VPN дарегине бекитилген NFS экспорту: ал эмнени далилдебейт
Экспорт эрежеси пакеттин кайдан келгенин текшерет; AUTH_SYS жергиликтүү UIDди билдирет, Kerberos болсо колдонуучуну аутентификациялайт. Файл кызматыңызга кайсынысы керек экенин чечиңиз.
Хост каталогду VPN дарегине экспорттойт, туташуу ийгиликтүү болот жана долбоор аутентификацияланган деп жазылат. Бул эреже чындыгында пакеттер кайдан келгендей көрүнөөрүн гана чектейт. Файл операциясын жүргүзгөн адам өзү айткан адамбы, бул NFS коопсуздук режимине байланышат, жана мындай экспорттордун көбүндө эч ким аны демейкиден өзгөрткөн эмес.
Бир сурамда үч инсан көрүнүшү мүмкүн
VPN өнөктөшү кардар сертификаты же өнөктөш ачкычы сыяктуу катталган инсанды алып жүрөт. Ички IP пакети булак дарегин алып жүрөт. Файл операциясы анын NFS механизми берген колдонуучунун күбөлүктөрүн алып жүрөт. Даректи үчөөнүн тең ордуна койгон долбоор текшерилиши керек болгон бөлүктү үнсүз божомолдоп койгон.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Ошол үч сапты жазуу — бүт көнүгүү. Экспорттун коопсуздугу тууралуу талаштын көбү ар бир көзөмөл кайсы сапта жашаары аныкталганда кулайт.
Даректин ээлиги — ишке ашыруу деталы
Шлюз кабыл алынган өнөктөшкө туннелдик дарек ыйгара алат же ага маршрутталган кошумча тармакка уруксат бере алат. Ишке ашыруу кийин ички булагы башка кардарга таандык пакетти четке кактыбы, бул ошол ишке ашыруунун касиети жана аны божомолдоонун ордуна текшерүү керек.
Салттуу Community OpenVPN колдонуучу мейкиндигиндеги сервер коду, мисалы, пакет TUN түзмөгү аркылуу жеткирилгенге чейин башка кардарга байланышкан булакты четке кага алат. Бул реалдуу баасы бар дарек ээлигин текшерүү, жана ал дагы эле NFS колдонуучусун аутентификациялоо эмес, анткени операцияны кайсы эсеп аткарып жатканы тууралуу эч нерсе айтпайт.
Булактын котормосу муну да жеп кетет. NAT шлюзу ар бир кардарды бир дарек катары көрсөтө алат, ошондо экспорт эрежеси анын артындагы адамдарды ажырата албайт. Андан кийин эреженин көрүнгөн тактыгы диаграмма кармап турган ойдон чыгарылган нерсеге айланат. Эгер экспорт маанилүү болсо, ким кимдин ордунда эсептелерин котормочуга чечтирбей, даректөөнү ачык кармаңыз.
Экспортко ишенүүдөн мурун коопсуздук режимин окуңуз
Red Hat'тын NFS нускамасы AUTH_SYS аркылуу жергиликтүү UNIX UID жана GID колдонгон sec=sys режимин Kerberos режимдеринен бөлөт. krb5 колдонуучуну аутентификациялоону, krb5i бүтүндүк коргоосун, ал эми krb5p трафиктин купуялуулугун коргоону кошот.
AUTH_SYS күбөлүктөрү чакырган адамдын UIDи жана топ идентификаторлору сыяктуу талааларды камтыйт, жана RFC 5531 бул режим өз алдынча коопсуздук бербей турганын жана тышкы коргоого көз каранды экенин ачык эскертет. Аны VPN ичинде иштетүү транспортко коргоо берет жана пакеттин ичиндеги ырастоону эч нерсеге өзгөртпөйт.
exportfs -v
showmount -e nfs.example.internalКардарлардын тизмесин окуудан мурун ошол чыгарылыштагы режимди окуңуз. Чектелгендей көрүнгөн экспорт дареги менен гана чектелген болушу мүмкүн, ал эми ар бир чакырган адам өзү каалаган UIDди билдирип турат.
Моделди тандаңыз, анан укуктарды сактаңыз
Сиз чындыгында башкарган кардарларга ылайыктуу файл кызматынын аутентификация моделин тандаңыз. Kerberos өзүнүн артында инсанды жана кызматты жайгаштырууну талап кылат, ошондуктан бир туташуу параметрин өзгөртүү көчүрүү эмес жана Kerberos домени, принципалдары жана keytab файлдары пайда болгонго чейин жөн эле ишке ашпайт.
Эки моделдин тең учурда аутентификацияланган принципал эмне кыла аларын чектеген экспорт укуктарын жана файлдык системанын авторизациясын сактаңыз. Аутентификация ким сурап жатканын айтат; авторизация жооп ооба болушу керекпи деп чечет. Бул экөөнү бир параметрге бириктирүү — көчүрүүнүн эски конфигурациядан көбүрөөк укук берүү жолу.
Дарек эрежесин анын чыныгы максатына колдонуңуз
Кызматты бекитилген жол жана булактар менен чектөө дагы эле баалуу, анын ичинде VPN акыркы чекити менен NFS сервери бир машинаны бөлүшкөндө хосттун кирүү саясаты. Трафикти өткөрүп жиберүүчү эрежелер төмөнкүгө багытталган сурамдарды башкарбайт: ошол хостто жергиликтүү иштеп жаткан кызмат. Бул боштук жашыруун болушу керек болгон экспорттордун таң калыштуу санын түшүндүрөт. Туннел эрежелери аны жабат деп божомолдоонун ордуна жергиликтүү кирүү саясатын ачык текшериңиз.
Башка интерфейс же булакты которуучу шлюз эрежени күтүүсүз аткара албастыгын текшериңиз жана муну даректи жасалмалоо иштеген туташууну кепилдейт деген ырастоо эмес, келип чыгууну аныктоо үчүн себеп катары караңыз.
Бир эмес, үч кабыл алуу учурун иштетиңиз. Бекитилген кардар бекитилген колдонуучу катары аракет кылган учурдан баштаңыз, анан эч качан бекитилбеген өнөктөштөн кайталаңыз, анан бекитилген колдонуучуга дагы уруксат берилбеген нерсени аракет кылыңыз. Андан кийин авторизацияланган кардар бузулса эмне өзгөрөрүн сураңыз, анткени транспорттун аутентификациясы ошол машинадагы ар бир процессти ишеничтүү кылбайт. Уурдалган сертификат жана кызыккан жергиликтүү эсеп — ар башка көзөмөлдөрү бар ар башка маселелер.