VPN ලිපිනයට අගුළු දැමූ NFS අපනයනය: එය සනාථ නොකරන්නේ කුමක්ද
අපනයන රීතියක් පරීක්ෂා කරන්නේ පැකට්ටුව පැමිණියේ කොහෙන්ද යන්නයි; AUTH_SYS දේශීය UID එකක් ප්‍රකාශ කරන අතර Kerberos පරිශීලකයෙකු සත්‍යාපනය කරයි. ඔබේ ගොනු සේවාවට අවශ්‍ය කුමක්දැයි තීරණය කරන්න.
සත්කාරකයක් නාමාවලියක් VPN ලිපිනයකට අපනයනය කරයි, මවුන්ට් වීම සාර්ථක වේ, සහ සැලසුම සත්‍යාපිත ලෙස සටහන් වේ. එම රීතිය ඇත්ත වශයෙන්ම සීමා කරන්නේ පැකට්ටු පැමිණෙන බව පෙනෙන ස්ථානයයි. ගොනු ක්‍රියාව මෙහෙයවන පුද්ගලයා තමා යැයි කියන පුද්ගලයා ද යන්න NFS ආරක්ෂක රීතිය මත රඳා පවතින අතර, මේ ආකාරයේ බොහෝ අපනයනවලදී කිසිවෙකු එය පෙරනිමියෙන් වෙනස් කර නැත.
එක් ඉල්ලීමක අනන්‍යතා තුනක් දිස්විය හැක
VPN සමගාමියා සේවාලාභී සහතිකයක් හෝ සමගාමී යතුරක් වැනි ලියාපදිංචි අනන්‍යතාවක් රැගෙන යයි. අභ්‍යන්තර IP පැකට්ටුව මූලාශ්‍ර ලිපිනයක් රැගෙන යයි. ගොනු ක්‍රියාව එහි NFS යාන්ත්‍රණය සපයන පරිශීලක අක්තපත්‍ර රැගෙන යයි. ලිපිනය තුනේම නියෝජිතයා ලෙස සලකන සැලසුමක් තහවුරු කළ යුතුව තිබූ කොටසම නිහඬව උපකල්පනය කර ඇත.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
එම පේළි තුන ලිවීම මුළු ව්‍යායාමයයි. අපනයනයක් ආරක්ෂිත ද යන්න පිළිබඳ විවාදයේ වැඩි කොටසක් එක් එක් පාලනය පවතින්නේ කුමන පේළියේද යන්න පැහැදිලි වූ විට කඩා වැටේ.
ලිපිනයේ හිමිකම ක්‍රියාත්මක කිරීමේ විස්තරයකි
ගේට්වේයකට පිළිගත් සමගාමියෙකුට උමං ලිපිනයක් පැවරිය හැක, නැතහොත් ඔහු සඳහා මාර්ගගත උපජාලයක් අනුමත කළ හැක. පසුව ක්‍රියාත්මක කිරීම වෙනත් සේවාලාභියෙකුට අයත් අභ්‍යන්තර මූලාශ්‍රයක් සහිත පැකට්ටුවක් ප්‍රතික්ෂේප කරන්නේද යන්න එම ක්‍රියාත්මක කිරීමේ ගුණාංගයක් වන අතර, උපකල්පනය කරනවාට වඩා එය පරීක්ෂා කිරීම වටී.
සාම්ප්‍රදායික Community OpenVPN පරිශීලක අවකාශ සේවාදායක කේතයට, උදාහරණයක් ලෙස, පැකට්ටුව TUN උපාංගය හරහා බෙදාහරින්නට පෙර වෙනත් සේවාලාභියෙකු සමඟ සම්බන්ධ මූලාශ්‍රයක් ප්‍රතික්ෂේප කළ හැක. එය සැබෑ වටිනාකමක් ඇති ලිපින හිමිකම් පරීක්ෂාවක් වන අතර, එය තවමත් NFS පරිශීලක සත්‍යාපනය නොවේ, මන්ද එය ක්‍රියාව සිදු කරන්නේ කුමන ගිණුමද යන්න ගැන කිසිවක් නොකියයි.
මූලාශ්‍ර පරිවර්තනය එය පවා ඛාදනය කරයි. NAT ගේට්වේයකට සෑම සේවාලාභියෙකුම එක් ලිපිනයක් ලෙස ඉදිරිපත් කළ හැක, එවිට අපනයන රීතියකට එහි පිටුපස සිටින පුද්ගලයන් වෙන්කර හඳුනාගත නොහැක. එවිට රීතියේ පෙනෙන නිරවද්‍යතාව රූප සටහන විසින් පවත්වා ගන්නා ප්‍රබන්ධයක් බවට පත්වේ. අපනයනය වැදගත් නම්, ලිපින කිරීම පැහැදිලිව තබන්න, කවුරුන් කා ලෙස ගණන් ගැනේද යන්න පරිවර්තකයෙකුට තීරණය කිරීමට ඉඩ නොදෙන්න.
අපනයනය විශ්වාස කිරීමට පෙර ආරක්ෂක රීතිය කියවන්න
Red Hat හි NFS මාර්ගෝපදේශය AUTH_SYS හරහා දේශීය UNIX UID සහ GID භාවිතා කරන sec=sys, Kerberos ක්‍රමවලින් වෙන් කරයි. krb5 පරිශීලක සත්‍යාපනය එකතු කරයි, krb5i අඛණ්ඩතා ආරක්ෂණය එකතු කරයි, සහ krb5p රථවාහනය සඳහා පෞද්ගලිකත්ව ආරක්ෂණය එකතු කරයි.
AUTH_SYS අක්තපත්‍රයේ අමතන්නාගේ UID සහ කණ්ඩායම් හඳුනාගැනීම් වැනි ක්ෂේත්‍ර අඩංගු වන අතර, මෙම රීතිය තනිවම ආරක්ෂාවක් ලබා නොදෙන බවත් බාහිර ආරක්ෂාව මත රඳා පවතින බවත් RFC 5531 පැහැදිලිව අනතුරු අඟවයි. එය VPN තුළ ක්‍රියාත්මක කිරීම ප්‍රවාහනයට ආරක්ෂාව සපයන අතර පැකට්ටුව තුළ ඇති ප්‍රකාශයේ කිසිවක් වෙනස් නොකරයි.
exportfs -v
showmount -e nfs.example.internalසේවාලාභී ලැයිස්තුව කියවීමට පෙර එම ප්‍රතිදානයේ රීතිය කියවන්න. සීමිත බව පෙනෙන අපනයනයක් ලිපිනයෙන් පමණක් සීමිත විය හැකි අතර, සෑම අමතන්නෙකුම තමන්ට කැමති ඕනෑම UID එකක් ප්‍රකාශ කරයි.
ආකෘතිය තෝරන්න, පසුව අවසර රඳවා ගන්න
ඔබ සැබවින්ම කළමනාකරණය කරන සේවාලාභීන්ට සුදුසු ගොනු සේවා සත්‍යාපන ආකෘතිය තෝරන්න. Kerberos සඳහා අනන්‍යතාවක් සහ ඊට පිටුපසින් සේවා යෙදවීමක් අවශ්‍ය වේ, එබැවින් එක් මවුන්ට් විකල්පයක් වෙනස් කිරීම සංක්‍රමණයක් නොවන අතර Kerberos වසම, ප්‍රින්සිපල් සහ keytab නොමැති තාක් එය සරලව අසාර්ථක වේ.
දෙකම ආකෘති යටතේ, සත්‍යාපිත ප්‍රින්සිපල්ට කළ හැකි දේ සීමා කරන අපනයන අවසර සහ ගොනු පද්ධති අවසරය රඳවා ගන්න. සත්‍යාපනය කියන්නේ කවුද අසන්නේ කියාය; අවසරය තීරණය කරන්නේ පිළිතුර ඔව් විය යුතුද කියාය. මේ දෙක එක් සැකසුමකට ඒකාබද්ධ කිරීම සංක්‍රමණයක් පැරණි වින්‍යාසයට වඩා වැඩි අවසරයක් ලබා දීමට හේතු වේ.
ලිපින රීතිය එහි සැබෑ අරමුණ සඳහා භාවිතා කරන්න
සේවාව අනුමත මාර්ගයට සහ මූලාශ්‍රවලට සීමා කිරීම තවමත් වටී, VPN අන්ත ලක්ෂ්‍යය සහ NFS සේවාදායකය එකම යන්ත්‍රය බෙදා ගන්නා විට සත්කාරක ආදාන ප්‍රතිපත්තියද ඇතුළුව. රථවාහන ඉදිරියට යවන රීති එකම සත්කාරකයේ දේශීයව ධාවනය වන සේවාවක් වෙත යොමු කරන ඉල්ලීම් පාලනය නොකරයි. එම පරතරය පෞද්ගලික විය යුතුව තිබූ පුදුම සහගත අපනයන ගණනක් පැහැදිලි කරයි. උමං රීති එය ආවරණය කරන බව උපකල්පනය කරනවාට වඩා දේශීය ආදාන ප්‍රතිපත්තිය පැහැදිලිව පරීක්ෂා කරන්න.
වෙනත් අතුරුමුහුණතක් හෝ මූලාශ්‍ර පරිවර්තනය කරන ගේට්වේයක් අනපේක්ෂිත ලෙස රීතිය සපුරාලිය නොහැකි බව පරීක්ෂා කරන්න, සහ එය ලිපිනය ව්‍යාජ ලෙස සකස් කිරීම ක්‍රියාකාරී මවුන්ට් එකක් සහතික කරන බවට වන ප්‍රකාශයක් නොව, මූලාරම්භය තහවුරු කර ගැනීමට හේතුවක් ලෙස සලකන්න.
එකක් නොව අවසර කේස් තුනක් ධාවනය කරන්න. අනුමත සේවාලාභියෙකු අනුමත පරිශීලකයෙකු ලෙස ක්‍රියා කරන අවස්ථාවෙන් ආරම්භ කරන්න, පසුව කිසිදා අනුමත නොවූ සමගාමියෙකුගෙන් පුනරාවර්තනය කරන්න, පසුව අනුමත පරිශීලකයාට තවමත් අවසර නැති දෙයක් උත්සාහ කරන්න. පසුව අසන්න අවසරලත් සේවාලාභියෙකු හානියට පත් වුවහොත් කුමක් වෙනස් වේද කියා, මන්ද ප්‍රවාහන සත්‍යාපනය එම යන්ත්‍රයේ සෑම ක්‍රියාවලියක්ම විශ්වාසදායක නොකරයි. සොරකම් කළ සහතිකයක් සහ කුතුහලයෙන් යුත් දේශීය ගිණුමක් විවිධ පාලන සහිත විවිධ ගැටළු වේ.