NFS-útflutningur læstur við VPN-tölu: hvað hann sannar ekki
Útflutningsregla athugar hvaðan pakkinn kom; AUTH_SYS segir til um staðbundið UID og Kerberos sannvottar notanda. Ákveðið hvorrar skráaþjónustan ykkar þarf.
Hýsill flytur út möppu á VPN-tölu, tengingin heppnast og hönnunin er skráð sem sannvottuð. Það sem reglan takmarkar í raun er hvaðan pakkarnir virðast koma. Hvort sá sem stýrir skráaaðgerðinni er sá sem hann segist vera fer eftir öryggisbragði NFS, og í flestum slíkum útflutningi hefur enginn breytt því frá sjálfgefna gildinu.
Þrjár auðkenni geta birst í einni beiðni
VPN-jafninginn ber skráð auðkenni eins og biðlara-vottorð eða jafningjalykil. Innri IP-pakkinn ber upprunatölu. Skráaaðgerðin ber þau notandaskilríki sem NFS-aðferðin veitir. Hönnun sem meðhöndlar töluna sem staðgengil fyrir allar þrjár hefur hljóðlega gert ráð fyrir þeim hluta sem átti að sannreyna.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Að skrifa þessar þrjár línur er öll æfingin. Stærstur hluti umræðunnar um hvort útflutningur sé öruggur hrynur um leið og ljóst er í hvaða línu hver stjórn býr.
Eignarhald á tölu er smáatriði í útfærslu
Gátt getur úthlutað göngutölu til samþykkts jafnings eða heimilað beina undirnet fyrir hann. Hvort útfærslan hafnar síðan pakka þar sem innri uppruni tilheyrir öðrum biðlara er eiginleiki þeirrar útfærslu, og það er þess virði að athuga frekar en að gera ráð fyrir því.
Hefðbundinn Community OpenVPN notendarýmisþjónarkóði getur til dæmis hafnað uppruna sem tengist öðrum biðlara áður en pakkinn er afhentur um TUN-tækið. Það er eignarhaldsprófun á tölu með raunverulegt gildi, og hún er enn ekki sannvottun NFS-notanda, því hún segir ekkert um hvaða reikningur framkvæmir aðgerðina.
Upprunansþýðing veðrar jafnvel þetta. NAT-gátt getur sýnt hvern biðlara sem eina tölu, og þá getur útflutningsregla ekki greint á milli fólksins að baki. Sýnileg nákvæmni reglunnar verður þá skáldskapur sem skýringarmyndin viðheldur. Ef útflutningurinn skiptir máli skaltu halda tölunum skýrum í stað þess að láta þýðanda ákveða hver teljist sem hver.
Lestu öryggisbragðið áður en þú treystir útflutningnum
NFS-leiðbeiningar Red Hat aðgreina sec=sys, sem notar staðbundin UNIX UID og GID í gegnum AUTH_SYS, frá Kerberos-hamunum. krb5 bætir við notandasannvottun, krb5i bætir við heilleikavörn og krb5p bætir við persónuvernd fyrir umferðina.
AUTH_SYS-skilríkin innihalda reiti eins og UID kallsins og hópaauðkenni, og RFC 5531 varar skýrt við að þetta bragð veiti enga öryggi eitt og sér og sé háð utanaðkomandi vernd. Að keyra það innan VPN veitir vernd fyrir flutninginn og breytir engu um fullyrðinguna inni í pakkanum.
exportfs -v
showmount -e nfs.example.internalLestu bragðið í þeirri úttak áður en þú lest biðlaralistann. Útflutningur sem virðist takmarkaður getur aðeins verið takmarkaður af tölu á meðan hver kallið segir enn til um hvaða UID sem er.
Veldu líkanið og haltu síðan réttindunum
Veldu sannvottunarlíkan skráaþjónustunnar sem hentar þeim biðlurum sem þú stjórnar í raun. Kerberos krefst auðkennis og þjónustuuppsetningar að baki, svo að breyta einum tengimöguleika er ekki flutningur og mun einfaldlega mistakast þar til Kerberos-lén, aðalhlutar og keytab eru til.
Undir hvoru líkaninu sem er skaltu halda útflutningsréttindunum og skráarkerfisheimildinni sem takmarka hvað sannvottaði aðalhluturinn má gera. Sannvottun segir þér hver spyr; heimild ákveður hvort svarið eigi að vera já. Að bræða þessu tvennu í eina stillingu er leiðin sem flutningur endar með að veita meira en gamla stillingin gerði.
Notaðu töluregluna í raunverulegum tilgangi sínum
Að takmarka þjónustuna við samþykkta slóð og uppruna er enn þess virði, þar á meðal inntaksstefna hýsilsins þegar VPN-endapunktur og NFS-þjónn deila vél. Reglur sem senda umferð áfram stýra ekki beiðnum sem beint er að þjónustu sem keyrir staðbundið á sama hýsli. Þetta bil útskýrir furðulega marga útflutninga sem áttu að vera einkareknir. Athugaðu staðbundnu inntaksstefnuna sérstaklega í stað þess að gera ráð fyrir að göngureglurnar nái yfir hana.
Athugaðu að önnur tengi eða gátt með upprunansþýðingu geti ekki uppfyllt regluna óvænt, og líttu á það sem ástæðu til að staðfesta uppruna fremur en fullyrðingu um að fölsun tölu tryggi virka tengingu.
Keyrðu þrjú samþykkistilvik í stað eins. Byrjaðu á samþykktum biðlara sem starfar sem samþykktur notandi, endurtaktu síðan frá jafningi sem var aldrei samþykktur, og reyndu síðan eitthvað sem samþykkti notandinn má ekki enn. Spurðu síðan hvað breytist ef valinn biðlari verður fyrir árás, því flutningssannvottun gerir ekki hvert ferli á þeirri vél traustvert. Stolið vottorð og forvitinn staðbundinn reikningur eru ólík vandamál með ólíkum stýringum.