Esportazzjoni NFS imsakkra fuq indirizz VPN: x'ma tippruvax
Regola tal-esportazzjoni tiċċekkja minn fejn ġie l-pakkett; AUTH_SYS tiddikjara UID lokali u Kerberos tawtentika utent. Iddeċiedi liema għandha bżonn is-servizz tal-fajls tiegħek.
Host jesporta direttorju lejn indirizz VPN, il-montatura tirnexxi, u d-disinn jiġi miktub bħala awtentikat. Dak li din ir-regola verament tikkonstraġi huwa minn fejn il-pakketti jidhru li ġejjin. Jekk il-persuna li tmexxi l-operazzjoni tal-fajl hijiex dik li tgħid li hija tiddependi mill-profil tas-sigurtà NFS, u fil-biċċa l-kbira ta' esportazzjonijiet bħal dawn ħadd ma biddilha mill-valur default.
Tliet identitajiet jistgħu jidhru f'talba waħda
Il-pari VPN iġorr identità rreġistrata bċertifikat tal-klijent jew b'ċavetta tal-pari. Il-pakkett IP ta' ġewwa iġorr indirizz tas-sors. L-operazzjoni tal-fajl iġorr dawk il-kredenzjali tal-utent li jipprovdi l-mekkaniżmu NFS tagħha. Disinn li jittratta l-indirizz bħala sostitut għat-tlieta kollha bil-moħbi assuma eżatt il-parti li kellha tiġi vverifikata.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Li tikteb dawk it-tliet ringieli hija l-eżerċizzju kollu. Il-biċċa l-kbira tad-dibattitu dwar jekk esportazzjoni hijiex sigura tiġġarraf malli jkun ċar f'liema ringiela tgħix kull kontroll.
Is-sjieda tal-indirizz hija dettall tal-implimentazzjoni
Gateway jista' jassenja indirizz tat-tunnel lil pari aċċettat, jew jawtorizza sottorete mrotatta għalih. Jekk l-implimentazzjoni mbagħad tirrifjutax pakkett li s-sors ta' ġewwa tiegħu jappartjeni lil klijent ieħor hija proprjetà ta' dik l-implimentazzjoni, u jaqbel li tiġi vverifikata minflok assunta.
Il-kodiċi tas-server fl-ispazju tal-utent tal-Community tradizzjonali OpenVPN pereżempju jista' jirrifjuta sors assoċjat ma' klijent ieħor qabel il-pakkett jiġi kkonsenjat permezz tal-apparat TUN. Dan huwa verifika tas-sjieda tal-indirizz b'valur reali, u għadha mhix awtentikazzjoni tal-utent NFS, għax ma tgħid xejn dwar liema kont qed iwettaq l-operazzjoni.
It-traduzzjoni tas-sors tnaqqar saħansitra dan. Gateway NAT jista' jippreżenta kull klijent bħala indirizz wieħed, u mbagħad regola tal-esportazzjoni ma tistax tiddistingwi bejn in-nies warajh. Il-preċiżjoni apparenti tar-regola mbagħad issir fizzjoni miżmuma mid-dijagramma. Jekk l-esportazzjoni hija importanti, żomm l-indirizzar espliċitu minflok ma tħalli traduttur jiddeċiedi min jgħodd bħala min.
Aqra l-profil tas-sigurtà qabel ma tafda l-esportazzjoni
Il-gwida NFS ta' Red Hat tissepara sec=sys, li juża UID u GID UNIX lokali permezz ta' AUTH_SYS, mill-modi Kerberos. krb5 iżid awtentikazzjoni tal-utent, krb5i iżid protezzjoni tal-integrità, u krb5p iżid protezzjoni tal-privatezza għat-traffiku.
Il-kredenzjali AUTH_SYS fihom oqsma bħall-UID tas-sejjieħ u identifikaturi tal-grupp, u RFC 5531 twissi b'mod ċar li dan il-profil ma jipprovdix sigurtà waħdu u jiddependi mill-protezzjoni esterna. Li tmexxih ġewwa VPN jipprovdi protezzjoni għat-trasport u ma jbiddel xejn fl-istqarrija ġewwa l-pakkett.
exportfs -v
showmount -e nfs.example.internalAqra l-profil f'dak l-output qabel ma taqra l-lista tal-klijenti. Esportazzjoni li tidher ristretta tista' tkun ristretta biss bl-indirizz waqt li kull sejjieħ għadu jiddikjara kwalunkwe UID li jixtieq.
Agħżel il-mudell, imbagħad żomm il-permessi
Agħżel il-mudell tal-awtentikazzjoni tas-servizz tal-fajls adatt għall-klijenti li tassew tamministra. Kerberos jeħtieġ identità u implimentazzjoni tas-servizz warajh, għalhekk li tbiddel opzjoni waħda tal-montatura mhijiex migrazzjoni u sempliċement tfalli sakemm jeżistu d-dominju Kerberos, il-prinċipali u l-keytabs.
Taħt kwalunkwe mudell, żomm il-permessi tal-esportazzjoni u l-awtorizzazzjoni tas-sistema tal-fajls li jillimitaw dak li l-prinċipal awtentikat jista' jagħmel. L-awtentikazzjoni tgħidlek min qed jistaqsi; l-awtorizzazzjoni tiddeċiedi jekk it-tweġiba għandhiex tkun iva. Li tgħaqqad it-tnejn f'ambjent wieħed huwa kif migrazzjoni tispiċċa tagħti aktar milli kienet tagħti l-konfigurazzjoni l-antika.
Uża r-regola tal-indirizz għall-iskop veru tagħha
Li tillimita s-servizz għall-passaġġ u s-sorsi approvati għadu ta' min jagħmlu, inkluża l-politika tal-input tal-host meta l-punt tat-tarf VPN u s-server NFS jaqsmu magna. Regoli li jgħaddu t-traffiku ma jirregolawx talbiet indirizzati lejn servizz li jaħdem lokalment fuq l-istess host. Din il-lakuna tispjega għadd sorprendenti ta' esportazzjonijiet li kellhom ikunu privati. Ivverifika l-politika tal-input lokali b'mod espliċitu minflok ma tassumi li r-regoli tat-tunnel ikopruha.
Ivverifika li interface oħra jew gateway bit-traduzzjoni tas-sors ma jistax jissodisfa r-regola b'mod mhux mistenni, u ttrattah bħala raġuni biex tistabbilixxi l-provenjenza u mhux bħala stqarrija li l-falsifikazzjoni ta' indirizz tiggarantixxi montatura li taħdem.
Mexxi tliet każijiet ta' aċċettazzjoni minflok wieħed. Ibda b'klijent approvat li jaġixxi bħala utent approvat, imbagħad erġa' għamel mill-pari li qatt ma ġie approvat, imbagħad ipprova xi ħaġa li l-utent approvat għadu mhux permess jagħmel. Wara staqsi x'jinbidel jekk klijent awtorizzat jiġi kompromess, għax l-awtentikazzjoni tat-trasport ma tagħmilx kull proċess fuq dik il-magna affidabbli. Ċertifikat misruq u kont lokali kurjuż huma problemi differenti b'kontrolli differenti.