Onnmhairiú NFS atá faoi ghlas ar sheoladh VPN: cad nach gcruthaíonn sé
Seiceálann riail onnmhairithe cá as a tháinig an paicéad; dearbhaíonn AUTH_SYS UID áitiúil agus fíoraíonn Kerberos úsáideoir. Socraigh cé acu a theastaíonn ó do sheirbhís chomhad.
Onnmhairíonn óstach eolaire chuig seoladh VPN, éiríonn leis an sliabh, agus scríobhtar an dearadh síos mar rud fíordheimhnithe. Is é an rud a chuireann an riail sin teorainn leis i ndáiríre ná cá as a bhfeictear na paicéid ag teacht. Braitheann sé ar an bhflabhás slándála NFS an é an duine a stiúrann an oibríocht chomhaid an duine a mhaíonn sé a bheith, agus i bhformhór na n-onnmhairithe den chineál seo níor athraigh aon duine é ón réamhshocrú.
Is féidir trí fhéiniúlacht a bheith le feiceáil in aon iarraidh amháin
Iompraíonn an piara VPN féiniúlacht chláraithte mar dheimhniú cliaint nó eochair phiara. Iompraíonn an paicéad IP istigh seoladh foinse. Iompraíonn an oibríocht chomhaid cibé dintiúir úsáideora a sholáthraíonn a meicníocht NFS. Tá dearadh a mheasann an seoladh mar ionadaí ar an triúr tar éis an chuid a bhí le fíorú a ghlacadh go ciúin.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Is é scríobh na dtrí shraith sin an cleachtadh iomlán. Tagann an chuid is mó den díospóireacht faoi cé acu atá onnmhairiú sábháilte nó nach bhfuil chun titim nuair a bhíonn sé soiléir cén tsraith ina bhfuil gach riail.
Is mionsonra cur chun feidhme é úinéireacht seolta
Is féidir le geata seoladh tolláin a shannadh do phiara glactha nó fo-líonra ródaithe a údarú dó. Is maoin den chur chun feidhme sin é cé acu a dhiúltaíonn an cur chun feidhme ansin do phaicéad a mbaineann a fhoinse inmheánach le cliant eile, agus is fiú é a sheiceáil seachas a ghlacadh mar rud cinnte.
Is féidir le cód freastalaí spáis úsáideora an Community traidisiúnta OpenVPN fhoinse a bhaineann le cliant eile a dhiúltú, mar shampla, sula seachadtar an paicéad tríd an ngléas TUN. Is seiceáil úinéireachta seolta é sin a bhfuil fíorluach aige, agus ní fíordheimhniú úsáideora NFS é fós, mar ní deir sé rud ar bith faoin gcuntas a dhéanann an oibríocht.
Déanann aistriú foinse creimeadh fiú air sin. Is féidir le geata NAT gach cliant a thaispeáint mar aon seoladh amháin, agus ansin ní féidir le riail onnmhairithe idirdhealú a dhéanamh idir na daoine taobh thiar de. Tagann beachtas dealraitheach na rialach ansin chun bheith ina fhicsiú a choinníonn an léaráid. Má tá tábhacht leis an onnmhairiú, coinnigh an seoladh go follasach seachas ligean do aistritheoir a chinneadh cé a chomhairtear mar cé.
Léigh an flabhás slándála sula gcuireann tú muinín san onnmhairiú
Dealaíonn treoir NFS de chuid Red Hat sec=sys, a úsáideann UIDanna agus GIDanna UNIX áitiúla trí AUTH_SYS, ó na modhanna Kerberos. Cuireann krb5 fíordheimhniú úsáideora leis, cuireann krb5i cosaint sláine leis, agus cuireann krb5p cosaint príobháideachais leis don trácht.
Tá réimsí mar UID an ghlaoiteora agus aitheantóirí grúpa i ndintiúir AUTH_SYS, agus tugann RFC 5531 rabhadh go soiléir nach soláthraíonn an flabhás seo slándáil ann féin agus go mbraitheann sé ar chosaint sheachtrach. Má ritear é laistigh de VPN soláthraítear cosaint don iompar agus ní athraítear aon rud sa mhaíomh laistigh den phaicéad.
exportfs -v
showmount -e nfs.example.internalLéigh an flabhás san aschur sin sula léann tú an liosta cliant. Féadfaidh onnmhairiú a bhféachann sé cosúil go bhfuil sé srianta a bheith srianta de réir seolta amháin agus gach glaiteoir fós ag dearbhú pé UID is mian leis.
Roghnaigh an tsamhail, ansin coinnigh na ceadanna
Roghnaigh an tsamhail fhíordheimhnithe seirbhíse comhad a oireann do na cliaint a riarann tú i ndáiríre. Teastaíonn féiniúlacht agus imscaradh seirbhíse ó Kerberos taobh thiar de, mar sin ní imirce é athrú aon rogha sléibhe agus teipfidh sé go simplí go dtí go mbeidh fearann Kerberos, príomhphrionsabail agus keytabanna ann.
Faoi cheachtar den dá shamhail, coinnigh na ceadanna onnmhairithe agus údarú an chórais chomhad a chuireann teorainn leis an méid is féidir leis an bpríomhphrionsabal fíordheimhnithe a dhéanamh. Insíonn fíordheimhniú duit cé atá ag fiafraí; cinneann údarú ar cheart an freagra a bheith tá. Is é comhcheangal an dá rud in aon socrú amháin an bealach a mbíonn imirce ag deonú níos mó ná mar a rinne an tseanchumraíocht.
Úsáid an riail seolta dá fíorchuspóir
Is fiú fós an tseirbhís a shrianadh don chonair agus do na foinsí ceadaithe, lena n-áirítear beartas ionchuir an óstaigh nuair a roinneann críochphointe VPN agus freastalaí NFS meaisín. Ní rialaíonn rialacha a sheolann trácht ar aghaidh na hiarratais a ndírítear orthu chuig seirbhís a ritheann go háitiúil ar an óstach céanna. Míníonn an bhearna sin líon iontach onnmhairithe a bhí ceaptha a bheith príobháideach. Seiceáil an beartas ionchuir áitiúil go follasach seachas glacadh leis go gclúdaíonn rialacha an tolláin é.
Seiceáil nach féidir le comhéadan eile nó le geata a dhéanann aistriú foinse an riail a chomhlíonadh go tobann, agus caith leis sin mar chúis chun bunús a bhunú seachas mar mhaíomh go ráthaíonn brionnú seolta sliabh oibre.
Rith trí chás glactha seachas ceann amháin. Cuir tús le cliant ceadaithe ag gníomhú mar úsáideoir ceadaithe, ansin déan athrá ó phiara nár ceadaíodh riamh, ansin déan iarracht ar rud nach bhfuil cead ag an úsáideoir ceadaithe a dhéanamh fós. Fiafraigh ina dhiaidh sin cad a athraíonn má chuirtear isteach ar chliant údaraithe, mar ní dhéanann fíordheimhniú iompair gach próiseas ar an meaisín sin a bheith iontaofa. Is fadhbanna éagsúla iad deimhniú goidte agus cuntas áitiúil fiosrach, le rialuithe éagsúla.