നിങ്ങളുടെ VPN കമാൻഡ് പ്രത്യേകാവകാശങ്ങളില്ലാതെ പ്രവർത്തിക്കുന്നു; സേവനം അല്ല

VPN കമാൻഡ് നിങ്ങളുടെ ഉപയോക്താവായി പ്രവർത്തിക്കുന്നു, പാസ്‌വേഡ് കാണിക്കുന്നില്ല, ടണൽ ഉയരുന്നു. ഈ ക്രമം പ്രത്യേകാവകാശങ്ങളില്ലാത്ത പ്രവർത്തനം പോലെ തോന്നുന്നു, പക്ഷേ സാധാരണയായി അങ്ങനെയല്ല. നെറ്റ്‌വർക്ക് മാറ്റങ്ങൾ ഒരു പ്രത്യേക സേവനം ചെയ്യുന്നു, ആ സേവനം താൻ പരിശോധിക്കാത്ത ഒരു വിളിക്കുന്നയാൾക്ക് എന്ത് ചെയ്യും എന്നതാണ് താൽപ്പര്യമുള്ള ചോദ്യം. പാസ്‌വേഡ് അഭ്യർത്ഥനകൾ എണ്ണുന്നത് ആ അതിർത്തിയെക്കുറിച്ച് നിങ്ങളോട് ഒന്നും പറയുന്നില്ല.

ഇന്റർഫേസ്, സംവിധാനം, പരിശോധന

ഇന്റർഫേസ് അഭ്യർത്ഥനകൾ സ്വീകരിക്കുന്നു: ബന്ധിപ്പിക്കുക, വിച്ഛേദിക്കുക, പ്രൊഫൈൽ തിരഞ്ഞെടുക്കുക. സംവിധാനം നെറ്റ്‌വർക്ക് പ്രവർത്തനങ്ങൾ ഉടമസ്ഥതയിലുള്ളതാണ്: ഇന്റർഫേസുകൾ സൃഷ്ടിക്കൽ, റൂട്ടുകൾ മാറ്റൽ, ഫിൽട്ടറുകൾ പ്രയോഗിക്കൽ. അംഗീകാര പരിശോധന ഈ വിളിക്കുന്നയാൾക്ക് ഈ പ്രവർത്തനം ആവശ്യപ്പെടാമോ എന്ന് തീരുമാനിക്കുന്നു. ഈ മൂന്നും ഒരു ബൈനറിയിലും, ഒരു സഹായിയിലും, ഒരു സിസ്റ്റം സേവനത്തിലും വ്യാപിക്കാം, ഉപയോക്താവ് ആദ്യത്തേത് മാത്രം കാണുന്നു.

റോളുകൾ ഒരു ബൈനറിയിലോ രണ്ട് പ്രോസസുകളിലോ ഒരു ക്ലയന്റിലും സിസ്റ്റം സേവനത്തിലും ജീവിക്കാം, ഉപയോക്താവ് കാണുന്ന കമാൻഡ് ഏതാണെന്ന് അപൂർവ്വമായേ വെളിപ്പെടുത്തൂ. ട്രേ ഐക്കണും സിസ്റ്റം ഡെമോണും ഒരു ആപ്ലിക്കേഷൻ പോലെ തോന്നാം, പക്ഷേ അവ വളരെ വ്യത്യസ്ത അധികാരത്തോടെ പ്രവർത്തിക്കുന്നു. ഇൻസ്റ്റാളേഷൻ സമയത്തെ അധികാരവും അഭ്യർത്ഥന സമയത്തെ അധികാരവും വ്യത്യസ്ത കാര്യങ്ങളാണ്. root ആയി പ്രവർത്തിച്ച ഇൻസ്റ്റാളർ പിന്നീടുള്ള അഭ്യർത്ഥനകൾ കേൾക്കുന്ന ഒരു സേവനം പാക്കേജ് മാനേജർ അവസാനിച്ച് വളരെ കഴിഞ്ഞും വിട്ടേക്കാം. ആ സേവനത്തിനാണ് അധികാരം, നിങ്ങൾ ടൈപ്പ് ചെയ്ത കമാൻഡിനല്ല.

കൈമാറ്റം സാധാരണ രൂപകൽപ്പനയാണ്

പ്രത്യേകാവകാശമുള്ള നെറ്റ്‌വർക്ക് ജോലി ഒരു സേവനത്തിന് നൽകുന്നത് ന്യായമായ വാസ്തുവിദ്യയാണ്. ഇത് സാധാരണ ആപ്ലിക്കേഷനുകളെ പ്രത്യേകാവകാശങ്ങളില്ലാതെ നിർത്തുന്നു, ശ്രദ്ധ ആവശ്യമുള്ള പ്രവർത്തനങ്ങളെ കേന്ദ്രീകരിക്കുന്നു. ആര് എന്തിന് ചോദിക്കുന്നു എന്നും സേവനം പരിശോധിക്കുമ്പോൾ മാത്രമേ ഈ രൂപകൽപ്പന ഫലം നൽകൂ. ആ പരിശോധനയില്ലാതെ അത് വെറും വീതിയേറിയ വാതിൽ മാത്രമാണ്.

NetworkManager ആണ് Linux-ലെ വ്യക്തമായ ഉദാഹരണം. അതിന്റെ കോൺഫിഗറേഷൻ ഗൈഡ് ഡിഫോൾട്ട് ക്രമീകരണത്തിൽ PolicyKit root അല്ലാത്ത അഭ്യർത്ഥനകൾ എങ്ങനെ അംഗീകരിക്കുന്നു എന്ന് വിശദീകരിക്കുന്നു. ഇത് യഥാർത്ഥ ഉൽപ്പന്നത്തിൽ കൈമാറിയ അംഗീകാരം കാണിക്കുന്നു. ഓരോ വാണിജ്യ ക്ലയന്റും NetworkManager ഉപയോഗിക്കുന്നു എന്ന് ഇത് തെളിയിക്കുന്നില്ല, ഏതെങ്കിലും നിർദ്ദിഷ്ട വിതരണക്കാരന്റെ സോക്കറ്റ് പാതയോ നയമോ വിവരിക്കുന്നുമില്ല.

മാതൃക പിന്നിൽ ഒരു നയമുള്ള കൈമാറ്റമാണ്. ഉദാഹരണം ആ മാതൃകയുടെ ഒരു നടപ്പാക്കലാണ്, സാർവത്രികമല്ല.

അതിർത്തി വായിക്കുക, അഭ്യർത്ഥനയല്ല

സേവനം, അതിന്റെ കോൺഫിഗറേഷന്റെ ഉടമ, മുൻഭാഗം ഉപയോഗിക്കുന്ന പ്രാദേശിക ഇന്റർഫേസ് എന്നിവ കണ്ടെത്തുക. പിന്നെ ഏത് ഉപയോക്താക്കൾക്ക് ഏത് പ്രവർത്തനങ്ങൾ ആവശ്യപ്പെടാം എന്ന് ചോദിക്കുക. ഒരു സംരക്ഷിത പ്രൊഫൈൽ ഉയർത്തുകയും താഴ്ത്തുകയും ചെയ്യുന്നത് ഓപ്പറേറ്റർ ഒരിക്കലും പരിശോധിക്കാത്ത ഒരു കോൺഫിഗറേഷൻ ലോഡ് ചെയ്യുന്നതിന് തുല്യമായ അനുമതിയല്ല. വ്യത്യാസം മുഴുവൻ സുരക്ഷാ ചോദ്യമാണ്.

സേവന മാനേജറിൽ നിന്നും ക്ലയന്റ് തന്റെ അനുമതികളെക്കുറിച്ചുള്ള സ്വന്തം കാഴ്ചപ്പാടിൽ നിന്നും തുടങ്ങുക. താഴെയുള്ള കമാൻഡുകൾ ഡെമോൺ പ്രവർത്തിക്കുന്നുണ്ടോ, വിളിക്കുന്നയാൾക്ക് അതിൽ നിന്ന് എന്ത് ആവശ്യപ്പെടാം, ഡെമോൺ തന്റെ റൺടൈം ഡയറക്ടറിക്ക് കീഴിൽ എന്ത് വെളിപ്പെടുത്തുന്നു എന്നിവ കാണിക്കുന്നു.

systemctl status NetworkManager
nmcli general permissions
ls -l /run/NetworkManager

പ്രവർത്തനം എന്തിനെ ബാധിക്കുന്നു എന്നും ചോദിക്കുക. വ്യക്തിപരമായി തോന്നുന്ന ഒരു മെനു ഇനത്തിന് മുഴുവൻ യന്ത്രത്തിന്റെയും റൂട്ടുകളും DNS-ഉം മാറ്റാം, അതായത് അത് മറ്റ് ഉപയോക്താക്കളുടെ സെഷനുകൾ തടസ്സപ്പെടുത്താം. പ്രഭാവത്തിന്റെ ആരം അനുമതിയുടെ അതേ അവലോകനത്തിൽ വരുന്നു, സേവനത്തിന് കൂടുതൽ ഇടുങ്ങിയ റോൾ ആവശ്യമാണോ എന്ന് സാധാരണയായി അതാണ് തീരുമാനിക്കുന്നത്.

പിന്തുണയ്ക്കുന്ന രീതിയിൽ അനുമതികൾ ശരിയാക്കുക

സംരക്ഷിത നിയന്ത്രണ സോക്കറ്റ് എല്ലാവർക്കും എഴുതാവുന്നതാക്കുന്നതോ ഒരു അക്കൗണ്ട് വിശാലമായ ഭരണ ഗ്രൂപ്പിൽ ചേർക്കുന്നതോ ഒരു അനുമതി പിശക് നീക്കി വലിയൊരു പിശക് സൃഷ്ടിക്കുന്നു. ആ അതിർത്തി ഉണ്ടെന്ന് നിങ്ങളോട് പറഞ്ഞ ഒരേയൊരു കാര്യം ആ പിശകായിരുന്നു. രേഖപ്പെടുത്തിയ അംഗത്വമോ അംഗീകാരമോ ഉള്ള നടപടിക്രമം, അത് ആവശ്യപ്പെടുന്ന സെഷൻ പുതുക്കൽ ഉൾപ്പെടെ ഉപയോഗിക്കുക. ഗ്രൂപ്പ് അംഗത്വം പലപ്പോഴും പുതിയ ലോഗിൻ സെഷനുകൾക്ക് മാത്രം ബാധകമാണ്, അതിനാൽ അടുത്ത സൈൻ-ഇൻ വരെ മാറ്റം ഒന്നും ചെയ്യാത്തതുപോലെ തോന്നാം.

ഉൽപ്പന്നം പ്രവർത്തനത്തിന് കൂടുതൽ ഇടുങ്ങിയ റോൾ നൽകുന്നുവെങ്കിൽ, പൊതുവായ അനുവാദത്തേക്കാൾ അത് തിരഞ്ഞെടുക്കുക. തിരഞ്ഞെടുത്ത റോളും അതിന്റെ ഉടമയും സേവനത്തിന്റെ പേരിന് അടുത്ത് എഴുതുക.

നല്ല വിഭജനം എങ്ങനെയിരിക്കും

സാധാരണ ആപ്ലിക്കേഷനുകൾ പ്രത്യേകാവകാശങ്ങളില്ലാതെ തുടരുന്നു, സേവനം തനിക്കായി രൂപകൽപ്പന ചെയ്ത ക്രമീകരണം മാത്രം ചെയ്യുന്നു, ഓരോ വിളിക്കുന്നയാളും ആരുടെയെങ്കിലും ഉടമസ്ഥതയിലുള്ള ഒരു നയത്തിനെതിരെ പരിശോധിക്കപ്പെടുന്നു. അത് പ്രതിരോധിക്കാവുന്ന ഒരു രൂപകൽപ്പനയാണ്. നയത്തിന് ഒരു പേര് ബന്ധിപ്പിച്ചിരിക്കുന്നതിനാൽ ഇത് ഓഡിറ്റ് ചെയ്യാവുന്നതുമാണ്. അതിനേക്കാൾ വലിയതെന്തും നിശബ്ദമായ അനുമതി മാറ്റത്തിനുപകരം എഴുതപ്പെട്ട ഒരു ഒഴിവിന് അർഹമാണ്.

പരാജയ മാതൃക എന്നത് ഇന്റർഫേസ് സൗകര്യപ്രദമായതിനാൽ ഏതൊരു പ്രാദേശിക ഉപയോക്താവിന്റെയും ഏതൊരു അഭ്യർത്ഥനയും നിർവ്വഹിക്കുന്ന സേവനമാണ്. ഉപയോക്താവിന്റെ ഭാഗത്തുനിന്ന് അത് ഒരുപോലെ തോന്നുന്നു, അത് വളരെ വലിയ അധികാരം വഹിക്കുന്നു. വിജയിച്ച അഭ്യർത്ഥന മാത്രമല്ല, നിരസിക്കപ്പെട്ട ഒരു അഭ്യർത്ഥന പരിശോധിക്കുക. നയത്തിൽ നിന്ന് വരുന്ന നിരസനമാണ് നയം നിലനിൽക്കുന്നു എന്നതിന്റെ തെളിവ്.