VPN बटणाला sudo आवश्यक आहे: नियमाची व्याप्ती ठरवा, धोरण तपासा

VPN बटण प्रशासकासाठी कार्य करते आणि बाकी सर्वांसाठी अयशस्वी होते, म्हणून कोणीतरी sudoers मध्ये एक ओळ जोडतो। ती ओळ सहसा ज्या समस्येसाठी होती त्यापेक्षा जास्त काळ टिकते आणि बटणाला आवश्यक असलेल्यापेक्षा जास्त अधिकार देते। धोरण संपादित करण्यापूर्वी, समर्थित कनेक्शनचा मालक हे काम आधीच करू शकतो का ते तपासा। खालील तीन अटी sudo अजिबात सहभागी आहे का हे ठरवतात।

अट 1: समर्थित मालक हे sudo शिवाय करू शकतो

बहुतेक Linux डेस्कटॉपवर नेटवर्क व्यवस्थापक आधीच VPN कनेक्शनचा मालक असतो आणि त्याचे प्राधिकरण sudo ऐवजी polkit मधून जाते। कनेक्शन वर आणण्याची परवानगी असलेला वापरकर्ता कोणत्याही root नियमाशिवाय आदेश ओळीतून हे करू शकतो। बटणाला विशेषाधिकार आवश्यक आहे असे गृहीत धरण्यापूर्वी व्यवस्थापक काय परवानगी देतो ते तपासा। उत्तर होय असल्यास, sudoers बदल नसलेली समस्या सोडवत आहे।

nmcli connection show
nmcli connection up "Work VPN"

व्यवस्थापकाने नकार दिल्यास कारण वाचा: गहाळ polkit नियम, दुसऱ्या वापरकर्त्याच्या मालकीचे कनेक्शन किंवा वापरकर्ता वाचू शकत नाही अशा ठिकाणी साठवलेले प्रोफाइल। यापैकी प्रत्येकासाठी sudo नियमापेक्षा अरुंद समर्थित उपाय आहे। विशेषाधिकार वाढवणे हा शेवटचा उपाय आहे, पहिला नाही।

अट 2: नियम एका कार्यान्वयन-योग्य फाइलचे आणि तिच्या वितर्कांचे नाव घेतो

sudo खरोखर आवश्यक असल्यास, नियमाने नेमका आदेश आणि शक्य असल्यास तो वापरू शकणारे वितर्क नमूद करावे। वापरकर्त्याला रॅपर स्क्रिप्ट चालवण्याची परवानगी देणारा नियम त्या स्क्रिप्टच्या परवानग्यांइतकाच सुरक्षित असतो, कारण वापरकर्ता root काय चालवेल हे संपादित करू शकतो। आदेशानंतर वाइल्डकार्ड असलेला नियम हीच समस्या लहान स्वरूपात आहे।

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

आदेश शृंखलेतील प्रत्येक मार्ग तपासा: बाइनरी, ती ज्याला कॉल करते ती स्क्रिप्ट, ती जे कॉन्फिगरेशन फाइल वाचते आणि त्यांच्यामधील कोणतीही डिरेक्टरी। यापैकी कोणताही वापरकर्त्याला लिहिण्यायोग्य असल्यास, मर्यादित नियम प्रत्यक्षात अमर्यादित root आहे। वितर्कही महत्त्वाचे आहेत, कारण कॉन्फिग मार्ग स्वीकारणारा आदेश वापरकर्त्याने नियंत्रित केलेल्या फाइलकडे वळवता येतो। नियम बटणासाठी नाही, कृतीसाठी लिहा।

आदेशाला कार्य करण्यासाठी वापरकर्ता-नियंत्रित फाइल आवश्यक असल्यास थांबा। तेव्हा रचना चुकीची आहे आणि कोणतेही sudoers वाक्यरचना तिला सुरक्षित करणार नाही।

अट 3: संपूर्ण धोरण पार्स होते, केवळ तुमची ओळ नाही

फाइल लॉक करणाऱ्या आणि वाक्यरचना तपासणाऱ्या संपादकाने तपासा आणि तुकडा नाही, जोडलेले धोरण तपासा। स्वतः पार्स होणारी फाइलही समावेशन क्रम मोडू शकते किंवा वर्तन बदलणाऱ्या पद्धतीने नियम नकलू शकते।visudo पुस्तिका येथे वापरलेला लॉकिंग संपादक आणि केवळ-तपासणी मोड या दोन्हींचे दस्तऐवजीकरण करते।

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

तपासणी अयशस्वी झाल्यास फाइल आणि ओळ सांगते, आणि तोच अहवाल उपयुक्त भाग आहे। ज्ञात त्रुटी जबरदस्तीने जतन करण्याऐवजी संपादकामार्फत इच्छित बदल दुरुस्त करा, कारण तुटलेले धोरण एकाच वेळी सर्व प्रशासकांना बाहेर करू शकते। समावेशन डिरेक्टरीतील फाइलांनाही पुस्तिकेने मागितलेली मालकी आणि मोड आवश्यक आहे, अन्यथा त्या दुर्लक्षित किंवा नाकारल्या जातील। वाक्यरचना फक्त पहिले दार आहे: ते पार केल्यावर नियम पुन्हा वाचा आणि तो प्रत्यक्षात काय परवानगी देतो ते विचारा।

बदल कार्यान्वित करण्याचा एकमेव मार्ग वाक्यरचना तपासणी बंद करणे असल्यास थांबा। ते धोरण नाही, ती रीबूटची वाट पाहणारी व्यत्यय आहे।

पुनर्प्राप्ती: अजूनही कार्यरत सत्र ठेवा

जतन करण्यापूर्वी अधिकृत प्रशासकीय सत्र आधीच उघडे आहे आणि यंत्रात प्रवेशाचा दुसरा मार्ग अस्तित्वात आहे याची खात्री करा। sudoers चुकीमुळे ती दुरुस्त करण्याची क्षमता तुम्हाला जाऊ शकते, आणि डेस्कटॉपवरील बटण त्या जोखमीला पात्र नाही। sudo आधीच तुटलेले असल्यास स्वतःचा मार्ग शोधण्याऐवजी प्रणालीचा दस्तऐवजीकृत पुनर्प्राप्ती मार्ग वापरा।

sudo -n true
id

pkexec सारखे पर्याय स्वतःच्या स्थापनेवर आणि धोरणावर अवलंबून असतात, म्हणून ते हमखास दुसरे root प्रॉम्प्ट नाहीत। स्थानिक प्राधिकरण VPN रहस्य पुरवण्यापासूनही वेगळे ठेवा: sudo नियम अनुपस्थित सीक्रेट एजंट उघडू शकत नाही आणि गेटवेचे MFA पूर्ण करत नाही। दुरुस्तीनंतर सामान्य खाते केवळ इच्छित क्रिया करत असल्याची चाचणी करा, नंतर व्यवस्थापकाचे नेहमीचे नियंत्रण वापरा।

कोणत्या अटीने sudo न्याय्य ठरवले, नियम कशाचे नाव घेतो, संपूर्ण धोरण पार्स होते आणि न झाल्यास तुम्ही कसे पुनर्प्राप्त कराल हे सांगू शकल्यावर निर्णय संपतो। प्रशासकीय प्रवेश गमावणारा विशेषाधिकारप्राप्त लाँचर वाईट सौदा आहे आणि सहसा टाळता येतो।