د VPN پتې سره تړلی NFS صادرات: دا څه نه ثابتوي
د صادراتو قاعده ګوري چې بسته له کومه راغله; AUTH_SYS محلي UID ادعا کوي او Kerberos کارن تصدیقوي۔ پریکړه وکړئ چې ستاسو د فایل خدمت کوم ته اړتیا لري۔
یو کوربه یوه ډایرکټري VPN پتې ته صادروي، نښلول بریالي کیږي، او ډیزاین د تصدیق شوي په توګه لیکل کیږي۔ هغه قاعده په رښتیا یوازې دا محدودوي چې بستې له کومه ځایه د راځي په څیر ښکاري۔ دا چې د فایل عملیات چلوونکی کس هغه دی چې ځان یې بولي که نه، په NFS امنیتي فلور پورې اړه لري، او په ډیری داسې صادراتو کې چا هم دا له ډیفالټ نه نه دی بدل کړی۔
په یوه غوښتنه کې درې هویتونه ښکاره کیدای شي
د VPN سیال د کلاینټ سند یا د سیال کیلي په څیر ثبت شوی هویت لري۔ داخلي IP بسته د سرچینې پته لري۔ د فایل عملیات هغه کارن اعتبارنامه لري چې د دې NFS میکانیزم یې برابروي۔ هغه ډیزاین چې پته د درې واړو بدیل ګڼي، په چوپتیا سره هغه برخه فرض کړې چې باید تصدیق شوې وای۔
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
د هغو درې کرښو لیکل ټول تمرین دی۔ د دې په اړه چې صادرات خوندي دي که نه، د بحث ډیره برخه هغه وخت ټوټه ټوټه کیږي چې روښانه شي کوم کنټرول په کومه کرښه کې ژوند کوي۔
د پتې مالکیت د پلي کیدو یو تفصیل دی
یو ګیټوی کولای شي منل شوي سیال ته د تونل پته ورکړي، یا د هغه لپاره لارښود شوی فرعي شبکه اجازه کړي۔ دا چې بیا پلي کول هغه بسته ردوي که نه چې داخلي سرچینه یې بل کلاینټ پورې اړه لري، د هغه پلي کیدو ځانګړتیا ده، او د فرض کولو پرځای یې ګټه ده چې وګورو۔
دودیز Community OpenVPN د کارن فضا سرور کوډ، د بیلګې په توګه، کولای شي د بل کلاینټ سره تړلې سرچینه رد کړي مخکې لدې چې بسته د TUN وسیلې له لارې وسپارل شي۔ دا د پتې مالکیت یو ارزښتناک کنټرول دی، او لا هم د NFS کارن تصدیق نه دی، ځکه چې د دې په اړه هیڅ نه وایي چې کوم حساب عملیات کوي۔
د سرچینې ژباړه حتی هغه هم تخریبوي۔ یو NAT ګیټوی هر کلاینټ د یوې پتې په توګه وړاندې کولای شي، او بیا د صادراتو قاعده نشي کولای د هغې شاته خلک توپیر کړي۔ د قاعدې ښکاره دقت بیا د ډیاګرام لخوا ساتل شوې افسانې ته اړ کیږي۔ که صادرات مهم وي، پته اچونه روښانه وساتئ، پرځای دې چې ژباړونکی پریکړه وکړي چې څوک د چا په ځای شمیرل کیږي۔
مخکې لدې چې پر صادراتو باور وکړئ، امنیتي فلور ولولئ
د Red Hat NFS لارښود sec=sys، چې د AUTH_SYS له لارې محلي UNIX UID او GID کاروي، له Kerberos طریقو څخه بیلوي۔ krb5 د کارن تصدیق زیاتوي، krb5i د بشپړتیا ساتنه زیاتوي، او krb5p د ترافیک لپاره د محرمیت ساتنه زیاتوي۔
د AUTH_SYS اعتبارنامه د غوښتونکي UID او ګروپ پیژندونکو په څیر ساحې لري، او RFC 5531 په روښانه ډول خبرداری ورکوي چې دا فلور پخپله هیڅ امنیت نه برابروي او پر بهرنۍ ساتنې تکیه کوي۔ په VPN دننه یې چلول د لیږد لپاره ساتنه برابروي او په بسته کې دننه د ادعا په اړه هیڅ نه بدلوي۔
exportfs -v
showmount -e nfs.example.internalپه کلاینټ لیست لوستلو دمخه په هغه تولید کې فلور ولولئ۔ هغه صادرات چې محدود ښکاري، کیدای شي یوازې د پتې له مخې محدود وي پداسې حال کې چې هر غوښتونکی لاهم خپله خوښه UID ادعا کوي۔
موډل غوره کړئ، بیا اجازې وساتئ
د فایل خدمت د تصدیق هغه موډل غوره کړئ چې ستاسو په رښتیا اداره شوي کلاینټونو سره سمون لري۔ Kerberos د هویت او د خدمت ځای پرځای کیدو ته اړتیا لري، نو د یو نښلولو اختیار بدلول مهاجرت نه دی او یوازې به ناکام شي ترڅو چې د Kerberos ډومین، اصلي شیان او keytabونه شتون ولري۔
د دواړو موډلونو لاندې، د صادراتو اجازې او د فایل سیسټم اجازه وساتئ چې محدودوي چې تصدیق شوی اصلي شی څه کولای شي۔ تصدیق تاسو ته وایي چې څوک پوښتنه کوي؛ اجازه پریکړه کوي چې ځواب باید هو وي که نه۔ د دواړو یوځای کول په یوه ترتیباتو کې هغه لار ده چې مهاجرت یې په پای کې له زاړه ترتیباتو څخه زیات ورکوي۔
د پتې قاعده د هغې ریښتیني هدف لپاره وکاروئ
د خدمت محدول د تصویب شوې لارې او سرچینو ته د اوسیدو ارزښت لري، په شمول د کوربه د ننوتلو پالیسي کله چې د VPN پای ټکی او NFS سرور یوه ماشین شریکوي۔ هغه قواعد چې ترافیک مخته لیږي د هغو غوښتنو کنټرول نه کوي چې په هماغه کوربه باندې په سیمه ایزه توګه روان خدمت ته نښه شوې وي۔ دا تشه په حیرانونکي شمیر صادراتو تشریح کوي چې باید خصوصي وی۔ د تونل قواعد یې پوښي په دې باور کیدو پرځای سیمه ایزه د ننوتلو پالیسي په روښانه ډول وګورئ۔
وګورئ چې بله برخه یا د سرچینې ژباړه کوونکی ګیټوی نشي کولای قاعده په ناڅاپي ډول پوره کړي، او دا د پتې جعلي کولو سره د کار کوونکي نښلولو تضمین ادعا نه، بلکې د اصل ثابتولو لامل وګڼئ۔
یو نه، بلکې درې د منلو قضیې وچلوئ۔ د تصویب شوي کلاینټ سره د تصویب شوي کارن په توګه پیل وکړئ، بیا هغه سیال څخه تکرار کړئ چې هیڅکله نه دی تصویب شوی، بیا هغه څه هڅه وکړئ چې تصویب شوي کارن لاهم اجازه نه لري۔ بیا وپوښتئ چې که یو مجاز کلاینټ خراب شي څه بدلیږي، ځکه چې د لیږد تصدیق په هغه ماشین باندې هر پروسه باوري نه کوي۔ غلا شوی سند او لیواله سیمه ایز حساب د بیلابیلو کنټرولونو سره بیلابیل مشکلات دي۔