NFS-Export op eng VPN-Adress gespaart: wat et net beweist
Eng Exportregel kontrolléiert wou e Pak hierkënnt; AUTH_SYS behaapt eng lokal UID an Kerberos authentifizéiert e Benotzer. Entscheet wat Äre Fichiersservice brauch.
En Host exportéiert en Verzeechnes op eng VPN-Adress, de Montage geléngt, an den Design gëtt als authentifizéiert opgeschriwwen. Wat déi Regel tatsächlech aschränkt ass wou d'Päck hierzestämpelen. Ob d'Persoun déi d'Fichiersoperatioun dréit déi ass déi se sech ausgëtt hänkt vum NFS-Sécherheetsflavour of, a bei deene meeschten Exporten dëser Zort huet keen en vum Standard geännert.
Dräi Identitéiten kënnen an enger Ufro optrieden
De VPN-Peer dréit eng ageschriwwen Identitéit wéi en Clientzertifikat oder e Peerschlëssel. Den bannenzege IP-Pak dréit eng Quelladress. D'Fichiersoperatioun dréit déi Benotzeraffidaviten déi hire NFS-Mechanismus liwwert. Een Design deen d'Adress als Ersatz fir all dräi behandelt huet sech roueg deen Deel ugeholl dee sollt iwwerpréift ginn.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Déi dräi Zeilen opzeschreiwen ass déi ganz Übung. De Gros vun der Diskussioun ob een Export sécher ass fält zesummen esoubal kloer ass a wéi enger Zeil all Kontroll liewt.
Adresseneegentum ass en Implementatiounsdetail
Eng Gateway kann engem akzeptéierte Peer eng Tunneladress zoudeelen oder him en geroutete Subnetz autoriséieren. Ob d'Implementatioun duerno e Pak refuséiert deem seng bannenzeg Quell zu engem anere Client gehéiert ass eng Eegenschaft vun där Implementatioun, an et ass der Méi wäert dat ze kontrolléieren amplaz et unzehuelen.
De traditionelle Community OpenVPN Benotzerraum-Servercode kann zum Beispill eng Quell déi mat engem anere Client verbonne sinn refuséieren ier de Pak duerch den TUN-Apparat geliwwert gëtt. Dat ass eng Adresseneegentumskontroll mat richtege Wäert, an et ass nach ëmmer keng NFS-Benotzerauthentifikatioun, well se näischt doriwwer seet wéi een Kont d'Operatioun ausféiert.
Quellübersetzung erodéiert och dat. Eng NAT-Gateway kann all Client als eng eenzeg Adress presentéieren, an dann kann eng Exportregel net tëschent de Leit déi dohannert stinn ënnerscheeden. D'scheinbar Präzisioun vun der Regel gëtt dann eng Fiktioun déi vum Diagramm ënnerhalen gëtt. Wann den Export wichteg ass, halt d'Adresséierung explizit amplaz engem Iwwersetzer ze loossen entscheeden wien als wien zielt.
Liest de Sécherheetsflavour ier Dir dem Export vertraut
Dem Red Hat seng NFS-Uleedung trennt sec=sys, dee lokal UNIX UIDen a GIDen iwwer AUTH_SYS benotzt, vun de Kerberos-Modi. krb5 füügt Benotzerauthentifikatioun derbäi, krb5i füügt Integritéitsschutz derbäi, an krb5p füügt Privatsphärschutz fir den Trafik derbäi.
D'AUTH_SYS-Affidavit enthält Felder wéi d'UID vum Uruffer an Grupp-IDen, an RFC 5531 warnt kloer datt dëse Flavour fir sech selwer keng Sécherheet gëtt an vun externem Schutz ofhänkt. En innerhalb engem VPN lafe loossen gëtt Schutz fir den Transport a ännert näischt un der Behauptung am Pak.
exportfs -v
showmount -e nfs.example.internalLiest de Flavour an deem Output ier Dir d'Clientlëscht liest. Een Export deen ageschränkt ausgesäit kann nëmme pro Adress ageschränkt sinn während all Uruffer nach ëmmer eng egal wéi eng UID behaapt.
Wielt de Modell a behält dann d'Berechtegungen
Wielt de Authentifikatiounsmodell vum Fichiersservice dee passt zu de Clienten déi Dir tatsächlech administréiert. Kerberos verlaangt eng Identitéit an eng Servicedeployement hannendrun, also d'Ännere vun enger Mountoptioun ass keng Migratioun a wäert einfach feelen bis d'Kerberos-Domän, d'Principals an d'Keytabs existéieren.
Ënnert béide Modeller behält d'Exportberechtegungen an d'Dateisystemautoriséierung déi aschränken wat den authentifizéierte Principal dierf maachen. Authentifikatioun seet Iech wien freet; Autoriséierung decidéiert ob d'Äntwert jo soll sinn. Déi zwou an eng Astellung zesummenzeschmelzen ass de Wee wéi eng Migratioun am Endeffekt méi gëtt wéi déi al Konfiguratioun.
Benotzt d'Adressregel fir hiren eigentleche Zweck
De Service op de guddeeierten Wee an d'Quellen ze beschränken ass nach ëmmer der Méi wäert, och d'Host-Inputpolitik wann de VPN-Endpunkt an den NFS-Server eng Maschinn deelen. Regele déi Trafik weiderleeden regéieren net d'Ufroen déi op engem Service deen lokal um selwechten Host leeft geriicht sinn. Dës Lück erkläert eng iwwerraschend Zuel vun Exporten déi privat geduecht waren. Kontrolléiert d'lokal Inputpolitik explizit amplaz unzehuelen datt d'Tunnelregele se decken.
Kontrolléiert datt eng aner Interface oder eng Gateway mat Quellübersetzung d'Regel net onerwaart erfëlle kann, an behandelt dat als Grond fir d'Herkunft festzestellen an net als Behauptung datt d'Fälschen vun enger Adress en funktionéierende Montage garantéiert.
Maacht dräi Akzeptanzfäll amplaz engem. Fänkt mat engem guddeeierte Client un deen als guddeeierte Benotzer handelt, widderhlt dann vun engem Peer deen ni guddeeiert gouf, a versicht dann eppes wat de guddeeierte Benotzer nach ëmmer net dierf. Freet duerno wat sech ännert wann en autoriséierte Client kompromittéiert gëtt, well Transportauthentifikatioun net all Prozess op där Maschinn vertrauenswierdeg mécht. En geklaute Zertifikat an e neegierige lokalen Kont sinn ënnerschiddlech Problemer mat ënnerschiddleche Kontrollen.