VPN botoiak sudo behar du: mugatu araua, balidatu politika

VPN botoiak administratzailearentzat funtzionatzen du eta beste guztientzat huts egiten du, beraz norbaitek lerro bat gehitzen du sudoers-era. Lerro horrek normalean konpondu behar zuen arazoa baino gehiago irauten du, eta sarritan botoiak behar duena baino gehiago ematen du. Politika editatu aurretik, egiaztatu konexioaren jabe onartuak lan hori egin dezakeen. Beheko hiru baldintzek erabakitzen dute sudo tartean den ala ez.

1. baldintza: jabe onartuak sudo gabe egin dezake

Linux mahaigain gehienetan sare-kudeatzailea dagoeneko VPN konexioen jabea da, eta bere baimena polkit-en bidez pasatzen da, ez sudo-ren bidez. Konexio bat altxatzeko baimena duen erabiltzaileak komando-lerrotik egin dezake, inolako root araurik gabe. Egiaztatu kudeatzaileak zer onartzen duen botoiak pribilegioa behar duela pentsatu aurretik. Erantzuna bada bai, sudoers-eko aldaketak existitzen ez den arazo bat konpontzen du.

nmcli connection show
nmcli connection up "Work VPN"

Kudeatzaileak uko egiten badu, irakurri zergatik: falta den polkit arau bat, beste erabiltzaile baten jabetzako konexioa edo erabiltzaileak irakurri ezin duen tokian gordetako profila. Horietako bakoitzak sudo araua baino estuagoa den konponbide onartua du. Pribilegioen eskala goratzea azken aukera da, ez lehena.

2. baldintza: arauak exekutagarri bat eta haren argumentuak izendatzen ditu

Sudo benetan beharrezkoa bada, arauak komando zehatza izendatu beharko luke eta, ahal denean, erabil ditzakeen argumentuak. Erabiltzaile bati bilgarri script bat exekutatzeko aukera ematen dion araua script horren baimenen araberakoa da soilik, erabiltzaileak root-ek exekutatuko duena editatu baitezake. Komandoaren ondoren komodin bat duen araua arazo bera da forma laburragoan.

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

Egiaztatu komando-kateko bide bakoitza: binarioa, deitzen duen scripta, irakurtzen duen konfigurazio-fitxategia eta horien artean dagoen edozein direktorio. Horietako edozein erabiltzaileak idatz badezake, mugatutako araua praktikan root mugagabea da. Argumentuek ere garrantzia dute, konfigurazio-bide bat onartzen duen komando bat erabiltzaileak kontrolatutako fitxategi batera zuzendu baitezake. Idatzi araua eragiketarako, ez botoirako.

Gelditu komandoak funtzionatzeko erabiltzaileak kontrolatutako fitxategi bat behar badu. Orduan diseinua okerra da, eta inolako sudoers sintaxik ez du seguru egingo.

3. baldintza: politika osoa analizatzen da, ez zure lerroa soilik

Balidatu fitxategia blokeatzen eta sintaxia egiaztatzen duen editorearekin, eta balidatu muntatutako politika, ez zati bat. Bere kabuz analizatzen den fitxategi batek oraindik hautsi dezake inklusio-ordena edo araua bikoiztu dezake portaera aldatzen duen moduan.visudo eskuliburua blokeatze-editorea eta hemen erabiltzen den egiaztatze-soilik modua dokumentatzen ditu.

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

Egiaztapenak fitxategia eta lerroa jakinarazten ditu huts egiten duenean, eta txosten hori da zati erabilgarria. Konpondu asmo duzun aldaketa editorearen bidez, ez indarrez gorde ezagutzen den errore bat, politika hautsi batek administrari guztiak aldi berean kanpoan utz bailitzake. Inklusio-direktorioko fitxategiek eskuliburuak eskatzen dituen jabetza eta modua ere behar dituzte, edo ezikusiak edo baztertuak izango dira. Sintaxia lehen atea besterik ez da: gainditzen duenean, irakurri araua berriro eta galdetu benetan zer ahalbidetzen duen.

Gelditu aldaketa martxan jartzeko modu bakarra sintaxi-egiaztapena desgaitzea bada. Hori ez da politika bat, berrabiaraztearen zain dagoen etendura bat baizik.

Berreskuratzea: mantendu oraindik funtzionatzen duen saio bat

Gorde aurretik, ziurtatu baimendutako administrazio-saio bat jada irekita dagoela eta makinara sartzeko bigarren bide bat badagoela. Sudoers-eko errore batek hura konpontzeko gaitasuna ken diezazuke, eta mahaigaineko botoi batek ez du arrisku hori merezi. Sudo jada hautsita badago, erabili sistemaren dokumentatutako berreskuratze-bidea, ez asmatu bat.

sudo -n true
id

pkexec bezalako alternatibek beren instalazioaren eta politikaren arabera funtzionatzen dute, beraz ez dira bermatutako bigarren root eskaera. Mantendu tokiko baimena VPN sekretua ematetik bereizita ere: sudo arau batek ezin du falta den sekretu-agente bat desblokeatu eta ez du betetzen atebidearen MFA. Zuzenketaren ondoren, probatu kontu normala asmo den eragiketa soilik eginez, eta gero erabili kudeatzailearen ohiko kontrolak.

Erabakia amaitzen da esan dezakezunean zein baldintzak justifikatu zuen sudo, arauak zer izendatzen duen, politika osoa analizatzen dela eta nola berreskuratuko zenukeen hala ez balitz. Administrazio-sarrera kostatzen dizun abiarazle pribilegiatua negozio txarra da, eta normalean saihesteko modukoa da.