د VPN تڼۍ ته sudo ته اړتیا ده: قاعده محدوده کړئ، پالیسي تایید کړئ

د VPN تڼۍ د مدیر لپاره کار کوي او نورو ټولو لپاره ناکامه کیږي، نو څوک sudoers ته یې یوه کرښه ورزیاتوي۔ هغه کرښه معمولا له هغې ستونزې اوږده ژوند کوي چې د حل لپاره یې جوړه شوې وه، او ډیری وخت له تڼۍ څخه زیات حق ورکوي۔ د پالیسۍ له سمون مخکې وګورئ چې د ملاتړ شوي اړیکې مالک کولی شي دا کار مخکې ترسره کړي۔ لاندې درې شرطونه فیصله کوي چې sudo اصلا ښکیل دی که نه۔

شرط 1: ملاتړ شوی مالک کولی شي دا پرته له sudo ترسره کړي

په ډیرو Linux ډیسکټاپونو کې شبکه مدیر مخکې له VPN اړیکو مالک وي، او د هغې اجازه د sudo پرځای د polkit له لارې ځي۔ هغه کاروونکی چې د اړیکې پورته کولو اجازه لري کولی شي دا د کوم root قاعده پرته د حکم کرښې څخه ترسره کړي۔ د دې له منلو مخکې چې تڼۍ ته امتیاز ته اړتیا ده، وګورئ چې مدیر څه اجازه ورکوي۔ که ځواب هو وي، نو د sudoers بدلون هغه ستونزه حل کوي چې نشته۔

nmcli connection show
nmcli connection up "Work VPN"

که مدیر انکار وکړي، ولې یې ولولئ: ورک polkit قاعده، د بل کاروونکي اړیکه یا هغه پروفایل چې کاروونکی یې نه شي لوستلی۔ هر یو یې د sudo قاعدې څخه تنګ ملاتړ شوی سمون لري۔ د امتیاز پورته کول وروستۍ لاره ده، نه لومړۍ۔

شرط 2: قاعده یو اجرایي فایل او د هغې دلیلونه نوموي

که sudo واقعا اړین وي، قاعده باید دقیق حکم او که ممکن وي هغه دلیلونه ونوموي چې کارولی یې شي۔ هغه قاعده چې کاروونکي ته د پوښ سکریپټ چلولو اجازه ورکوي یوازې د هغه سکریپټ د اجازو په اندازه خوندي ده، ځکه کاروونکی کولی شي هغه څه سمون کړي چې root به یې اجرا کوي۔ هغه قاعده چې د حکم وروسته د هر څه نښه لري هماغه ستونزه په لنډه بڼه ده۔

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

د حکم په زنځیر کې هره لاره وګورئ: باینري، هغه سکریپټ چې غواړي، هغه تنظیمات فایل چې لولي او د دوی ترمنځ هر فولډر۔ که له دوی څخه یو هم د کاروونکي لپاره د لیکلو وړ وي، محدوده قاعده په عمل کې بې حده root ده۔ دلیلونه هم مهم دي، ځکه هغه حکم چې د تنظیماتو لاره مني کولی شي د کاروونکي کنټرول شوي فایل ته مخ واړول شي۔ قاعده د کار لپاره ولیکئ، نه د تڼۍ لپاره۔

که حکم د کار لپاره کاروونکي کنټرول شوي فایل ته اړتیا لري، ودروئ۔ بیا ډیزاین غلط دی، او هیڅ sudoers نحو به یې خوندي نه کړي۔

شرط 3: ټوله پالیسي تحلیل کیږي، نه یوازې ستاسو کرښه

د هغه ایډیټر سره تایید کړئ چې فایل بندوي او نحو ګوري، او ټکه نه بلکې جوړه شوې پالیسي تایید کړئ۔ هغه فایل چې پخپله تحلیل کیږي بیا هم کولی شي د شاملولو ترتیب مات کړي یا قاعده داسې تکرار کړي چې چلند بدل شي۔د visudo لارښود هم بندوونکی ایډیټر او هم دلته کارول شوی یوازې-ګورمې حالت مستند کوي۔

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

ګورمې د ناکامۍ پر مهال فایل او کرښه راپور کوي، او هماغه راپور ګټور برخه ده۔ د پیژندل شوې تېروتنې په زور ساتلو پرځای د ایډیټر له لارې اراده شوې بدلون سم کړئ، ځکه ماتې شوې پالیسي کولی شي ټول مدیران یوځای بند کړي۔ د شاملولو فولډر فایلونو ته هم هغه مالکیت او حالت ته اړتیا ده چې لارښود غواړي، که نه نو له پامه غورځول کیږي یا رد کیږي۔ نحو یوازې لومړی دروازه ده: له تیریدو وروسته قاعده بیا ولولئ او وپوښتئ چې په رښتیا څه اجازه ورکوي۔

که د بدلون د کارولو یوازینې لاره د نحو ګورمې بندول وي، ودروئ۔ دا پالیسي نه ده، دا د بیا پیل په تمه خنډ دی۔

بیا رغونه: هغه ناسته وساتئ چې لا کار کوي

د ساتلو مخکې ډاډ ترلاسه کړئ چې مجاز اداري ناسته مخکې خلاصه ده او ماشین ته دوهمه لاره شته۔ د sudoers تېروتنه کولی شي ستاسو د سمولو وړتیا ستړي کړي، او د ډیسکټاپ تڼۍ د دې خطر وړ نه ده۔ که sudo مخکې مات شوی وي، د خپل جوړولو پرځای د سیسټم مستند بیا رغونې لاره وکاروئ۔

sudo -n true
id

د pkexec په څیر بدیلونه خپل نصب او پالیسي ته تړلي دي، نو دوی تضمین شوې دوهمه root غوښتنه نه ده۔ سیمه ییز اجازه د VPN راز له ورکولو څخه هم جلا وساتئ: sudo قاعده نه شي کولی نه شتون لرونکی راز استازی پرانیزي، او د ګیټوې MFA نه پوره کوي۔ د سمون وروسته عادي حساب یوازې اراده شوې عملیه کوي ازموئ، بیا د مدیر عادي کنټرولونه وکاروئ۔

پرېکړه هغه وخت پای ته رسیږي کله چې ووایاست کوم شرط sudo توجیه کړ، قاعده څه نوموي، ټوله پالیسي تحلیل کیږي، او که نه وي تاسو به څنګه بیا رغوئ۔ د امتیاز لرونکی پیلوونکی چې ستاسو اداري لاسرسی لري، بد سودا دی، او معمولا ترې مخنیوی کیدای شي۔