen identitatea darabil, normalean ziurtagiriaren izen arrunta. Zerbitzariak erabiltzaile-izena eta pasahitza ere egiaztatzen baditu eta izen hori izen arruntean mapatzen badu, fitxategiak autentifikatutako erabiltzaile-izenarekin bat etorri behar du horren ordez. Desadostasun batek inoiz hautatzen ez diren fitxategi-izen sinesgarriz betetako direktorioa uzten du.

Irakurtzea da beste erdia. Daemonak pribilegioak uzten ditu abiaraztearen ondoren, beraz murriztutako kontuak direktorioa eta bertako sarrera bakoitza irakurtzeko baimena behar du. Bezeroek ezin dute beren sarrera sortu idazgarri den edozein bidetatik, autozerbitzuko onarpenak mekanismoa erabat baliogabetzen duelako. Egiaztatu muntatze- eta partekatze-baimenak, fitxategi-modua ez ezik, kontu batentzat itxita dirudien direktorio bat bestearentzat irekita egon baitaiteke. Gero egiaztatu exekutatzen ari den prozesuak benetan zein kontu erabiltzen duen, unit fitxategiak zein kontu aipatzen duen ez ezik. Biak berdinak dira beste ezerk aldatu ez dituenean soilik.

Behatu ukapena, onarpena eta ezeztatzea bereiz

Probatu zerbitzura dagokion identitate bat eta egiaztatu konektatzen duela. Probatu sarrerarik gabeko ziurtagiri baliozkoa eta egiaztatu ukatzen dela. Probatu beste zerbitzuan onartutako identitate bat eta egiaztatu hemen onartzen ez dela. Erregistratu zerbitzu-instantzia eta identitate eraginkorra emaitza bakoitzaren ondoan, testuinguru hori gabe inork ez baitu emaitza errepikatzerik izango.

Erretiratzea ezeztatzetik bereizitako eragiketa da. Onarpen-fitxategi bat editatzeak zerbitzu baterako eskubidea kentzen du identitatea beste nonahi baliozkoa izaten jarraitzen duen bitartean, aldiz gako konprometitu batek erakundearen ezeztatze-erantzuna behar du. Erabaki aldez aurretik jada irekita dauden saioekin zer gertatuko den, direktorio-editak zein ezeztatze-zerrendak ez baitituzte bere kabuz amaitzen.

Onarpena ere lehen atea soilik da. Zerbitzu batera batzeak ez du ezer esaten haren atzean dauden azpisare, datu-base edo kudeaketa-interfazei buruz, eta baliabide-politika hori bereiz idatzi eta probatu behar da.