VPN товчлуурт sudo хэрэгтэй: дүрмийг хязгаарлаж, бодлогыг шалгана уу

VPN товчлуур администраторт ажилладаг, бусад бүх хүмүүст бүтэлгүйтдэг тул хэн нэгэн sudoers-т мөр нэмдэг. Тэр мөр нь ихэвчлэн шийдэх ёстой байсан асуудлаас урт насалж, товчлуурт хэрэгтэйгээс илүү их эрх олгодог. Бодлогыг засахын өмнө дэмжигдсэн холболтын эзэн энэ ажлыг аль хэдийн хийж чадах эсэхийг шалгана уу. Доорх гурван нөхцөл sudo огт оролцож байгаа эсэхийг шийднэ.

1-р нөхцөл: дэмжигдсэн эзэн үүнийг sudo-гүй хийж чадна

Ихэнх Linux ширээний орчинд сүлжээний менежер VPN холболтыг аль хэдийн эзэмшдэг бөгөөд түүний зөвшөөрөл нь sudo биш polkit-ээр дамждаг. Холболт өргөх зөвшөөрөлтэй хэрэглэгч ямар ч root дүрэмгүйгээр командын мөрөөс үүнийг хийж чадна. Товчлуурт эрх хэрэгтэй гэж таамаглахын өмнө менежер юуг зөвшөөрдөгийг шалгана уу. Хариулт тийм бол sudoers-ийн өөрчлөлт байхгүй асуудлыг шийдэж байна.

nmcli connection show
nmcli connection up "Work VPN"

Менежер татгалзвал шалтгааныг уншина уу: дутуу polkit дүрэм, өөр хэрэглэгчийн эзэмшлийн холболт эсвэл хэрэглэгч уншиж чадахгүй газар хадгалсан профайл. Тэдгээр тус бүрд sudo дүрмээс нарийн дэмжигдсэн шийдэл бий. Эрх өсгөх нь сүүлчийн арга, эхнийх биш.

2-р нөхцөл: дүрэм нэг гүйцэтгэх файл болон түүний аргументыг нэрлэнэ

Хэрэв sudo үнэхээр шаардлагатай бол дүрэм яг командыг болон боломжтой бол ашиглаж болох аргументыг нэрлэх ёстой. Хэрэглэгчид бүрхүүл скрипт ажиллуулахыг зөвшөөрсөн дүрэм нь тухайн скриптийн эрхийн хэмжээнд л аюулгүй, учир нь хэрэглэгч root-ийн гүйцэтгэхийг засаж чадна. Командын дараа орлуулагч тэмдэгтэй дүрэм нь мөн адил асуудлын богино хэлбэр юм.

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

Командын гинжин хэлхээний зам бүрийг шалгана уу: бинари, түүний дуудаж буй скрипт, уншиж буй тохиргооны файл болон тэдгээрийн хоорондох ямар ч хавтас. Хэрэв тэдгээрийн аль нэгэнд хэрэглэгч бичиж чадвал хязгаарласан дүрэм нь бодит байдалд хязгааргүй root болно. Аргументууд ч чухал, учир нь тохиргооны зам хүлээн авдаг командыг хэрэглэгчийн хянадаг файл руу чиглүүлж болно. Дүрмийг товчлуурын төлөө бус, үйлдлийн төлөө бичээрэй.

Хэрэв команд ажиллахын тулд хэрэглэгчийн хянадаг файл шаардлагатай бол зогсоо. Тэгвэл загвар буруу бөгөөд ямар ч sudoers синтакс үүнийг аюулгүй болгохгүй.

3-р нөхцөл: бүх бодлого парслагдана, зөвхөн таны мөр биш

Файлыг түгжиж, синтаксийг шалгадаг редактороор шалгаж, хэсэг бус угсарсан бодлогыг шалгана уу. Өөрөө парслагддаг файл ч оруулах дарааллыг эвдэж эсвэл зан төлөвийг өөрчлөх байдлаар дүрмийг давхарлаж болно.visudo гарын авлага түгжигч редактор болон энд ашиглаж буй зөвхөн-шалгах горимыг хоёуланг нь баримтжуулдаг.

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

Шалгалт бүтэлгүйтвэл файл болон мөрийг мэдээлдэг бөгөөд тэр тайлан нь ашигтай хэсэг юм. Мэдэгдэж буй алдааг хүчээр хадгалахын оронд редактороор дамжуулан зорьсон өөрчлөлтийг засаарай, учир нь эвдэрсэн бодлого бүх администраторыг нэгэн зэрэг түгжиж болно. Оруулах хавтас дахь файлуудад ч гарын авлагын шаардсан эзэмшил, горим хэрэгтэй, эс тэгвээс тэднийг үл хэрэгсэх эсвэл татгалзана. Синтакс бол зөвхөн эхний хаалга: давсны дараа дүрмийг дахин уншиж, энэ нь үнэхээр юуг зөвшөөрч байгааг асуу.

Өөрчлөлтийг ажиллуулах цорын ганц арга нь синтаксийн шалгалтыг унтраах бол зогсоо. Энэ нь бодлого биш, дахин ачаалахыг хүлээж буй тасалдал юм.

Сэргээх: ажиллаж байгаа сессийг хадгал

Хадгалахаас өмнө эрх бүхий административ сесс аль хэдийн нээлттэй, машин руу орох хоёр дахь зам байгаа эсэхийг шалгаарай. sudoers алдаа таныг засах чадварыг хасаж болох бөгөөд ширээний товчлуур тэр эрсдэлд үнэ цэнэгүй. Хэрэв sudo аль хэдийн эвдэрсэн бол өөрөө зохиохын оронд системийн баримтжуулсан сэргээх замыг ашиглаарай.

sudo -n true
id

pkexec зэрэг хувилбарууд өөрийн суулгалт, бодлогоос хамаардаг тул баталгаатай хоёр дахь root хүсэлт биш. Орон нутгийн зөвшөөрлийг VPN нууц өгөхөөс ч тусад нь байлга: sudo дүрэм байхгүй нууцын агентийг нээж чадахгүй бөгөөд гарцын MFA-г хангахгүй. Залруулсны дараа энгийн бүртгэлийг зөвхөн зорьсон үйлдлийг хийж шалгаад, дараа нь менежерийн энгийн удирдлагыг ашигла.

Аль нөхцөл sudo-г зөвтгөсөн, дүрэм юу гэж нэрлэдэг, бүх бодлого парслагддаг, тэгэхгүй бол та хэрхэн сэргээхээ хэлж чадах үед шийдвэр дуусна. Административ нэвтрэх эрхийг тань алдуулдаг эрх бүхий эхлүүлэгч муу наймаа бөгөөд ихэвчлэн зайлсхийх боломжтой.