Сиздин VPN буйругуңуз артыкчылыксыз иштейт; кызмат андай эмес

VPN буйругу сиздин колдонуучуңуз катары иштейт, сырсөз көрүнбөйт жана туннель көтөрүлөт. Бул ырааттуулук артыкчылыксыз аракет сыяктуу сезилет, бирок адатта андай эмес. Тармактык өзгөртүүлөрдү өзүнчө кызмат аткарат, ал эми кызыктуу суроо — ал кызмат өзү текшербеген чакыруучу үчүн эмне кылат. Сырсөз суроолорун саноо сизге бул чек ара тууралуу эч нерсе айтпайт.

Интерфейс, механизм жана текшерүү

Интерфейс суроолорду кабыл алат: туташуу, ажыроо, профилди тандоо. Механизм тармактык операцияларга ээ: интерфейстерди түзүү, маршруттарды өзгөртүү, чыпкаларды колдонуу. Авторизация текшерүүсү бул чакыруучу бул аракетти сурай аларын чечет. Бул үчөө бинардык файлга, жардамчыга жана тутумдук кызматка таралышы мүмкүн, ал эми колдонуучу биринчисин гана көрөт.

Ролдор бир бинардык файлда, эки процессте же кардар менен тутумдук кызматта жашай алат, ал эми колдонуучу көргөн буйрук кайсы экенин сейрек ачат. Тутумдук науча белгиси жана тутумдук демон бир колдонмо сыяктуу көрүнүшү мүмкүн, бирок алар абдан башка ыйгарым укук менен иштешет. Орнотуу учурундагы артыкчылык жана суроо учурундагы артыкчылык да ар башка нерселер. root катары иштеген орноткуч кийинки суроолорду уккан кызматты пакет менеджери бүткөндөн көп кийин калтырышы мүмкүн. Ыйгарым укук ошол кызматта, сиз терген буйрукта эмес.

Тапшыруу — кадимки долбоор

Артыкчылыгы бар тармактык ишти кызматка тапшыруу — акылга сыярлык архитектура. Ал кадимки колдонмолорду артыкчылыксыз кармайт жана кам көрүүнү талап кылган операцияларды борбордоштурат. Долбоор кызмат ким сурап, эмне үчүн сурап жатканын текшергенде гана акталат. Ошол текшерүүсүз бул жөн гана кененирээк эшик.

NetworkManager — Linux'тогу конкреттүү мисал. Анын конфигурация колдонмосу демейки жөндөөдө PolicyKit root эмес суроолорго кантип уруксат берерин түшүндүрөт. Бул реалдуу продуктудагы тапшырылган авторизацияны көрсөтөт. Бул ар бир коммерциялык кардар NetworkManager колдонот деп далилдебейт жана белгилүү бир жеткирүүчүнүн сокет жолун же саясатын сүрөттөбөйт.

Үлгү — артында саясаты бар тапшыруу. Мисал ошол үлгүнүн бир ишке ашырылышы, универсалдуу эмес.

Чек араны окуңуз, суроону эмес

Кызматты, анын конфигурациясынын ээсин жана алдыңкы бөлүк колдонгон жергиликтүү интерфейсти табыңыз. Андан кийин кайсы колдонуучулар кайсы операцияларды сурай аларын сураңыз. Бир сакталган профилди көтөрүп, түшүрүү оператор эч качан карап чыкпаган конфигурацияны жүктөө менен бирдей укук эмес. Айырма — бүткүл коопсуздук маселеси.

Кызмат менеджеринен жана кардардын өз укуктары тууралуу өз көз карашынан баштаңыз. Төмөнкү буйруктар демон иштеп жатканын, чакыруучу андан эмнени сурай аларын жана демон өзүнүн аткаруу папкасында эмнени ачканын көрсөтөт.

systemctl status NetworkManager
nmcli general permissions
ls -l /run/NetworkManager

Ошондой эле операция эмнеге таасир этерин сураңыз. Жеке көрүнгөн меню элементи бүткүл машинанын маршруттары менен DNS'ин өзгөртүшү мүмкүн, бул башка колдонуучулардын сессияларын бузушу мүмкүн дегенди билдирет. Таасир радиусу укук менен бир текшерүүгө кирет жана адатта кызматка тар рол керекпи, ошону чечет.

Укуктарды колдоого алынган жол менен оңдоңуз

Корголгон башкаруу сокетин баарына жазууга боло турган кылуу же эсепти кенен административдик топко кошуу укук катасын жоёт жана чоңураак ката жаратат. Ката — бул чек ара бар экенин айткан жалгыз нерсе эле. Документтелген мүчөлүк же авторизация процессин, анын талап кылган сессия жаңыртуусун кошуп, колдонуңуз. Топ мүчөлүгү көбүнчө жаңы кирүү сессияларына гана тиешелүү, ошондуктан өзгөртүү кийинки кирүүгө чейин эч нерсе кылбагандай көрүнүшү мүмкүн.

Эгер продукт операция үчүн тар ролду сунуштаса, аны жалпы берүүдөн артык көрүңүз. Тандалган ролду жана анын ээсин кызматтын аталышынын жанына жазыңыз.

Жакшы бөлүштүрүү кандай көрүнөт

Кадимки колдонмолор артыкчылыксыз калат, кызмат өзү үчүн жасалган жөндөөнү гана аткарат жана ар бир чакыруучу бирөөгө таандык саясатка каршы текшерилет. Бул коргоого боло турган долбоор. Ал ошондой эле аудитке жарактуу, анткени саясатка ат байланган. Булдан чоңураак нерсе үнсүз укук өзгөртүүдөн көрө жазуу түрүндөгү өзгөчөлүккө татыктуу.

Ийгиликсиздик режими — интерфейс ыңгайлуу болгондуктан каалаган жергиликтүү колдонуучунун каалаган суроосун аткарган кызмат. Колдонуучу тарабынан ал бирдей көрүнөт жана алда канча чоң ыйгарым укукту алып жүрөт. Жалгыз ийгиликтүү суроону эмес, бир четке кагылган суроону сынап көрүңүз. Саясаттан келген баш тартуу — саясаттын бар экендигинин далили.