Сіздің VPN пәрмені артықшылықсыз жұмыс істейді; қызмет ондай емес

Құпия сөз сұралмауы маршруттарды кім өзгертетіні туралы ештеңе айтпайды. Қызметті, оның ашатын интерфейсін және кім сұрай алатынын шешетін саясатты табыңыз.

VPN пәрмені сіздің пайдаланушыңыз ретінде жұмыс істейді, құпия сөз көрінбейді және туннель көтеріледі. Бұл реттілік артықшылықсыз әрекет сияқты сезіледі, бірақ әдетте олай емес. Желілік өзгерістерді бөлек қызмет жасайды, ал қызықты сұрақ — сол қызмет өзі тексермеген шақырушы үшін не істейді. Құпия сөз сұрауларын санау сізге бұл шекара туралы ештеңе айтпайды.

Интерфейс, механизм және тексеру

Интерфейс сұрауларды қабылдайды: қосылу, ажырату, профиль таңдау. Механизм желілік операцияларға ие: интерфейстер құру, маршруттарды өзгерту, сүзгілерді қолдану. Авторизация тексеруі бұл шақырушының бұл әрекетті сұрай алатынын шешеді. Бұл үшеуі бинарлық файлға, көмекшіге және жүйелік қызметке таралуы мүмкін, ал пайдаланушы тек біріншісін көреді.

Рөлдер бір бинарлық файлда, екі процесте немесе клиент пен жүйелік қызметте өмір сүре алады, ал пайдаланушы көретін пәрмен қайсысы екенін сирек ашады. Жүйелік науа белгішесі мен жүйелік демон бір қосымша болып көрінуі мүмкін, бірақ олар әлдеқайда өзгеше өкілеттікпен жұмыс істейді. Орнату кезіндегі артықшылық пен сұрау кезіндегі артықшылық та әртүрлі нәрселер. root ретінде жұмыс істеген орнатушы кейінгі сұрауларды тыңдайтын қызметті пакет менеджері аяқталғаннан көп кейін қалдыруы мүмкін. Өкілеттік сол қызметте, ал сіз терген пәрменде емес.

Тапсыру — әдеттегі дизайн

Артықшылығы бар желілік жұмысты қызметке тапсыру — орынды архитектура. Ол қарапайым қосымшаларды артықшылықсыз ұстайды және қамқорлықты қажет ететін операцияларды орталықтандырады. Дизайн тек қызмет кім сұрап, не үшін сұрап отырғанын тексеретін болса ғана ақталады. Ол тексерусіз бұл жай ғана кеңірек есік.

NetworkManager — Linux-тегі нақты мысал. Оның конфигурация нұсқаулығы әдепкі баптауда PolicyKit-тің root емес сұрауларға қалай рұқсат беретінін түсіндіреді. Бұл нақты өнімдегі тапсырылған авторизацияны көрсетеді. Бұл әрбір коммерциялық клиенттің NetworkManager-ды қолданатынын дәлелдемейді және нақты бір жеткізушінің сокет жолын немесе саясатын сипаттамайды.

Үлгі — артында саясаты бар тапсыру. Мысал сол үлгінің бір іске асырылуы, әмбебап емес.

Шекараны оқыңыз, сұрауды емес

Қызметті, оның конфигурациясының иесін және алдыңғы жақ пайдаланатын жергілікті интерфейсті табыңыз. Содан кейін қандай пайдаланушылар қандай операцияларды сұрай алатынын сұраңыз. Бір сақталған профильді көтеріп, түсіру оператор ешқашан қарамаған конфигурацияны жүктеумен бірдей рұқсат емес. Айырмашылық — бүкіл қауіпсіздік мәселесі.

Қызмет менеджерінен және клиенттің өз рұқсаттары туралы өз көзқарасынан бастаңыз. Төмендегі пәрмендер демон жұмыс істеп тұрғанын, шақырушы одан нені сұрай алатынын және демон өзінің орындалу қалтасында нені ашатынын көрсетеді.

systemctl status NetworkManager
nmcli general permissions
ls -l /run/NetworkManager

Сондай-ақ операцияның неге әсер ететінін сұраңыз. Жеке болып көрінетін мәзір элементі бүкіл машинаның маршруттары мен DNS-ін өзгертуі мүмкін, бұл оның басқа пайдаланушылардың сессияларын бұзуы мүмкін екенін білдіреді. Әсер радиусы рұқсатпен бір тексеріске жатады және әдетте қызметке тар рөл қажет пе, соны шешеді.

Рұқсаттарды қолдау көрсетілетін жолмен түзетіңіз

Қорғалған басқару сокетін барлығына жазуға болатын ету немесе тіркелгіні кең әкімшілік топқа қосу рұқсат қатесін жояды және үлкенірек қате жасайды. Қате — бұл шекараның бар екенін айтатын жалғыз нәрсе еді. Құжатталған мүшелік немесе авторизация процесін, оның талап ететін сессия жаңартуын қоса, пайдаланыңыз. Топ мүшелігі көбіне тек жаңа кіру сессияларына қолданылады, сондықтан өзгеріс келесі кіргенге дейін ештеңе істемегендей көрінуі мүмкін.

Егер өнім операция үшін тар рөл ұсынса, оны жалпы берілістен артық көріңіз. Таңдалған рөл мен оның иесін қызмет атауының жанына жазыңыз.

Жақсы бөлініс қандай болады

Қарапайым қосымшалар артықшылықсыз қалады, қызмет тек өзі үшін жасалған баптауды орындайды және әрбір шақырушы біреуге тиесілі саясатқа қарсы тексеріледі. Бұл қорғауға болатын дизайн. Ол сондай-ақ аудитке жарамды, себебі саясатқа атау тіркелген. Бұдан үлкен кез келген нәрсе үнсіз рұқсат өзгерісінен гөрі жазбаша ерекшелікке лайық.

Сәтсіздік режимі — интерфейс ыңғайлы болғандықтан кез келген жергілікті пайдаланушының кез келген сұрауын орындайтын қызмет. Пайдаланушы жағынан ол бірдей көрінеді және әлдеқайда үлкен өкілеттік алып жүреді. Тек сәтті сұрауды емес, бір қабылданбаған сұрауды сынап көріңіз. Саясаттан келетін бас тарту — саясаттың бар екенінің дәлелі.

Қатысты мақалалар