किल्लीपूर्वी प्रत्येक डिरेक्टरीवर शोध परवानगी

0600 मोड आणि योग्य मालक हे हमी देत नाहीत की सेवा किल्ली उघडू शकते। गहाळ परवानगी सहसा त्याच्या वरच्या डिरेक्टरीवर असते। लिनक्स मार्ग एका वेळी एक घटक म्हणून सोडवतो, आणि प्रत्येक पायरीला पुढील प्रयत्नापूर्वी शोध परवानगी लागते। संपूर्ण मार्ग वाचा, यादीची शेवटची ओळ नाही।

वाचन परवानगी ही शेवटची पायरी आहे, एकमेव नाही

फाइल उघडण्यासाठी कर्नेलला रूट किंवा कार्यरत डिरेक्टरीपासून मार्गाच्या प्रत्येक घटकातून जावे लागते। शोध परवानगी नसलेली डिरेक्टरी तो प्रवास परवानगी त्रुटीने थांबवते। फाइलचा स्वतःचा मोड कधीच तपासला जात नाही, त्यामुळे पूर्णपणे वाचनीय किल्ली अवाचनीय दिसते। त्रुटी बऱ्याचदा उघडताना डिरेक्टरीचे नाव न घेता येते, म्हणून शेवटच्या फाइलला दोष दिला जातो।

डिरेक्टरीसाठी, एक्झिक्युट बिट म्हणजे शोध, सामग्री चालवणे नाही। किल्ली डेटा राहते, आणि या दुरुस्तीचा कोणताही भाग तिला एक्झिक्युटेबल म्हणून चिन्हांकित करण्याची मागणी करत नाही।

सेवा खाते म्हणून मार्ग चाला

प्रत्येक घटक त्याच्या मालक आणि मोडसह सूचीबद्ध करा, नंतर वाचन सेवेची खरी ओळख म्हणून पुन्हा करा। तुमचा शेल आणि डेमॉन यातील फरकच बऱ्याचदा संपूर्ण उत्तर असतो। सिम्बॉलिक दुवे खऱ्या लक्ष्यापर्यंत अनुसरा, कारण सोडवलेला मार्गच तपासला जातो।

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

सेवा फाइल्स एकापेक्षा जास्त टप्प्यांतही उघडू शकते। काही सामग्री विशेषाधिकारित सेटअप दरम्यान वाचली जाते, तर इतर फाइल्स विशेषाधिकार सोडल्यानंतर उघडल्या जातात। फाइल वाचणारा रूट शेल नंतरच्या कामगाराचा प्रवेश पुन्हा निर्माण करत नाही। माउंट नामस्थान त्याच मार्गाचे वेगळे दृश्य सादर करू शकते, विशेषतः कंटेनरमध्ये, म्हणून डेमॉनच्या फाइलसिस्टम दृश्याची तुमच्याशी तुलना करा।

जुळणारी सर्वात अरुंद परवानगी बदला

प्रक्रियेला प्रवेश देणारी सर्वात लहान व्यवस्था निवडा: आवश्यक डिरेक्टरींवर शोध असलेला नियंत्रित गट, सेवेकडे आधीच असलेले व्यवस्थापित स्थान, किंवा दुसरी दस्तऐवजीकृत पद्धत। फाइल वाचण्यासाठी तिच्या डिरेक्टरीवर लेखन परवानगी लागत नाही। विशेषाधिकारित कॉन्फिगरेशनवर व्यापक गट-लेखन परवानगी सामान्य मार्ग दुरुस्ती नाही। पुनरावृत्ती 0777 देखील उपाय नाही।

कोणता घटक बदलला आणि का ते नोंदवा। कारण नोंदवल्याशिवाय परवानगी बदलणे पुनरावलोकनास कठीण आणि विसरणे सोपे आहे।

चालल्यानंतरच मोडच्या पलीकडे पहा

मोड बिट्स पुरेसे वाटत असल्यास, उर्वरित तपासण्या ACL, सुरक्षा धोरण आणि सँडबॉक्स मर्यादा आहेत। ACL मोड बिट्स अनुपस्थित दर्शवतात असा प्रवेश देऊ शकते, किंवा ते अनुमती देतात असे वाटणारा प्रवेश नाकारू शकते। ती सेटिंग्ज विद्यमान कॉन्फिगरेशन मालकाची आहेत, आणि ती बंद करण्याऐवजी अरुंदपणे समायोजित केली पाहिजेत। रूट किंवा कार्यरत डिरेक्टरीचा फरक देखील एका संदर्भात चालणाऱ्या आणि दुसऱ्यात अयशस्वी होणाऱ्या निरपेक्ष मार्गाचे स्पष्टीकरण देऊ शकतो।

प्रवेश दुरुस्त करताना फाइल काय आहे हे विसरू नका। CA प्रमाणपत्र रचनेनुसार सार्वजनिक आहे; खाजगी किल्ली नाही। क्लायंट पुन्हा लिहित असलेल्या फाइल्सनाही केवळ-वाचन ओळख किल्लीपेक्षा वेगळे लेखन अधिकार लागतात। रहस्ये न छापता मेटाडेटा तपासा, नंतर बदलानंतर सेवा स्वतः चालते याची खात्री करा। सेवा दस्तऐवजातील छोटी नोंद पुढच्या व्यक्तीला तेच चालणे वाचवते।