VPN-Knäppchen brauch sudo: d’Reegel begrenzen, d’Politik validéieren

D’VPN-Knäppchen funktionéiert fir den Administrateur a versot fir all déi aner, dofir füügt een eng Zeil an d’sudoers derbäi. Déi Zeil iwwerlieft meeschtens d’Problem, fir dat se geduecht war, a se gëtt dacks méi wéi dat, wat d’Knäppchen brauch. Ier Dir d’Politik ännert, iwwerpréift, ob den ënnerstëtzten Eegentemer vun der Verbindung d’Aarbecht schonn ka maachen. Déi dräi Bedingungen hei drënner entscheeden, ob sudo iwwerhaapt bedeelegt ass.

Bedingung 1: den ënnerstëtzten Eegentemer ka et ouni sudo maachen

Op de meeschten Linux-Desktopen ass den Netzwierkmanager schonn Eegentemer vun de VPN-Verbindungen, a seng Autorisatioun geet iwwer polkit anstatt iwwer sudo. E Benotzer, deem et erlaabt ass eng Verbindung opzebréngen, kann dat vun der Kommandozeil ouni eng eenzeg root-Reegel maachen. Iwwerpréift, wat de Manager erlaabt, ier Dir ugeholl hutt, d’Knäppchen hätt eng Privileg néideg. Wann d’Äntwert jo ass, da léist d’Ännerung vun der sudoers e Problem, dat et net gëtt.

nmcli connection show
nmcli connection up "Work VPN"

Wann de Manager refuséiert, liest firwat: eng fehlend polkit-Reegel, eng Verbindung am Besëtz vun engem aneren Benotzer oder e Profil, deen do gespäichert ass, wou de Benotzer en net liese kann. Jiddwereen dovun huet eng ënnerstëtzt Korrektur, déi méi schmuel ass wéi eng sudo-Reegel. Eng Privilegienhaussetzung ass de leschte Mëttel, net déi éischt.

Bedingung 2: d’Reegel nennt eng eenzeg ausféierbar Datei an hir Argumenter

Wann sudo wierklech néideg ass, soll d’Reegel déi genee Kommando nennen a wa méiglech d’Argumenter, déi se benotze kann. Eng Reegel, déi engem Benotzer erlaabt en Ëmmantelungsskript auszeféieren, ass nëmme sou sécher wéi d’Rechter vun deem Skript, well de Benotzer ka änneren, wat root wäert ausféieren. Eng Reegel mat engem Platzhalter no der Kommando ass dat selwecht Problem an enger méi kuerzer Form.

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

Iwwerpréift all Wee an der Kommandokette: de Binär, d’Skript, dat en opgeruff huet, d’Konfiguratiounsdatei, déi en liese kann, an all Verzeechnis tëschent. Wann een dovu vum Benotzer ka geschriwwe ginn, ass déi begrenzt Reegel praktesch onbegrenzte root. D’Argumenter zielen och, well eng Kommando, déi e Konfiguratiounswee akzeptéiert, op eng Datei geriicht ka ginn, déi de Benotzer kontrolléiert. Schreift d’Reegel fir d’Operatioun, net fir d’Knäppchen.

Stoppt, wann d’Kommando eng vum Benotzer kontrolléiert Datei brauch fir ze funktionéieren. Dann ass den Design falsch, an et gëtt keng sudoers-Syntax déi et sécher mécht.

Bedingung 3: déi ganz Politik gëtt geparst, net nëmmen Är Zeil

Valideiert mat dem Editeur, deen d’Datei spärrt a Syntax kontrolléiert, a validéiert déi zesummegesat Politik anstatt e Fragment. Eng Datei, déi eleng parst, kann nach ëmmer d’Inklusiounsuerdnung briechen oder eng Reegel sou duplizéieren, datt se d’Verhalen ännert.visudo-Handbuch dokumentéiert souwuel den spärrenden Editeur wéi och de Modus nëmmen ze kontrolléieren, dee hei benotzt gëtt.

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

D’Kontroll mëldet d’Datei an d’Zeil, wa se versot, an dee Rapport ass den nëtzlechen Deel. Reparéiert déi beabsichtegt Ännerung iwwer den Editeur, amplaz eng bekannt Feeler mat Gewalt ze späicheren, well eng futti Politik all Administrateur op eemol ausspäre kann. D’Dateien am Inklusiounsverzeechnis brauchen och d’Eegentum an de Modus, deen d’Handbuch verlaangt, soss ginn se ignoréiert oder refuséiert. Syntax ass nëmmen déi éischt Paart: nodeems se duerch ass, liest d’Reegel nach eng Kéier a frot, wat se wierklech erlaabt.

Stoppt, wann den eenzege Wee fir d’Ännerung ze schaffen ass, d’Syntaxkontroll auszeschalten. Dat ass keng Politik, dat ass en Ausfall deen op en Neistart waart.

Erhuelung: behält eng Sessioun déi nach funktionéiert

Ier Dir späichert, verséchert Iech, datt eng autoriséiert administrativ Sessioun schonn op ass an datt et en zweeten Wee an d’Maschinn gëtt. E Feeler an der sudoers kann Iech d’Fähegkeet huelen en ze reparéieren, an e Knäppchen um Desktop ass dee Risiko net wäert. Wann sudo schonn futti ass, benotzt de dokumentéierte Erhuelungswee vum System, anstatt een ze improviséieren.

sudo -n true
id

Alternativen wéi pkexec hänken vun hirer eegener Installatioun a Politik of, also si se kee garantéierten zweeten root-Prompt. Hält d’lokal Autorisatioun och getrennt vum Liwwere vum VPN-Geheimnis: eng sudo-Reegel kann en absenten Geheimnisagent net opmaachen, an se erfëllt net d’MFA vum Gateway. Test no der Korrektur de normalen Kont deen nëmmen déi beabsichtegt Operatioun mécht, a benotzt duerno déi gewéinlech Kontrollen vum Manager.

D’Entscheedung endet, wa Dir kënnt soen, wéi eng Bedingung sudo gerechtfertegt huet, wat d’Reegel nennt, datt déi ganz Politik gëtt geparst, a wéi Dir Iech erhuele géift wann net. En privilegiéierten Startprogramm, deen Iech den administrativen Zougang kascht, ass en schlechte Geschäft, an et ass meeschtens vermeidbar.