VPN хаягт түгжигдсэн NFS экспорт: энэ нь юуг нотлохгүй вэ
Экспортын дүрэм пакет хаанаас ирснийг шалгадаг; AUTH_SYS локал UID-г мэдэгдэж, Kerberos хэрэглэгчийг баталгаажуулна. Таны файлын үйлчилгээнд аль нь хэрэгтэйг шийдээрэй.
Хост каталогийг VPN хаяг руу экспортолж, холболт амжилттай болж, төсөл баталгаажсан гэж бичигддэг. Энэ дүрэм үнэндээ зөвхөн пакетууд хаанаас ирж байгаа мэт харагдахыг хязгаарладаг. Файлын үйлдлийг удирдаж буй хүн өөрийн хэлж буй хүн мөн эсэх нь NFS-ийн аюулгүй байдлын флавраас хамаардаг бөгөөд ийм экспортын ихэнхэд хэн ч үүнийг анхдагчаас өөрчлөөгүй.
Нэг хүсэлтэд гурван таних тэмдэг гарч болно
VPN-ийн хамтрагч клиентийн гэрчилгээ эсвэл хамтрагчийн түлхүүр гэх мэт бүртгэгдсэн таних тэмдгийг агуулна. Дотоод IP пакет эх хаягийг агуулна. Файлын үйлдэл нь түүний NFS механизм өгдөг хэрэглэгчийн итгэмжлэлийг агуулна. Хаягийг бүх гурвынх нь орлуулагч гэж үздэг төсөл шалгах ёстой байсан хэсгийг чимээгүйгээр таамагласан байна.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Тэр гурван мөрийг бичих нь бүх дасгал юм. Экспорт аюулгүй эсэх тухай маргааны ихэнх нь ямар хяналт аль мөрөнд амьдардаг нь тодорхой болоход нуран унадаг.
Хаягийн эзэмшил нь хэрэгжүүлэлтийн дэлгэрэнгүй мэдээлэл
Гарц нь хүлээн зөвшөөрөгдсөн хамтрагчид туннелийн хаяг олгож, эсвэл түүнд чиглүүлсэн дэд сүлжээг зөвшөөрч болно. Хэрэгжүүлэлт дараа нь дотоод эх нь өөр клиентэд хамаарах пакетыг татгалздаг эсэх нь тухайн хэрэгжүүлэлтийн шинж чанар бөгөөд таамаглахын оронд шалгах нь зүйтэй.
Уламжлалт Community OpenVPN хэрэглэгчийн орчны серверийн код нь жишээлбэл, пакет TUN төхөөрөмжөөр дамжин хүргэгдэхээс өмнө өөр клиенттэй холбоотой эхийг татгалзаж чадна. Энэ нь бодит үнэ цэнэтэй хаягийн эзэмшлийн шалгалт бөгөөд энэ нь одоо ч NFS хэрэглэгчийн баталгаажуулалт биш, учир нь ямар бүртгэл үйлдлийг гүйцэтгэж байгаа талаар юу ч хэлдэггүй.
Эхийн орчуулга үүнийг ч идэж байна. NAT гарц клиент бүрийг нэг хаяг гэж харуулж болох бөгөөд тэгвэл экспортын дүрэм түүний ард байгаа хүмүүсийг ялгаж чадахгүй. Дүрмийн харагдах нарийвчлал нь диаграмаар хадгалагдсан зохиомол зүйл болдог. Хэрэв экспорт чухал бол хаяглалтыг тодорхой байлгаж, хэн хэний оронд тооцогдохыг орчуулагчид шийдүүлэхгүй байгаарай.
Экспортод итгэхээсээ өмнө аюулгүй байдлын флаврыг уншаарай
Red Hat-ын NFS заавар нь AUTH_SYS-аар дамжуулан локал UNIX UID ба GID ашигладаг sec=sys-г Kerberos горимуудаас ялгадаг. krb5 хэрэглэгчийн баталгаажуулалт нэмдэг, krb5i бүрэн бүтэн байдлын хамгаалалт нэмдэг, krb5p траффикийн нууцлалын хамгаалалт нэмдэг.
AUTH_SYS-ийн итгэмжлэл нь дуудагчийн UID, бүлгийн таних тэмдэг зэрэг талбаруудыг агуулдаг бөгөөд RFC 5531 нь энэ флавр өөрөө аюулгүй байдал өгдөггүй, гадаад хамгаалалтаас хамаардаг гэдгийг тодорхой анхааруулдаг. Үүнийг VPN дотор ажиллуулах нь тээвэрт хамгаалалт өгдөг бөгөөд пакет доторх мэдэгдэлд юу ч өөрчлөхгүй.
exportfs -v
showmount -e nfs.example.internalКлиентийн жагсаалтыг уншихаас өмнө тэр гаралт дахь флаврыг уншаарай. Хязгаарлагдсан мэт харагдах экспорт зөвхөн хаягаар хязгаарлагдсан байж болох бөгөөд дуудагч бүр өөрийн хүссэн UID-г мэдэгдсээр байна.
Загварыг сонгоод дараа нь эрхийг хадгал
Таны үнэхээр удирдаж буй клиентүүдэд тохирох файлын үйлчилгээний баталгаажуулалтын загварыг сонгоорой. Kerberos нь ард нь таних тэмдэг, үйлчилгээний байршуулалтыг шаарддаг тул нэг холболтын тохиргоог өөрчлөх нь шилжилт биш бөгөөд Kerberos домэйн, үндсэн субъектүүд, keytab файлууд бий болох хүртэл зүгээр л бүтэлгүйтнэ.
Хоёр загварын аль ч тохиолдолд баталгаажсан үндсэн субъект юу хийж болохыг хязгаарладаг экспортын эрх, файлын системийн зөвшөөрлийг хадгалаарай. Баталгаажуулалт хэн асууж байгааг хэлдэг; зөвшөөрөл хариулт тийм байх ёстой эсэхийг шийддэг. Энэ хоёрыг нэг тохиргоонд нэгтгэх нь шилжилт хуучин тохиргооноос илүү их эрх өгч дуусах зам юм.
Хаягийн дүрмийг жинхэнэ зорилго ашигла
Үйлчилгээг зөвшөөрөгдсөн зам, эх сурвалжаар хязгаарлах нь үнэ цэнэтэй хэвээр, VPN-ийн төгсгөлийн цэг болон NFS сервер нэг машиныг хуваалцах үед хост руу орох бодлогыг оруулаад. Траффикийг дамжуулдаг дүрмүүд дараах руу чиглэсэн хүсэлтүүдийг удирддаггүй: нэг хост дээр локалаар ажиллаж буй үйлчилгээ. Энэ цоорхой нь хувийн байх ёстой байсан гайхалтай олон экспортыг тайлбарладаг. Туннелийн дүрмүүд үүнийг хамардаг гэж таамаглахын оронд локал оролтын бодлогыг тодорхой шалгаарай.
Өөр интерфейс эсвэл эхийг орчуулдаг гарц дүрмийг гэнэт биелүүлж чадахгүй эсэхийг шалгаж, үүнийг хаяг хуурамчаар үйлдэх нь ажиллах холболтыг баталгаажуулна гэсэн мэдэгдэл биш, гарал үүслийг тогтоох шалтгаан гэж үзээрэй.
Нэг биш гурван хүлээн авах тохиолдол ажиллуул. Зөвшөөрөгдсөн клиент зөвшөөрөгдсөн хэрэглэгчээр ажиллаж буйгаас эхэлж, дараа нь хэзээ ч зөвшөөрөгдөөгүй хамтрагчаас давтаж, дараа нь зөвшөөрөгдсөн хэрэглэгчид одоо ч зөвшөөрөгдөөгүй зүйлийг туршаад үзээрэй. Дараа нь эрх олгосон клиент эвдэрвэл юу өөрчлөгдөхийг асуугаарай, учир нь тээврийн баталгаажуулалт тэр машин дээрх бүх процессыг найдвартай болгодоггүй. Хулгайлагдсан гэрчилгээ болон сониуч локал бүртгэл нь өөр өөр хяналттай өөр өөр асуудал юм.