Jo VPN-opdracht rint sûnder foech; de tsjinst net

De VPN-opdracht rint as jo brûker, der ferskynt gjin wachtwurd en de tunnel komt omheech. Dy folchoarder fielt as in bewurking sûnder foech, en meastentiids is dat net sa. In aparte tsjinst docht de netwurkferoarings, en de nijsgjirrige fraach is wat dy tsjinst docht foar in oanropper dy't it net ferifisearre hat. It tellen fan wachtwurdfragen seit jo neat oer dy grins.

De ynterface, it meganisme en de kontrôle

De ynterface nimt oanfragen oan: ferbine, ferbrekke, in profyl kieze. It meganisme besit de netwurkoperaasjes: ynterfaces meitsje, rûtes feroarje, filters tapasse. De autorisaasjekontrôle beslút oft dizze oanropper om dizze aksje freegje mei. Dy trije kinne ferspraat wêze oer in binêr bestân, in helper en in systeemtsjinst, en de brûker sjocht allinne it earste.

De rollen kinne libje yn ien binêr bestân, yn twa prosessen of yn in klant en in systeemtsjinst, en it opdracht dat de brûker sjocht ferriedt selden hokker. In byldkaai yn 'e taakbalke en in systeemdaemon kinne op ien tapassing lykje wylst se mei hiel ferskillend foech rinne. Foech by ynstallaasje en foech by in oanfraach binne ek ferskillende dingen. In ynstallearder dy't as root rûn hat kin in tsjinst efterlitte dy't nei lettere oanfragen harket, lang nei't de pakketbehearder dien is. Dy tsjinst, net it opdracht dat jo typt hawwe, hat it foech.

Deleegjen is it gewoane ûntwerp

It deleegjen fan foechhawwend netwurkwurk oan in tsjinst is de ridlike arsjitektuer. It hâldt gewoane tapassingen sûnder foech en it sintralisearret de operaasjes dy't soarch nedich hawwe. It ûntwerp betellet himsels allinne as de tsjinst ek kontrolearret wa't freget en wêrfoar. Sûnder dy kontrôle is it mar in bredere doar.

NetworkManager is it konkrete Linux-foarbyld. Syn konfiguraasjegids ferklearret hoe't PolicyKit oanfragen dy't net fan root komme autorisearret yn 'e standertopsets. Dat lit deleegjende autorisaasje sjen yn in echt produkt. It bewiist net dat elke kommersjele klant NetworkManager brûkt, en it beskriuwt net it soketpaad of it belied fan in beskate leveransier.

It patroan is deleegjen mei in belied derachter. It foarbyld is ien ymplemintaasje fan dat patroan, net in universele.

Lês de grins, net de fraach

Fyn de tsjinst, de eigner fan syn konfiguraasje en de lokale ynterface dy't de frontend brûkt. Freegje dan hokker brûkers hokker operaasjes freegje meie. Ien bewarre profyl omheech en del bringe is net deselde tastimming as konfiguraasje lade dy't de operator nea besjoen hat. It ferskil is de hiele feilichheidsfraach.

Begjin by de tsjinstbehearder en by de eigen werjefte fan de klant fan syn tastimmingen. De opdrachten hjirûnder litte sjen oft de daemon rint, wat de oanropper fan him freegje mei en wat de daemon ûnder syn runtimbemap oanbiedt.

systemctl status NetworkManager
nmcli general permissions
ls -l /run/NetworkManager

Freegje ek wêr't de operaasje ynfloed op hat. In menú-ûnderdiel dat persoanlik liket kin de rûtes en DNS foar de hiele masine feroarje, wat betsjut dat it de sesjes fan oare brûkers fersteure kin. De ympeksradius heart by deselde beoardieling as de tastimming, en it beslút meastentiids oft de tsjinst in nauwere rol nedich hat.

Reparaasje fan tastimmingen op 'e stipe manier

In beskerme kontrôlesoket foar elkenien skriuwber meitsje, of in akkount oan in brede administraasjegroep taheakje, hellet in tastimmingsflater fuort en makket in gruttere. De flater wie it iennige dat jo sei dat dy grins bestie. Brûk it dokumintearre lidmaatskip- of autorisaasjeproses, ynklusyf de sesjefarskowing dy't it freget. Groepslidmaatskip jildt faak allinne foar nije oanmeldingssesjes, en dêrom kin in feroaring lykje neat te dwaan oant de folgjende oanmelding.

As it produkt in nauwere rol foar de operaasje oanbiedt, ferkies dy boppe in algemiene tastimming. Skriuw de keazen rol en syn eigner njonken de tsjinstnamme.

Hoe't in goede skieding derút sjocht

Gewoane tapassingen bliuwe sûnder foech, de tsjinst docht allinne de opset wêrfoar't it ûntwurpen is, en elke oanropper wurdt kontrolearre tsjin in belied dat immen besit. Dat is in ferdigenber ûntwerp. It is ek auditber, om't it belied in namme oan him ferbûn hat. Alles grutter fertsjinnet in skriftlike útsûndering ynstee fan in stille tastimmingsferoaring.

De flatermodus is in tsjinst dy't elke oanfraach fan elke lokale brûker útfiert om't de ynterface handich is. Fan 'e brûkerskant liket it identyk, en it draacht folle grutter foech. Test ien wegere oanfraach, net allinne de slagge. In wegering dy't fan it belied komt is it bewiis dat it belied bestiet.