VPN ಬಟನ್‌ಗೆ sudo ಬೇಕು: ನಿಯಮದ ವ್ಯಾಪ್ತಿ ನಿಗದಿಪಡಿಸಿ, ನೀತಿ ಪರಿಶೀಲಿಸಿ

VPN ಬಟನ್ ನಿರ್ವಾಹಕರಿಗೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಮತ್ತು ಉಳಿದವರಿಗೆ ವಿಫಲವಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಯಾರೋ sudoers ಗೆ ಒಂದು ಸಾಲು ಸೇರಿಸುತ್ತಾರೆ. ಆ ಸಾಲು ಸಾಮಾನ್ಯವಾಗಿ ಪರಿಹರಿಸಬೇಕಿದ್ದ ಸಮಸ್ಯೆಗಿಂತ ಹೆಚ್ಚು ಕಾಲ ಬದುಕುತ್ತದೆ, ಮತ್ತು ಬಟನ್‌ಗೆ ಬೇಕಾದುದಕ್ಕಿಂತ ಹೆಚ್ಚು ಅಧಿಕಾರ ನೀಡುತ್ತದೆ. ನೀತಿ ಸಂಪಾದಿಸುವ ಮೊದಲು ಬೆಂಬಲಿತ ಸಂಪರ್ಕದ ಮಾಲೀಕರು ಈಗಾಗಲೇ ಕೆಲಸ ಮಾಡಬಹುದೇ ಎಂದು ಪರಿಶೀಲಿಸಿ. ಕೆಳಗಿನ ಮೂರು ಷರತ್ತುಗಳು sudo ಸೇರಿದೆಯೇ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ.

ಷರತ್ತು 1: ಬೆಂಬಲಿತ ಮಾಲೀಕರು ಇದನ್ನು sudo ಇಲ್ಲದೆ ಮಾಡಬಹುದು

ಹೆಚ್ಚಿನ Linux ಡೆಸ್ಕ್‌ಟಾಪ್‌ಗಳಲ್ಲಿ ನೆಟ್‌ವರ್ಕ್ ಮ್ಯಾನೇಜರ್ ಈಗಾಗಲೇ VPN ಸಂಪರ್ಕಗಳ ಮಾಲೀಕರಾಗಿದ್ದಾರೆ, ಮತ್ತು ಅವರ ಅಧಿಕೃತಿ sudo ಬದಲು polkit ಮೂಲಕ ಹೋಗುತ್ತದೆ. ಸಂಪರ್ಕ ಎತ್ತಲು ಅನುಮತಿ ಪಡೆದ ಬಳಕೆದಾರರು ಯಾವುದೇ root ನಿಯಮವಿಲ್ಲದೆ ಆದೇಶ ಸಾಲಿನಿಂದ ಮಾಡಬಹುದು. ಬಟನ್‌ಗೆ ಸವಲತ್ತು ಬೇಕು ಎಂದು ಭಾವಿಸುವ ಮೊದಲು ಮ್ಯಾನೇಜರ್ ಏನನ್ನು ಅನುಮತಿಸುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ. ಉತ್ತರ ಹೌದು ಆಗಿದ್ದರೆ, sudoers ಬದಲಾವಣೆ ಇಲ್ಲದ ಸಮಸ್ಯೆಯನ್ನು ಪರಿಹರಿಸುತ್ತಿದೆ.

nmcli connection show
nmcli connection up "Work VPN"

ಮ್ಯಾನೇಜರ್ ನಿರಾಕರಿಸಿದರೆ, ಕಾರಣ ಓದಿ: ಕಾಣೆಯಾದ polkit ನಿಯಮ, ಬೇರೆ ಬಳಕೆದಾರರ ಮಾಲೀಕತ್ವದ ಸಂಪರ್ಕ ಅಥವಾ ಬಳಕೆದಾರರು ಓದಲಾಗದ ಸ್ಥಳದಲ್ಲಿ ಸಂಗ್ರಹಿಸಿದ ಪ್ರೊಫೈಲ್. ಇವುಗಳಲ್ಲಿ ಪ್ರತಿಯೊಂದಕ್ಕೂ sudo ನಿಯಮಕ್ಕಿಂತ ಸಂಕುಚಿತ ಬೆಂಬಲಿತ ಪರಿಹಾರವಿದೆ. ಸವಲತ್ತು ಏರಿಕೆ ಕೊನೆಯ ಉಪಾಯ, ಮೊದಲನೆಯದಲ್ಲ.

ಷರತ್ತು 2: ನಿಯಮ ಒಂದು ಕಾರ್ಯನಿರ್ವಾಹಕ ಫೈಲ್ ಮತ್ತು ಅದರ ಆರ್ಗ್ಯುಮೆಂಟ್‌ಗಳನ್ನು ಹೆಸರಿಸುತ್ತದೆ

sudo ನಿಜವಾಗಿಯೂ ಬೇಕಾದರೆ, ನಿಯಮ ನಿಖರ ಆದೇಶವನ್ನು ಮತ್ತು ಸಾಧ್ಯವಾದಲ್ಲಿ ಅದು ಬಳಸಬಹುದಾದ ಆರ್ಗ್ಯುಮೆಂಟ್‌ಗಳನ್ನು ಹೆಸರಿಸಬೇಕು. ಬಳಕೆದಾರರಿಗೆ ಸುತ್ತು ಸ್ಕ್ರಿಪ್ಟ್ ಚಲಾಯಿಸಲು ಅನುಮತಿಸುವ ನಿಯಮ ಆ ಸ್ಕ್ರಿಪ್ಟ್‌ನ ಅನುಮತಿಗಳಷ್ಟೇ ಸುರಕ್ಷಿತ, ಏಕೆಂದರೆ ಬಳಕೆದಾರರು root ಏನನ್ನು ನಿರ್ವಹಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಸಂಪಾದಿಸಬಹುದು. ಆದೇಶದ ನಂತರ ವೈಲ್ಡ್‌ಕಾರ್ಡ್ ಇರುವ ನಿಯಮ ಅದೇ ಸಮಸ್ಯೆಯ ಸಣ್ಣ ರೂಪ.

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

ಆದೇಶ ಸರಪಳಿಯ ಪ್ರತಿ ಮಾರ್ಗವನ್ನು ಪರಿಶೀಲಿಸಿ: ಬೈನರಿ, ಅದು ಕರೆಯುವ ಸ್ಕ್ರಿಪ್ಟ್, ಅದು ಓದುವ ಸಂರಚನಾ ಫೈಲ್ ಮತ್ತು ಅವುಗಳ ನಡುವಿನ ಯಾವುದೇ ಡೈರೆಕ್ಟರಿ. ಅವುಗಳಲ್ಲಿ ಯಾವುದಾದರೂ ಬಳಕೆದಾರರಿಂದ ಬರೆಯಬಹುದಾದದ್ದಾಗಿದ್ದರೆ, ಸೀಮಿತ ನಿಯಮ ಪ್ರಾಯೋಗಿಕವಾಗಿ ಅಪರಿಮಿತ root. ಆರ್ಗ್ಯುಮೆಂಟ್‌ಗಳೂ ಮುಖ್ಯ, ಏಕೆಂದರೆ ಸಂರಚನಾ ಮಾರ್ಗ ಸ್ವೀಕರಿಸುವ ಆದೇಶವನ್ನು ಬಳಕೆದಾರರು ನಿಯಂತ್ರಿಸುವ ಫೈಲ್‌ಗೆ ತಿರುಗಿಸಬಹುದು. ನಿಯಮವನ್ನು ಬಟನ್‌ಗಲ್ಲ, ಕಾರ್ಯಾಚರಣೆಗೆ ಬರೆಯಿರಿ.

ಆದೇಶ ಕೆಲಸ ಮಾಡಲು ಬಳಕೆದಾರರು ನಿಯಂತ್ರಿಸುವ ಫೈಲ್ ಬೇಕಾದರೆ ನಿಲ್ಲಿಸಿ. ಆಗ ವಿನ್ಯಾಸ ತಪ್ಪು, ಮತ್ತು ಯಾವುದೇ sudoers ವಾಕ್ಯರಚನೆ ಅದನ್ನು ಸುರಕ್ಷಿತಗೊಳಿಸದು.

ಷರತ್ತು 3: ಇಡೀ ನೀತಿ ಪಾರ್ಸ್ ಆಗುತ್ತದೆ, ನಿಮ್ಮ ಸಾಲು ಮಾತ್ರವಲ್ಲ

ಫೈಲ್ ಲಾಕ್ ಮಾಡಿ ವಾಕ್ಯರಚನೆ ಪರಿಶೀಲಿಸುವ ಸಂಪಾದಕದಿಂದ ಪರಿಶೀಲಿಸಿ, ಮತ್ತು ತುಣುಕಲ್ಲ, ಜೋಡಿಸಿದ ನೀತಿಯನ್ನು ಪರಿಶೀಲಿಸಿ. ತಾನಾಗಿ ಪಾರ್ಸ್ ಆಗುವ ಫೈಲ್ ಸಹ ಸೇರಿಸುವ ಕ್ರಮವನ್ನು ಮುರಿಯಬಹುದು ಅಥವಾ ನಡವಳಿಕೆ ಬದಲಾಗುವಂತೆ ನಿಯಮ ನಕಲಿಸಬಹುದು.visudo ಕೈಪಿಡಿ ಇಲ್ಲಿ ಬಳಸುವ ಲಾಕಿಂಗ್ ಸಂಪಾದಕ ಮತ್ತು ಪರಿಶೀಲನೆ-ಮಾತ್ರ ಮೋಡ್ ಎರಡನ್ನೂ ದಾಖಲಿಸುತ್ತದೆ.

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

ಪರಿಶೀಲನೆ ವಿಫಲವಾದಾಗ ಫೈಲ್ ಮತ್ತು ಸಾಲನ್ನು ವರದಿ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಆ ವರದಿಯೇ ಉಪಯುಕ್ತ ಭಾಗ. ತಿಳಿದ ದೋಷವನ್ನು ಬಲವಂತವಾಗಿ ಉಳಿಸುವ ಬದಲು ಸಂಪಾದಕದ ಮೂಲಕ ಉದ್ದೇಶಿತ ಬದಲಾವಣೆ ಸರಿಪಡಿಸಿ, ಏಕೆಂದರೆ ಮುರಿದ ನೀತಿ ಎಲ್ಲಾ ನಿರ್ವಾಹಕರನ್ನು ಒಟ್ಟಿಗೆ ಹೊರಗಿಡಬಹುದು. ಸೇರಿಸುವ ಡೈರೆಕ್ಟರಿಯ ಫೈಲ್‌ಗಳಿಗೂ ಕೈಪಿಡಿ ಬಯಸುವ ಮಾಲೀಕತ್ವ ಮತ್ತು ಮೋಡ್ ಬೇಕು, ಇಲ್ಲದಿದ್ದರೆ ಅವು ನಿರ್ಲಕ್ಷ್ಯ ಅಥವಾ ತಿರಸ್ಕೃತವಾಗುತ್ತವೆ. ವಾಕ್ಯರಚನೆ ಮೊದಲ ಬಾಗಿಲು ಮಾತ್ರ: ದಾಟಿದ ನಂತರ ನಿಯಮವನ್ನು ಮತ್ತೆ ಓದಿ ಅದು ನಿಜವಾಗಿ ಏನನ್ನು ಅನುಮತಿಸುತ್ತದೆ ಎಂದು ಕೇಳಿ.

ಬದಲಾವಣೆ ಕೆಲಸ ಮಾಡಿಸುವ ಏಕೈಕ ದಾರಿ ವಾಕ್ಯರಚನೆ ಪರಿಶೀಲನೆ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದಾದರೆ ನಿಲ್ಲಿಸಿ. ಅದು ನೀತಿಯಲ್ಲ, ಮರುಪ್ರಾರಂಭಕ್ಕೆ ಕಾಯುತ್ತಿರುವ ಅಡಚಣೆ.

ಚೇತರಿಕೆ: ಇನ್ನೂ ಕೆಲಸ ಮಾಡುವ ಅವಧಿಯನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ

ಉಳಿಸುವ ಮೊದಲು ಅಧಿಕೃತ ಆಡಳಿತ ಅವಧಿ ಈಗಾಗಲೇ ತೆರೆದಿದೆ ಮತ್ತು ಯಂತ್ರಕ್ಕೆ ಎರಡನೇ ಮಾರ್ಗವಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. sudoers ದೋಷ ಅದನ್ನು ಸರಿಪಡಿಸುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಕಸಿದುಕೊಳ್ಳಬಹುದು, ಮತ್ತು ಡೆಸ್ಕ್‌ಟಾಪ್ ಬಟನ್ ಆ ಅಪಾಯಕ್ಕೆ ಅರ್ಹವಲ್ಲ. sudo ಈಗಾಗಲೇ ಮುರಿದಿದ್ದರೆ, ಸ್ವಂತ ನಿರ್ಮಿಸುವ ಬದಲು ವ್ಯವಸ್ಥೆಯ ದಾಖಲಿತ ಚೇತರಿಕೆ ಮಾರ್ಗ ಬಳಸಿ.

sudo -n true
id

pkexec ನಂತಹ ಪರ್ಯಾಯಗಳು ತಮ್ಮದೇ ಸ್ಥಾಪನೆ ಮತ್ತು ನೀತಿಯ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿವೆ, ಆದ್ದರಿಂದ ಅವು ಖಾತರಿಯ ಎರಡನೇ root ಪ್ರಾಂಪ್ಟ್ ಅಲ್ಲ. ಸ್ಥಳೀಯ ಅಧಿಕೃತಿಯನ್ನು VPN ರಹಸ್ಯ ಒದಗಿಸುವಿಕೆಯಿಂದಲೂ ಪ್ರತ್ಯೇಕವಾಗಿಡಿ: sudo ನಿಯಮ ಗೈರುಹಾಜರಾದ ರಹಸ್ಯ ಏಜೆಂಟ್ ತೆರೆಯಲಾಗದು ಮತ್ತು ಗೇಟ್‌ವೇಯ MFA ಪೂರೈಸದು. ತಿದ್ದುಪಡಿಯ ನಂತರ ಸಾಮಾನ್ಯ ಖಾತೆಯನ್ನು ಉದ್ದೇಶಿತ ಕಾರ್ಯಾಚರಣೆ ಮಾತ್ರ ಮಾಡುವಂತೆ ಪರೀಕ್ಷಿಸಿ, ನಂತರ ಮ್ಯಾನೇಜರ್‌ನ ಸಾಮಾನ್ಯ ನಿಯಂತ್ರಣಗಳನ್ನು ಬಳಸಿ.

ಯಾವ ಷರತ್ತು sudo ಸಮರ್ಥಿಸಿತು, ನಿಯಮ ಏನನ್ನು ಹೆಸರಿಸುತ್ತದೆ, ಇಡೀ ನೀತಿ ಪಾರ್ಸ್ ಆಗುತ್ತದೆ ಮತ್ತು ಇಲ್ಲದಿದ್ದರೆ ಹೇಗೆ ಚೇತರಿಸಿಕೊಳ್ಳುತ್ತೀರಿ ಎಂದು ಹೇಳಬಹುದಾದಾಗ ನಿರ್ಣಯ ಮುಗಿಯುತ್ತದೆ. ಆಡಳಿತ ಪ್ರವೇಶವನ್ನು ಕಳೆದುಕೊಳ್ಳಿಸುವ ಸವಲತ್ತು ಪಡೆದ ಲಾಂಚರ್ ಕೆಟ್ಟ ವ್ಯವಹಾರ, ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ಅದನ್ನು ತಪ್ಪಿಸಬಹುದು.