Таны VPN түлхүүр хүн бүрт уншигдаж байна: юуг засах вэ

Эхний шинж тэмдэг нь ихэвчлэн алдаа биш, анхааруулга байдаг. Файл бүлэг эсвэл бүгдэд уншигдах тул клиент түлхүүр ачаалахаас татгалздаг, эсвэл аюулгүй байдлын хяналт экспортолсон багцтай профайл хавтаснаас client.key 644 горимд олдог. Одоохондоо юу ч эвдрээгүй, яг үүнээс болж анхааруулгыг үл тоомсорлодог. Түлхүүр ажиллаж, туннель босч, файл машины бүх бүртгэлд уншигдана.

Шинж тэмдэг нь зөвшөөрлийн анхааруулга, тасалдал биш

Unix төстэй системд хувийн түлхүүр нь үйлчилгээг ажиллуулж буй бүртгэлд л уншигдах ёстой. Зөв эзэмшигчтэй 600 горим нь ердийн зохион байгуулалт. 644 горим гэдэг нь орон нутгийн хэрэглэгч бүр түлхүүрийг хуулж чадна гэсэн үг бөгөөд хуваалцсан build хост дээр энэ нь бодит үзэгчид юм.

Үүнийг шалгадаг клиентүүд танд сайн сайхныг хийдэг. Шалгадаггүй нь файл аюулгүй гэдгийг нотлох зүйл биш, амжилттай холболт нь үүнийг боломжтой болгосон материалыг өөр хэн уншиж болох талаар юу ч хэлэхгүй. Анхааруулгыг бүхэл илрүүлэлт гэж үз. Энэ нь үнэн зөв бөгөөд хэн нэгэн файлыг хуулахаас өмнө ирсэн.

Горимыг үйлчилгээний таних тэмдэгт тохируул

Зөвхөн эзэмшигчийн хандалт нь тухайн эзэмшигчийн ашигладаг түлхүүрт тохиромжтой. Зориуд хуваалцсан бүлэгтэй үйлчилгээнд өөр хяналттай зохион байгуулалт хэрэгтэй байж болно, жишээлбэл үйлчилгээний бүртгэлийн эзэмшлийн түлхүүрт бүлгийн уншилт. Бүх файлыг сохроор нэг тоон горимд оруулах нь дэмжигдсэн клиентүүдийг эвдэж, chmod -R 777 нь юуны ч шийдэл болохгүй.

Ямар нэг юм өөрчлөхөөс өмнө эзэмшигч болон үйлчилгээний бүртгэлийг шалга. Нийтийн CA гэрчилгээ болон хувийн таних тэмдгийн түлхүүрүүд нэг хавтаст байсан ч нууцлалын шаардлага өөр, тиймээс бүх хавтаст хэрэглэх рекурсив горим хоёуланг нь нэг объект мэт үздэг.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Бусад платформд Unix горимуудыг таамаглалд хөрвүүлэхийн оронд баримтжуулсан түлхүүрийн агуулах эсвэл хандалтын хяналтын загварыг ашигла. private-аар төгсдөг файлын нэр бол шошго, хэрэгжүүлэх механизм биш.

Горимд хамрагдаагүй хуулбаруудыг ол

Засварлагчид, нөөц архивууд, экспортолсон профайлууд болон түр багцууд тус бүр ижил таних тэмдгийг хадгалж болно. Тэдгээр хуулбарыг агуулгын дагуу хамгаал, учир нь эх файлыг чангалах нь өнгөрсөн сарын tar архив дахь хуулбарт юу ч хийхгүй.

Түлхүүр файл дээрх нууц үг хадгалагдсан материалд хэрэгтэй бөгөөд шифрлэгдсэн файлыг нууц үгийнх нь хажууд нийтлэхийг зөвтгөхгүй. Зөвшөөрөл нь одоогийн файлын системийн объектыг хамгаална; өөр газар аль хэдийн хуулагдсан итгэмжлэх мэдээллийн талаар тэд юу ч хэлэхгүй.

Ажлыг дууссан гэж зарлахаас өмнө хуулбаруудыг хай: grep -rl боломжит хавтаст түлхүүрийн толгой мөр, нөөц хуулбарын үл хамаарах зүйлсийг хар. Үр дүн нь ихэвчлэн эхэлсэн файлаас илүү сонирхолтой байдаг.

Засварын дараа шалгаж, соль

Зорьсон үйлчилгээ одоо ч баталгаажуулж байгаа эсэхийг шалга, дараа нь шаардлагагүй ямар ч бүртгэл хандалт аваагүйг батал. Оношилгооны гаралтыг мета өгөгдлөөр хязгаарла, учир нь файлыг уншиж болохыг батлахад түлхүүр хэвлэх шаардлагагүй бөгөөд энэ нь материалыг лог руу оруулдаг.

Түлхүүр ил болсон бол горимыг чангалж, дараа нь итгэмжлэх мэдээллийг сольж, хуучин нь цуцал. POSIX chmod-ийн тодорхойлолт горимын бит бүрийн утгыг тайлбарладаг бөгөөд дараагийн хяналт таны сонгосон тоог зөвтгөхийг шаардахаас өмнө үүнийг мэдэх нь зүйтэй.