NFS-eksport fêstset op in VPN-adres: wat it net bewist
In eksportregel kontrolearret wêr't in pakket wei kaam; AUTH_SYS ferklearret in lokaal UID en Kerberos autentisearret in brûker. Bepaal hokker jo bestânsstsjinst nedich hat.
In host eksportearret in map nei in VPN-adres, de montaazje slagget, en it ûntwerp wurdt opskreaun as autentisearre. Wat dy regel feitlik beheint, is wêr't de pakketten wei lykje te kommen. Oft de persoan dy't de bestânsoperaasje liedt is wa't er seit dat er is, hinget ôf fan 'e NFS-feiligensflavour, en by de measte eksporten fan dit soarte hat nimmen dy fan 'e standert feroare.
Trije identiteiten kinne yn ien fersyk ferskine
De VPN-peer draacht in registrearre identiteit, lykas in kliïntsertifikaat of in peerskaai. It binnenste IP-pakket draacht in boarneadres. De bestânsoperaasje draacht hokker brûkersbewiis it NFS-meganisme ek leveret. In ûntwerp dat it adres as ferfanger foar alle trije behannelet, hat stilwei krekt dat part oannaam dat ferifiearre wurde moast.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
It opskriuwen fan dy trije rigen is de hiele oefening. It measte fan 'e diskusje oer oft in eksport feilich is, stoart yninoar sadree't dúdlik is yn hokker rige elke kontrôle libbet.
Adres-eigendom is in ymplemintaasjedetail
In gateway kin in tunneladres taheakje oan in akseptearre peer, of in rûtearre subnet foar dy autorisearje. Oft de ymplemintaasje dan in pakket wegeret waans binnenste boarne by in oare kliïnt heart, is in eigenskip fan dy ymplemintaasje, en it is de muoite wurdich om dat nei te gean ynstee fan oan te nimmen.
De tradisjonele Community OpenVPN brûkersromte-tsjinnerkoade kin bygelyks in boarne ferbûn mei in oare kliïnt wegerje foardat it pakket troch it TUN-apparaat levere wurdt. Dat is in adres-eigendomskontrôle mei echte wearde, en it is noch altyd gjin NFS-brûkersautentikaasje, want it seit neat oer hokker akkount de operaasje útfiert.
Boarne-oersetting erodearret sels dat. In NAT-gateway kin elke kliïnt as ien adres presintearje, en dan kin in eksportregel gjin ûnderskie meitsje tusken de minsken dêrefter. De skynbere krektens fan 'e regel wurdt dan in fiksje dy't troch it diagram yn stân hâlden wurdt. As de eksport der ta docht, hâld de adressering eksplisyt ynstee fan in oersetter te litten beslute wa't foar wa't telt.
Lês de feiligensflavour foardat jo de eksport fertrouwe
Red Hat's NFS-rigeljouwing skiedt sec=sys, dat lokale UNIX UID's en GID's fia AUTH_SYS brûkt, fan 'e Kerberos-modi. krb5 foeget brûkersautentikaasje ta, krb5i foeget yntegriteitsbeskerming ta, en krb5p foeget privacybeskerming foar it ferkear ta.
It AUTH_SYS-bewiis befettet fjilden lykas it UID fan 'e oanropper en groeps-ID's, en RFC 5531 warskôget dúdlik dat dizze flavour sels gjin feiligens biedt en fan eksterne beskerming ôfhinget. It draaien binnen in VPN jout beskerming foar it ferfier en feroaret neat oan 'e bewearing yn it pakket.
exportfs -v
showmount -e nfs.example.internalLês de flavour yn dy útfier foardat jo de kliïntelist lêze. In eksport dy't beheind liket, kin allinnich troch adres beheind wêze wylst elke oanropper noch altyd hokker UID dan ek ferklearret.
Kies it model en hâld dan de rjochten
Kies it autentikaasjemodel fan 'e bestânsstsjinst dat past by de kliïnten dy't jo feitlik beheare. Kerberos freget in identiteit en tsjinstútrulling dêrefter, dus it feroarjen fan ien montaazje-opsje is gjin migraasje en sil gewoan mislearje oant it Kerberos-domein, de principals en de keytabs besteane.
Under beide modellen, hâld de eksportrjochten en de bestânsysteemautorisisaasje dy't beheine wat de autentisearre principal dwaan mei. Autentikaasje fertelt jo wa't freget; autorisaasje beslút oft it antwurd ja wêze moat. It gearfoegjen fan dy twa yn ien ynstelling is hoe't in migraasje mear ferlient as de âlde konfiguraasje die.
Brûk de adresregel foar syn wiere doel
It beheinen fan 'e tsjinst ta it goedkard paad en de goedkarde boarnen bliuwt de muoite wurdich, ynklusyf it host-ynfierbelied as it VPN-einpunt en de NFS-tsjinner in masine diele. Regels dy't ferkear trochstjoere beheare gjin fersiken rjochte op in tsjinst dy't lokaal op deselde host draait. Dy kleau ferklearret in ferrassend oantal eksporten dy't privee wêze moasten. Kontrolearje it lokale ynfierbelied eksplisyt ynstee fan oan te nimmen dat de tunnelregels it dekke.
Kontrolearje dat in oare interface of in gateway mei boarne-oersetting de regel net ûnferwachts foldwaan kin, en behannelje dat as reden om herkomst fêst te stellen ynstee fan as in bewearing dat it ferfalskjen fan in adres in wurkjende montaazje garandearret.
Rin trije akseptaazjefallen ynstee fan ien. Begjin mei in goedkarde kliïnt dy't as goedkard brûker hannelet, werhelje dan fan in peer dy't nea goedkard waard, en besykje dan eat dat de goedkarde brûker noch altyd net mei. Freegje dêrnei wat feroaret as in autorisearre kliïnt kompromittearre wurdt, want ferfiersautentikaasje makket net elk proses op dy masine betrouber. In stellen sertifikaat en in nijsgjirrich lokaal akkount binne ferskillende problemen mei ferskillende kontrôles.