VPN-hnappurinn þarf sudo: afmarka regluna, sannprófa stefnuna

VPN-hnappurinn virkar fyrir stjórnandann og mistekst fyrir alla aðra, svo einhver bætir línu við sudoers. Sú lína lifir venjulega lengur en vandamálið sem hún átti að leysa, og hún veitir oft meira en hnappurinn þarf. Áður en þú breytir stefnunni skaltu athuga hvort studdi eigandi tengingarinnar geti þegar unnið verkið. Þrjú skilyrði hér að neðan ráða því hvort sudo kemur yfirhöfuð við sögu.

Skilyrði 1: studdi eigandinn getur gert það án sudo

Á flestum Linux-skjáborðum á netstjórinn þegar VPN-tengingarnar, og heimild hans fer í gegnum polkit í stað sudo. Notandi sem má rísa tengingu getur gert það af skipanalínunni án nokkurrar root-reglu. Athugaðu hvað stjórinn leyfir áður en þú gerir ráð fyrir að hnappurinn þurfi réttindi. Ef svarið er já, þá leysir breytingin á sudoers vandamál sem er ekki til.

nmcli connection show
nmcli connection up "Work VPN"

Ef stjórinn neitar skaltu lesa hvers vegna: polkit-regla sem vantar, tenging í eigu annars notanda eða prófíll sem geymdur er þar sem notandinn getur ekki lesið hann. Hvert þessara hefur studda lagfæringu sem er þrengri en sudo-regla. Réttindaaukning er síðasta úrræðið, ekki það fyrsta.

Skilyrði 2: reglan nefnir eitt keyranlegt skjal og röksemdir þess

Ef sudo er sannarlega nauðsynlegt ætti reglan að nefna nákvæma skipun og, þar sem mögulegt er, þær röksemdir sem hún má nota. Regla sem leyfir notanda að keyra umbúðaskriftu er aðeins eins örugg og réttindi þeirrar skriftu, því notandinn getur breytt því sem root keyrir. Regla með jokerstafi eftir skipunina er sama vandamálið í styttri mynd.

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

Athugaðu hverja slóð í skipunarkeðjunni: tvístæðuna, skriftuna sem hún kallar á, stillingaskrána sem hún les og hvaða möppu sem er þar á milli. Ef notandinn getur skrifað í eitthvað þeirra er afmarkaða reglan í reynd ótakmarkað root. Röksemdir skipta líka máli, því skipun sem tekur stillingaslóð má beina að skrá sem notandinn stjórnar. Skrifaðu regluna fyrir aðgerðina, ekki fyrir hnappinn.

Stoppaðu ef skipunin þarf skrá sem notandinn stjórnar til að virka. Þá er hönnunin röng, og engin sudoers-setningagerð gerir hana örugga.

Skilyrði 3: öll stefnan er þáttuð, ekki bara línan þín

Sannprófaðu með ritlinum sem læsir skránni og athugar setningagerð, og sannprófaðu samsettu stefnuna frekar en bút. Skrá sem þáttast ein og sér getur samt brotið innfelldu röðina eða tvítekið reglu á þann hátt að hegðun breytist.visudo-handbókin skjalfestir bæði læsandi ritilinn og aðeins-athugunarhaminn sem notaður er hér.

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

Athugunin tilkynnir skrána og línuna þegar hún mistekst, og sú skýrsla er gagnlegi hlutinn. Lagaðu fyrirhugaðu breytinguna í gegnum ritilinn í stað þess að þvinga vistun þekktrar villu, því brotin stefna getur læst alla stjórnendur út í einu. Skrár í innfelldu möppunni þurfa líka eignarhald og hátt sem handbókin krefst, annars verður þeim hunsað eða þeim hafnað. Setningagerð er aðeins fyrsta hliðið: eftir að hún stenst skaltu lesa regluna aftur og spyrja hvað hún leyfir í raun.

Stoppaðu ef eina leiðin til að láta breytinguna virka er að slökkva á setningagerðarathuguninni. Það er ekki stefna, það er bilun sem bíður endurræsingar.

Endurheimt: haltu lotu sem virkar enn

Áður en þú vistar skaltu ganga úr skugga um að heimiluð stjórnunarlota sé þegar opin og að önnur leið inn í vélina sé til. Mistök í sudoers geta tekið frá þér getuna til að laga þau, og hnappur á skjáborðinu er ekki þess virði. Ef sudo er þegar brotið skaltu nota skjalfesta endurheimtarleið kerfisins í stað þess að spinna eina sjálfur.

sudo -n true
id

Valkostir eins og pkexec ráðast af eigin uppsetningu og stefnu, svo þeir eru ekki tryggt annað root-beiðni. Haltu staðbundnum heimildum einnig aðskildum frá því að veita VPN-leynimálið: sudo-regla getur ekki opnað fjarverandi leynimálsagent og uppfyllir ekki MFA gáttarinnar. Eftir lagfæringuna skaltu prófa venjulegan reikning sem framkvæmir aðeins fyrirhugaða aðgerð, og nota svo venjulegar stýringar stjórans.

Ákvörðunin endar þegar þú getur sagt hvaða skilyrði réttlætti sudo, hvað reglan nefnir, að öll stefnan þáttast og hvernig þú myndir endurheimta ef ekki. Forréttindastartari sem kostar þig stjórnunarlega aðgang er slæm skipti, og venjulega er hægt að forðast hann.