Pie VPN adreses piesaistīts NFS eksports: ko tas nepierāda
Eksporta noteikums pārbauda, no kurienes nāca pakete; AUTH_SYS norāda vietējo UID, bet Kerberos autentificē lietotāju. Izlemiet, kas nepieciešams jūsu failu servisam.
Resursdators eksportē direktoriju uz VPN adresi, montēšana izdodas, un projekts tiek pierakstīts kā autentificēts. Tas, ko šis noteikums patiešām ierobežo, ir tas, no kurienes paketes šķiet nākam. Vai faila darbību vadošā persona ir tā, par ko viņa sevi uzskata, ir atkarīgs no NFS drošības profila, un lielākajā daļā šādu eksportu neviens to nav mainījis no noklusējuma.
Vienā pieprasījumā var parādīties trīs identitātes
VPN partneris nes reģistrētu identitāti, piemēram, klienta sertifikātu vai partnera atslēgu. Iekšējā IP pakete nes avota adresi. Faila darbība nes tos lietotāja akreditācijas datus, ko nodrošina tās NFS mehānisms. Projekts, kas adresi uzskata par visu trīs aizstājēju, klusām ir pieņēmis tieši to daļu, kas bija jāpārbauda.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Šo trīs rindu pierakstīšana ir viss vingrinājums. Lielākā daļa strīda par to, vai eksports ir drošs, sabrūk, tiklīdz kļūst skaidrs, kurā rindā dzīvo kura kontrole.
Adreses piederība ir ieviešanas detaļa
Vārteja var piešķirt tuneļa adresi pieņemtam partnerim vai atļaut tam maršrutētu apakštīklu. Tas, vai ieviešana pēc tam noraida paketi, kuras iekšējais avots pieder citam klientam, ir šīs ieviešanas īpašība, un to ir vērts pārbaudīt, nevis pieņemt.
Tradicionālā Community OpenVPN lietotāja telpas servera kods, piemēram, var noraidīt ar citu klientu saistītu avotu pirms paketes piegādes caur TUN ierīci. Tā ir adreses piederības pārbaude ar reālu vērtību, un tā joprojām nav NFS lietotāja autentifikācija, jo neko nepasaka par to, kurš konts veic darbību.
Avota tulkošana izēd arī to. NAT vārteja var uzrādīt katru klientu kā vienu adresi, un tad eksporta noteikums nevar atšķirt aiz tās esošos cilvēkus. Noteikuma šķietamā precizitāte tad kļūst par diagrammas uzturētu izdomājumu. Ja eksports ir svarīgs, saglabājiet adresāciju skaidru, nevis ļaujiet tulkotājam izlemt, kas par ko skaitās.
Izlasiet drošības profilu pirms uzticaties eksportam
Red Hat NFS vadlīnijas atdala sec=sys, kas izmanto vietējos UNIX UID un GID caur AUTH_SYS, no Kerberos režīmiem. krb5 pievieno lietotāja autentifikāciju, krb5i pievieno integritātes aizsardzību, un krb5p pievieno datu plūsmas privātuma aizsardzību.
AUTH_SYS akreditācijas datos ir lauki, piemēram, zvanītāja UID un grupu identifikatori, un RFC 5531 skaidri brīdina, ka šis profils pats par sevi nenodrošina drošību un ir atkarīgs no ārējas aizsardzības. Tā darbināšana VPN iekšienē nodrošina transporta aizsardzību un neko nemaina apgalvojumā paketes iekšienē.
exportfs -v
showmount -e nfs.example.internalIzlasiet profilu šajā izvadē pirms klientu saraksta lasīšanas. Eksports, kas šķiet ierobežots, var būt ierobežots tikai ar adresi, kamēr katrs zvanītājs joprojām norāda jebkuru UID.
Izvēlieties modeli un pēc tam saglabājiet tiesības
Izvēlieties failu servisa autentifikācijas modeli, kas atbilst klientiem, kurus jūs patiešām pārvaldāt. Kerberos prasa identitāti un servisa izvietošanu aiz tā, tāpēc vienas montēšanas opcijas maiņa nav migrācija un vienkārši neizdosies, kamēr nepastāvēs Kerberos domēns, galvenie objekti un keytab faili.
Abos modeļos saglabājiet eksporta atļaujas un failu sistēmas autorizāciju, kas ierobežo, ko drīkst darīt autentificētais galvenais objekts. Autentifikācija pasaka, kas jautā; autorizācija izlemj, vai atbildei jābūt jā. Šo divu sapludināšana vienā iestatījumā ir veids, kā migrācija galu galā piešķir vairāk nekā vecā konfigurācija.
Izmantojiet adreses noteikumu tā patiesajam mērķim
Servisa ierobežošana ar apstiprināto ceļu un avotiem joprojām ir vērtīga, tostarp resursdatora ievades politika, ja VPN galapunkts un NFS serveris dala mašīnu. Noteikumi, kas pārsūta datu plūsmu, nepārvalda pieprasījumus, kas vērsti uz servisu, kas darbojas lokāli tajā pašā resursdatorā. Šī plaisa izskaidro pārsteidzoši daudz eksportu, kuriem bija jābūt privātiem. Pārbaudiet vietējo ievades politiku skaidri, nevis pieņemiet, ka tuneļa noteikumi to aptver.
Pārbaudiet, vai cita saskarne vai avotu tulkojoša vārteja nevar negaidīti izpildīt noteikumu, un uzskatiet to par iemeslu noteikt izcelsmi, nevis par apgalvojumu, ka adreses viltošana garantē strādājošu montējumu.
Veiciet trīs pieņemšanas gadījumus, nevis vienu. Sāciet ar apstiprinātu klientu, kas darbojas kā apstiprināts lietotājs, pēc tam atkārtojiet no partnera, kurš nekad nav apstiprināts, un tad mēģiniet kaut ko, ko apstiprinātais lietotājs vēl nedrīkst darīt. Pēc tam jautājiet, kas mainās, ja autorizēts klients tiek kompromitēts, jo transporta autentifikācija nepadara katru procesu tajā mašīnā uzticamu. Nozagts sertifikāts un ziņkārīgs vietējais konts ir dažādas problēmas ar dažādām kontrolēm.