Zdieľaná CA, oddelené dvere: jedna služba na súbor povolenia

Certifikát, ktorý sa validuje voči zdieľanej autorite, prešiel testom dôvery, nie testom členstva. Tieto dve rozhodnutia sa často zlievajú, pretože obe nastávajú pri pripájaní, a zlúčenie zostáva neviditeľné, kým do služby nie je vpustený niekto, kto tam nemá byť. Riešením nie je druhá autorita; je to druhé rozhodnutie, prijaté pre každú službu a zaznamenané tam, kde ho démon číta. Držte obe oddelene a väčšina zmätku v tejto oblasti zmizne.

Dôveryhodná reťaz nehovorí nič o členstve v službe

Dve služby môžu prijímať rovnakú vydávajúcu hierarchiu a napriek tomu mať rôzne populácie. Jeden notebook patrí do prvej a nesmie dosiahnuť druhú, zatiaľ čo iní klienti tej istej hierarchie tam skutočne patria. Odstránenie autority z tejto služby by uzamklo všetkých, ktorí ju používajú legitímne, takže prácou je povolenie, nie dôvera.

Pomáha predstaviť si dve zámky na jednych dverách. Certifikát otvára vonkajší zámok a rozhodnutie pre službu otvára vnútorný; ani jedno nenahrádza druhé. Služba len s vonkajším zámkom členstvo vôbec nevynucuje, iba overuje identitu. Zapíšte obe rozhodnutia, kým čokoľvek zmeníte, pretože politiku, ktorá existuje iba v podobe fungujúceho spojenia, nie je možné auditovať. Nasledujúce sa týka vnútorného zámku.

Premeňte voliteľné prepisy na vstupnú bránu

Adresár klientskej konfigurácie je zvyčajne pohodlie: súbory v ňom prepisujú nastavenia klientov, ktorých sa týkajú, a klient bez súboru jednoducho beží s predvolenými hodnotami servera. Jedna direktíva premení toto pohodlie na bránu, takže chýbajúci súbor znamená odmietnuté spojenie.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Komunitné vydanie OpenVPN 2.6 ccd-exclusive dokumentuje na svojej stránke manuálu presne túto podmienku a vyhľadanie pomenovaného súboru závisí od efektívnej identity klienta. Iné zostavenia a servery spravované produktmi sa môžu líšiť, preto pred spoliehaním sa na rovnakú sémantiku inde overte nainštalovanú verziu.

Berte uvedenú cestu ako príklad a skontrolujte skutočne nasadené usporiadanie namiesto vytvárania adresára, ktorý si vymyslel návod. Nechajte existujúce kontroly certifikátov, kontroly identity servera a autentifikáciu účtu presne také, aké boli, pretože fragment pridáva podmienku a nič neodoberá. Pripravte zmenu pred produkciou, pretože odmietnutie vyvolané na nesprávnom mieste vyzerá ako zlyhanie certifikátu a pošle vyšetrovanie k autorite. Potom potvrďte, že riadok protokolu pre odmietnutého klienta uvádza chýbajúci konfiguračný súbor, a nie reťaz.

Jeden adresár na službu, nie jeden zdieľaný zoznam

Členstvo patrí službe, ktorá ho vynucuje, takže každá služba drží vlastný adresár a vlastné súbory. Nasmerovanie dvoch služieb na jeden zoznam spôsobí, že zdieľajú členstvo bez ohľadu na to, či to niekto zamýšľal, a výslednú zmenu je ťažké vystopovať k rozhodnutiu. Zdieľaná autorita môže zostať zdieľaná; súbory povolenia nie. Ich oddelenie tiež znamená, že chyba v jednej službe nemôže potichu rozšíriť inú.

Záznam DEFAULT je prípad, ktorý ľudí zvádza. Poskytuje záložné nastavenia, keď sa nenájde pomenovaný súbor, ale nie je to pomenovaný súbor, ktorý brána vyžaduje, takže sám klienta vpustiť nemôže. Otestujte klienta, ktorý nemá vôbec žiadny záznam, a potvrďte odmietnutie; ak je takýto klient vpustený, uplatňuje sa záloha a ccd-exclusive v tejto inštancii neplatí.

Efektívna identita rozhoduje, ktorý súbor sa číta

Vyhľadanie používa identitu, ktorou sa klient skutočne autentifikoval, čo je zvyčajne bežné meno certifikátu. Keď server overuje aj používateľské meno a heslo a mapuje toto meno na bežné meno, súbor musí zodpovedať overenému používateľskému menu. Nezhoda zanechá adresár plný vierohodných názvov súborov, ktoré sa nikdy nevyberú.

Čítanie je druhá polovica. Démon zvyčajne po spustení zníži oprávnenia, takže obmedzený účet potrebuje právo čítať adresár a každý záznam v ňom. Klienti nesmú môcť vytvoriť si vlastný záznam cez žiadnu zapisovateľnú cestu, pretože samoobslužné povolenie úplne ničí mechanizmus. Skontrolujte oprávnenia pripojenia a zdieľania, nielen režim súboru, pretože adresár, ktorý vyzerá uzavretý pre jeden účet, môže byť otvorený pre iný. Potom potvrďte, ktorý účet bežiaci proces skutočne používa, a nie ktorý účet uvádza unit súbor. Oba sú rovnaké len vtedy, keď ich nič iné nezmenilo.

Pozorujte odmietnutie, povolenie a odvolanie oddelene

Skúste identitu, ktorá patrí službe, a potvrďte, že sa pripojí. Skúste platný certifikát bez záznamu a potvrďte, že je odmietnutý. Skúste identitu povolenú pre druhú službu a potvrďte, že tu povolená nie je. Poznačte si inštanciu služby a efektívnu identitu vedľa každého výsledku, pretože výsledok bez tohto kontextu nikto iný nezreprodukuje.

Odobratie je samostatná operácia od odvolania. Úprava súboru povolenia odoberie právo na jednu službu, zatiaľ čo identita zostáva platná všade inde, kdežto kompromitovaný kľúč si vyžaduje reakciu organizácie na odvolanie. Vopred rozhodnite, čo sa stane s už nadviazanými reláciami, pretože ani úprava adresára, ani zoznam odvolaní ich samé neukončia.

Povolenie je tiež iba prvou bránou. Pripojenie sa k službe nehovorí nič o podsietiach, databázach ani rozhraniach správy za ňou, a táto politika zdrojov musí byť napísaná a otestovaná zvlášť.