لاګ زیاتېږي خو بیا نه شي جوړېدای: د لارښود ACL وګورئ
په فایل کې زیاتول د هغې په لارښود کې نوی نوم نه غواړي؛ جوړول یې غواړي۔ د هر څه پراخولو دمخه د لاسرسي ACL له میراثي اصلي ارزښتونو سره پرتله کړئ۔
هغه لاګ چې دوامداره زیاتېږي، هغه شېبه چې څه شی یې بیا جوړ کړي، زیاتېدل بندوي، او تېروتنه وايي چې اجازه رد شوه۔ هغه زړه راښکونکی پایله دا ده چې لاګ فایل پخپله نورو اجازو ته اړتیا لري، خو کېدای شي فایل لا دمخه د همدې حساب لپاره د لیکلو وړ وي۔ په موجود نوم کې زیاتول او نوی نوم جوړول دوه جلا څېړنې دي، او یوازې دویمه یې لارښود ته مراجعه کوي۔
زیاتول او جوړول جلا څېړنې دي
موجود فایل د زیاتولو لپاره پرانیستل پر هغه فایل د لیکلو لاسرسي او د هغې په لار کې هر لارښود کې د لټون لاسرسي ته اړتیا لري۔ فایل جوړول پر هغه لارښود چې هغه لري لیکل او لټون ته اړتیا لري، ځکه چې عملیه هغه ته نوم زیاتوي۔ فایل د نوم بدلولو له لارې بدلول دواړه لارښودونه او د هغوی sticky-bit قواعد هم لمس کوي۔
| Operation | What must permit it | Typical failure message |
|---|---|---|
| Append to an existing log | File write access, path traversal | Permission denied on the file |
| Create a missing log | Directory write and search access | Permission denied on the path |
| Rename a replacement into place | Both directories, plus sticky restrictions | Permission denied or operation not permitted |
لا پرانیستل شوی ډیسکریپټر څلورم حالت زیاتوي۔ پروسه کولای شي د امتیازاتو له پرېښودو دمخه پرانیستل شوی لیکلو لاستی وساتي او بیا هم د خپل وروستي هویت لاندې همغه لار بیا پرانیستل کې پاتې راشي۔ بریالي زیاتول او ناکام جوړول کولای شي دواړه ریښتیا وي، په هماغه شېبه، د هماغې پروسې لپاره۔
اصلي ACL میراثي دي، دوی نه ورکوي
هغه ننوتنه چې د اصلي مختاړي سره پیلېږي بیانوي چې نوي شیان له لارښود څخه څه میراث اخلي۔ دا پخپله لارښود ته هېڅ نه ورکوي، او د موجود فایل ACL نه ترمیموي۔
namei -l /var/log/openvpn/server.log
getfacl -p /var/log/openvpn
getfacl -p /var/log/openvpn/server.logد لاسرسي ننوتنې له اصلي ننوتنو جلا ولولئ، او ماسک ولولئ۔ هغه نومول شوې ننوتنه چې بشپړ حقوق لیستوي لا هم کولای شي د ماسک له خوا محدوده شي، له همدې کبله اغېزمنه تبصره د لومړي کرښې له تورو ډېره مهمه ده۔
د ترتیباتو د لار پرځای حل شوې لار وکاروئ۔ سمبولیک لینک، د نښلولو ټکی یا ګرځول شوې لارښود کولای شي ریښتینی فایل هغه ځای کې کېږدي چې ستاسو ورکړل شوې اجازه هېڅکله نه رسېږي۔ لومړی د نوم وسیلې سره لار ووهئ، بیا هر پوړ د اړوند حساب سره پرتله کړئ۔ د پورتنۍ پوړ لارښود اټکلول هماغه لار ده چې سمون یو پوړ ډېر لوړ کېږدي۔
په هماغه شېبه څوک لیکي، وټاکئ
د هر څه بدلولو دمخه د خدمت واحد، د هغې drop-in او د ډیمون خپل حساب تنظیمات وګورئ۔ زیاتوونکې پروسه او بیا جوړوونکې پروسه کېدای شي جلا وي: د ګرځولو مرستندوی، د حالت لیکونکی او د وېب لوستونکی په ندرت سره یو هویت شریکوي۔
د root شیل څخه چلول شوی ازموینه محدوده خدمت بیا نه جوړوي, او دا به بریالي شي په داسې حال کې چې خدمت ناکام پاتې کېږي۔ ناکامه عملیه د هماغه واحد لاندې، د هماغه حساب او هماغه sandbox تنظیماتو سره بیا جوړه کړئ۔ که ونشو کولای، واحد د لنډمهاله شیل سره پیل کړئ او هغه هویت چې راپور ورکوي یې وګورئ۔ نور هر څه خدمت نه، بلکې ستاسو ټرمینل اندازه کوي۔
که جوړول واقعاً اړین وي، لیکونکي ته د ځانګړي لاګ لارښود لاسرسی ورکړئ او د کاروونکو لپاره د لوستلو لاسرسی جلا وساتئ۔ یو شریک حساب یا د اپلیکیشن ټول ونه د یوې لاګ غوښتنې د پوره کولو لپاره د لیکلو وړ ګرځول کوچنۍ ستونزه په لویه بدلوي۔
پرته له بیا راوستلو یې وګرځوئ
څوک چې فایل بیا جوړوي هغه د راتلونکي دوران لپاره د هغې مالک او حالت ټاکي، نو سمون د ګرځولو ترتیباتو سره همغږی کړئ۔ په بل حساب یا نوي ACL سره جوړ شوی بدیل له بریالي سمون وروسته ناکامي بېرته راوړي۔
حالت او ګروپ د جوړولو پر مهال وټاکئ، نه وروسته، او د راتلونکې زیاتونې پرځای راتلونکې ګرځونه تایید کړئ۔ زیاتونه یوازې هغه ازموینه تکراروي چې لا دمخه تېره شوې۔ که د ګرځولو وسیله د جوړولو حالت تنظیم وړاندې کوي، د جوړولو وروسته chmod پرځای هغه وکاروئ۔ د جوړولو او chmod ترمنځ واټن هماغه شېبه ده چې راتلونکی لیکل کېدای شي ناکام شي۔
کله چې پرې کول بیا هم ناکام شي، د اجازو زیاتول بند کړئ
هغه فایل پرې کول چې تاسو یې لیکلی شئ، د لارښود اجازو سره نه توجیه کېږي، او د هغوی نور زیاتول به مرسته ونه کړي۔ پرځای یې ځانګړنې او محدودیت وګورئ: append-only ځانګړنه یوازې د زیاتولو حالت کې لیکل اجازه ورکوي، او یوازې لوستلو نښلون یا د خدمت sandbox کولای شي هغه عملیه رد کړي چې ACL یې اجازه ورکوي۔
د واحد د فایل سیستم محدودیتونه او د لار د نښلونې انتخابونه وګورئ، بیا هماغه دقیقه عملیه چې ناکامه شوه بیا جوړه کړئ۔ هغه اجازه پراخول چې هېڅکله ترې پوښتنه نه ده شوې، یوازې هغه پټوي چې کوم محدودیت ریښتینی و۔ په یو ځل کارېدونکي واحد کې یو محدودیت په یو وخت لرې کړئ، او د کوم تلپاتې بدلون دمخه یې بېرته راوګرځوئ۔