Sameiginlegt CA, aðskildar dyr: ein þjónusta á hverja aðgangsskrá

Skírteini sem staðfest er gagnvart sameiginlegu yfirvaldi hefur staðist próf í trausti, ekki próf í aðild. Þessar tvær ákvarðanir eru oft sameinaðar því báðar eiga sér stað við tengingu, og sameiningin helst ósýnileg þar til einhver sem ætti ekki að vera í þjónustu er hleypt inn í hana. Lausnin er ekki annað yfirvald; hún er önnur ákvörðun, tekin fyrir hverja þjónustu og skráð þar sem dæmoninn les hana. Haltu þessum tveimur aðskildum og mestur hluti ruglingsins á þessu sviði hverfur.

Traust keðja segir ekkert um aðild að þjónustu

Tvær þjónustur geta samþykkt sama útgefandi stigveldi og samt haft ólíka hópa. Ein fartölva tilheyrir þeirri fyrri og má ekki ná þeirri seinni, á meðan aðrir skjólstæðingar sama stigveldis tilheyra þar. Að fjarlægja yfirvaldið frá þeirri þjónustu myndi loka á alla sem nota hana löglega, svo verkið er aðgangur, ekki traust.

Hjálpar að ímynda sér tvö læs á einni hurð. Skírteinið opnar ytra læsið, og ákvörðun fyrir hverja þjónustu opnar það innra; hvorugt kemur í stað hins. Þjónusta með aðeins ytra læsið framfylgir alls ekki aðild, hún auðkennir einungis. Skrifaðu báðar ákvarðanirnar niður áður en þú breytir einhverju, því stefnu sem er aðeins til í formi virkrar tengingar er ekki hægt að endurskoða. Það sem fer hér á eftir snertir innra læsið.

Gerðu valfrjálsar yfirskriftir að aðgangshliði

Skjólstæðingaskrá er venjulega þægindi: skrár í henni yfirskrifa stillingar þeirra skjólstæðinga sem þær nefna, og skjólstæðingur án skrár keyrir einfaldlega með sjálfgefnum gildum netþjónsins. Ein tilskipun breytir þessum þægindum í hlið, þannig að skrá sem vantar þýðir að tengingunni er hafnað.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Samfélagsútgáfa OpenVPN 2.6 ccd-exclusive skjalfestir á handbókarsíðu sinni nákvæmlega þetta skilyrði, og leit að nefndri skrá byggist á raunverulegri auðkenni skjólstæðingsins. Aðrar byggingar og netþjónar sem stjórnað er af vörum geta verið frábrugðin, svo staðfestu uppsetta útgáfu áður en þú treystir á sömu merkingu annars staðar.

Líttu á slóðina hér að ofan sem dæmi og athugaðu uppsetta skipan í stað þess að búa til möppu sem leiðarvísir hefur fundið upp. Láttu fyrirliggjandi skírteinisprófanir, auðkennisprófanir netþjóns og reikningsauðkenningu vera nákvæmlega eins og þær voru, því brotið bætir við skilyrði og fjarlægir ekkert. Undirbúðu breytinguna fyrir framleiðslu, því höfnun sem er reist á röngum stað lítur út eins og skírteinisbilun og sendir rannsóknina til yfirvaldsins. Staðfestu síðan að logglína fyrir höfnuðum skjólstæðing nefni skrána sem vantar en ekki keðjuna.

Ein mappa á hverja þjónustu, ekki ein sameiginleg listi

Aðild tilheyrir þeirri þjónustu sem framfylgir henni, svo hver þjónusta heldur sinni eigin möppu og sínum eigin skrám. Að beina tveimur þjónustum að einum lista fær þær til að deila aðild hvort sem einhver ætlaði sér það eða ekki, og erfitt er að rekja breytinguna sem af hlýst til ákvörðunar. Sameiginlega yfirvaldið getur verið sameiginlegt áfram; aðgangsskrárnar geta það ekki. Að halda þeim aðskildum þýðir líka að mistök í einni þjónustu geta ekki hljóðlega víkkað aðra.

DEFAULT-færsla er tilfellið sem villir fólk. Hún veitir varastillingar þegar engin nefnd skrá finnst, en hún er ekki nefnda skráin sem hliðið krefst, svo hún getur ekki hleypt skjólstæðingi inn eitt og sér. Prófaðu skjólstæðing sem hefur enga færslu og staðfestu höfnunina; ef sá skjólstæðingur er hleypt inn er varaleiðin í gildi og ccd-exclusive er ekki virkt í því tilviki.

Raunverulega auðkennið ræður því hvaða skrá er lesin

Leitin notar það auðkenni sem skjólstæðingurinn auðkenndi sig raunverulega með, sem er venjulega algengt nafn skírteinisins. Þar sem netþjónninn staðfestir líka notandanafn og lykilorð og varpar því nafni yfir í algenga nafnið verður skráin að passa við auðkennda notandanafnið í staðinn. Ósamræmi skilur eftir möppu fulla af trúverðugum skráarheitum sem eru aldrei valin.

Lestur er hinn helmingurinn. Dæmoninn sleppir venjulega forréttindum eftir ræsingu, svo minnkaði reikningurinn þarf lesaðgang að möppunni og hverri færslu í henni. Skjólstæðingar mega ekki geta búið til sína eigin færslu um neina skrifanlega slóð, því sjálfsafgreiðsluaðgangur gerir kerfið algjörlega óvirkt. Athugaðu uppsetningar- og deilingarheimildir og ekki bara skráarstillingu, því mappa sem virðist lokuð fyrir einum reikningi getur verið opin öðrum. Staðfestu síðan hvaða reikningur keyrandi ferlið notar í raun, ekki hvaða reikningur unit-skráin nefnir. Þessir tveir eru aðeins eins þegar ekkert annað hefur breytt þeim.

Fylgstu sérstaklega með höfnun, aðgangi og afturköllun

Prófaðu auðkenni sem tilheyrir þjónustunni og staðfestu að það tengist. Prófaðu gilt skírteini án færslu og staðfestu að því er hafnað. Prófaðu auðkenni sem var hleypt inn í hina þjónustuna og staðfestu að það er ekki hleypt inn hér. Skráðu tilvik þjónustunnar og raunverulega auðkennið við hverja niðurstöðu, því niðurstöðu án þess samhengis getur enginn annar endurgerið.

Afturköllun er aðgerð aðskilin frá ógildingu. Að breyta aðgangsskrá fjarlægir rétt til einnar þjónustu á meðan auðkennið helst gilt alls staðar annars staðar, en lykill sem hefur verið afhjúpaður krefst ógildingarsvars stofnunarinnar. Ákveddu fyrirfram hvað verður um lotur sem þegar eru opnar, því hvorki möppubreyting né ógildingarlisti endar þær eitt og sér.

Aðgangur er líka aðeins fyrsta hliðið. Að ganga í þjónustu segir ekkert um undirnetin, gagnagrunnana eða stjórnviðmótin fyrir aftan hana, og þá auðlindastefnu verður að skrifa og prófa sérstaklega.