Teastaíonn sudo ón gcnaipe VPN: cuir scóip leis an riail, bailíochtaigh an polasaí

Oibríonn cnaipe VPN don riarthóir agus teipeann sé ar gach duine eile, mar sin cuireann duine líne le sudoers. De ghnáth maireann an líne sin níos faide ná an fhadhb a bhí le réiteach aici, agus is minic a thugann sí níos mó ná mar a theastaíonn ón gcnaipe. Sula n-athraíonn tú an polasaí, seiceáil an féidir le húinéir tacaithe an naisc an obair a dhéanamh cheana féin. Cinneann na trí choinníoll thíos an bhfuil sudo i gceist ar chor ar bith.

Coinníoll 1: is féidir leis an úinéir tacaithe é a dhéanamh gan sudo

Ar fhormhór na ndeasc Linux is leis an mbainisteoir líonra na naisc VPN cheana féin, agus téann a údarú trí polkit seachas trí sudo. Is féidir le húsáideoir a bhfuil cead aige nasc a ardú é a dhéanamh ón líne ordaithe gan aon riail root. Seiceáil cad a cheadaíonn an bainisteoir sula ngabhann tú leis go dteastaíonn pribhléid ón gcnaipe. Más ea an freagra, tá an t-athrú ar sudoers ag réiteach fadhb nach bhfuil ann.

nmcli connection show
nmcli connection up "Work VPN"

Má dhiúltaíonn an bainisteoir, léigh cén fáth: riail polkit ar iarraidh, nasc atá faoi úinéireacht úsáideora eile nó próifíl a stóráiltear áit nach féidir leis an úsáideoir í a léamh. Tá ceartú tacaithe ag gach ceann acu atá níos cúinge ná riail sudo. Is é an t-ardú pribhléide an rogha dheireanach, ní an chéad rogha.

Coinníoll 2: ainmníonn an riail aon inrite amháin agus a hargóintí

Má theastaíonn sudo i ndáiríre, ba cheart don riail an t-ordú cruinn a ainmniú agus, nuair is féidir, na hargóintí a fhéadfaidh sé a úsáid. Níl riail a ligeann d'úsáideoir script cumhdaigh a rith chomh sábháilte ach oiread le ceadanna na scripte sin, mar is féidir leis an úsáideoir an rud a chuirfidh root i bhfeidhm a athrú. Is é riail le comhartha ionadaíoch tar éis an ordaithe an fhadhb chéanna i bhfoirm níos giorra.

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

Seiceáil gach cosán sa slabhra ordaithe: an dénártha, an script a nglaonn sé uirthi, an comhad cumraíochta a léann sé agus aon chomhadlann eatarthu. Má tá aon cheann acu inrite ag an úsáideoir, is root gan srian go praiticiúil an riail scóipe. Tá tábhacht leis na hargóintí freisin, mar is féidir ordú a ghlacann cosán cumraíochta a dhíriú ar chomhad atá á rialú ag an úsáideoir. Scríobh an riail don oibríocht, ní don cnaipe.

Stop má theastaíonn comhad atá á rialú ag an úsáideoir ón ordú le hoibriú. Ansin tá an dearadh mícheart, agus ní dhéanfaidh aon chomhréir sudoers sábháilte é.

Coinníoll 3: déantar an polasaí iomlán a pharsáil, ní do líne amháin

Bailíochtaigh leis an eagarthóir a ghlocann an comhad agus a sheiceálann comhréir, agus bailíochtaigh an polasaí cóimeáilte seachas blúire. Is féidir le comhad a pharsáiltear leis féin an t-ord curtha isteach a bhriseadh fós nó riail a dhúbailt ar bhealach a athraíonn iompraíocht.lámhleabhar visudo déanann sé doiciméadú ar an eagarthóir glocála agus ar an mód seiceála amháin a úsáidtear anseo.

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

Tuairiscíonn an tseiceáil an comhad agus an líne nuair a theipeann sé, agus is é an tuarascáil sin an chuid úsáideach. Deisigh an t-athrú beartaithe tríd an eagarthóir seachas earráid aitheanta a shábháil le forneart, mar is féidir le polasaí briste gach riarthóir a ghlocadh amach ag an am céanna. Teastaíonn an úinéireacht agus an mód a éilíonn an lámhleabhar ó chomhaid sa chomhadlann chuimsithe freisin, nó déanfar neamhaird orthu nó diúltófar dóibh. Níl sa chomhréir ach an chéad gheata: nuair a éiríonn léi, léigh an riail arís agus fiafraigh cad a cheadaíonn sí i ndáiríre.

Stop más é an t-aon bhealach chun an t-athrú a chur ag obair ná an tseiceáil chomhréire a mhúchadh. Ní polasaí é sin, is briseadh síos é atá ag fanacht le hatosaí.

Aisghabháil: coinnigh seisiún a oibríonn fós

Sula sábhálann tú, déan cinnte go bhfuil seisiún riaracháin údaraithe oscailte cheana féin agus go bhfuil dara cosán isteach sa mheaisín ann. Is féidir le botún sudoers do chumas chun é a dheisiú a bhaint díot, agus ní fiú cnaipe ar an deasc an riosca sin. Má tá sudo briste cheana féin, bain úsáid as cosán aisghabhála doiciméadaithe an chórais seachas ceann a sheiftiú.

sudo -n true
id

Braitheann roghanna eile ar nós pkexec ar a suiteáil agus a bpolasaí féin, mar sin ní impí root ráthaithe iad. Coinnigh an t-údarú áitiúil ar leithligh ó sholáthar rún an VPN freisin: ní féidir le riail sudo gníomhaire rúnda as láthair a dhíghlasáil, agus ní shásaíonn sí MFA an gheata. Tar éis an cheartúcháin, tástáil an gnáthchuntas ag déanamh na hoibríochta beartaithe amháin, ansin bain úsáid as rialuithe gnáthacha an bhainisteora.

Críochnaíonn an cinneadh nuair is féidir leat a rá cén coinníoll a thug údar le sudo, cad a ainmníonn an riail, go ndéantar an polasaí iomlán a pharsáil, agus conas a d'aisghabhfá mura ndéanfaí. Is drochmhalairt é lainseálaí pribhléideach a chosnaíonn do rochtain riaracháin ort, agus is gnách gur féidir é a sheachaint.