Jo VPN-kaai is foar elkenien lêsber: wat te reparearjen

In priveekaai moat allinnich lêsber wêze foar de tsjinst dy't him brûkt, en foar nimmen oars. Reparearje de modus, fyn de kopyen, en ferfange de kaai as it bestân bleatlein is.

It earste teken is meast in warskôging, gjin útfal. In kliïnt wegert in kaai te laden om't it bestân foar de groep of foar elkenien lêsber is, of in feiligensaudit fynt client.key yn modus 644 yn in profylmap dêr't ek eksportearre bondels yn steane. Der is noch neat misgien, en dêrom wurdt de warskôging negearre. De kaai wurket, de tunnel komt op, en it bestân is foar elk akkount op 'e masine lêsber.

It symptoom is in rjochtenwarskôging, gjin útfal

Op in Unix-lyk systeem moat in priveekaai allinnich lêsber wêze foar it akkount dat de tsjinst draait. Modus 600 mei de juste eigner is de gewoane regeling. Modus 644 betsjut dat elke lokale brûker de kaai kopyje kin, en op in dielde build-host is dat in wier publyk.

Kliïnten dy't dit kontrolearje dogge jo in tsjinst. Dy't it net dogge binne gjin bewiis dat it bestân feilich is, en in slagge ferbining seit neat oer wa't oars it materiaal lêze kin dat it mooglik makke hat. Behannelje de warskôging as de hiele befining. Hy is krekt, en hy kaam foardat immen it bestân kopyje.

Pas de modus oan by de identiteit fan 'e tsjinst

Tagong allinnich foar de eigner past by in kaai dy't dy eigner brûkt. In tsjinst mei in bewust dielde groep kin in oare kontrolearre regeling nedich hawwe, lykas groeplêzen op in kaai fan in tsjinstakkount. Alle bestannen blyn op ien numerike modus sette brekt stipe kliïnten, en chmod -R 777 is gjin oplossing foar neat.

Kontrolearje de eigner en it tsjinstakkount foardat jo eat feroarje. Iepenbiere CA-sertifikaten en privee-identiteitskaaien hawwe ferskillende geheimhâldingsseasken, sels as se yn deselde map steane, dus in rekursyve modus op 'e hiele map behannelet beide as itselde objekt.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Op oare platfoarms brûk de dokumintearre kaaistapel of it tagongskontrôlemodel ynstee fan Unix-modi yn in gissing te oersetten. In bestânsnamme dy't op private einiget is in label, gjin hanthaveningsmeganisme.

Fyn de kopyen dy't de modus net dekt

Bewurkers, reservekopy-argiven, eksportearre profilen en tydlike bondels kinne elk deselde identiteit behâlde. Beskermje dy kopyen neffens har ynhâld, want it ferstkjen fan it orizjinele bestân docht neat foar dy yn 'e tar fan ferline moanne.

In wachtwurd op in kaaibestân is nuttich foar bewarre materiaal en rjochtfeardiget net it publisearjen fan it fersifere bestân njonken syn wachtwurd. Rjochten beskermje it hjoeddeistige bestânssysteemobjekt; se sizze neat oer oanmeldgegevens dat al earne oars kopye is.

Sykje de kopyen foardat jo it wurk klear ferklearje: grep -rl de koprigel fan 'e kaai yn wierskynlike mappen, en in each op reservekopy-útslutings. It resultaat is meast nijsgjirriger as it bestân dêr't jo mei begûn binne.

Nei de reparaasje: kontrolearje en ferfange

Test dat de bedoelde tsjinst noch autentisearret, befêstigje dan dat gjin needich akkount tagong krigen hat. Behein diagnostyske útfier ta metadata, want it printsjen fan 'e kaai is net nedich om te bewizen dat it bestân lêsber is en it set it materiaal yn in log.

As de kaai bleatlein is, ferstkje de modus, ferfange dan de oanmeldgegevens en lûk de âlde yn. De POSIX chmod-spesifikaasje ferklearret wat elk modusbit betsjut, wat it witten wurdich is foardat de folgjende audit jo freget it keazen getal te rjochtfeardigjen.

Relatearre artikelen