VPN мекенжайына бекітілген NFS экспорты: ол нені дәлелдемейді
Экспорт ережесі пакеттің қайдан келгенін тексереді; AUTH_SYS жергілікті UID мәлімдейді, ал Kerberos пайдаланушыны аутентификациялайды. Файл қызметіңізге қайсысы керегін шешіңіз.
Хост каталогты VPN мекенжайына экспорттайды, тіркеу сәтті өтеді және жоба аутентификацияланған деп жазылады. Бұл ереже шын мәнінде пакеттердің қайдан келетіндей көрінетінін ғана шектейді. Файл операциясын жүргізетін адам өзі айтқан адам ба, ол NFS қауіпсіздік режиміне байланысты, ал мұндай экспорттардың көбінде оны ешкім әдепкіден өзгертпеген.
Бір сұрауда үш тұлға көрінуі мүмкін
VPN серіктесі клиент сертификаты немесе серіктес кілті сияқты тіркелген тұлғаны алып жүреді. Ішкі IP пакеті бастау мекенжайын алып жүреді. Файл операциясы оның NFS механизмі беретін пайдаланушы тіркелгі деректерін алып жүреді. Мекенжайды үшеуінің де орнына қоятын жоба тексерілуі тиіс бөлікті үнсіз болжап алды.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Осы үш жолды жазу — бүкіл жаттығу. Экспорттың қауіпсіздігі туралы даудың көбі әр бақылаудың қай жолда тұратыны анық болғанда құлайды.
Мекенжай иелігі — іске асыру бөлшегі
Шлюз қабылданған серіктеске туннель мекенжайын беруі немесе оған маршрутталған қосымша желіге рұқсат беруі мүмкін. Іске асырудың ішкі бастауы басқа клиентке тиесілі пакетті кейін қабылдамауы сол іске асырудың қасиеті, және оны болжаудың орнына тексеру керек.
Дәстүрлі Community OpenVPN пайдаланушы кеңістігіндегі сервер коды, мысалы, пакет TUN құрылғысы арқылы жеткізілмес бұрын басқа клиентке байланысты бастауды қабылдамай алады. Бұл нақты құны бар мекенжай иелігін тексеру, және ол әлі NFS пайдаланушысының аутентификациясы емес, өйткені операцияны қай тіркелгі жасайтыны туралы ештеңе айтпайды.
Бастауды трансляциялау мұны да жеп қояды. NAT шлюзі әр клиентті бір мекенжай ретінде көрсете алады, сонда экспорт ережесі оның артындағы адамдарды ажырата алмайды. Содан кейін ереженің көрінетін дәлдігі диаграмма ұстап тұрған қиялға айналады. Егер экспорт маңызды болса, мекенжайлауды айқын ұстаңыз, кім кімнің орнында саналатынын аудармашыға шешкізбеңіз.
Экспортқа сенбес бұрын қауіпсіздік режимін оқыңыз
Red Hat-тың NFS нұсқаулығы AUTH_SYS арқылы жергілікті UNIX UID мен GID қолданатын sec=sys-ді Kerberos режимдерінен бөледі. krb5 пайдаланушы аутентификациясын, krb5i тұтастық қорғанысын, ал krb5p трафиктің құпиялылық қорғанысын қосады.
AUTH_SYS тіркелгі деректері шақырушының UID-і мен топ идентификаторлары сияқты өрістерден тұрады, және RFC 5531 бұл режим өздігінен қауіпсіздік бермейтінін және сыртқы қорғанысқа тәуелді екенін ашық ескертеді. Оны VPN ішінде іске қосу тасымалға қорғаныс береді және пакет ішіндегі тұжырымды ештеңе өзгертпейді.
exportfs -v
showmount -e nfs.example.internalКлиенттер тізімін оқымас бұрын сол шығыстағы режимді оқыңыз. Шектелген болып көрінетін экспорт тек мекенжаймен шектелген болуы мүмкін, ал әр шақырушы әлі де өзі қалаған UID-ді мәлімдейді.
Модельді таңдаңыз, содан кейін рұқсаттарды сақтаңыз
Сіз шын мәнінде басқаратын клиенттерге сай файл қызметінің аутентификация моделін таңдаңыз. Kerberos өзінің артында тұлға мен қызметті орналастыруды талап етеді, сондықтан бір тіркеу параметрін өзгерту көшіру емес және Kerberos домені, принципалдары және keytab-тар пайда болғанша жай ғана сәтсіз болады.
Екі модельде де аутентификацияланған принципалдың не істей алатынын шектейтін экспорт рұқсаттары мен файлдық жүйе авторизациясын сақтаңыз. Аутентификация кім сұрап жатқанын айтады; авторизация жауап иә болуы керек пе, соны шешеді. Осы екеуін бір параметрге біріктіру — көшірудің ескі конфигурациядан көбірек беруінің жолы.
Мекенжай ережесін оның нақты мақсатына пайдаланыңыз
Қызметті мақұлданған жолмен және көздермен шектеу әлі де құнды, оның ішінде VPN шеткі нүктесі мен NFS сервері бір машинаны бөліскенде хосттың кіру саясаты. Трафикті жіберетін ережелер мынаған бағытталған сұрауларды басқармайды: сол хостта жергілікті жұмыс істейтін қызмет. Бұл олқылық жасырын болуы керек болған экспорттардың таңғаларлық санын түсіндіреді. Туннель ережелері оны жабады деп болжаудың орнына жергілікті кіру саясатын ашық тексеріңіз.
Басқа интерфейс немесе бастауды трансляциялайтын шлюз ережені күтпеген жерде қанағаттандыра алмайтынын тексеріңіз және мұны мекенжайды жалған жасау жұмыс істейтін тіркеуді кепілдейді деген тұжырым емес, шығу тегін анықтау себебі деп қараңыз.
Бір емес, үш қабылдау жағдайын іске қосыңыз. Мақұлданған клиенттің мақұлданған пайдаланушы ретінде әрекет етуінен бастаңыз, содан кейін ешқашан мақұлданбаған серіктестен қайталаңыз, содан кейін мақұлданған пайдаланушыға әлі рұқсат етілмеген нәрсені көріңіз. Содан кейін авторизацияланған клиент бұзылса, не өзгеретінін сұраңыз, өйткені тасымал аутентификациясы сол машинадағы әрбір процесті сенімді етпейді. Ұрланған сертификат пен қызыққыш жергілікті тіркелгі — түрлі бақылауы бар түрлі мәселелер.