Izvoz NFS, zaklenjen na naslov VPN: česa to ne dokazuje
Pravilo izvoza preveri, od kod je prišel paket; AUTH_SYS navaja lokalni UID, Kerberos pa overi uporabnika. Odločite, kaj potrebuje vaša datotečna storitev.
Gostitelj izvozi imenik na naslov VPN, priklop uspe in zasnova se zapiše kot overjena. Kar to pravilo v resnici omejuje, je, od kod se zdi, da prihajajo paketi. Ali je oseba, ki vodi datotečno operacijo, res tista, za katero se izdaja, je odvisno od varnostnega profila NFS, in pri večini takšnih izvozov ga nihče ni spremenil glede na privzeto vrednost.
V eni zahtevi se lahko pojavijo tri identitete
Partner VPN nosi vpisano identiteto, kot je potrdilo odjemalca ali partnerski ključ. Notranji paket IP nosi izvorni naslov. Datotečna operacija nosi tiste uporabniške poverilnice, ki jih zagotovi njen mehanizem NFS. Zasnova, ki naslov obravnava kot nadomestilo za vse tri, je tiho predpostavila prav tisti del, ki bi ga bilo treba preveriti.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Zapis teh treh vrstic je vsa vaja. Večina razprave o tem, ali je izvoz varen, se sesuje, ko postane jasno, v kateri vrstici živi katera kontrola.
Lastništvo naslova je podrobnost izvedbe
Prehod lahko sprejetemu partnerju dodeli naslov tunela ali zanj odobri usmerjeno podomrežje. Ali izvedba nato zavrne paket, katerega notranji izvor pripada drugemu odjemalcu, je lastnost te izvedbe, in to je vredno preveriti namesto predpostaviti.
Koda strežnika v uporabniškem prostoru tradicionalnega Community OpenVPN lahko na primer zavrne izvor, povezan z drugim odjemalcem, preden se paket dostavi skozi napravo TUN. To je preverjanje lastništva naslova z resnično vrednostjo, in še vedno ni overjanje uporabnika NFS, ker ne pove ničesar o tem, kateri račun izvaja operacijo.
Prevajanje izvora načenja tudi to. Prehod NAT lahko vsakega odjemalca predstavi kot en naslov, in takrat pravilo izvoza ne more razlikovati ljudi za njim. Navidezna natančnost pravila postane takrat fikcija, ki jo vzdržuje diagram. Če je izvoz pomemben, ohranite naslavljanje izrecno, namesto da bi prevajalec odločal, kdo šteje za koga.
Preberite varnostni profil, preden zaupate izvozu
Smernice Red Hat za NFS ločujejo sec=sys, ki uporablja lokalne UID in GID sistema UNIX prek AUTH_SYS, od načinov Kerberos. krb5 doda overjanje uporabnika, krb5i doda zaščito celovitosti, krb5p pa doda zaščito zasebnosti prometa.
Poverilnice AUTH_SYS vsebujejo polja, kot sta UID klicatelja in identifikatorji skupin, in RFC 5531 jasno opozarja, da ta profil sam po sebi ne zagotavlja varnosti in je odvisen od zunanje zaščite. Njegovo izvajanje znotraj VPN zagotavlja zaščito prenosa in ne spremeni ničesar v trditvi znotraj paketa.
exportfs -v
showmount -e nfs.example.internalPreberite profil v tem izpisu, preden preberete seznam odjemalcev. Izvoz, ki se zdi omejen, je morda omejen samo z naslovom, medtem ko vsak klicatelj še vedno navaja kateri koli UID.
Izberite model in nato obdržite dovoljenja
Izberite model overjanja datotečne storitve, primeren za odjemalce, ki jih dejansko upravljate. Kerberos zahteva identiteto in uvedbo storitve za seboj, zato sprememba ene možnosti priklopa ni migracija in bo preprosto spodletela, dokler ne obstajajo domena Kerberos, principal in datoteke keytab.
Pri obeh modelih obdržite dovoljenja izvoza in avtorizacijo datotečnega sistema, ki omejujeta, kaj sme overjeni principal početi. Overjanje vam pove, kdo sprašuje; avtorizacija odloči, ali naj bo odgovor da. Zlitje obeh v eno nastavitev je pot, po kateri migracija na koncu podeli več, kot je dajala stara konfiguracija.
Uporabite pravilo naslova za njegov pravi namen
Omejevanje storitve na odobreno pot in vire je še vedno smiselno, vključno s politiko vstopa gostitelja, ko si končna točka VPN in strežnik NFS delita stroj. Pravila, ki posredujejo promet, ne urejajo zahtev, usmerjenih na storitev, ki teče lokalno na istem gostitelju. Ta vrzel pojasnjuje presenetljivo veliko izvozov, ki naj bi bili zasebni. Preverite lokalno politiko vstopa izrecno, namesto da bi predpostavljali, da jo pravila tunela pokrivajo.
Preverite, da drug vmesnik ali prehod s prevajanjem izvora ne more nepričakovano izpolniti pravila, in to obravnavajte kot razlog za ugotavljanje izvora, ne kot trditev, da ponarejanje naslova zagotavlja delujoč priklop.
Izvedite tri primere sprejema namesto enega. Začnite z odobrenim odjemalcem, ki deluje kot odobren uporabnik, nato ponovite s partnerjem, ki ni bil nikoli odobren, in nato poskusite nekaj, kar odobreni uporabnik še vedno ne sme. Nato vprašajte, kaj se spremeni, če je pooblaščeni odjemalec ogrožen, ker overjanje prenosa ne naredi vsakega procesa na tem stroju zaupanja vrednega. Ukradeno potrdilo in radoveden lokalni račun sta različna problema z različnimi kontrolami.